Seguridad, privacidad y EDP
Protección de datos de empresa: cifrado, permisos, RGPD y IA responsable.
¿Qué aprenderás?
- Explicar los compromisos de la EDP
- Describir qué datos se almacenan y cómo gestionarlos con Purview
- Conocer las protecciones frente a jailbreak y contenido dañino
Explicación
Cuando el usuario inicia sesión con Microsoft Entra, Copilot respeta su modelo de identidad y permisos: solo expone datos del que el usuario tiene al menos permiso de visualización. Las respuestas de IA generativa no se garantizan al 100 %: hay que usar sentido crítico y revisar antes de enviar. Microsoft no reclama propiedad de las salidas y ofrece el compromiso de derechos de autor para clientes comerciales que usen los filtros integrados.
Conceptos principales
- EDP (Protección de datos de empresa): controles y compromisos bajo el DPA y los Términos del producto para datos de clientes de usuarios de Copilot y Copilot Chat.
- Protección de datos: cifrado en reposo y en tránsito, controles de seguridad física y aislamiento de datos entre inquilinos.
- Privacidad: cumplimiento de RGPD, límite de datos de la UE (con exclusiones documentadas), ISO/IEC 27018 y el DPA.
- Controles heredados: modelo de identidad y permisos, etiquetas de confidencialidad, directivas de retención, auditoría de interacciones y configuración administrativa.
- Protecciones de IA: bloqueo de contenido dañino, detección de material protegido (derechos de autor y licencias), mitigación de inyecciones de mensajes (clasificadores jailbreak y XPIA) y compromiso de derechos de autor del cliente.
- Entrenamiento: los avisos, respuestas y datos de Microsoft Graph NO se usan para entrenar modelos base (LLM).
- Consultas web: enviadas al servicio de Bing con identificadores de usuario e inquilino eliminados; no se comparten con anunciantes ni se usan para entrenar LLM; Bing opera con prácticas propias (Microsoft es controlador independiente en ese tramo).
- Datos de interacciones: indicación + respuesta se guardan como historial de actividad de Copilot; cifrados; gestionables con Purview (búsqueda de contenido, retención); el usuario puede eliminar su historial desde Mi cuenta.
- Residencia de datos: Copilot se añadió como carga de trabajo cubierta por los compromisos de residencia el 1 de marzo de 2024; ADR y Multi-Geo incluyen compromisos; para la UE aplica el límite de datos de la UE.
- Cumplimiento: RGPD, ISO 27001, HIPAA (en implementaciones configuradas), ISO 42001 (gestión de IA); adhesión a la Ley de IA de la UE.
- IA responsable: revisiones de daño (odio, sexual, violencia, autolesión), filtrado en profundidad, exclusión de supervisión de abuso de Azure OpenAI con revisión humana en Copilot.
Ejemplo práctico
- Un administrador configura en Purview una directiva de retención para los datos de interacción con Copilot.
- Un usuario elimina su historial de actividad de Copilot desde https://myaccount.microsoft.com/.
Caso de uso empresarial
Compliance configura retención y auditoría de interacciones con Copilot en Microsoft Purview antes del despliegue.
Buenas prácticas
- Revisar permisos y etiquetas de confidencialidad antes de desplegar.
- Usar Purview para auditoría, retención y prevención de pérdida de datos.
- Educar sobre revisión humana de las respuestas.
Errores comunes
- Suponer que el límite de datos de la UE cubre las consultas web: no aplica a búsquedas web.
- Creer que Copilot comparte datos entre usuarios: el acceso sigue los permisos individuales.
Resumen
El uso de Microsoft Copilot y Copilot Chat en organizaciones está cubierto por el Anexo de protección de datos (DPA) y los Términos del producto, con Microsoft como procesador de datos. Las consultas y respuestas reciben los mismos compromisos contractuales que el correo de Exchange y los archivos de SharePoint. No se usan datos para entrenar modelos base.
Puntos importantes para recordar
- Misma protección que Exchange/SharePoint para indicaciones y respuestas.
- Nada se usa para entrenar modelos base.
- EDP aplica con sesión de Microsoft Entra.
Fuentes oficiales
Microsoft Learn / Microsoft Support · consultado el 2026-09-17