Etiqueta de confidencialidad que no se aplica: solución de problemas y soluciones para Microsoft 365 y Power BI

By Mirko Peters · 2026-04-21

Este artículo profundiza en por qué las etiquetas de confidencialidad pueden no aplicarse como esperas en Microsoft 365, Power BI y otras aplicaciones relacionadas. Si te preguntas por qué faltan opciones de etiqueta, por qué falla el etiquetado automático o por qué persisten problemas de configuración, has llegado al lugar correcto. Repasaremos pasos prácticos de solución de problemas, señalaremo

Automatically translated with AI from the original post. Read the English original

Cover: Build Audit-Ready Document Management with SharePoint and Purview

Encontrarás respuestas directas, listas claras de qué revisar y orientación para esos problemas avanzados que dejan rascándose la cabeza incluso a los expertos. Tanto si das soporte a usuarios del día a día como si despliegas directivas de seguridad en toda la organización, aquí encontrarás ideas y soluciones para mantener los datos sensibles bien protegidos y tranquilo a tu equipo de cumplimiento normativo. Si sospechabas que no existe una única configuración que lo resuelva todo, este recurso te mostrará exactamente dónde buscar a continuación.

Comprensión de las etiquetas de confidencialidad y los fallos comunes en las aplicaciones

Las etiquetas de confidencialidad se han convertido en una pieza clave de la seguridad de los datos en el Microsoft 365 actual. Con las ciberamenazas cada vez más sigilosas y más datos desplazándose a SharePoint, OneDrive y Power BI, es fundamental entender qué hacen realmente las etiquetas de confidencialidad y qué aspecto tienen cuando salen mal.

Microsoft Purview hace visible la confidencialidad de los datos al permitir que las organizaciones clasifiquen y protejan archivos, correos electrónicos e incluso contenido de Power BI. Pero que las etiquetas estén configuradas no significa que siempre funcionen como quieres. Puede haber sorpresas reales: botones que desaparecen, etiquetas predeterminadas que no se aplican cuando deberían o determinados archivos y usuarios que quedan excluidos por completo.

Esta sección empieza por lo básico: qué pretenden conseguir las etiquetas de confidencialidad, por qué son tan importantes para el cumplimiento normativo y la privacidad, y las señales más comunes de que algo está roto por debajo de la superficie. Conocerás los patrones de fallo más habituales, desde el sencillo "la etiqueta no aparece" hasta problemas más complejos como los problemas de herencia o la automatización defectuosa, especialmente en Power BI o en entornos colaborativos de SharePoint y OneDrive.

Si alguna vez te has preguntado "¿por qué no funciona esto?", quédate. Las siguientes subsecciones desglosarán las señales de alerta más habituales, las definiciones básicas y los principales responsables de los fallos en el etiquetado automático (incluidos los que no verás venir). Al final tendrás la base necesaria para detectar y resolver los problemas de las etiquetas de confidencialidad en tu ecosistema de Microsoft.

¿Qué es una etiqueta de confidencialidad y cómo debería funcionar?

Una etiqueta de confidencialidad es una marca que puedes aplicar a archivos, correos electrónicos y diversos contenidos en la nube de Microsoft 365 para clasificar, proteger y controlar cómo se usa la información. Estas etiquetas se administran a través de Microsoft Purview y ayudan a mantener bajo llave datos sensibles como información financiera, datos de clientes o propiedad intelectual.

Una vez aplicadas, las etiquetas de confidencialidad pueden cifrar el contenido automáticamente, restringir quién puede acceder a un archivo o editarlo e incluso activar notificaciones si los datos se manejan de forma incorrecta. Tanto si trabajas en Outlook, Word, Teams, SharePoint o Power BI, las etiquetas actúan como una señal visible y un escudo invisible, y viajan con el documento o el mensaje allá donde vaya.

Las etiquetas pueden establecerlas los usuarios (etiquetado manual) o aplicarse automáticamente según reglas predefinidas (etiquetado automático). El objetivo es un flujo de trabajo sin fricciones: una vez colocada la etiqueta, las directivas de seguridad y cumplimiento entran en acción entre bastidores, ofreciendo a las organizaciones tranquilidad allá donde acabe el archivo.

Son absolutamente centrales en las estrategias de cumplimiento normativo, pues proporcionan controles clave para las auditorías de cumplimiento y la defensa legal. Si tu objetivo es evitar el caos documental y mantener el riesgo bajo control, crear un programa sólido de etiquetado de confidencialidad con Microsoft Purview es un paso fundamental. Para consejos prácticos sobre cómo proteger archivos en SharePoint y Teams, escucha esta conversación sobre cómo frenar el caos documental con tu escudo de Purview.

Problemas comunes con las etiquetas de confidencialidad y qué vigilar

Las etiquetas no aparecen: Las opciones de etiqueta esperadas no se muestran en aplicaciones como Word, Excel o Power BI, a menudo debido a directivas mal configuradas o problemas de acceso de los usuarios.
El botón de etiqueta aparece deshabilitado: Los usuarios ven el botón de la etiqueta de confidencialidad, pero no pueden seleccionarla. Esto puede deberse a la falta de licencias, a un cliente desactualizado o a conflictos con las directivas del inquilino.
Las etiquetas no se heredan: El contenido derivado (exportaciones, informes o archivos compartidos) no recoge la etiqueta de confidencialidad del elemento principal, normalmente porque la herencia no funciona como se espera o no es compatible con ese escenario.
El etiquetado automático falla: Las etiquetas configuradas para aplicarse por defecto o en función de palabras clave no se aplican al contenido nuevo, lo que suele indicar problemas de sincronización o una configuración incorrecta de las directivas de etiquetas.
Brechas en la aplicación de las etiquetas: Los usuarios trabajan con contenido protegido, pero no se activan el cifrado ni las protecciones de acceso, lo que expone los datos a riesgos y revela un fallo en la configuración de cumplimiento.

¿Por qué mi etiqueta de confidencialidad no se aplica automáticamente?

Las directivas de etiquetado automático no están bien dirigidas. Si has configurado directivas en Microsoft Purview pero no has incluido los usuarios, grupos o ubicaciones exactos, las etiquetas no se aplicarán, aunque la configuración parezca correcta a primera vista.
Las limitaciones de licencias bloquean las etiquetas. Los usuarios sin las licencias adecuadas de Microsoft 365 o Purview no verán las etiquetas ni tendrán el etiquetado automático aplicado. Por ejemplo, para un etiquetado eficaz en Power BI suele requerirse Power BI Pro o Premium Per User.
Los retrasos en la sincronización de directivas causan problemas. Cuando actualizas una directiva o añades una etiqueta nueva, pueden pasar desde unas pocas horas hasta varios días hasta que los cambios se apliquen en todos los dispositivos y clientes. Hasta que se complete la sincronización, es posible que el etiquetado automático simplemente no se active.
La herencia descendente no es compatible o está mal configurada. Aunque la opción «downstream inheritance enabled» esté marcada en Power BI, no todas las exportaciones, informes o modelos admiten una propagación correcta. Algunos tipos de contenido, como los informes paginados o ciertos archivos exportados, no heredan automáticamente la etiqueta del elemento principal.
El contexto del dispositivo o del inicio de sesión restringe la aplicación de etiquetas. Las directivas de acceso condicional o de Intune suelen limitar el uso de etiquetas en dispositivos no administrados o no conformes, por lo que incluso un etiquetado automático bien configurado puede fallar sin avisar si los dispositivos no cumplen los requisitos.
Caché local o corrupción de metadatos en aplicaciones de escritorio. En ocasiones, los clientes de Office o Power BI Desktop conservan listas de etiquetas desactualizadas, lo que impide mostrar o aplicar las reglas de etiquetado automático nuevas o modificadas hasta que se borra la caché o se reinicia la aplicación.
Problemas de permisos con usuarios B2B o invitados. Los invitados o usuarios externos a menudo no pueden aplicar, ver ni heredar etiquetas, incluso con acceso de edición, debido a límites entre inquilinos, directivas o licencias.

Si tienes dudas, auditar la actividad de los usuarios, como en esta guía sobre la auditoría de Purview, puede ayudarte a identificar dónde fallan la automatización y la herencia.

Requisitos previos de licencias y configuración para las etiquetas de confidencialidad

Para que las etiquetas de confidencialidad funcionen sin problemas en Microsoft 365 y Power BI, necesitas una base adecuada. Eso significa asegurarte de que tus licencias, la configuración del inquilino y los servicios estén correctamente alineados. Basta con que falte un solo requisito para que los usuarios no vean o no puedan aplicar etiquetas, aunque las directivas parezcan perfectas en el centro de administración.

Esta sección explora la «fontanería» que hay detrás del sistema de etiquetas: qué productos y roles requieren licencias premium, qué tipos de permisos se necesitan para ver o usar las etiquetas y cómo se delimitan las directivas de etiquetas para llegar a los usuarios y servicios adecuados. También verás por qué omitir estos pasos suele provocar funciones que desaparecen misteriosamente, botones inactivos o experiencias de etiquetado incoherentes de una aplicación a otra.

Si estás solucionando problemas con etiquetas o preparando una implantación a gran escala, revisar estos requisitos de licencias y configuración es absolutamente esencial. Los siguientes apartados desglosan cada elemento para que sepas exactamente qué comprobar antes de entrar en problemas técnicos más profundos. Para entender mejor los desafíos ocultos en el cumplimiento y la aplicación de directivas, consulta este análisis sobre la deriva de cumplimiento en Microsoft 365.

Requisitos de licencia para ver y aplicar etiquetas de confidencialidad

Licencia de Microsoft Purview Information Protection (MIP): el etiquetado de confidencialidad en Microsoft 365 requiere que cada usuario que necesite ver, aplicar o aplicar automáticamente etiquetas tenga una de las siguientes opciones:

Microsoft 365 E5, A5 o G5
Microsoft 365 E3 con el complemento Information Protection and Governance
Azure Information Protection P1/P2 o un paquete equivalente
Requisitos específicos de aplicaciones: en Power BI, se necesita una licencia Pro o Premium Per User (PPU) para crear, aplicar y heredar etiquetas de confidencialidad en archivos PBIX o en contenido dentro de áreas de trabajo.
Los usuarios que solo consumen contenido etiquetado en Power BI (sin crear ni cambiar etiquetas) podrían necesitar una licencia de nivel inferior, según la configuración del área de trabajo.
Licencias para administradores y automatización: los administradores que crean y gestionan etiquetas de confidencialidad en el portal de Purview también deben tener asignada la licencia adecuada, y es posible que necesiten permisos adicionales para la automatización con PowerShell o la API REST.
Carencias habituales: los usuarios en entornos con licencias mixtas suelen perder el acceso a las etiquetas o al etiquetado automático cuando su nivel de licencia no es suficiente o está mal asignado.
Los invitados B2B y las entidades de servicio suelen requerir una configuración especial, ya que la mayoría de las licencias de Microsoft 365 son por usuario y no cubren automáticamente estos escenarios. El acceso a los datos, la propiedad y la gobernanza desempeñan un papel importante aquí.

Cómo crear una etiqueta de confidencialidad y definir su ámbito

Abre el portal de Microsoft Purview - Empieza accediendo al centro de cumplimiento de Purview y selecciona «Information protection» en Data lifecycle management.
Crea una etiqueta nueva y define sus propiedades - Asígnale un nombre y una descripción claros, y elige el ámbito adecuado (archivos, correos electrónicos, contenido de Power BI o todos). Define qué protecciones aplicar: cifrado, marcas de agua y permisos de acceso.
Configura la segmentación de la directiva de etiquetas - Decide quién puede ver y usar la etiqueta, asignándola a usuarios, grupos específicos o a todos los titulares de cuentas. Revisa las asignaciones para asegurarte de que la etiqueta aparece donde se necesita y de que no queda oculta por error.
Configura el etiquetado predeterminado y obligatorio - Activa el etiquetado predeterminado en los escenarios en los que quieras que todos los documentos nuevos empiecen con un nivel de protección concreto. Configura el etiquetado obligatorio para exigir a los usuarios que apliquen una etiqueta antes de guardar o enviar contenido.
Publica y supervisa la implantación - Cuando estés seguro de tu configuración, publica la directiva y comunícalo a tus usuarios. Revisa con regularidad la adopción y las estadísticas del contenido etiquetado para detectar errores a tiempo, un tema que también se trata en esta guía sobre la gestión documental preparada para auditorías.

Solución de problemas de aplicación de etiquetas de confidencialidad en Power BI

Power BI tiene sus propios quebraderos de cabeza con las etiquetas de confidencialidad, una realidad que sorprende incluso a administradores experimentados. Puede que hayas configurado todo correctamente en Microsoft Purview y en tu inquilino de Microsoft 365, y aun así Power BI plantee nuevos retos. Van desde que el botón de etiquetas aparezca inexplicablemente deshabilitado hasta que los archivos PBIX protegidos no se abran ni se publiquen.

Otros problemas habituales incluyen que las etiquetas predeterminadas u obligatorias no se apliquen como se espera, que las transferencias entre Power BI Desktop y el servicio rompan la herencia de etiquetas, o que los informes exportados pierdan protecciones clave. También hay escenarios particulares con invitados B2B, seguridad a nivel de fila o acceso al contenido que pueden complicar tus planes de gobernanza.

Esta sección cubre los principales problemas de etiquetas de Power BI que probablemente te encuentres. Cada subsección profundiza en las causas reales y en las soluciones de problemas como los controles en gris, la aplicación omitida de la directiva o la imposibilidad de trabajar con archivos protegidos o con configuraciones de seguridad elevadas. No nos limitamos a repetir mensajes de error: te ayudamos a cerrar las brechas para que tu estrategia de cumplimiento y seguridad se mantenga en el buen camino. ¿Tienes curiosidad por la perspectiva general de la gobernanza? Consulta los retos que exponen los controles ineficaces en the Fabric governance illusion.

Por qué el botón de etiquetas de confidencialidad aparece en gris o no aparece en Power BI

Versión desactualizada de Power BI Desktop: La función de etiquetas requiere la versión más reciente del cliente de Desktop. Si usas una versión antigua, es posible que el botón no aparezca.
Falta de licencia o alcance insuficiente de la directiva: Necesitas Power BI Pro, Premium Per User o la licencia adecuada de Microsoft Purview. Sin licencia, no hay opciones de etiqueta.
Archivo PBIX almacenado en ubicaciones no compatibles: Algunas funciones solo funcionan con archivos guardados en OneDrive o SharePoint, no en unidades locales.
Directiva de etiquetas del inquilino no publicada o no dirigida a tu usuario: Si el administrador no te ha incluido a ti (o al espacio de trabajo) en la directiva, las etiquetas no aparecerán.
Conectividad a Internet o modo sin conexión: Las funciones de etiquetas dependen de la sincronización de directivas en la nube. Si estás sin conexión, es posible que las etiquetas no aparezcan.

Etiquetado obligatorio y predeterminado no aplicado en archivos PBIX de Power BI

Etiqueta obligatoria o predeterminada del inquilino no configurada: Power BI requiere configuraciones específicas del inquilino para aplicar la directiva; si faltan estas opciones, los archivos PBIX quedan sin etiquetar.
Reemplazo manual de etiquetas habilitado: Si los usuarios pueden quitar o cambiar las etiquetas, la aplicación se omite aunque la configuración parezca «obligatoria».
Exclusiones de espacios de trabajo: La aplicación solo puede limitarse a determinados espacios de trabajo; los demás pasan desapercibidos si no están incluidos.
Retraso de sincronización entre Desktop y el servicio: El contenido recién publicado o creado puede tardar en recibir la etiqueta debido a retrasos en el procesamiento del backend.

Problemas con archivos PBIX protegidos y acceso al contenido

El cifrado impide las operaciones con archivos: Si un PBIX está protegido con una etiqueta que incluye cifrado, es posible que los usuarios no puedan abrirlo, guardarlo o publicarlo a menos que estén asignados al grupo de acceso adecuado.
Restricciones para usuarios B2B e invitados: Los colaboradores externos normalmente solo pueden abrir o editar contenido protegido si sus cuentas están incluidas explícitamente en la directiva de acceso de la etiqueta; de lo contrario, los archivos no se cargan o no se pueden publicar.
Obstáculos con entidades de servicio y automatización: Los procesos automatizados que usan entidades de servicio no siempre pueden aplicar o quitar etiquetas debido a escenarios no compatibles o a permisos RBAC que faltan.
Archivos heredados incompatibles: Los archivos PBIX creados o guardados con versiones antiguas de Power BI Desktop pueden no funcionar con las protecciones de etiquetas más recientes, lo que provoca errores de importación o de acceso.
Errores al guardar y publicar en almacenamiento local: Si un archivo PBIX se guarda en almacenamiento local o en una ubicación que no está en la nube, las protecciones de la etiqueta de confidencialidad no viajan con el archivo, lo que provoca fallos de acceso en otros dispositivos o en Power BI Service.
Discrepancias en la configuración del inquilino: Las diferencias entre las configuraciones de Microsoft Purview y las del inquilino de Power BI pueden bloquear la sincronización de etiquetas y provocar errores de «función no disponible» o fallos al acceder a archivos protegidos.
Fallos de seguridad a nivel de fila y de enlace con el origen de datos: Cuando la seguridad a nivel de fila se combina con archivos protegidos, la exportación y el acceso fallan a menos que los roles y las directivas de etiquetas coincidan a la perfección. Para ver las mejores prácticas, consulta implementing RLS in Power BI.

Problemas de herencia y propagación de etiquetas hacia elementos derivados

En un mundo ideal, una vez aplicada una etiqueta de confidencialidad a un conjunto de datos o a un informe, cada archivo derivado o elemento exportado debería llevar esa misma «insignia» de seguridad allá donde vaya. ¿La realidad? La herencia hacia elementos derivados no es tan infalible como muchos esperan, sobre todo en las exportaciones, los informes paginados y cuando el contenido se reutiliza en Power BI u otras aplicaciones.

Aquí establecemos el contexto de los puntos en los que la propagación de etiquetas suele quedarse corta. Algunos fallos son técnicos (como tipos de archivo no compatibles), mientras que otros son puramente de directiva (por ejemplo, que la herencia no esté configurada o que las opciones de exportación la anulen). Es un complejo juego de seguir al líder: cuando la herencia se rompe, tu contenido confidencial se queda sin la protección esperada.

Las siguientes subsecciones explican con precisión por qué algunas hojas de Excel exportadas o informes de Power BI pierden su etiqueta de confidencialidad a pesar de ser "contenido derivado". También abordaremos el peculiar mundo de los informes paginados y la herencia de etiquetas basada en modelos, para que sepas qué vigilar y dónde invertir tu esfuerzo de solución de problemas para obtener la mejora global más grande.

Por qué el contenido derivado no hereda las etiquetas de confidencialidad

Formatos de exportación no compatibles: Muchas exportaciones derivadas, como CSV o PDF desde Power BI, no conservan las etiquetas de confidencialidad originales porque el formato no admite metadatos de etiquetas.
Herencia no habilitada para todos los tipos de contenido: Aunque la "herencia descendente" esté activada en la configuración de Purview, solo participan los tipos de archivo y los flujos de datos compatibles. Los informes paginados y algunos informes híbridos suelen romper esta cadena.
Anulaciones manuales de exportación: Si los usuarios eligen "Descargar sin etiqueta" o utilizan herramientas de terceros, las etiquetas heredadas no se mantendrán.
Errores de configuración de directivas: Las lagunas en el ámbito de las directivas de etiquetas o en la configuración del inquilino permiten que ciertos archivos o exportaciones "se escapen" y eludan las reglas de propagación de etiquetas.
Retraso de sincronización en la aplicación cliente: Si los datos de las etiquetas no se han actualizado en la aplicación, las etiquetas recién creadas o heredadas pueden no mostrarse hasta la siguiente propagación de directivas.

Fallos en informes paginados y en la herencia de etiquetas basada en modelos

Los informes paginados carecen de los mecanismos de herencia adecuados: Cuando un informe paginado se basa en un conjunto de datos etiquetado, la herencia no siempre es automática, sobre todo si la conexión es indirecta o si los orígenes de datos no admiten etiquetas.
Las exportaciones de contenido paginado eliminan las etiquetas: Las exportaciones a PDF, CSV o Excel de informes paginados a menudo no conservan en absoluto las etiquetas de confidencialidad debido a las limitaciones del proceso de exportación.
Aislamiento de orígenes de datos y modelos: Si el modelo de tu informe obtiene datos de varios orígenes, etiquetados y no etiquetados, las reglas de herencia se vuelven confusas, lo que da lugar a una etiqueta de reserva o a ninguna etiqueta.
Problemas con conectores personalizados: Los informes que utilizan conectores personalizados o API externas pueden no transmitir los metadatos de las etiquetas, lo que interrumpe la propagación automática.
Lagunas de directivas en orígenes híbridos: Los entornos híbridos (que combinan local y nube) o el uso de varios inquilinos suelen presentar discrepancias de directivas en las que la herencia simplemente no se aplica ni se admite.
Solución alternativa recomendada: Revisa periódicamente tus directivas de Purview y la configuración de exportación de Power BI. Enseña a los usuarios a aplicar una etiqueta manualmente tanto al modelo como a todos los informes derivados cuando sea posible, y supervisa las exportaciones sin etiqueta: recuerda que confiar únicamente en la herencia automática es arriesgado. Para una visión más profunda de la gobernanza, consulta este recurso sobre la gobernanza de Microsoft Fabric.

Seguridad, protección e integración con Defender for Cloud Apps

Las etiquetas de confidencialidad no sirven solo para pegar una etiqueta en un archivo: aportan capacidades reales en materia de seguridad avanzada, como el cifrado y la aplicación automática en dispositivos y servicios en la nube. Pero a medida que estas configuraciones de protección se vuelven más potentes, también aumenta la complejidad para los equipos de TI encargados de garantizar que todo funcione de forma coordinada.

Esta sección se centra en cómo la protección y la configuración de cifrado vinculadas a las etiquetas de confidencialidad influyen en el contenido de Microsoft 365, Power BI y herramientas integradas como Microsoft Defender for Cloud Apps. Cuando una etiqueta añade cifrado a un archivo, cambia quién puede acceder a un documento, editarlo e incluso verlo, lo que a veces genera nuevos retos de solución de problemas si las cosas no están bien alineadas.

También veremos cómo supervisar el contenido etiquetado para comprobar el cumplimiento, auditar el acceso o generar alertas ante actividad sospechosa, usando las herramientas disponibles en Defender for Cloud Apps y Purview. Piénsalo como un conjunto de herramientas para la gestión proactiva del riesgo y la visibilidad. Si quieres saber más sobre cómo anticiparte a la desviación del cumplimiento e integrar los informes, consulta cómo supervisar el cumplimiento con Defender for Cloud.

Cómo la configuración de protección y el cifrado afectan al comportamiento de las etiquetas

Cuando asignas una etiqueta de confidencialidad con cifrado, aplicas un nuevo conjunto de reglas que viajan con el contenido, vaya donde vaya. En documentos o correos, el cifrado controla quién puede abrir, imprimir o reenviar los archivos, y aplica límites de acceso incluso fuera de tu organización.

Estas protecciones pueden bloquear la edición o el acceso si un usuario no está incluido en la directiva de la etiqueta. En los archivos PBIX de Power BI, el cifrado puede impedir que los usuarios publiquen o guarden contenido a menos que estén incluidos en el grupo permitido. En situaciones colaborativas, como el uso compartido externo o las asociaciones B2B, las etiquetas con protección alta pueden incluso bloquear a usuarios que, de otro modo, tendrían privilegios.

Algunas configuraciones de etiquetas también pueden deshabilitar funciones de las aplicaciones. Por ejemplo, si un archivo está cifrado, es posible que pierdas la capacidad de previsualizarlo en SharePoint o Teams. Y en Power BI, la seguridad a nivel de fila y las etiquetas de confidencialidad deben funcionar juntas; de lo contrario, pueden surgir fallos, sobre todo en el acceso desde dispositivos móviles o en escenarios integrados.

La configuración de protección también está estrechamente vinculada a otras funciones de seguridad, como el acceso condicional, Microsoft Defender o las reglas de DLP. Estas integraciones garantizan que un archivo marcado como confidencial active alertas, bloquee comportamientos de riesgo o, si es necesario, restrinja por completo el contenido. Descubre más sobre cómo todos estos elementos se combinan para proteger tu entorno de trabajo sin molestar a los usuarios en este análisis en profundidad sobre seguridad de M365.

Supervisión de etiquetas de confidencialidad con Defender for Cloud Apps

Auditoría de actividad de etiquetas: Defender for Cloud Apps y Microsoft Purview registran las acciones relacionadas con etiquetas, lo que ayuda a detectar eliminaciones no autorizadas o asignaciones de etiquetas fallidas en tiempo real.
Configuración de directivas y alertas: Configura alertas para notificar a los equipos de seguridad cuando se acceda, descargue o comparta información confidencial fuera de los límites de la directiva.
Detección de contenido a gran escala: Usa la detección automatizada para identificar contenido sin protección o comprobar el cumplimiento de las directivas de etiquetas en toda tu huella en la nube.
Seguimiento continuo del cumplimiento: Supervisa las desviaciones del cumplimiento y obtén opciones de corrección automatizadas, como se describe en detalle en esta guía de cumplimiento de Defender for Cloud.

Escenarios avanzados y limitaciones específicas del entorno

La mayoría de las organizaciones usan etiquetas de confidencialidad en configuraciones sencillas de Microsoft 365. Pero si te adentras en nubes soberanas, en el uso compartido entre inquilinos (B2B) o en la automatización de acciones con etiquetas mediante API o cuentas de servicio, estás ante un escenario muy distinto. Estos escenarios avanzados introducen limitaciones propias, a veces técnicas y otras veces de directiva, que pueden echar por tierra tus mejores planes para las etiquetas de confidencialidad.

Esta sección describe qué esperar en entornos especializados. Verás dónde el etiquetado simplemente no funciona (o requiere mucha configuración adicional), incluidos los inquilinos de US Government o de la nube alemana, la colaboración de usuarios externos B2B y los scripts de automatización que usan entidades de servicio. Estos casos pueden dejarte rascándote la cabeza, preguntándote por qué las funciones de etiquetas desaparecen o fallan sin avisar.

Cada subtema señala restricciones concretas y recomienda estrategias para sortear o minimizar esas barreras. Es especialmente relevante si trabajas en sectores regulados o gestionas varios inquilinos, y necesitas cubrir las brechas mientras mantienes la capacidad de auditoría. ¿Te preocupan los riesgos de cumplimiento asociados a las cuentas de invitado sin gestionar? Consulta este análisis sobre la gestión del ciclo de vida de las cuentas de invitado.

Etiquetas de confidencialidad en nubes soberanas y colaboración B2B

Restricciones de las nubes soberanas: las versiones de Microsoft 365 para el gobierno de EE. UU. y para Alemania suelen carecer de un etiquetado de confidencialidad completo, o admiten un subconjunto limitado de funciones en comparación con los inquilinos globales.
Carencias con usuarios externos y B2B: los invitados B2B a menudo no pueden ver ni aplicar etiquetas, aunque tengan permisos de edición, a menos que la directiva de etiquetas los incluya explícitamente o el inquilino habilite el acceso entre inquilinos.
Deriva de directivas en la colaboración: las directivas definidas en un inquilino pueden no acompañar a los archivos al cruzar los límites entre inquilinos, lo que provoca la pérdida de etiquetas o que se apliquen configuraciones inseguras por defecto.
Soluciones alternativas: usa etiquetas manuales, forma a los colaboradores externos y revisa la segmentación de tus directivas para cubrir de forma más completa a los usuarios invitados y a los socios.

Automatizar las etiquetas de confidencialidad con API REST y entidades de servicio

Limitaciones de los endpoints de la API: algunos endpoints de la API REST todavía no admiten la lectura ni la escritura de metadatos de etiquetas, sobre todo en Power BI o SharePoint.
Problemas de permisos y RBAC: las entidades de servicio necesitan tanto el rol de Azure adecuado como permisos delegados para gestionar etiquetas, lo que complica la configuración.
Automatización de la higiene de etiquetas: usa PowerShell o la API de Graph para asignar o quitar etiquetas en masa, pero prueba siempre las particularidades en tu entorno, ya que las cuentas de servicio no pueden reproducir todas las acciones manuales de un usuario.
Mensajes de error no documentados: los fallos inexplicados son habituales en la automatización, así que registra todo y consulta con frecuencia la documentación de la API y las actualizaciones recientes. Las buenas prácticas de automatización para la gobernanza de Microsoft 365 pueden cambiar, como se comenta en estas reflexiones sobre automatización con PowerShell (si están disponibles).

Limitaciones del usuario y del contexto del dispositivo que afectan a la aplicación de etiquetas de confidencialidad

A veces las etiquetas de confidencialidad fallan no porque la licencia o la configuración de administración sean incorrectas, sino por el contexto en el que trabaja el usuario. Factores como el cumplimiento del dispositivo, el acceso condicional o el estado de inicio de sesión pueden bloquear las funciones de etiquetado sin ningún aviso ni mensaje de error visible.

Esta sección trata de problemas que solo encontrarás en la letra pequeña, como un usuario que inicia sesión desde un portátil no administrado o un usuario invitado que simplemente no ve las opciones de etiquetado, sin importar cómo configures sus permisos. Estos bloqueos suelen estar controlados por Intune (para el cumplimiento de los dispositivos) y por las directivas de acceso condicional de Azure, que pueden aplicar controles más estrictos a los invitados, a los dispositivos no conformes o a los escenarios de uso compartido externo.

Vamos a desglosar qué directivas "desactivan" silenciosamente las etiquetas y cómo diagnosticar lo que ocurre cuando toda la configuración evidente parece correcta. Esto no se limita a los documentos: también afecta a Power BI, Teams, Outlook y a cualquier lugar donde las etiquetas deberían aparecer y no lo hacen. Si necesitas repasar los detalles sobre cómo generar confianza en tus directivas de acceso condicional, consulta esta guía sobre directivas de acceso condicional centrada en la confianza.

Acceso condicional, cumplimiento de dispositivos y disponibilidad de etiquetas

Aplicación del cumplimiento de dispositivos: el acceso condicional y Intune pueden exigir que los dispositivos cumplan los requisitos (administrados, cifrados o inscritos) antes de permitir cualquier acción con etiquetas dentro de las aplicaciones de Office o de Power BI.
Bloqueo en dispositivos no administrados: si un usuario inicia sesión desde un dispositivo que no está bajo el control de Intune o de Entra ID, la opción de aplicar etiquetas de confidencialidad puede desaparecer o aparecer atenuada, sin ningún mensaje de error explícito.
Contexto de autenticación personalizado: las directivas de CA que exigen MFA o reglas basadas en la ubicación pueden restringir el etiquetado solo a escenarios concretos; el etiquetado falla si la sesión no es totalmente de confianza.
Diagnóstico: los administradores deben revisar las asignaciones de las directivas de acceso condicional y los registros de inicio de sesión. Si las acciones con etiquetas solo fallan para determinados usuarios, la causa probable son las carencias en el cumplimiento de los dispositivos o directivas demasiado restrictivas. En escenarios más complejos, puede ser esencial un bucle de control para la deriva de directivas de seguridad de identidad; consulta las buenas prácticas en este episodio sobre seguridad de Entra ID.

Restricciones para invitados y usuarios externos con etiquetas de confidencialidad

Sin compatibilidad con etiquetas de forma predeterminada: Los colaboradores B2B y externos a menudo no pueden aplicar etiquetas e incluso, en algunos casos, ni siquiera verlas, a menos que las directivas de etiquetas incluyan específicamente sus identidades o dominios externos.
Brechas en directivas y permisos: Aunque tengan permisos de edición, los invitados pueden no tener compatibilidad con etiquetas debido a una configuración predeterminada restrictiva del inquilino o a la falta de asignación de licencias.
Riesgos de seguridad con cuentas de invitado inactivas: Las cuentas de invitado obsoletas o no gestionadas pueden eludir las directivas o perder por completo la aplicación de etiquetas; audita y restringe el ciclo de vida de los invitados tal como se describe en esta advertencia sobre cuentas de invitado.
Recomendaciones de configuración: Revisa periódicamente la segmentación de las etiquetas, establece accesos de invitado con un límite de tiempo y asegúrate de incluir a los invitados donde sea necesario, pero mantén revisiones de acceso estrictas por motivos de cumplimiento.

Fallos al aplicar etiquetas por caché de aplicaciones y retrasos en la sincronización de directivas

Hay algo que muchas guías pasan por alto: los problemas en la aplicación relacionados con la caché de etiquetas o con sincronizaciones lentas de directivas pueden impedir que las etiquetas de confidencialidad aparezcan o se actualicen, por muy bien que parezca la configuración del administrador sobre el papel. Estos problemas son especialmente frecuentes en las aplicaciones de escritorio de Office y en Power BI Desktop, donde los metadatos locales o los archivos de caché quedan "obsoletos" tras los cambios en las directivas.

Cuando una actualización de directiva no ha llegado a tu aplicación, es posible que las nuevas etiquetas de confidencialidad no aparezcan, que las antiguas sigan atascadas o que las reglas de autoetiquetado anteriores sigan aplicándose. Esto puede dejar a los usuarios en un limbo, pensando que "el problema es solo mío", cuando en realidad se trata de un problema generalizado de sincronización de directivas o de caché.

Esta sección aborda estos problemas internos, como borrar la caché de etiquetas y entender el plazo de propagación de las directivas entre dispositivos y plataformas. Si te encuentras (o tus usuarios se encuentran) con anomalías en las etiquetas tras un cambio de directiva por parte de un administrador, esto es lo primero que debes comprobar antes de acudir al soporte técnico.

Borrar la caché de etiquetas de confidencialidad en las aplicaciones de escritorio de Office

Cierra todas las aplicaciones de Office, incluidas Word, Excel y Outlook. Abre el Administrador de tareas y asegúrate de que no quede ningún proceso de Office en ejecución.
Ve a la ubicación de la caché de etiquetas: Accede a %localappdata%\Microsoft\MSIP y/o %localappdata%\Microsoft\Office\16.0\LabeledDocuments (para las compilaciones de Office 365).
Elimina o cambia el nombre de las carpetas de caché, incluidas las subcarpetas "Policy" o "Labels", según corresponda. Esto elimina los metadatos de etiquetas antiguos o dañados de las aplicaciones de Office.
Reinicia la aplicación de Office. Recuperará automáticamente las directivas de etiquetas desde la nube, incorporando de inmediato las etiquetas de confidencialidad nuevas o actualizadas.
Escenarios en los que conviene usarlo: Esta solución es imprescindible después de editar directivas de etiquetas, al actualizar los catálogos de etiquetas o si las nuevas etiquetas no aparecen en el selector de etiquetas. Es una solución rápida antes de escalar comprobaciones técnicas más profundas.

Comprender los retrasos en la propagación de directivas entre clientes

Aplicaciones de escritorio de Office: Espera hasta 24 horas para que las nuevas directivas o etiquetas se propaguen, especialmente tras cambios importantes en el portal de Purview.
Aplicaciones web (Office Online, Servicio de Power BI): Las actualizaciones de directivas se aplican con más rapidez, normalmente en una o dos horas, pero la caché residual del navegador puede retrasar su visibilidad.
Clientes móviles e híbridos: Las aplicaciones móviles pueden almacenar en caché los datos de directivas durante más tiempo. Forzar el cierre y el inicio de sesión puede acelerar la actualización.
Cómo verificarlo: Compara las listas de etiquetas en Office de escritorio, en la web y en Power BI para detectar retrasos de sincronización. Si los retrasos persisten, escálalo a tu administrador de TI para revisar el estado de sincronización del inquilino.

Fallos silenciosos y registros de los intentos de aplicar etiquetas de confidencialidad

A veces, los problemas más difíciles con las etiquetas de confidencialidad son los que nunca ves: no hay mensajes de error, pero la etiqueta simplemente no se aplica ni se mantiene. Estos "fallos silenciosos" pueden desesperar tanto a usuarios como a administradores, sobre todo si trabajas en un sector regulado o tienes que superar una auditoría externa.

Esta sección explica dónde buscar cuando la aplicación de una etiqueta no funciona, aunque no falle de forma evidente. Consiste en revisar los registros de auditoría de Microsoft 365, los registros locales de los dispositivos de los usuarios (del cliente MIP o de las aplicaciones de Office) e interpretar las trazas de errores. Es un territorio de solución de problemas avanzada, pero es donde encontrarás la pieza que falta cuando todo lo demás parece correcto.

Te explicamos cómo acceder y utilizar los registros de auditoría unificados de Microsoft Purview para localizar etiquetas de confidencialidad que no se asignaron o se asignaron de forma incompleta. Además, encontrarás pautas para interpretar los registros de MIP y de las aplicaciones de Office cuando la interfaz muestra "correcto" pero sabes que el resultado no es el adecuado. Si te interesa entender qué ocurre en segundo plano, adéntrate en el mundo de la auditoría y el seguimiento forense en la auditoría de actividad de usuarios de Purview.

Usa los registros de auditoría para detectar fallos en las etiquetas de confidencialidad

Accede a los registros de auditoría de Microsoft 365: ve al portal de cumplimiento de Purview y entra en la sección Auditoría. Necesitarás permisos para ver los registros de auditoría.
Filtra las acciones con etiquetas de confidencialidad: busca eventos como "Etiqueta de confidencialidad aplicada", "Etiqueta cambiada" o "Etiqueta quitada". Fíjate en las entradas en las que "estado" sea fallido o incompleto.
Revisa el historial del usuario y del archivo: profundiza en los eventos fallidos y anota la cuenta de usuario, el dispositivo, el archivo afectado y el error (si lo hay).
Aísla las causas raíz: busca patrones: ¿los fallos se producen siempre con determinados usuarios, con un tipo de archivo concreto o tras una actualización de directiva? Así podrás identificar problemas de directiva, de licencias o del lado del cliente.
Buenas prácticas: si el cumplimiento normativo está en juego, considera Purview Audit Premium para disponer de señales más detalladas y de una retención más prolongada. Para más información sobre el seguimiento forense, consulta este tutorial paso a paso sobre auditoría.

Analiza los registros del cliente MIP y de las aplicaciones de Office para detectar errores silenciosos

Habilita el registro detallado: en MIP y en las aplicaciones de Office, activa los modos de registro detallado o de depuración mediante la configuración del registro de Windows o con modificadores de la línea de comandos.
Localiza los registros locales: los archivos clave se encuentran en %localappdata%\Microsoft\MSIP\Logs para el cliente MIP, y en las subcarpetas \Logs de Office.
Busca errores después de una acción con etiquetas: busca códigos de error como 0x80070005 (acceso denegado) o "error al aplicar la etiqueta" tras una acción del usuario.
Compara con el soporte técnico: comparte los registros y las marcas de tiempo con el soporte de Microsoft para un diagnóstico avanzado cuando la solución de problemas en el lado del usuario no dé resultado.

Comprobaciones finales, comentarios y recursos recomendados

Has llegado al final de los pasos clave para solucionar problemas con las etiquetas de confidencialidad en Microsoft 365 y Power BI. Antes de rendirte o abrir un caso de soporte, conviene revisar la configuración y las directivas con una lista de comprobación sistemática. A menudo, el último ajuste o permiso olvidado es lo que resuelve el problema, sin necesidad de un análisis profundo.

Esta sección cierra el recorrido resumiendo las comprobaciones imprescindibles antes de escalar el caso: segmentación de directivas, publicación de etiquetas, asignación de licencias y configuración de la aplicación de las directivas. También encontrarás enlaces a canales de comentarios, vías de soporte y recursos oficiales de buenas prácticas para seguir aprendiendo.

Piénsalo como una parada técnica de revisión y, al mismo tiempo, como un puente hacia más ayuda. Se incluyen enlaces a foros de la comunidad, artículos recomendados y documentación oficial de Microsoft para los casos difíciles en los que necesites profundizar o notificar un problema nuevo. Para más consejos sobre la gestión documental preparada para auditorías, consulta las soluciones de Purview y SharePoint contra el caos documental.

Lista de comprobación para revisar la configuración de etiquetas de confidencialidad y los requisitos de licencia

Valida la configuración del inquilino: asegúrate de que la función de etiquetado de confidencialidad está habilitada y se gobierna de forma centralizada desde Microsoft Purview. Revisa el ámbito del inquilino y los interruptores de funciones.
Revisa las asignaciones de directivas de etiquetas: comprueba que las directivas de etiquetas incluyen a todos los usuarios, grupos o cuentas de invitado previstos. Los problemas de ámbito de las directivas son una de las causas principales de que las etiquetas no aparezcan donde deberían.
Confirma las asignaciones de licencias: asegúrate de que todos los usuarios y administradores tienen licencia para Purview Information Protection, Power BI Pro/Premium o las suscripciones relacionadas que permiten usar etiquetas.
Comprueba la propagación y la sincronización de directivas: verifica si los cambios recientes en etiquetas o directivas se han propagado a todos los clientes y son visibles en el selector de confidencialidad de las aplicaciones clave.
Aplicación obligatoria y predeterminada de etiquetas: Confirma que la configuración de aplicación predeterminada y obligatoria esté activa, sobre todo en Power BI y SharePoint, para evitar que se cree contenido sin etiquetar.
Cobertura de invitados y B2B: Revisa si los colaboradores externos están incluidos en las directivas de etiquetas y de qué manera. Elimina las cuentas de invitado que no se usen; puedes ver más al respecto en the hidden danger of M365 guest accounts.
Revisa los registros de auditoría y de actividad: Analiza los registros de auditoría de Microsoft 365 para detectar asignaciones de etiquetas fallidas o incompletas. Este paso es esencial para las entidades reguladas y para la supervisión proactiva de TI.
Borra la caché de etiquetas, si es necesario: Usa el método de «borrar caché» después de realizar cambios en las directivas para evitar que los usuarios se encuentren con problemas derivados de etiquetas antiguas que siguen apareciendo.
Prueba todos los escenarios: Valida la aplicación de etiquetas en dispositivos administrados y no administrados, con usuarios invitados y, cuando sea necesario, en las plataformas web, de escritorio y móviles.

Cómo enviar comentarios y acceder a artículos recomendados

Canales de comentarios de Microsoft: Usa la herramienta de comentarios del Centro de administración de Microsoft 365 o visita los foros de la comunidad para informar de nuevos problemas y contribuir a la hoja de ruta de las funciones.
Escalado a soporte técnico: Abre tickets de soporte desde el portal de administración de Microsoft 365 para las incidencias no resueltas o críticas con etiquetas de confidencialidad; prepárate para compartir registros y pasos detallados.
Recursos y artículos de buenas prácticas: Encuentra análisis en profundidad y debates dirigidos por expertos, como esta guía sobre auditoría de la actividad de los usuarios con Purview o un enfoque basado en listas de verificación para construir tu escudo con Purview.
Aprendizaje en comunidad: Mantente al día con las estrategias de etiquetado y los consejos de resolución de problemas en constante evolución marcando como favoritas las páginas recomendadas de Microsoft Docs y los foros de confianza.