Herramientas
Copilot en Microsoft 365 y secreto profesional: qué queda protegido y qué no
Por Hugo Ribeiro · Actualizado el · 7 min de lectura
Muchos despachos ya trabajan en Microsoft 365, y Copilot aparece en Word, Excel, Outlook y Teams. La pregunta es si puede usarse con documentos de clientes. La respuesta depende de la versión, de la configuración y de lo que se le pida. Esta guía se basa en la documentación pública de Microsoft, consultada en noviembre de 2026; confirme siempre las condiciones de su contrato.
Qué garantiza Microsoft
- Sin entrenamiento. Peticiones, respuestas y datos a los que se accede por Microsoft Graph no se usan para entrenar modelos fundacionales (Data, Privacy, and Security for Microsoft Copilot).
- Encargado del tratamiento. A las peticiones y respuestas se aplican la protección de datos empresarial, el anexo de protección de datos y los términos del producto, con Microsoft como encargado (Enterprise data protection).
- RGPD y EU Data Boundary. Microsoft declara que Copilot cumple los compromisos que ya tiene con los clientes empresariales de Microsoft 365, incluidos estos dos.
- Permisos. Copilot solo muestra a cada usuario los datos para los que ya tiene, al menos, permiso de lectura.
Los tres límites
1. Búsqueda web
Con la búsqueda web activada, Copilot genera consultas a partir de la petición y las envía a Bing. Microsoft quita los identificadores del usuario y de la organización, pero esas consultas siguen otras reglas: Microsoft actúa como responsable independiente, y el anexo de protección de datos y el EU Data Boundary no se aplican (documentación sobre búsqueda web). Si la petición lleva el nombre de un cliente, ese nombre puede ir en la consulta. El administrador puede desactivar la búsqueda web.
2. Permisos dentro del despacho
Copilot respeta los permisos, lo que significa que hereda sus errores. Si la carpeta de un cliente está compartida con "todos", cualquier empleado puede recibir ese contenido en una respuesta sin haberlo buscado. Antes de activar Copilot, revise lo compartido en SharePoint y OneDrive, cliente a cliente.
3. Versiones y modelos
Las garantías anteriores son las de la cuenta profesional. Copilot gratuito con cuenta personal tiene otras condiciones. Microsoft indica además que algunos modelos los proporcionan OpenAI y Anthropic como subencargados; conviene saber cuáles están activos en su organización.
Lista para el despacho
- Confirmar que todos usan Copilot con la cuenta profesional y la licencia adecuada.
- Decidir si la búsqueda web queda activada y, si es así, prohibir nombres y NIF de clientes en las peticiones.
- Revisar los permisos de las carpetas de clientes.
- Ver qué modelos y subencargados están activos.
- Escribir la regla en la política de IA del despacho.
- Mantener la revisión humana de todo lo que sale hacia el cliente.
Dónde entra Velado
Copilot con licencia resuelve bien el trabajo dentro de Microsoft 365. Velado sirve para lo demás: cuando quiere usar otra IA, cuando la petición necesita búsqueda web, cuando el documento va a alguien de fuera o cuando el despacho no tiene licencia de Copilot. Cambia los identificadores por códigos en su ordenador, y la respuesta vuelve con los datos reales. Puede probarlo en el navegador y leer adónde van los datos cuando usa IA.
Preguntas frecuentes
¿Copilot entrena modelos con los documentos del despacho?
Según la documentación de Microsoft, las peticiones, las respuestas y los datos a los que se accede mediante Microsoft Graph no se usan para entrenar los modelos fundacionales. Esto vale para Copilot de Microsoft 365 con cuenta profesional.
¿Los datos se quedan en la Unión Europea?
Microsoft declara que Copilot de Microsoft 365 cumple sus compromisos del EU Data Boundary. La excepción documentada son las consultas de búsqueda web enviadas a Bing, a las que no se aplican ni el EU Data Boundary ni el contrato de encargo.
Si los documentos ya están en SharePoint, ¿usar Copilot es revelar a un tercero?
Los documentos ya estaban confiados a Microsoft como encargado. Copilot con licencia los trata dentro del mismo servicio y del mismo contrato. La valoración a la luz del secreto es suya y de su colegio, pero el riesgo nuevo está sobre todo en los permisos internos y en la búsqueda web.
Entonces, ¿sigo necesitando seudonimizar?
Sí, siempre que el documento salga de ese perímetro: cuando pega texto en un asistente sin licencia empresarial, usa otra IA (ChatGPT, Claude, Gemini), tiene la búsqueda web activada o comparte el resultado con alguien de fuera.
Pruébelo con un documento suyo
Velado funciona en el navegador, en su ordenador: no se envía nada a ningún servidor.