Microsoft Teams Copilot y el RGPD / AI Act: el marco empresarial de las reuniones IA

Presentación y datos tratados

Copilot en Teams es el asistente de IA de Microsoft aplicado a las reuniones: transcripción, resúmenes, «recap inteligente», puntos de acción y preguntas sobre el contenido de la reunión, en el entorno Microsoft 365.

Copilot trata la transcripción y el contenido de las reuniones para generar resúmenes y acciones. Microsoft indica que estos datos permanecen en el tenant y no se utilizan para entrenar los modelos de base, con el EU Data Boundary. Editor estadounidense: la CLOUD Act sigue siendo aplicable.

Los riesgos para su empresa

La base de Microsoft es sólida, pero persisten dos puntos: la información/consentimiento de los participantes (especialmente externos) y la sobreexposición interna (acceso a los recaps según los permisos). La transferencia residual (CLOUD Act) debe evaluarse.

Principales riesgos RGPD:

• Información insuficiente; internamente, el consentimiento del empleado rara vez es válido (interés legítimo/contrato).
• Reuniones con terceros: información y consentimiento indispensables.
• Gobernanza de los accesos a los recaps (permisos); conservación.
• Transferencia residual (CLOUD Act) a pesar del EU Data Boundary.

Las obligaciones RGPD

1. Informar a los participantes de la activación de Copilot; consentimiento de terceros.
2. Activar el EU Data Boundary; explotar el DPA; auditar los accesos a los recaps.
3. Definir la conservación de las transcripciones/recaps.
4. Consultar al comité de empresa si hay vigilancia/evaluación; inscribir en el registro; EIPD si hay análisis conductual.
5. Implicar al DPO; formar a los equipos. ¿No tiene DPO? Consulte nuestro DPO externalizado.

Las obligaciones AI Act

Transparencia (artículo 50): informar de la IA y señalar las actas generadas por IA. GPAI; alfabetización en IA requerida. Prohibición (artículo 5): análisis del tono/estado de ánimo/estrés/compromiso emocional prohibido en el trabajo — desactive estas funciones. Los análisis de participación que alimenten decisiones de RRHH pasan a alto riesgo (Anexo III). Consulte la guía AI Act.

Riesgos AI Act: participantes no informados de la IA; cualquier análisis de emociones (prohibido); análisis de participación con fines de RRHH (alto riesgo).

Ciberseguridad y buenas prácticas

Riesgos ciber: recaps accesibles según permisos a veces demasiado amplios; transferencia residual (CLOUD Act); inyección de prompts mediante contenidos ingeridos; NIS 2 según el tamaño.

Buenas prácticas: activar el EU Data Boundary; auditar los accesos a los recaps; información + consentimiento de terceros; conservación controlada; desactivar cualquier análisis emocional; supervisión de los resúmenes sensibles; carta de IA, registro, formación en IA.

Checklist:

• Participantes informados de la activación de Copilot, consentimiento de terceros, EU Data Boundary activado
• DPA verificado y accesos a los recaps auditados, conservación definida, ningún análisis de emociones
• Comité de empresa consultado si hay vigilancia/evaluación, EIPD si hay análisis conductual, equipos formados

Sanciones, conclusión y recomendaciones

Sanciones: RGPD (hasta 20 M€ o 4 %); AI Act (35 M€/7 % o 15 M€/3 %); vertiente penal (artículo 226-1 del código penal); delito de obstrucción (comité de empresa).

Recomendación: Teams Copilot ofrece un marco empresarial sólido (tenant, EU Data Boundary, sin entrenamiento de los modelos de base). Lo esencial se decide en la información/consentimiento de los participantes y la gobernanza de los accesos a los recaps. Active la UE, audite los accesos, informe, minimice y evalúe la exposición residual a la CLOUD Act para las reuniones sensibles. Compare con Zoom AI Companion y tl;dv. Consulte el comparativo de herramientas de IA.