Copilot y directivas de retención: lo que todo administrador de M365 debe saber

By Mirko Peters · 2026-03-17 · Updated 2026-03-24

Microsoft 365 Copilot: directivas de retención. Conoce las directivas de retención de Microsoft 365 para los chats de Copilot y Teams, y para las interacciones con Copilot.

Automatically translated with AI from the original post. Read the English original

Titelbild: Copilot and Retention Policies: What Every M365 Admin Needs to Know

Si eres administrador en el mundo de Microsoft 365, ya sabes que lo que está en juego en cumplimiento normativo es más alto que nunca. Con Microsoft Copilot y otras herramientas basadas en IA integradas directamente en M365, la gestión de las directivas de retención ya no es un trámite: es clave para mantener tu organización segura, conforme con la normativa y preparada para auditorías.

Copilot no solo analiza documentos o correos electrónicos. Interactúa con tus datos de formas nuevas, lo que introduce riesgos específicos para el ciclo de vida de los datos, la gobernanza y lo legal. ¿Qué ha cambiado? Mucho. Los controles de retención clásicos que funcionaban para Exchange o SharePoint deben evolucionar para cubrir cómo Copilot almacena, reutiliza y elimina los datos de interacción. Ignorarlo puede exponerte a riesgos legales, fugas de datos o incumplimientos normativos.

Hoy los administradores deben alinear las directivas de retención en Copilot no solo para la protección de datos y las auditorías de cumplimiento, sino también para evitar sorpresas desagradables, como datos en la sombra o brechas en las directivas que pasan desapercibidas. Las estrategias efectivas de gobernanza de Copilot y el cumplimiento técnico seguro pueden ayudarte a implantar la IA con seguridad, con contratos sólidos, controles de acceso y cumplimiento automatizado desde el diseño. Vamos a desglosar qué hace diferente la retención en Copilot y por qué no puedes dejarla al azar.

9 datos sorprendentes sobre Copilot y las directivas de retención

La retención puede afectar a las sugerencias del modelo: Dónde y durante cuánto tiempo se conservan el código o el historial de prompts puede cambiar el contexto que usa Copilot, alterando sus sugerencias incluso para los mismos prompts.
La retención en la empresa puede ser más larga de lo que esperas: Los registros de la organización y la telemetría vinculados a Copilot pueden conservarse por motivos de cumplimiento durante meses o años, no solo durante ventanas transitorias de depuración.
La separación entre datos personales y datos de la organización no es absoluta: Aunque Copilot separe los datos personales de los de la organización, los sistemas de retención y las copias de seguridad pueden generar duplicados superpuestos que necesitan controles de directiva.
Las directivas de retención afectan al descubrimiento legal: Los datos que conserva Copilot (fragmentos de código, prompts, historial de chats) pueden ser objeto de descubrimiento en litigios o auditorías si las directivas de retención los preservan.
Una retención corta reduce la visibilidad del "aprendizaje" del modelo: Las ventanas de eliminación agresivas pueden limitar la capacidad de auditar por qué Copilot hizo determinadas recomendaciones, lo que complica la depuración y las investigaciones de seguridad.
La configuración de retención puede convertirse en un vector de ataque: Una retención mal configurada (demasiado larga o accesible) aumenta la exposición de código propietario, secretos o datos personales (PII) que Copilot pueda haber visto o registrado.
La retención interactúa con el ajuste fino y la telemetría: Los datos retenidos para la telemetría o para los flujos de ajuste fino pueden influir en el comportamiento futuro del modelo, a menos que una directiva los excluya explícitamente.
Las distintas funciones de Copilot tienen reglas de retención diferentes: La finalización de código, las transcripciones de chat, los comentarios y la telemetría suelen seguir calendarios de retención y tratamientos legales independientes.
Las decisiones sobre la retención afectan a la confianza y la adopción por parte de los usuarios: Una retención transparente y restrictiva aumenta considerablemente la disposición de los desarrolladores a usar Copilot en proyectos sensibles, mientras que una retención laxa reduce la adopción en la empresa.

Comprender las directivas de retención en Microsoft Copilot

Las directivas de retención siempre han sido la base del cumplimiento normativo en Microsoft 365, pero Copilot lo cambia todo. A diferencia de los archivos clásicos que simplemente permanecen almacenados, Copilot genera, procesa y guarda nuevos datos de interacción con cada prompt del usuario y cada respuesta generada por la IA. De repente, los datos no son algo que se crea y se olvida: forman parte activa del flujo de trabajo y circulan constantemente por nuevas rutas.

Entonces, ¿cuál es el problema? Copilot interactúa con los datos de formas que rompen el molde tradicional. No solo hacen falta controles administrativos para correos o documentos, sino también para los historiales de chat de los usuarios, el texto generado por la IA y el contexto que Copilot reúne. ¿Los temporizadores de retención habituales? Se aplican aquí también, pero necesitas saber exactamente cuándo y cómo empiezan a contar, sobre todo cuando interviene la IA generativa.

Con todos estos cambios, ya no basta con definir una única directiva de retención general. Ahora necesitas una estrategia que tenga en cuenta la naturaleza multiplataforma de Copilot, los distintos tipos de datos que intervienen y la complejidad de los plazos: ¿cuándo empieza la retención y cuándo hay que forzar la eliminación? Considera esto como una nueva capa de tu gobernanza de Microsoft 365 que requiere atención continua y una configuración deliberada.

En las siguientes secciones verás exactamente cómo son las directivas de retención de Copilot, conocerás sus principios clave y descubrirás cómo funciona la gestión del ciclo de vida de principio a fin. Esta es tu guía para anticiparte a los vacíos en las directivas, asegurarte de que no se escape nada y comprobar que tu entorno potenciado por IA es realmente tan seguro y cumple tan bien la normativa como necesitas.

Conceptos básicos de las directivas de retención de datos de Copilot

Definición de directivas de retención para Copilot: Las directivas de retención determinan durante cuánto tiempo Copilot conserva las solicitudes de los usuarios, los resultados generados por IA y los metadatos de las interacciones. Están diseñadas para que los datos no se conserven más tiempo del necesario por motivos de cumplimiento normativo, seguridad o políticas de la organización.
Tipos de datos de Copilot incluidos: Entre los tipos de datos habituales se encuentran las consultas de los usuarios, las respuestas generadas por la IA de Copilot, el contexto subyacente recopilado para su procesamiento y, en ocasiones, el contenido de documentos resumido o referenciado. La retención se aplica a todos ellos, no solo al registro de chats.
¿Cuándo empiezan las directivas de retención? El plazo de retención normalmente comienza en el momento de la creación: cuando se produce una interacción con Copilot o cuando los datos se almacenan en una carpeta oculta del buzón asociado o en un repositorio de datos de la aplicación. Este momento es clave para programar la eliminación.
Principios de temporización de las directivas de retención: Los periodos de retención de Copilot reflejan los del servicio de Microsoft 365 con el que está integrado, como Exchange, SharePoint o Teams, pero los artefactos específicos de Copilot pueden requerir reglas de temporización propias y explícitas para evitar solapamientos y confusiones.
Aplicación de directivas y excepciones: Las directivas de retención pueden configurarse como solo conservar, solo eliminar o conservar y eliminar después. Los datos de Copilot deben respetarlas, pero los administradores pueden aplicar excepciones para retenciones legales o situaciones de cumplimiento, normalmente a través de Purview o de controles relacionados.
Ejemplo práctico: Supongamos que tu organización tiene una retención legal de 7 años para los correos electrónicos financieros. Los resúmenes o recomendaciones generados por Copilot a partir de esos correos quedan sujetos a la misma retención. Si Copilot interactúa con datos de varias cargas de trabajo, la alineación entre plataformas es esencial para evitar vacíos.
Integración con la gobernanza más amplia de Microsoft 365: Las directivas de retención de Copilot no están aisladas; funcionan en conjunto con la configuración de SharePoint, OneDrive y Exchange. Una falta de alineación puede generar riesgos de cumplimiento, por lo que conviene revisar y probar las directivas a medida que evolucionan las funciones de Copilot.

El proceso de gestión del ciclo de vida de los datos de Copilot

Captura de solicitudes: El ciclo de vida empieza cuando un usuario interactúa con Copilot, ya sea escribiendo una consulta, generando un documento o pidiendo un resumen. Esa entrada, junto con cualquier contenido que Copilot incorpore, se captura como un registro dentro de la carga de trabajo correspondiente (como Exchange o SharePoint).
Almacenamiento de datos: Una vez capturados, los datos de la interacción se almacenan, a menudo en una carpeta oculta del buzón o en una base de datos cifrada vinculada al usuario o a la carga de trabajo. La ubicación del almacenamiento afecta a cómo se aplican y revisan las directivas de retención.
Periodo de retención: Una vez almacenados, los datos de Copilot «esperan» el periodo de retención establecido. Este periodo puede configurarse en Purview, con duraciones específicas para cada tipo de contenido. Durante este tiempo, los datos pueden ser localizables para investigaciones o auditorías, pero quedan protegidos frente a una eliminación prematura.
Gestión y supervisión continuas: Los administradores pueden supervisar el estado del ciclo de vida mediante paneles de cumplimiento, registros de auditoría y trabajos temporizados que señalan los vencimientos de retención próximos, lo que da tiempo para intervenir si es necesaria una retención legal o una excepción manual.
Eliminación permanente: Cuando expira el periodo de retención y no hay excepciones ni retenciones activas, un trabajo en segundo plano (como un trabajo temporizado en Exchange o SharePoint) marca los datos de Copilot para su eliminación permanente. Esta eliminación es irreversible, lo que favorece la minimización de datos y el cumplimiento de la normativa de privacidad.
Visualización del ciclo de vida: Imagina los datos de Copilot fluyendo por un «río» controlado por directivas: entran en la captura del prompt, se detienen en las islas de almacenamiento, permanecen durante la retención y, por último, llegan a la cascada de eliminación. Cada paso está controlado para garantizar el cumplimiento normativo.
Intervenciones en el ciclo de vida: Los administradores pueden interceptar o pausar el ciclo de vida en puntos clave, aplicando retenciones, corrigiendo errores de configuración de las directivas o generando informes para el seguimiento del cumplimiento. Esto aporta tanto flexibilidad como seguridad, algo fundamental en sectores regulados. Si quieres una perspectiva más amplia sobre la disciplina de gobernanza en Microsoft 365, echa un vistazo a este análisis.

Almacenamiento de datos de Copilot y prácticas de seguridad explicadas

Tener datos es una cosa, pero mantenerlos seguros y bien gestionados es otra muy distinta. Cuando incorporas Microsoft Copilot a tu entorno, no solo estás introduciendo un asistente de IA muy útil: estás introduciendo nuevos datos, nuevas ubicaciones de almacenamiento y nuevas consideraciones de seguridad que probablemente no hayas tenido que gestionar antes.

Los datos de Copilot residen en lugares que pueden pasar desapercibidos: carpetas ocultas de buzón, almacenamiento de aplicaciones integrado o bases de datos cifradas vinculadas a usuarios y cargas de trabajo. La residencia de datos (dónde se almacenan geográficamente) es mucho más que un detalle técnico: puede determinar tu cumplimiento de todo, desde la legislación de EE. UU. hasta el RGPD.

En cuanto a la seguridad, el enfoque de Microsoft va más allá del cifrado básico. Han incorporado controles de acceso, restricciones para los empleados y una protección estricta para los datos con etiquetas de confidencialidad. El uso compartido con terceros es, por defecto, un «no» rotundo para el contenido de Copilot, pero conviene que sepas exactamente cómo se audita y se aplica esto, sobre todo a medida que se desplieguen nuevos puntos de integración.

En las secciones siguientes verás dónde se almacenan físicamente los datos de Copilot, cómo Microsoft los mantiene bien protegidos y qué debes saber sobre el acceso de los empleados, el uso compartido externo y la protección frente a fugas. Como la arquitectura de Copilot difiere de las cargas de trabajo clásicas de Exchange o SharePoint, entender estos cambios no es opcional: es esencial para cualquier administrador que gestione riesgos y cumplimiento hoy en día.

Ubicaciones de almacenamiento de datos de Copilot y consideraciones geográficas

Dónde acaban los datos de Copilot no es un detalle secundario: es clave para abordar los riesgos de cumplimiento normativo y regulatorio. Microsoft Copilot almacena la mayoría de los datos de interacción en repositorios específicos de usuario o de carga de trabajo, que a menudo están «ocultos» para el acceso directo de los usuarios. Por ejemplo, cuando Copilot trabaja con Outlook o Teams, los registros de interacción y los resultados generados suelen almacenarse en carpetas ocultas de Exchange Online o en bases de datos específicas de la aplicación vinculadas a las cuentas de usuario.

La residencia de datos es importante en este caso. Según la documentación de Microsoft, los datos de Copilot se almacenan en el mismo centro de datos regional que la carga de trabajo de M365 de origen. Por tanto, si los datos de Exchange de tu organización están en un centro de datos de EE. UU., los datos de Copilot vinculados a Exchange también lo estarán. Un informe reciente de Gartner reveló que el 67 % de las empresas situó la residencia de datos como una de las principales preocupaciones de cumplimiento en IA para 2024, especialmente al tratar información sensible de pacientes o financiera de EE. UU.

Los casos de estudio muestran que las organizaciones con requisitos estrictos de residencia de datos exclusiva en EE. UU. pueden confiar en los compromisos de delimitación geográfica de Microsoft para los servicios de Copilot. No obstante, los administradores deberían revisar dos veces la configuración de residencia de las cargas de trabajo de SharePoint, OneDrive o Teams para evitar fugas accidentales de datos entre regiones. El enfoque de almacenamiento físico de Copilot puede diferir de los repositorios clásicos de SharePoint y OneDrive: los datos específicos de cada aplicación pueden estar más segmentados, lo que ayuda a la minimización de datos, pero puede complicar la detección electrónica (eDiscovery).

Los expertos recomiendan revisar los compromisos regionales de almacenamiento de Microsoft una vez al año, ya que la arquitectura puede cambiar con nuevas funciones o cambios normativos. En definitiva, el almacenamiento de datos de Copilot está diseñado para alinearse con la configuración de tu inquilino, pero la tarea del administrador es validar y supervisar las excepciones, especialmente al integrar equipos transfronterizos o sectores regulados sensibles.

Protección de datos sensibles y controles de acceso de los empleados

Etiquetas de confidencialidad para el contenido de Copilot: Microsoft amplía las etiquetas de confidencialidad de Purview al contenido generado y referenciado por Copilot. Si el prompt de un usuario o la respuesta de Copilot incluye datos confidenciales, las etiquetas de confidencialidad restringen lo que se puede hacer con ellos: bloquean el reenvío, la copia o incluso el acceso de lectura, salvo para el personal autorizado.
Acceso limitado de empleados en Microsoft: Los ingenieros de backend y el personal de los centros de datos de Microsoft no tienen acceso permanente a los datos de Copilot del inquilino. El acceso de emergencia sigue protocolos estrictos de «break-the-glass», se audita y requiere autorización explícita. Esto reduce el riesgo de filtraciones internas.
Control de acceso basado en roles (RBAC) y Entra ID: Los administradores pueden ajustar con precisión quién de tu organización puede acceder a los datos de Copilot mediante Entra ID y RBAC. Esto abarca no solo los datos de los usuarios finales, sino también los registros de auditoría de administración y las exportaciones de eDiscovery, y permite bloquear el acceso durante la incorporación, los cambios de rol o las salidas de personal.
Cifrado de los datos de Copilot: Todos los datos de Copilot, tanto en reposo como en tránsito, se cifran con algoritmos de nivel empresarial. Aunque una parte no autorizada intentara interceptar el contenido, sería matemáticamente inutilizable.
Auditoría y alertas automatizadas: Microsoft registra cada acceso a los datos de Copilot, ya sea de usuarios, administradores o procesos automatizados, de modo que dispones de un registro de auditoría sólido en caso de investigación. Para más información sobre seguridad granular de datos y buenas prácticas de automatización, consulta Estrategias de seguridad de Dataverse.
Prevención de divulgaciones no autorizadas: Existen controles para evitar la publicación accidental de resultados confidenciales generados por Copilot, como restricciones basadas en directivas, reglas de DLP y alertas ante patrones de acceso anómalos, para que tus datos sensibles no salgan por la puerta virtual.

Gestión de la compartición con terceros y del tratamiento de datos de aplicaciones

Sin compartición predeterminada con terceros: De forma predeterminada, los datos de Copilot no se ponen a disposición de partes externas ni de aplicaciones ajenas a Microsoft 365. Esta directiva mantiene los mensajes y las respuestas de los usuarios dentro de la organización, lo que reduce el riesgo de filtraciones.
Tratamiento estricto de los datos de las aplicaciones: Los datos de las aplicaciones de Copilot permanecen confinados al servicio correspondiente de M365, con límites de aplicación explícitos, de modo que no queden expuestos de forma inadvertida a través de bots de Teams, llamadas a API o conectores.
Auditoría de solicitudes de acceso externo: Puedes usar la auditoría avanzada para supervisar y marcar cualquier intento de compartición con terceros no autorizada o arriesgada, de forma similar a los controles avanzados de SharePoint y OneDrive que se describen aquí.
Restricciones impulsadas por administradores: Los administradores disponen de herramientas para endurecer aún más la compartición: publicar nuevas directivas, deshabilitar conectores de riesgo y revisar de forma proactiva los registros de auditoría de compartición de las cargas de trabajo de Copilot.

Requisitos de cumplimiento normativo para los datos de Copilot

Si aspiras a un cumplimiento total en la era de Microsoft Copilot, no puedes dar por sentado que tus directivas antiguas te cubrirán. Las exigencias normativas sobre IA y contenido generado por usuarios no hacen más que endurecerse, especialmente para el sector público de EE. UU., la sanidad o las organizaciones financieras. Copilot introduce una clase de datos completamente nueva, y eso obliga a replantear tanto la aplicación de directivas como la estrategia de auditoría.

Esta sección te ofrecerá una visión general de normativas como GDPR, HIPAA y otras, y mostrará dónde encaja Copilot y qué cambia. Entenderás cómo alinear los controles de Copilot con las retenciones legales en toda la empresa, las protecciones de privacidad y los requisitos de auditoría. No se trata solo de que existan las directivas, sino de aplicarlas correctamente en cada paso y de poder demostrarlo ante auditores o reguladores.

También veremos cómo herramientas como Purview y Defender for Cloud pueden unificar la supervisión de cumplimiento y la generación de informes continuos, para que no vayas siempre a remolque cuando llegue una auditoría. Si quieres profundizar en los errores habituales en la retención y en la deriva de cumplimiento, echa un vistazo a este episodio sobre la deriva de cumplimiento en Microsoft 365; es muy revelador.

Sigue leyendo para ver qué normativas importantes afectan a Copilot, cómo Microsoft asigna controles a cada una y cómo potenciar tus flujos de trabajo de eDiscovery y auditoría para mantener a tu organización protegida si llegan los abogados o los reguladores.

Cumplimiento de la normativa de EE. UU. y de los estándares regulatorios globales

Cumplimiento del RGPD: Copilot debe garantizar que los datos de los residentes de la UE se traten de forma lícita, se almacenen con limitaciones de finalidad claras y puedan eliminarse o exportarse a petición. La residencia de los datos y el consentimiento son fundamentales para cumplir el RGPD.
Salvaguardas HIPAA para datos sanitarios: En el caso de los proveedores sanitarios de EE. UU., las interacciones de Copilot que impliquen información de salud protegida (PHI) deben cumplir las reglas de seguridad y privacidad de HIPAA. Las transmisiones de datos se cifran y se aplican controles de acceso para proteger la PHI.
Gestión del cumplimiento específica de EE. UU.: Las agencias federales, estatales y locales necesitan que Copilot sea compatible con FedRAMP, CJIS y otros marcos de cumplimiento específicos de EE. UU. Los datos se almacenan dentro del país, y los requisitos de registros de auditoría y de notificación de incidentes se cumplen mediante los controles nativos de Microsoft.
Huellas transfronterizas y multirregionales: Las organizaciones multinacionales deben asegurarse de que Copilot no provoque desajustes accidentales en las directivas entre las regiones de la UE, EE. UU. y APAC. La configuración del inquilino y la revisión de las directivas son fundamentales para evitar conflictos de residencia o acceso a los datos.
Buenas prácticas para la alineación normativa: Combina Purview DLP, el etiquetado automático, RBAC y los informes de auditoría para cubrir las brechas entre Copilot y cargas de trabajo como Exchange o SharePoint. Este enfoque unificado es esencial para un cumplimiento integral. Para la supervisión continua y la remediación automatizada, consulta gestión del cumplimiento con Defender for Cloud.
Documentación de directivas y recopilación de pruebas: Mantén documentación completa del diseño, la aplicación y la gestión de incidentes de las directivas de Copilot para las auditorías. Prueba las directivas de forma proactiva y mantén un mapa claro de responsabilidades en todas las unidades de negocio globales.

Habilitar las funciones de eDiscovery y auditoría para Copilot

Integración con eDiscovery: El contenido, los avisos y las respuestas generados por Copilot se indexan para eDiscovery de cumplimiento, lo que permite a los equipos jurídicos, de RR. HH. o de seguridad realizar búsquedas en las interacciones de los usuarios igual que con el correo o los chats.
Flujo de trabajo de retención legal: Cuando se activa una retención legal, los datos de Copilot sujetos a esa retención se marcan y se conservan independientemente de otras configuraciones de retención. El contenido no se elimina hasta que se levanta la retención, lo que reduce la exposición legal.
Gestión del registro de auditoría de Purview: Cada interacción con Copilot puede rastrearse mediante registros de auditoría que documentan las acciones de los usuarios, los cambios de los administradores y los trabajos de retención y eliminación en segundo plano. Los equipos que usan Purview Premium disponen de retención ampliada y capacidades de seguimiento forense. ¿Te interesan las prácticas avanzadas de auditoría? Consulta el análisis detallado de Purview Audit.
Informes defendibles para los reguladores: Las herramientas de eDiscovery y auditoría ayudan a los asesores legales y a los administradores de cumplimiento a generar informes con marca de tiempo y resistentes a manipulaciones, algo clave para responder con garantías a las exigencias de reguladores o tribunales.
Supervisión proactiva del cumplimiento: Las alertas automatizadas y las comprobaciones continuas de las directivas detectan las desviaciones antes de que se conviertan en un problema para el negocio. La integración con herramientas SIEM/SOAR refuerza la preparación forense y la detección de riesgos en tiempo real.
Visualización de auditoría del ciclo de vida de los datos: Los paneles y los registros permiten a los administradores recorrer el ciclo de vida de los datos de Copilot, desde el aviso hasta la eliminación, y ver de un vistazo los desencadenantes de retención, las retenciones legales y los calendarios de eliminación.

Eliminación de datos y desvinculación de usuarios en Copilot

Configurar un flujo de trabajo sólido para la eliminación de datos y la desvinculación de usuarios en Copilot es fundamental. Los datos no se eliminan solos, y el contenido de los antiguos empleados puede quedarse atrás con facilidad, convirtiéndose en una bomba de tiempo para el cumplimiento o en un riesgo si no se gestiona correctamente. Copilot, como el resto de Microsoft 365, ofrece varias herramientas basadas en directivas para garantizar que la información se elimine cuando llegue el momento, o se conserve si el departamento jurídico así lo exige.

Lo más importante es entender cómo funciona la eliminación en el mundo de Copilot. No se trata solo de vaciar la papelera de reciclaje. Las anulaciones de retención, los trabajos programados y las revisiones de las rutas de contenido influyen todos en que el contenido se limpie, sin excepciones. El momento de aplicar las directivas se convierte en una consideración táctica: ¿cuándo empieza a contar el plazo para los artefactos de Copilot y qué puedes hacer si algo debe eliminarse antes de lo habitual (o conservarse más tiempo)?

La desvinculación, por su parte, consiste en cubrir hasta el último detalle a medida que el personal se marcha: asegurarse de que se revoca el acceso, de que los datos se conservan o eliminan según la directiva y de que el cumplimiento se verifica en cada paso. Pasar por alto un solo buzón o una carpeta oculta puede volverse en tu contra durante una auditoría o, peor aún, durante un litigio.

Te guiaremos en la configuración de directivas de eliminación, excepciones y flujos de trabajo personalizados para los escenarios clave de Copilot. También obtendrás una lista de comprobación con las mejores prácticas de desvinculación para mantener tu organización ordenada, cumpliendo la normativa y preparada para lo que venga después.

Cómo configurar la eliminación de datos y las excepciones de retención

Identifica las rutas de contenido de datos de Copilot: Antes de configurar la eliminación, localiza dónde residen los datos de Copilot: carpetas ocultas del buzón, chats de Teams, bases de datos de aplicaciones o archivos integrados con SharePoint. Usa Purview y los paneles de cumplimiento para asegurarte de que no se pasa por alto ninguna ruta de datos.
Configura directivas de solo eliminación: En los escenarios en los que no se requiere retención, configura directivas de solo eliminación en Purview o mediante PowerShell. Define desencadenadores y plazos claros, por ejemplo, eliminar los mensajes de Copilot a los 30 días si no contienen datos regulados.
Aplica controles de retención y eliminación posterior: En sectores regulados, combina retención y eliminación: establece un período de retención obligatorio y, a continuación, enumera las condiciones específicas en las que los datos de Copilot deben purgarse de forma permanente. Confirma que los trabajos temporizados están habilitados para iniciar la eliminación automáticamente cuando finalice el período de retención.
Aprovecha las excepciones de retención: Cuando cambien las exigencias legales o de cumplimiento, aplica excepciones a la directiva en el contenedor de datos o a nivel de usuario. Una excepción puede pausar las eliminaciones (mediante una retención por litigio) o ampliar la retención de registros específicos. Las excepciones son visibles en los registros de auditoría, lo que aporta solidez a tu posición.
Supervisa los flujos de eliminación: Usa los registros de actividad y los informes de los trabajos temporizados para hacer seguimiento de cuándo están programados para eliminarse los datos de Copilot y comprueba que la eliminación se produce realmente. Prueba las directivas ejecutando trabajos de revisión y auditorías puntuales para que el cumplimiento no sea solo teórico.
Personalización para escenarios de Copilot específicos: En las funciones de Copilot integradas con varias cargas de trabajo, asegúrate de que la directiva está alineada en todas las plataformas relevantes (Exchange, Teams, SharePoint) para evitar lagunas o conflictos de retención. Es un paso clave de gobernanza entre plataformas.
Ejemplo práctico: Imagina que las indicaciones de Copilot de un directivo que se marcha hacen referencia a documentos sensibles de RR. HH. Revisarías las rutas de contenido, aplicarías las retenciones por litigio necesarias y programarías la eliminación de las indicaciones, usando una directiva de "retener y luego eliminar" para cerrar el ciclo y proteger a tu organización.

Estrategias de desvinculación de usuarios y retención de datos de Copilot

Directiva de retención de datos para el personal que se marcha: Aplica directivas de retención (o eliminación) a los datos de Copilot vinculados a las cuentas de los antiguos empleados y asegúrate de que los buzones de exempleados (incluidas las carpetas ocultas) están marcados correctamente.
Revocación automatizada del acceso: Usa Entra ID o PowerShell para deshabilitar y eliminar el acceso a las cargas de trabajo de Copilot durante la desvinculación, cerrando cualquier vía de exposición accidental o malintencionada.
Audita y documenta las acciones de desvinculación: Conserva registros detallados de las aplicaciones de directivas, eliminaciones y retiradas de acceso para poder defender tu proceso en las revisiones normativas. Para consejos sobre cómo proteger las cuentas de invitados y de exempleados, consulta esta guía sobre cómo gestionar las cuentas de invitado de M365.
Registros documentales con validez legal: Asegúrate de que todos los pasos de desvinculación se pueden auditar, verificar y reproducir como prueba de cumplimiento en caso de litigio o de una solicitud de acceso a datos de un interesado.

Tratamiento de datos de Copilot y uso en el entrenamiento de IA

Una pregunta que preocupa a muchos administradores: ¿adónde van los datos de Copilot después de pulsar "Intro" y se utilizan para entrenar los modelos de IA de Microsoft? Entender el enfoque técnico de Copilot en el tratamiento de datos es fundamental, no solo para el cumplimiento, sino también para la privacidad y la confianza de los usuarios. Los datos no se procesan y se descartan sin más. Pueden pasar a archivos de registro y carpetas ocultas y, según la directiva, incluso podrían considerarse para futuros entrenamientos de IA si no existen las salvaguardas adecuadas.

Microsoft camina por la cuerda floja entre permitir que Copilot aprenda y mejore, y garantizar que los datos de los usuarios no se utilicen indebidamente ni queden expuestos por accidente al aprendizaje automático fuera de tu organización. Existe un marco sólido que activa un análisis adicional en función de la sensibilidad y el origen de los datos, o de la configuración de consentimiento del usuario.

Las dos secciones siguientes desmitificarán cómo Copilot gestiona la información que introduce el usuario, desde su recepción hasta el almacenamiento seguro, y detallarán las directivas exactas que Microsoft aplica para que la mayoría de los datos de Copilot queden fuera del conjunto de entrenamiento de IA de forma predeterminada. Los administradores también conocerán las barreras de protección de la IA responsable, los mecanismos de exclusión y lo que significa el proceso de inclusión o exclusión en implementaciones reales.

Con los reguladores centrándose cada año más en la transparencia de la IA y en la higiene de los datos de entrenamiento de modelos, conocer estos flujos no es solo curiosidad técnica: es clave para defender tu postura en materia de IA si alguna vez llegan preguntas sobre privacidad (o auditores).

Detalles técnicos del procesamiento de datos de Copilot

Copilot procesa los prompts de los usuarios ingiriendo el texto que escribes, obteniendo el contexto asociado de las cargas de trabajo conectadas y generando resultados mediante servidores seguros. Los prompts y las respuestas generadas se capturan como registros estructurados, que a menudo se almacenan en carpetas ocultas del buzón o en bases de datos dedicadas, según la carga de trabajo de Microsoft 365 de que se trate. Los datos se cifran en reposo y en tránsito para evitar el acceso no autorizado.

La lógica de retención está integrada en la canalización de procesamiento de datos. Una vez creados el prompt y la respuesta, los trabajos temporizados o los motores de directivas determinan cuánto tiempo permanece almacenada la interacción antes de eliminarse, según la directiva de retención de tu organización. Copilot, por sí mismo, no procesa ni almacena datos fuera de los entornos autorizados, para garantizar que se respeten los límites de cumplimiento normativo.

Directivas sobre datos de entrenamiento de IA y restricciones de uso de datos

Exclusión predeterminada del entrenamiento de modelos de IA: De forma predeterminada, Copilot en Microsoft 365 no utiliza los datos de la organización de los usuarios (prompts, respuestas o contexto) para entrenar modelos de IA públicos o compartidos. Así se protege la información empresarial y personal confidencial para que no se reutilice en mejoras de modelos de IA fuera de tu inquilino.
Entrenamiento de IA solo con consentimiento explícito: En programas especiales o por excepción configurada por un administrador, es posible que determinados datos de Copilot se consideren para mejorar la IA, pero solo después de que el usuario o la organización otorguen su consentimiento explícito. Los avisos de adhesión voluntaria y la configuración de directivas hacen que este proceso sea transparente y auditable.
Barreras de protección de la IA responsable: Los datos marcados como sensibles o con etiquetas de alta confidencialidad se excluyen automáticamente de cualquier conjunto de entrenamiento, con independencia de la configuración individual de cada usuario. Microsoft lo aplica mediante una combinación de lógica de directivas, controles técnicos y auditorías de cumplimiento.
Auditoría y supervisión del uso de datos: Los administradores pueden revisar los registros de inclusión en el entrenamiento de IA y el estado de exclusión por usuario o por carga de trabajo. Los informes ayudan a los responsables de cumplimiento normativo a demostrar, si es necesario, que las interacciones sensibles de Copilot nunca han salido de los límites de la organización. Para una perspectiva real sobre la IA responsable, consulta el papel de los comités de gobernanza en la gestión de riesgos de la IA.
Ajustes dinámicos de directivas: Las etiquetas de confidencialidad, los análisis de riesgos y los desencadenadores del ciclo de vida pueden ajustar automáticamente si determinados datos de Copilot se consideran para el aprendizaje de la IA. Si cambia el rol de un usuario o se reclasifican los datos, las directivas de retención y de inclusión en IA pueden adaptarse sobre la marcha, manteniendo el cumplimiento en entornos cambiantes.
Exclusión del entrenamiento con modelos de terceros: Los datos de Copilot nunca se comparten con plataformas de IA de terceros, como ChatGPT Enterprise o modelos externos de Microsoft Foundry, a menos que se concedan y registren opciones de inclusión explícitas y contractuales. La mayoría de las organizaciones, de forma predeterminada, nunca verán sus datos de Copilot salir de las nubes seguras de Microsoft.
Supervisión continua de directivas: Los comités de gobernanza y las directivas del plano de control son fundamentales para supervisar y hacer cumplir el uso responsable. Como se analiza en detalle en esta guía sobre gobernanza segura de la IA, no se trata solo de la configuración técnica, sino también de la revisión continua, la separación de los planos operativo y de control, y la mitigación proactiva de los riesgos de la IA.

Preguntas frecuentes: microsoft 365 copilot y directivas de retención

¿Cuál es la relación entre Microsoft 365 Copilot y las directivas de retención?

Microsoft 365 Copilot utiliza contenido que reside en los servicios de Microsoft 365, por lo que las directivas de retención y las etiquetas de retención configuradas en Microsoft Purview siguen aplicándose al contenido al que Copilot puede acceder. La retención para Copilot significa que los elementos subyacentes (correos, archivos de SharePoint, chats de Teams e interacciones de Copilot) siguen sujetos a las reglas de retención y eliminación, y una directiva de retención se configura y se aplica a través del portal de Microsoft Purview para cumplir los requisitos de cumplimiento normativo y evitar la pérdida no deseada de datos.

¿Cómo afectan las directivas de retención para Copilot a los chats de Teams y a las interacciones de Copilot?

Las directivas de retención para Teams pueden incluir chats de Teams, canales y grabaciones de reuniones. Cuando Copilot en Teams genera o almacena contenido de interacción, ese contenido está sujeto a las mismas directivas de retención para los equipos. Si una directiva de retención se configura para conservar y luego eliminar, el contenido relacionado con Copilot se conservará durante el periodo de retención y se eliminará al final de dicho periodo, lo que garantiza el cumplimiento y reduce la retención excesiva.

¿Cómo creo y configuro una directiva de retención para los datos de Copilot?

Para crear una directiva de retención, ve al portal de Microsoft Purview y crea y configura directivas de retención dirigidas a las ubicaciones donde residen los datos de Microsoft 365 Copilot (Exchange, SharePoint, OneDrive, Teams). Usa ámbitos de directiva estáticos para la retención o incluye grupos de Microsoft 365 o buzones específicos. Configura las acciones de la directiva (solo retener o retener y luego eliminar), establece los periodos de retención y publica la directiva cuando esté lista. Consulta la información sobre retención en Microsoft Learn para obtener una guía paso a paso.

¿Cuánto tarda en empezar a funcionar la retención después de aplicar una directiva?

La retención empieza a surtir efecto en cuanto se publica la directiva de retención, pero su aplicación práctica puede tardar: las directivas pueden tardar hasta 24 horas o más en aplicarse por completo en todas las ubicaciones. El periodo de retención normalmente comienza cuando se crea o se modifica el elemento, según la configuración de la directiva, así que conviene entender cuándo inicias el periodo de retención y cómo interactúan varias configuraciones de retención (etiquetas y directivas) en tu inquilino.

¿Qué ocurre si se aplican varias directivas de retención o etiquetas al mismo contenido de Copilot?

Cuando se aplican varias directivas de retención, la lógica de retención de Microsoft 365 elige la configuración más restrictiva, es decir, la que conserva el contenido durante más tiempo. Si una etiqueta de retención se aplica a un contenido y una directiva de retención también abarca el mismo elemento, normalmente prevalecerán las directivas que conservan durante más tiempo o impiden la eliminación. Puedes revisar los conflictos entre directivas en el portal de Microsoft Purview para asegurarte del resultado deseado para el contenido de Copilot, y consultar la información sobre directivas de retención para Microsoft 365 para planificar escenarios con una única directiva o con varias.

¿Puede Copilot acceder a contenido sujeto a una retención por bloqueo o a una retención por litigio?

Sí, Copilot puede acceder al contenido para generar y resumir información si el usuario tiene permiso sobre ese contenido, pero las retenciones por bloqueo y las retenciones por litigio impiden la eliminación y conservan el contenido en su ubicación. Los bloqueos son independientes de las directivas de retención y forman parte de los controles de seguridad y cumplimiento de Microsoft 365; si el contenido está sujeto a retención o a un bloqueo legal, seguirá disponible para cumplir los requisitos de cumplimiento normativo y no será eliminado por las acciones de eliminación de la retención.

¿Cómo funcionan juntas las directivas de retención y la prevención de pérdida de datos (DLP) con Copilot?

Las directivas de retención se centran en conservar o eliminar contenido según reglas de cumplimiento normativo, mientras que la prevención de pérdida de datos y los controles de pérdida de datos evitan la exposición de datos confidenciales. Para Copilot y las aplicaciones de IA, combina las directivas de retención para los datos de Microsoft 365 Copilot con las directivas DLP para reducir los riesgos de pérdida de datos: configura reglas DLP para los chats de Teams y las interacciones de Copilot, restringe el uso compartido y supervisa el uso de Copilot. Usa Copilot Studio y los controles de gobernanza para limitar lo que Copilot puede ingerir y garantizar que se apliquen los requisitos de cumplimiento normativo.

¿Dónde pueden los administradores aprender sobre la retención para Copilot y verificar la configuración de las directivas?

Los administradores deben consultar Microsoft Learn y el portal de Microsoft Purview para conocer las directivas de retención, la retención y la eliminación, y las particularidades de las ubicaciones a las que se aplica una directiva de retención. En el portal de Purview puedes crear una directiva de retención, comprobar que está configurada correctamente, ver qué elementos están sujetos a retención y supervisar la implementación de la directiva. Para orientación específica sobre Copilot, consulta la documentación de referencia de copilot for Microsoft 365 y de Copilot Studio para entender cómo se gestionan los datos de Microsoft 365 Copilot y cómo las directivas de retención aplicables a Copilot se integran con los flujos de trabajo de cumplimiento normativo existentes.