0.3Seguridad y confidencialidad de los datos
Lo esencial en 30 segundos
- Compromiso de «datos empresariales»: en Microsoft 365 Copilot, tus prompts y respuestas no sirven para entrenar los modelos y se tratan dentro del perímetro de tu tenant.
- Copilot ve lo que TÚ ves: no abre ninguna puerta nueva, pero ilumina las puertas mal cerradas — el verdadero riesgo n.º 1 es el oversharing (documentos compartidos «con todo el mundo»).
- Etiquetas de Purview respetadas y propagadas: un resumen de un documento Confidencial hereda el mismo nivel — y nada confidencial va nunca a un chatbot público.
Minicaso hilado — Hicham hace su autodiagnóstico en Argel
Hicham, asistente administrativo en Argel, se dispone a usar Copilot con expedientes reales: antes, hace su autodiagnóstico de seguridad. Localiza sus tres documentos más sensibles (nóminas, contratos, datos de clientes) y verifica con quién están realmente compartidos en OneDrive y SharePoint — restringe un uso compartido «toda la organización» heredado. Relee la norma interna sobre IA, anota que los intercambios pueden quedar registrados, y se fija su regla: datos de empresa solo en Microsoft 365 Copilot, nunca en otro lugar. Su puesto está saneado antes del primer prompt interno.
Caso autónomo de esta sección: reaparece en el curso, el esquema, el guion y el reto 48h de la sección 0.3.
1. El compromiso de «datos empresariales»
Microsoft 365 Copilot se basa en un compromiso contractual claro: la protección de los datos empresariales. Tus prompts y las respuestas no se usan para entrenar los modelos, y los datos se tratan en el marco contractual de tu tenant — las mismas garantías que el resto de Microsoft 365. Es la diferencia radical con un chatbot público: pegar en él datos confidenciales de la empresa es, según la mayoría de las normas internas, una falta profesional. Microsoft 365 Copilot, en cambio, permanece en el perímetro seguro de la organización. Hicham recuerda la frontera: dentro del tenant, protegido; fuera, prohibido para lo confidencial.
2. Copilot ve lo que TÚ ves
El respeto de los permisos es absoluto: Copilot solo accede a los contenidos a los que tu cuenta ya tiene derecho. No abre ninguna puerta nueva — pero ilumina las puertas mal cerradas. Dos personas obtienen respuestas distintas del mismo Copilot, según sus derechos. De ahí el verdadero tema que revelan los despliegues: el oversharing (uso compartido excesivo). Los documentos compartidos de forma demasiado amplia («Todo el mundo») de pronto se vuelven localizables vía IA. El riesgo n.º 1 no es Copilot: es la calidad de tus usos compartidos internos. Hicham lo entendió: antes de la IA, limpieza de accesos.
3. Etiquetas y marco legal
Las etiquetas de confidencialidad de Microsoft Purview (Público, Interno, Confidencial…) son respetadas por Copilot — y propagadas a los contenidos que genera: un resumen de un documento Confidencial hereda el mismo nivel. En cuanto al marco legal: Microsoft no usa tus prompts para el entrenamiento, pero tu empleador puede registrarlos con fines de cumplimiento (como los correos). Consulta siempre la norma interna — y nunca olvides la regla de oro: nada confidencial en un Copilot público. Hicham aplica la etiqueta antes de difundir cualquier contenido generado.
🔎 Ejemplo concreto — 🔎 Ejemplo concreto — El documento demasiado compartido
Un archivo de salarios del servicio de Hicham se compartió por error con «Todo el mundo» hace dos años. Nadie lo había notado.
Antes de Copilot: nadie daba con él — había que conocer su ubicación exacta.
Con Copilot: «¿Cuáles son los salarios del equipo?» puede hacerlo aflorar, porque es realmente accesible para todos.
La lección: Copilot no ha pirateado nada — ha revelado un uso compartido mal cerrado.Lectura: la IA no ha abierto ninguna puerta: ha iluminado una puerta dejada abierta de par en par desde hace dos años.
Lección: de ahí las auditorías de acceso ANTES de todo despliegue de Copilot — el proyecto está en los usos compartidos.
Vocabulario de la sección
- Protección de datos empresariales
- El compromiso de Microsoft 365 Copilot: prompts y respuestas no usados para entrenar los modelos, datos tratados en el marco contractual del tenant.
Ejemplo sencillo: Los prompts de Hicham sobre expedientes internos permanecen en el perímetro de su organización.
Lo que no es: una promesa que cubriría también los chatbots públicos.
Reflejo: datos de empresa = solo en Microsoft 365 Copilot.
- Respeto de los permisos
- Copilot solo accede a los contenidos a los que TU cuenta ya tiene derecho: no abre ninguna puerta nueva — pero ilumina las puertas mal cerradas.
Ejemplo sencillo: Hicham y su jefa obtienen respuestas distintas del mismo Copilot, según sus derechos.
Lo que no es: un acceso de administrador universal a todos los documentos.
Reflejo: si la IA muestra demasiado, busca el uso compartido mal cerrado, no el error.
- Oversharing (uso compartido excesivo)
- Documentos compartidos de forma demasiado amplia («Todo el mundo»): el riesgo n.º 1 revelado por los despliegues de Copilot.
Ejemplo sencillo: El archivo de salarios de Argel, abierto a toda la organización desde hace dos años.
Lo que no es: un ataque informático contra Microsoft 365.
Reflejo: auditar los usos compartidos amplios antes de todo uso intensivo de la IA.
- Etiquetas de confidencialidad
- Etiquetas de Microsoft Purview (Público, Interno, Confidencial…): Copilot las respeta y las propaga a los contenidos generados.
Ejemplo sencillo: El resumen del expediente «Confidencial» de Hicham hereda el mismo nivel.
Lo que no es: simples nombres de carpetas sin efecto.
Reflejo: etiquetar antes de generar, verificar antes de difundir.
- Copilot gratuito / público
- Fuera del marco empresarial: NO pegues NUNCA en él datos confidenciales de la empresa.
Ejemplo sencillo: Hicham solo escribe en él ejemplos neutros, nunca un expediente de nóminas.
Lo que no es: un espacio tan protegido como el tenant de la organización.
Reflejo: ante un chatbot público, preguntarse «¿es difundible?» antes de pegar.
En la práctica — En la práctica — Hacer tu autodiagnóstico de seguridad
- Localiza tus 3 documentos más sensibles (nóminas, contratos, datos de clientes): ¿con quién están realmente compartidos? Haz como Hicham en Argel.
- En OneDrive o SharePoint, verifica los usos compartidos «Todo el mundo» o «Toda la organización» de tus carpetas: restringe si hace falta.
- Relee la norma interna sobre el uso de la IA: ¿qué dice del Copilot público y del registro?
- Fíjate la regla personal: ningún dato de empresa en un chatbot fuera del tenant, nunca.
Guion listo para decir — tranquilizar sobre el marco, alertar sobre los usos compartidos (30 s)
«Buena noticia: en Microsoft 365 Copilot, nuestros prompts no entrenan los modelos y permanecen en nuestro tenant — y la IA solo ve lo que cada uno tiene derecho a ver. Pero revela los usos compartidos mal cerrados: un documento abierto a todo el mundo se vuelve localizable. Como Hicham, verifiqué mis tres carpetas sensibles y restringí un uso compartido demasiado amplio. Antes de desplegar, auditamos los accesos con la DSI.»
Dilo mostrando el esquema de las tres garantías; termina con la acción: la auditoría de los usos compartidos.
Modelo para copiar y pegar — probar tus usos compartidos (si 365)
Prompt 1 (prueba de uso compartido excesivo — cuenta profesional, en Microsoft 365 Copilot):
¿Qué documentos recientes mencionan el expediente de las primas? Enuméralos con sus ubicaciones.
→ Todo resultado accesible de forma demasiado amplia = uso compartido que restringir.
Prompt 2 (regla personal para copiarte):
Mi regla: datos de empresa solo en Microsoft 365 Copilot (cuenta profesional). Nunca información confidencial en un chatbot público.Sin licencia 365
Hicham en gratuito: ninguna prueba interna posible — aplica el autodiagnóstico manual (verificación de los usos compartidos de OneDrive/SharePoint) y la regla de «nunca información confidencial fuera».
Antes del despliegue
Equipo de Argel candidato al 365: lanzar el prompt 1 sobre dos expedientes sensibles piloto, enumerar los usos compartidos amplios encontrados, y hacer validar la restricción por la DSI antes de generalizar.
Teletrabajo
En casa con dispositivo personal: vigilancia redoblada — cuenta profesional solo en las aplicaciones de la organización, nunca copiar carpetas internas hacia herramientas personales.
Recién llegado
Primer mes en el puesto: pedir la norma de IA, localizar quién administra los usos compartidos, y copiarse la regla personal antes del primer prompt sobre un expediente real.
✓ Buenas prácticas
- Audita los usos compartidos «Todo el mundo» antes de todo despliegue: ahí se esconden las verdaderas fugas.
- Aplica las etiquetas de confidencialidad de Purview: Copilot las respeta y las propaga automáticamente.
- Verifica el nivel de confidencialidad de un contenido generado antes de difundirlo.
✗ Errores frecuentes
- Pegar datos de la empresa en un Copilot público: falta profesional según la mayoría de las normas internas.
- Creer que Copilot «piratea» documentos: solo muestra aquello a lo que ya tienes derecho.
- Desplegar Copilot sin auditar los usos compartidos antes: la IA revela entonces los documentos mal compartidos.
Puntos clave
- Microsoft 365 Copilot: sin entrenamiento de los modelos con tus datos, tratamiento en el perímetro del tenant.
- Copilot ve lo que TÚ ves: el verdadero tema es la calidad de tus usos compartidos internos.
- Datos de empresa en un chatbot público = falta profesional según la mayoría de las normas internas.
- Las etiquetas de confidencialidad (Purview) también enmarcan los contenidos generados por la IA.
Reto 48h — aplícalo mañana
Haz tu autodiagnóstico como Hicham: 3 documentos sensibles, usos compartidos verificados en OneDrive/SharePoint, norma releída — y copia tu regla personal encima de tu pantalla.
- Puedo explicar el compromiso de «datos empresariales» en una frase.
- Verifiqué los usos compartidos de mis 3 documentos más sensibles.
- Mi regla personal «nunca información confidencial fuera del tenant» está escrita y aplicada.
Preguntas frecuentes
¿Microsoft o mi empleador leen mis prompts?
Microsoft no los usa para entrenar los modelos. En cuanto al empleador: las interacciones de Copilot pueden quedar registradas con fines de cumplimiento (como los correos) — consulta la norma interna.
¿Copilot puede divulgar un documento confidencial a un compañero?
No por sí mismo: el compañero nunca obtendrá vía Copilot un contenido al que sus derechos no den acceso. El peligro viene de los documentos MAL compartidos aguas arriba — de ahí las auditorías de acceso antes del despliegue.
¿Adónde pueden ir los datos confidenciales de la empresa?