Microsoft Copilot y el RGPD / AI Act: lo que su empresa debe saber

Presentación y datos tratados

Copilot designa una familia de asistentes IA de Microsoft, construidos principalmente sobre los modelos de OpenAI a través de Azure. Hay que distinguir Microsoft 365 Copilot (integrado en Word, Excel, Outlook, Teams, para empresas) del Copilot de uso general gratuito. Solo la versión M365 ofrece el marco contractual empresarial.

Microsoft 365 Copilot trata el contenido de tus prompts, tus documentos y datos M365 (Graph), las respuestas generadas y los datos técnicos. Microsoft indica que, para M365 Copilot, estos datos permanecen dentro de la frontera de tu tenant y no se utilizan para entrenar los grandes modelos de fundación. El Copilot de uso general, en cambio, puede utilizar las interacciones para mejorar los servicios.

Los riesgos para tu empresa

El riesgo principal se desplaza: menos la salida de datos hacia un tercero (bien controlada en M365) que la sobreexposición interna. Copilot restituye información según los derechos de acceso existentes: permisos mal configurados pueden exponer a un empleado datos de RRHH, salariales o confidenciales. El riesgo de confusión entre Copilot pro / Copilot gratuito también es real.

Principales riesgos RGPD:

• Transferencia fuera de la UE residual: a pesar de la EU Data Boundary, Microsoft sigue sujeto al CLOUD Act.
• Gobernanza de los accesos: Copilot amplifica los problemas de permisos (principio de mínimo privilegio).
• Minimización y finalidad: nuevos usos de datos existentes por calificar.
• Versión de uso general utilizada por error para datos profesionales.

Las obligaciones RGPD

1. Basarse en el DPA de Microsoft y verificar la activación de la EU Data Boundary.
2. Auditar y corregir los derechos de acceso antes del despliegue (gobernanza de datos).
3. Inscribir el uso en el registro y realizar una EIPD si existe riesgo elevado.
4. Informar a las personas y prohibir el uso del Copilot de uso general para datos profesionales.
5. Implicar al DPO en la configuración.

Obligaciones AI Act y riesgos cibernéticos

Los modelos subyacentes son GPAI (obligaciones de proveedores aplicables desde el 2 de agosto de 2025). Como desplegador, debes garantizar la transparencia (artículo 50), la supervisión humana y la alfabetización en IA. Un uso integrado en decisiones de RRHH/evaluación puede ser de alto riesgo (Anexo III).

Riesgos cibernéticos: exposición interna vía permisos demasiado amplios (over-sharing); inyección de prompts vía documentos/correos electrónicos trampa ingeridos por Copilot; IA en la sombra con la versión de uso general. Las entidades NIS 2 deben integrar estos vectores.

Buenas prácticas y checklist

Desplegar únicamente Microsoft 365 Copilot (nunca la versión de uso general para lo profesional). Activar la EU Data Boundary y aprovechar el DPA de Microsoft. Llevar a cabo un proyecto de «gobernanza de accesos» (mínimo privilegio) antes de la activación. Carta de IA, formación, responsable de IA, documentación en el registro.

• ☐ Versión Microsoft 365 Copilot (no de uso general)
• ☐ DPA de Microsoft en vigor; EU Data Boundary activada
• ☐ Auditoría de derechos de acceso realizada
• ☐ Uso inscrito en el registro; EIPD si existe riesgo elevado
• ☐ Transparencia Art. 50; equipos formados; DPO implicado

Sanciones, conclusión y recomendaciones

Sanciones (acumulables): RGPD hasta 20 M€ o 4 % de la facturación mundial; AI Act hasta 35 M€ o 7 % (prácticas prohibidas) / 15 M€ o 3 % (otros incumplimientos). El marco contractual de Microsoft no exime a la empresa de su responsabilidad: una fuga debida a permisos mal gestionados sigue siendo imputable al responsable del tratamiento.

Recomendación: Microsoft 365 Copilot es una buena elección de conformidad si — y solo si — tratas primero la gobernanza de accesos y prohíbes la versión de uso general para datos profesionales. Hazte acompañar para la EIPD y la configuración. Compara con ChatGPT, Gemini y Mistral.