Copilot con tu cuenta profesional o educativa incluye protección de datos empresariales: el contrato de tu empresa con Microsoft cubre las instrucciones y las respuestas, y no se usan para entrenar modelos fundacionales. Copilot con una cuenta personal de Microsoft se rige por términos de consumo entre tú y Microsoft, y ahí no deben ir documentos de clientes. En el trabajo, el problema más habitual es compartir de más: Copilot puede encontrar cualquier archivo al que ya tienes acceso, incluidos los que se compartieron con demasiada gente.
Dos Copilot con un mismo nombre
En octubre de 2026, el producto de trabajo que antes se llamaba Microsoft 365 Copilot se llama Microsoft Copilot, y Microsoft 365 Copilot Chat ahora es Microsoft Copilot Chat. La aplicación de consumo para cuentas personales también se llama Microsoft Copilot. Así que el nombre no te dice cuál tienes delante; te lo dice la cuenta con la que has iniciado sesión.
| Cuenta profesional o educativa (Microsoft Entra ID) | Cuenta personal de Microsoft | |
|---|---|---|
| Términos | El Data Protection Addendum y los Product Terms de tu organización; Microsoft actúa como encargado del tratamiento | Contrato de servicios de Microsoft, Términos de uso de Copilot y Declaración de privacidad de Microsoft |
| Entrenamiento con tus instrucciones | No se usan para entrenar modelos fundacionales | Depende de la versión de la aplicación y de tu configuración (ver abajo) |
| Quién puede ver el historial | Se registra en el Microsoft 365 de tu organización; TI puede buscarlo y auditarlo | Tu cuenta personal; tu empresa no tiene acceso |
| Etiquetas, retención y DLP de la empresa | Se aplican | No se aplican |
Para la aplicación personal, las páginas de Microsoft varían según la versión. Para la aplicación antigua, las preguntas frecuentes de privacidad dicen que las conversaciones, incluidos los archivos subidos, pueden usarse para entrenar modelos salvo que te excluyas, y que se guardan 18 meses por defecto. Para la versión de la aplicación publicada el 18 de agosto de 2026, la página de historial de actividad de Microsoft dice que las instrucciones, las respuestas y el contenido de los archivos no se usan para entrenar modelos fundacionales. En cualquier caso, el contrato es entre tú y Microsoft, no entre tu empresa y Microsoft. Los deberes de confidencialidad de tu empresa con sus clientes no forman parte de él.
Cómo saber cuál estás usando
- Copilot Chat muestra un escudo verde arriba, junto al botón «New Chat», cuando se aplica la protección de datos empresariales. Sin escudo, no pegues material de clientes.
- Haz clic en el icono de tu perfil. Debes ver tu correo del trabajo, no una dirección personal de Outlook.com, Hotmail o Gmail.
- Edge puede tener un perfil de trabajo y uno personal abiertos a la vez. Copilot en la barra lateral usa la cuenta del perfil en el que se ejecuta.
Qué promete Microsoft para las cuentas de trabajo
La documentación de Microsoft sobre la protección de datos empresariales y sobre datos, privacidad y seguridad en Microsoft Copilot dice:
- Las instrucciones, las respuestas y los datos a los que se accede mediante Microsoft Graph no se usan para entrenar modelos fundacionales.
- Las instrucciones y las respuestas se procesan dentro del límite del servicio de Microsoft 365 y las cubren los mismos términos que el correo de la empresa en Exchange y los archivos en SharePoint.
- Copilot solo muestra a un usuario los datos que ese usuario ya puede abrir. Los archivos cifrados con una etiqueta de confidencialidad necesitan los derechos VIEW y EXTRACT del usuario para que Copilot pueda usarlos, y el contenido nuevo creado a partir de archivos etiquetados hereda la etiqueta cuando se admite, según la página sobre la arquitectura de protección de datos.
- Las instrucciones y las respuestas quedan registradas. Los administradores pueden encontrarlas con herramientas de auditoría y eDiscovery y fijarles directivas de retención. Los archivos que subes a Copilot Chat se guardan en tu OneDrive.
Conviene conocer dos excepciones. Las búsquedas web van a Bing como unas pocas palabras generadas a partir de tu instrucción, sin identificadores de usuario ni de inquilino, y Bing las trata según sus propios términos, con Microsoft como responsable del tratamiento independiente. Y para empresas de la UE: el EU Data Boundary no cubre las consultas de búsqueda web, y en octubre de 2026 Microsoft dice que los modelos de Anthropic disponibles en Copilot también quedan fuera.
Estos compromisos describen cómo trata Microsoft los datos. No deciden si puedes enviar los documentos de un cliente concreto a un servicio de IA. Eso depende del acuerdo con el cliente, de tus normas profesionales y de la política de tu empresa.
El riesgo real en el trabajo: compartir de más
Copilot no obtiene permisos nuevos. Funciona en el contexto de seguridad del usuario que pregunta. El problema es el acceso que los usuarios ya tienen y nunca han notado.
Piensa en una carpeta con la due diligence de un cliente compartida con «Everyone except external users» hace años, un sitio de RR. HH. que puede abrir cualquiera con el enlace, o un archivo del OneDrive de un socio enviado a todo el equipo. Antes de Copilot, encontrar esos archivos costaba esfuerzo. Ahora un compañero pregunta «¿qué sabemos de la adquisición de Acme?» y Copilot puede citar un documento que no sabía que existía y que no debería haber podido abrir.
Lo mismo pasa con el correo. Con una licencia de Microsoft Copilot, Copilot puede trabajar sobre tu buzón, tu calendario, tus chats y tus archivos. Un resumen de «todo sobre este cliente» recoge todo lo que alcanza tu cuenta.
Qué puede hacer el departamento de TI
Microsoft documenta varios controles para esto. Cuáles tiene tu empresa depende de sus licencias.
| Control | Qué hace |
|---|---|
| Informes de gobernanza del acceso a datos (SharePoint Advanced Management) | Encuentran sitios compartidos de forma amplia o con contenido sensible |
| Restricted Content Discovery | Deja un sitio de SharePoint fuera de la búsqueda de toda la organización y de las respuestas de Copilot mientras se revisan sus permisos. No cambia los permisos: quien tiene acceso puede seguir abriendo los archivos. |
| Restricted Access Control | Limita un sitio de SharePoint o un OneDrive a los miembros de los grupos elegidos. Los demás no pueden abrir sus archivos, ni siquiera con un enlace compartido antes, y Copilot no se los muestra. |
| Etiquetas de confidencialidad | Marcan y cifran los archivos confidenciales; Copilot respeta los derechos de uso |
| Purview DLP para Copilot | Impide que Copilot use archivos y correos con las etiquetas elegidas, rechaza instrucciones que contienen los tipos de datos sensibles elegidos y puede bloquear las búsquedas web de esas instrucciones |
Un límite que recoge la documentación de DLP de Microsoft: DLP revisa el texto escrito en una instrucción, pero no puede analizar los archivos subidos directamente a ella. Un archivo de cliente que adjuntas no se revisa.
Reglas para tratar documentos de clientes
- Busca el escudo y tu cuenta de trabajo antes de pegar o subir nada. Si falta cualquiera de los dos, para.
- Nunca metas archivos de clientes en Copilot con una cuenta personal. Eso incluye la aplicación Copilot en el PC de casa y la barra lateral de Edge en un perfil personal.
- Hazle tres preguntas a TI. ¿Está aprobado Copilot para datos de clientes? ¿Qué etiquetas de confidencialidad debo aplicar a los archivos de clientes? ¿Están activadas las búsquedas web en Copilot?
- Etiqueta los archivos de clientes. La etiqueta viaja con el archivo, y lo que Copilot genere a partir de él hereda la etiqueta cuando se admite.
- Si Copilot te muestra un archivo que no deberías ver, avisa. Díselo al propietario del archivo o a TI, y no uses lo que has leído. Es señal de un problema de permisos más amplio.
- Revisa el acuerdo con el cliente. Algunas cartas de encargo, NDA y políticas de clientes prohíben enviar datos identificativos a cualquier servicio de IA. El Copilot del trabajo sigue siendo un servicio de IA. En ese caso, dale una copia segura en la que los nombres, las direcciones y los números de cuenta se hayan sustituido por marcadores.
Para la lista completa de comprobaciones, consulta nuestra lista de confidencialidad del cliente para la IA. Si también usas ChatGPT, Claude o Gemini, nuestra guía sobre los ajustes de datos de la IA compara sus planes de empresa. Si no sabes si el contrato de un cliente permite algo de esto, pregunta al abogado o al delegado de protección de datos de tu empresa antes de empezar.
Preguntas frecuentes
¿Puede Copilot leer mis correos confidenciales?
Copilot con tu cuenta de trabajo puede usar los correos de tu buzón cuando le preguntas algo. No puede abrir buzones a los que no tienes acceso. Tu empresa puede impedir que use correos con determinadas etiquetas de confidencialidad, o correos de remitentes externos, mediante una directiva DLP; la opción de remitentes externos está en versión preliminar en octubre de 2026.
¿Puede mi empresa ver lo que le pregunto a Copilot?
Con una cuenta de trabajo, sí. Las instrucciones y las respuestas quedan registradas en el Microsoft 365 de tu organización, y los administradores pueden buscarlas con herramientas de auditoría y eDiscovery.
¿El Copilot Chat gratuito del trabajo también está cubierto?
Sí, cuando inicias sesión con tu cuenta de trabajo. Microsoft dice que la protección de datos empresariales está disponible en Copilot Chat sin coste adicional. Sin la licencia de pago de Microsoft Copilot, su alcance sobre tus datos de trabajo es menor: trabaja con los archivos que subes, el documento que tienes abierto y, en Outlook, tu propio correo y calendario.
¿Una copia segura hace que un documento se pueda usar en el Copilot de consumo?
Reduce lo que queda expuesto, pero la política de tu empresa puede seguir prohibiendo las cuentas personales para cualquier trabajo. Revisa primero la política.
ClientSafe crea la copia segura en tu PC: sustituye los nombres, direcciones y números de cuenta y de identificación de los clientes por marcadores como Person_1, y devuelve los nombres reales a la respuesta de Copilot. La detección no es perfecta, así que revisa la lista antes de copiar.