Битность операционки совсем ничего не решает. тестировалось на win7,8.1,10,2012 r2 клиентские ОСи были и х86 и х64, проблема полностью идентична - вне домена работает только под админом, в домене только под админом домена.
Вопрос в каких-то правах админа. Потому-что, после "чистого" теста, COM-приложение устанавливаемое через GPO не отрабатывает пока не укажешь его запуск в качестве локальной службы (то есть с неограниченными правами). Частичный результат, нет полной автоматизации. Но это проще чем всем давать права админа, а отказываться от домена - "слегка" неправильная для меня мысль.
Всем спасибо за обсуждение. Тему наверное можно закрывать.