Как установить средствами GPO только не установленные программы?
установка софта средствами gpo - вещь рекомендуемая только в очень крайнем случае.
Освойте менеджмент софта средствами chocolatey или 
windows package manager
Последний доступен, если у вас установлен Windows Management Framework 5 - по дефолту в windows 10. В остальные ОС необходимо ставить указанный пакет.
Как добавить менеджер пакетов chocolatey написано на соответствующем сайте.
Соответственно установка софта выглядит так : chocolatey:  choco install 7-zip,googlechrome,adobereader,k-litecodeckpackmega -yменеджер пакетов : '7-zip','googlechrome','adobereader','k-litecodeckpackmega' | foreach {install-package $_ -force}
по сути используется один и тот же репозиторий - chocolatey, просто в WMF5 Microsoft добавили его как один из известных репозиториев пакетов.
Можно пихать в логон скрипты, например.
Если софт установен - он не поставится еще раз.
есть опции для апдейта софта.chocolatey : choco upgrade all
для менеджера пакетов несколько сложнее :D
Если хочется зафиксироваться на одной версии ПО - при установке можно указывать желаемую версию (из доступных в репозитории)
Ну и рулить можно всем с одной управляющей машины по WINRM (потребуется настройка политик в домене).
Если опасаетесь что нужный софт пропадёт из chocolatey - на сайте chocolatey.org есть описание как поднять свой репозиторий (в том числе и в виде простой общей папки), как готовить пакеты  для своего репозитория и тд и тп.
Такой софт как Chrome, Adobe сами обновляются. Как я уже писал: вы можете изменить уже развернутую административную установку прямым редактированием файлов в папке. MSI изменяйте с помощью Orca. Например, для Adobe Reader XI можно отключить самообновление изменением [Tables.Property].UPDATE_UI_MODE с 3 (&Устанавливать обновления автоматически (рекомендуется)) на 0 (&Проверять наличие и выполнять установку обновлений вручную (не рекомендуется))меня устраивает что софт сам обновляетсяПродолжу пример. Adobe Reader XI автоматически обновляется до Adobe Reader DC (ребрендинг Adobe Reader 2015). Но обновления Adobe Reader XI продолжают выпускаться (как минимум два: 015, 016) — их установить можно только вручную.
Вопрос: почему Adobe Reader DC не место в корпоративной среде? Можно много рассуждать об интерфейсе сделанном под Win10, ошибках и пр. А всё просто —Adobe Reader DC не открывает PDF, которые генерит налоговая — я думаю этого достаточно.