Copilot y la Ley de IA de la UE

By Mirko Peters · 2025-11-21 · Updated 2026-07-22

Comprende las responsabilidades de Copilot y de la Ley de IA de la UE, incluidas las obligaciones del responsable del despliegue, la gobernanza, la gestión de riesgos, la transparencia y la supervisión humana.

Automatically translated with AI from the original post. Read the English original

Quizá pienses que Compliant by Design significa que puedes relajarte. Pero esta idea puede poner en riesgo a tu grupo. La Ley de IA de la UE te da una responsabilidad real. El proveedor no es el único responsable. Muchos líderes de TI y de cumplimiento normativo se preocupan por los asistentes de IA. Piensan que la IA podría mostrar datos a personas que no deberían verlos. Microsoft Copilot 365 utiliza controles de acceso basados en roles sólidos. Estas funciones ayudan, pero solo son un punto de partida. Piensa en un usuario que pide a Copilot que resuma archivos secretos. ¿Estás seguro de que tu configuración mantiene a salvo todos los datos?

Puntos clave

• Conoce la escala de riesgo de la Ley de IA de la UE. Tu caso de uso de la IA determina tu nivel de cumplimiento. El proveedor no lo decide por ti.

• Utiliza las funciones de cumplimiento de Copilot. Asegúrate de configurarlas correctamente. La configuración predeterminada podría no cumplir las normas de la UE.

• Documenta cada paso cuando utilices la IA. Llevar buenos registros te ayuda a demostrar que cumples las normas. Esto puede ayudarte a evitar multas importantes.

• Forma a tu equipo en seguridad y cumplimiento de la IA. Todos deben saber qué hacer. También deben conocer las normas para utilizar herramientas de IA.

• Revisa y actualiza tu plan de cumplimiento con frecuencia. Mantente al día con las nuevas normas. Esto te ayuda a seguir cumpliendo la ley.

La escala de riesgo de la Ley de IA de la UE explicada

Categorías de riesgo y casos de uso

Necesitas entender la escala de riesgo de la Ley de IA de la UE antes de desplegar cualquier herramienta de IA. La ley clasifica los sistemas de IA en cuatro niveles de riesgo. Cada nivel conlleva normas distintas que debes cumplir. Esta tabla sencilla muestra cómo funciona la escala de riesgo:

Tus obligaciones aumentan a medida que subes en la escala. Si utilizas Copilot o ChatGPT para tareas sencillas, como redactar correos, te encuentras en la categoría de riesgo mínimo o limitado. Si los utilizas para contratación, scoring crediticio o consejos de salud, entras en el territorio de alto riesgo. Debes cumplir más normas y llevar mejores registros.

Por qué el caso de uso importa más que el proveedor

Quizá pienses que el proveedor o el modelo determinan tu riesgo. No es así. La forma en que utilizas la IA establece tu nivel de riesgo. Debes definir casos de uso claros y sus requisitos. Necesitas documentar qué problema quieres resolver y comprobar si la IA es la respuesta adecuada. También debes evaluar los riesgos de los resultados y los controles de calidad. Pregúntate cómo utilizarás los resultados de la IA y qué podría salir mal.

Estos son algunos ejemplos:

• Si utilizas Copilot para resumir notas de reuniones, tu riesgo es limitado.

• Si utilizas ChatGPT para decidir quién recibe un préstamo, tu riesgo es alto.

• Si desarrollas tu propia IA para la puntuación social, tu riesgo es inaceptable.

Debes centrarte en tu caso de uso, no solo en la marca o el modelo. Las funciones de Compliant by Design ayudan, pero aun así debes ajustar el uso de la IA al nivel de riesgo correspondiente y cumplir las normas.

Compliant by Design: la estructura de cumplimiento de Copilot

Funciones integradas para el cumplimiento

Cuando utilizas Copilot en Microsoft 365, tienes un buen punto de partida. La plataforma te ofrece muchas herramientas para ayudarte a proteger tus datos. Estas herramientas funcionan juntas para ayudarte a cumplir las normas. Puedes ver las principales herramientas en la tabla siguiente:

Estas herramientas ayudan a Copilot a seguir un enfoque Compliant by Design. Obtienes ayuda para gestionar los datos, controlar quién puede verlos y supervisar lo que sucede. No necesitas construir todo tú mismo. Puedes usar estas herramientas como base para tu plan de cumplimiento.

Consejo: Copilot no utiliza tus indicaciones ni sus respuestas para entrenar sus modelos. Así se mantiene la privacidad de tus datos y se reduce el riesgo.

Lo que los implementadores aún deben configurar

No basta con usar la configuración predeterminada. Necesitas hacer cambios para que Copilot cumpla las normas de la Ley de IA de la UE. Compliant by Design te ayuda a empezar, pero el trabajo debes terminarlo tú. Los reguladores quieren pruebas, no promesas.

Estos son los pasos para reforzar tu cumplimiento:

1. Revisa y corrige los permisos en SharePoint, OneDrive y Teams antes de activar Copilot. Elimina los accesos que las personas no necesitan.

2. Aplica el principio de mínimo privilegio. Revisa las listas de grupos y la configuración de uso compartido. Permite que las personas vean solo lo que necesitan.

3. Considera adquirir licencias E5 si quieres una mejor protección de datos para los usuarios que manejan datos personales.

4. Forma a tus usuarios. Explícales que Copilot respeta las normas de datos de tu organización. Asegúrate de que todos sepan qué puede y qué no puede hacer Copilot.

Debes configurar etiquetas de confidencialidad de Purview y reglas de DLP para Copilot. Tienes que definir cuánto tiempo se conservan los datos y revisar los registros de auditoría. Deberías limitar la búsqueda en SharePoint para evitar compartir en exceso. Debes documentar tus evaluaciones de riesgo y conservar registros de lo que haces.

Compliant by Design no significa que hayas terminado. Debes demostrar cómo has usado estas herramientas en tu propio entorno. Los reguladores quieren ver pruebas. Tienes que demostrar que configuraste, supervisaste y documentaste tus pasos de cumplimiento.

ChatGPT y Azure OpenAI: gobernanza propia

Carencias de cumplimiento de ChatGPT público

Usar ChatGPT público supone un gran desafío. Copilot tiene controles integrados, pero ChatGPT no. Tienes que crear tus propias normas y comprobaciones de seguridad. Muchas organizaciones lo aprendieron por las malas.

Consulta el caso del municipio de Tromsø. Los funcionarios usaron IA para redactar casi todo un informe. Nadie comprobó si los datos eran reales antes de compartirlo. El informe contenía información falsa. Este error dañó su reputación y provocó problemas en el trabajo. Es fácil perder el control si no tienes normas sólidas.

Estos son algunos problemas comunes que debes corregir:

• No existe un registro automático de las indicaciones ni de las respuestas.

• No hay una forma integrada de evitar la pérdida de datos ni de etiquetar los datos sensibles.

• No hay advertencias ni etiquetas para el contenido generado por IA.

• No hay revisión humana de los resultados importantes.

• No hay una forma clara de limitar el acceso ni de controlar dónde se almacenan los datos.

Tienes que solucionar estos problemas por tu cuenta. La Ley de IA de la UE exige que demuestres cómo gestionas los riesgos, que documentes tus decisiones y que conserves registros.

Azure OpenAI como punto intermedio

Azure OpenAI te ofrece más control que ChatGPT público. Puedes usar cuentas de trabajo, decidir quién puede utilizarlo y supervisar lo que hacen las personas. Obtienes mejores registros y puedes mantener los datos dentro de tu organización. Estas herramientas te ayudan a cumplir algunas normas de la Ley de IA de la UE.

Pero la mayor parte del trabajo sigue siendo tuya. Necesitas:

1. Realizar evaluaciones de impacto relativas a la protección de datos para cada forma en que lo uses.

2. Mantener registros de las actividades de tratamiento.

3. Establecer reglas para evitar la pérdida de datos y decidir cuánto tiempo conservarlos.

4. Revisar los registros y examinar los resultados.

5. Formar a los usuarios para que utilicen la IA de forma segura y cumplan las normas.

Azure OpenAI te ayuda a empezar, pero el trabajo debes terminarlo tú. Necesitas demostrarlo con registros claros y comprobaciones. La Ley de IA de la UE no acepta promesas. Debes demostrar lo que has hecho.

Kit de supervivencia del implementador para la Ley de IA de la UE

Necesitas un plan sencillo para cumplir las normas de la Ley de IA de la UE. Este kit te ayuda a organizarte. Ofrece pasos fáciles, herramientas y consejos para Copilot, ChatGPT y Azure OpenAI. Utiliza este kit para mantener segura a tu organización y demostrar a los reguladores que te preocupa el cumplimiento.

Clasificación de riesgos y documentación

Empieza por hacer un inventario de tus sistemas de IA y de cómo los utilizas. Debes saber dónde se usa la IA y qué hace cada sistema. Sigue estos pasos para clasificar y documentar los riesgos:

1. Documenta cada herramienta y modelo de IA que tu organización utiliza, desarrolla, importa o comercializa en Europa.

2. Determina si tu organización es proveedor, implementador, importador o distribuidor de cada sistema.

3. Comprueba si la Ley de IA de la UE cubre cada sistema o modelo.

4. Asigna a cada caso de uso de IA un nivel de riesgo: inaceptable, alto, limitado o mínimo.

5. Revisa los contratos y verifica los detalles de los servicios de IA.

6. Crea o actualiza tu plan de gobernanza de IA para que se ajuste a las normas de la Ley.

7. Lleva un registro de los cambios que realices en los sistemas o modelos de IA.

Debes documentar cada paso que des. Si no llevas buenos registros, podrías enfrentarte a multas importantes.

Los implementadores que no documenten lo que hacen para cumplir con la EU AI Act pueden meterse en problemas graves, como multas de 7.5 millones de euros por no facilitar información completa a los reguladores, aunque sus decisiones sobre riesgos sean correctas.

Configuración de Purview, DLP y accesos

Debes establecer controles sólidos para proteger tus datos. Usa Purview, Prevención de pérdida de datos (DLP) y los controles de acceso para cumplir con las normas de la EU AI Act. La siguiente tabla muestra lo que necesitas:

Agrupa tus reglas de DLP para cubrir las necesidades más habituales. Asegúrate de que tus reglas apliquen primero las acciones más estrictas. Revisa con frecuencia los registros de auditoría y los informes de DLP para comprobar que cumples las reglas.

Registro, transparencia y supervisión humana

Debes hacer seguimiento del uso de la IA y mantener la claridad. Los reguladores quieren ver cómo controlas y supervisas tus sistemas. Aplica estas buenas prácticas:

Añade etiquetas claras a todo lo que genere la IA. Usa pies de página o marcas de agua para indicar cuándo la IA ha ayudado a crear un archivo o un mensaje. Haz que las personas revisen las decisiones importantes, sobre todo en casos como la contratación o la calificación crediticia.

Formación y políticas internas

Debes enseñar a tu equipo a usar la IA de forma segura. Establece normas sólidas y formación para todos. Asegúrate de que todos los empleados conozcan sus funciones y las normas.

• Ofrece formación según el puesto de cada persona, como usuarios de negocio, administradores y personal de cumplimiento.

• Comparte las normas sobre qué usos de la IA están permitidos y cuáles no.

• Usa indicaciones y configuraciones que ayuden al cumplimiento, como pedir a Copilot que muestre las fuentes o que añada notas de revisión.

• Actualiza tus normas a medida que cambie la EU AI Act.

Puedes usar herramientas integradas para ayudar a los usuarios a aprender sus funciones. Ofrece guías que expliquen la diferencia entre los modelos de IA de uso general y los sistemas. Proporciona paquetes iniciales con plantillas y listas que faciliten el cumplimiento.

Plan de acción de 30/60/90 días y comunicación interna

Necesitas un calendario para terminar tu trabajo de cumplimiento. Este es un plan de acción sencillo:

Primeros 30 días:

• Enumera todos los sistemas y casos de uso de IA.

• Asigna funciones y niveles de riesgo.

• Empieza a documentar la EIPD y el RoPA.

Los 60 días siguientes:

• Configura Purview, DLP y los controles de acceso.

• Activa la auditoría y la monitorización.

• Empieza la formación de los equipos principales.

Últimos 90 días:

• Revisa y actualiza las normas.

• Prueba las comprobaciones humanas y las etiquetas claras.

• Prepara las pruebas para los reguladores.

Comparte este mensaje con tu equipo:

Estamos usando herramientas de IA con un plan Compliant by Design. Todos deben seguir nuestras nuevas normas y la formación. Haremos seguimiento, revisaremos y documentaremos cada paso para cumplir con las normas de la EU AI Act.

Usa este kit para crear un plan de cumplimiento sólido. Así protegerás a tu grupo y ayudarás a todos a usar la IA de forma correcta.

No deberías confiar sin más en «compliant by design». Necesitas demostrar que cumples las normas. La EU AI Act te asigna tareas claras. Si no cumples las normas, podrías enfrentarte a multas importantes. Las multas pueden llegar a 15 millones de euros o al 3% de los ingresos totales de tu empresa.

La gobernanza de la IA es importante. Tienes que vigilar cómo usas la IA. Necesitas a alguien a cargo y pasos que puedas repetir. Revisa tus herramientas de IA con frecuencia. Configura tus herramientas de cumplimiento y documenta todo lo que haces. Usa las normas para ayudar a que las personas confíen en tu empresa y para mantener la IA segura.

Preguntas frecuentes

¿Qué significa «compliant by design» para Copilot?

«Compliant by design» significa que Copilot incluye herramientas integradas que te ayudan a cumplir las normas. Aun así, tú debes configurar, revisar y demostrar tu cumplimiento. No puedes confiar solo en las funciones del proveedor.

¿Necesito realizar una EIPD para Copilot o ChatGPT?

Sí. Debes realizar una Evaluación de Impacto en la Protección de Datos (EIPD) para cada caso de uso de IA. Esto te ayuda a detectar riesgos y a demostrar a los reguladores que tomas en serio la privacidad.

¿Cómo demuestro el cumplimiento de la Ley de IA de la UE?

Necesitas conservar registros, configurar controles y mostrar registros de auditoría. Los reguladores quieren pruebas, no promesas. Usa los registros de auditoría, los documentos de riesgos y los registros de formación como evidencia.

¿Puedo usar ChatGPT público para tareas de alto riesgo?

No. ChatGPT público no tiene controles integrados para tareas de alto riesgo. Debes añadir tus propias comprobaciones de seguridad. Para usos sensibles, elige herramientas con sólidas funciones de cumplimiento.

¿Cuál es el error más grave que cometen los implementadores?

Muchos creen que las herramientas del proveedor los hacen cumplir por sí solas. Debes configurar, supervisar y documentar todo. Las pruebas siempre superan a las promesas.

También deberías escuchar

Si estás investigando la Ley de IA de la UE y Microsoft Copilot, estos episodios aportan contexto práctico sobre implementación, arquitectura, seguridad y gobernanza:

• Gobernanza de Microsoft Teams: la ilusión de control — Descubre cómo la propiedad, la directiva y las decisiones sobre el ciclo de vida determinan la fiabilidad de las operaciones de Microsoft 365.
• Microsoft AI Agent Harness explicado de forma sencilla — Entiende la orquestación, las barreras de protección, la evaluación y la observabilidad de los flujos de trabajo con IA.
• Azure AI Foundry explicado de forma sencilla — Aprende cómo se crean, evalúan, implementan y gobiernan las soluciones de IA empresariales.
• Microsoft Defender XDR explicado de forma sencilla — Relaciona las decisiones de implementación con la visibilidad de seguridad, la investigación y la respuesta.