Crea un agente de IA para GRC con Microsoft Purview, Power Automate y Copilot Studio: informes de cumplimiento automáticos

Los informes de gobernanza, riesgo y cumplimiento (GRC) siguen consumiendo horas de trabajo manual: registros de auditoría copiados en Excel, decenas de pestañas con tablas dinámicas que se contradicen y gráficos que dejan de ser fiables en cuanto ocurre una nueva actividad. La documentación se confunde con el conocimiento y el cumplimiento acaba siendo una carrera antes de cada auditoría.

Existe una alternativa construida con herramientas de Microsoft. Un agente de IA basado en reglas combina Microsoft Purview como fuente de verdad, Power Automate como orquestador y Copilot Studio como capa de lenguaje natural. Este artículo explica cómo funciona, cómo montarlo paso a paso y qué errores conviene evitar.

Por qué falla la elaboración manual de informes de GRC

El proceso habitual es conocido: se extraen datos de Microsoft Purview, se exportan, se vuelcan en hojas de cálculo y se llama a eso gobernanza. A la semana siguiente los datos han cambiado y los gráficos ya no reflejan la realidad. Los rastros de auditoría, que deberían reforzar la responsabilidad, acaban generando más trabajo.

Además, muchas empresas tratan Purview como una bóveda a la que solo se entra antes de una auditoría. Sus registros acumulan información sobre quién hizo qué, dónde y cuándo, pero llegan en bloques JSON anidados tan densos que casi nadie los lee con regularidad. El problema de fondo es la abundancia de datos con legibilidad casi nula.

Un proceso así es frágil: si un analista falta, se rompe el registro de auditoría. Y los paneles tampoco resuelven la brecha, porque muestran datos pero no los explican.

Qué es un agente de GRC con Purview, Power Automate y Copilot Studio

No se trata de un copiloto mágico que adivina respuestas, sino de una automatización estructurada y determinista sobre la pila de Microsoft. Funciona con tres piezas, cada una con una función clara:

• Microsoft Purview es la memoria: registros de auditoría, datos de clasificación y eventos de cumplimiento. Registra cada acción de usuario en Microsoft 365, como compartir un documento, crear una política o modificar una etiqueta de retención.
• Power Automate es el sistema nervioso: recopila señales, filtra el ruido y asegura que el proceso se ejecute a tiempo, sin olvidar nunca un paso.
• Copilot Studio es la voz: convierte datos estructurados en resúmenes legibles, por ejemplo que un usuario aumentó sus privilegios varias veces en 24 horas superando el umbral de la política.

Este enfoque funciona porque la mayor parte de las tareas de cumplimiento no son decisiones de juicio, sino reconocimiento de patrones. El sistema no intenta pensar como una persona: organiza y resume patrones mejor que ella. No adivina, sigue las reglas que usted define en la lógica del flujo y en el prompt: lógica, frecuencia, alcance e incluso el tono de la redacción.

Cuando un directivo pregunta por los patrones de riesgo del mes pasado, en lugar de un enlace a un panel recibe una narrativa clara generada por un flujo que se ejecutó de madrugada.

Paso 1: construir el flujo de datos desde Purview

Antes de enseñar al agente a pensar, hay que darle acceso a los datos correctos, ni más ni menos. Sin esa visibilidad se automatiza la ceguera.

Extracción y alcance

Puede empezar con el conector de Purview o con una acción HTTP que llame directamente a la API de registros de auditoría. Ambas rutas ofrecen un flujo con lo ocurrido en el inquilino: recursos compartidos, cambios de permisos, violaciones de acceso o inicios de sesión de administrador. Lo más disciplinado es restringir el alcance desde el principio y definir qué eventos afectan realmente al cumplimiento, en lugar de extraer todo el registro.

Permisos y credenciales

Power Automate actúa solo con los permisos que se le otorgan. Si la cuenta de servicio no puede leer el registro de auditoría, el agente informará obedientemente de que no hay problemas. Asegúrese de que tenga el rol de lector de registros de auditoría en Purview y de que pueda autenticarse sin interrupciones de MFA. Guarde las credenciales en Azure Key Vault o mediante referencias de conexión.

Filtrado y estructuración

Filtre por indicadores de riesgo real: inicio de sesión desde una nueva ubicación, cambio de asignación de roles, uso de intercambio externo o modificación de políticas de etiquetas. Puede hacerlo con los parámetros de la API o después, con lógica condicional en Power Automate.

Después hay que convertir los bloques JSON en columnas estructuradas. Un método sencillo es la acción de analizar JSON con un esquema obtenido de un evento de muestra de Purview. Cada propiedad (ID de usuario, operación, carga de trabajo, estado del resultado, IP del cliente) se convierte en su propia variable. Algunos campos llegan como arreglos aunque contengan un único valor y otros están anidados en varias capas, así que conviene probar la extracción con ejecuciones pequeñas.

Almacenamiento y programación

Los datos limpios pueden guardarse en SharePoint, Dataverse o una base de datos SQL, según el peso de los informes. Ese almacenamiento hace de memoria a corto plazo y permite comparar con datos históricos sin consultar Purview una y otra vez. Dataverse es mejor si necesita relaciones entre conjuntos de datos; SharePoint es más sencillo, pero se vuelve torpe tras unos miles de filas.

Defina la cadencia con el activador de recurrencia: resúmenes diarios para entornos dinámicos o semanales para los más tranquilos. Ajústelo a su zona horaria y no a UTC.

Paso 2: la lógica de decisión en Power Automate

La capa lógica convierte datos en clasificación. Power Automate no especula ni alucina: ejecuta. Esa rigidez es justo lo que necesita un sistema autónomo.

1. Disparador y variables. Tras la recurrencia, un bloque de inicialización crea variables como eventos totales, recuento de alto riesgo y fecha del informe, que funcionan como memoria de trabajo.
2. Consulta a Purview. Se invoca el conector o la API HTTP.
3. Limpieza. Un paso de filtrado de matriz descarta ruido, por ejemplo los registros cuyo tipo de usuario sea entidad de servicio, y conserva solo las operaciones ligadas a gobernanza de datos o cambios de política. También se eliminan los eventos duplicados.
4. Agrupación. Los registros restantes se agrupan por nombre principal de usuario u operación y se cuentan en bucles «aplicar a cada uno».
5. Umbrales. Usted define qué significa «demasiado»: tres escaladas de privilegios, nivel alto; un intercambio externo, nivel medio; en otro caso, normal.
6. Condiciones. Los usuarios de alto riesgo van a una matriz específica, los de riesgo medio a una cola de revisión y, si no hay nada inusual, se registra un mensaje de «sin hallazgos».

Ese último punto importa: en cumplimiento, la diferencia entre datos que faltan y ausencia de hallazgos es fundamental. Esta lógica no inventa significado, lo impone, y sustituye las corazonadas por claridad numérica.

Evidencia y trazabilidad

Cada ejecución debería dejar evidencia: una acción final que guarde métricas de resumen como total de eventos procesados, usuario de mayor riesgo y duración. Esos resultados pueden publicarse en un canal de Teams o en una biblioteca de SharePoint. Incluir un ID de ejecución permite que, si los umbrales cambian, los auditores sepan qué lógica produjo cada resultado. En la temporada de auditoría no se defienden recuerdos, se muestran artefactos.

Paso 3: dar voz al agente con Copilot Studio

Hasta aquí el agente clasifica y cuenta, pero no comunica. Copilot Studio traduce el resumen estructurado en párrafos comprensibles para ejecutivos y precisos para auditores.

Tres tipos de comunicación

Conviene definir qué se quiere entregar: un resumen ejecutivo, un apéndice técnico y recomendaciones. La gerencia quiere un párrafo, los auditores necesitan rastros de evidencia y el personal de TI quiere cada campo. Puede crear una única experiencia en Copilot Studio con varios prompts, cada uno con su tono, formato y nivel de detalle. Por ejemplo: «resume los riesgos principales en lenguaje sencillo, limita a cinco puntos clave y sugiere una remediación para cada uno», o bien «produce un apéndice técnico con cada evento de alto riesgo en forma de tabla».

Conexión técnica

Desde el flujo, una acción HTTP envía la carga JSON estructurada al punto final de Copilot. Este la interpreta con el prompt del sistema que usted definió y la llamada se autentica mediante Azure AD, de modo que solo su flujo puede acceder. La respuesta es texto, y ese texto es el informe: hallazgos categorizados por severidad, una acción recomendada por hallazgo y la tendencia general.

Prompts con límites

Especifique los encabezados exactos (resumen general, hallazgos clave, recomendaciones) e incorpore directivas como usar un tono profesional neutral, evitar el lenguaje especulativo e incluir métricas cuantificables. Cuanto más estrictas sean las instrucciones, más reproducible será el resultado, y el cumplimiento depende de la reproducibilidad, no de la personalidad. Las variables de contexto permiten incrustar datos dinámicos, como la fecha del informe o el número de registros analizados.

Distribución y validación

Con dos ramas del mismo flujo, el resumen de Copilot se publica en un canal de Teams y una versión HTML completa se guarda en SharePoint. La gerencia lee Teams y los auditores abren el archivo, ambos con la misma redacción y la misma fecha. Antes de publicar, una condición comprueba que la respuesta de Copilot no esté vacía; si lo está, se registra el fallo y se reintenta una vez.

El flujo completo queda así: extraer, analizar, resumir, narrar, publicar.

Errores frecuentes y puntos de fallo

• Cuenta de servicio sin permisos. Si carece del rol de lector de registros de auditoría, el flujo informa de que no hay problemas cuando en realidad no ve nada. La automatización aplica exactamente lo que se le da y nada más.
• Extraer demasiado. Sin filtros, el flujo se vuelve inmanejable. No se trata de acumular, sino de seleccionar.
• Autenticación interrumpida. Una petición de MFA a las dos de la madrugada detiene un flujo que no puede improvisar.
• Errores en las expresiones JSON. Un fallo tipográfico menor en el análisis genera resultados sin sentido más adelante. Pruebe con ejecuciones pequeñas.
• Zona horaria incorrecta. Dejar la recurrencia en UTC puede hacer que los informes lleguen a horas inesperadas.
• Límites de la API. Purview puede limitar las solicitudes o fallar. Envuelva las llamadas HTTP en un ámbito con política de reintentos (tres intentos con retroceso exponencial) y registre el error con marca de tiempo e ID de ejecución en una lista de SharePoint o tabla de Dataverse, por ejemplo llamada «Salud Automatización». Los auditores no penalizan los errores, sino la falta de documentación sobre ellos.
• Prompts sin restricciones. Sin encabezados ni directivas, Copilot puede adoptar un estilo narrativo poco apropiado para un informe de auditoría.

Gobernanza del propio agente: versiones y trazabilidad

Un agente de cumplimiento también debe cumplir. Versione el prompt del sistema de Copilot cada vez que cambien los criterios y registre qué versión produjo qué informe. Así, las auditorías futuras podrán consultar no solo qué ocurrió, sino cómo se instruyó al modelo narrativo en ese momento.

La estandarización es el beneficio más sutil: cada informe usa los mismos umbrales, la misma terminología y los mismos metadatos. Los auditores dejan de validar el formato y evalúan el contenido, y los patrones de riesgo se leen como narrativas a lo largo del tiempo, no como un caos de hojas de cálculo.

Takeaways prácticos

• Use Purview como fuente de verdad, Power Automate para orquestar y Copilot Studio para redactar.
• Limite el alcance de los eventos a los que realmente importan para el cumplimiento.
• Verifique que la cuenta de servicio tenga el rol de lector de registros de auditoría y que pueda autenticarse sin interrupciones de MFA.
• Guarde las credenciales en Azure Key Vault o con referencias de conexión.
• Convierta el JSON en variables estructuradas con la acción de analizar JSON y pruebe con muestras pequeñas.
• Defina umbrales de riesgo explícitos y registre siempre un mensaje de «sin hallazgos».
• Configure reintentos, registro de errores y avisos a Teams para tratar los fallos como datos.
• Escriba prompts con encabezados fijos, tono neutral y métricas cuantificables.
• Valide que la respuesta de Copilot no esté vacía antes de publicar.
• Guarde evidencia y versiones: ID de ejecución, métricas de resumen y versión del prompt.

Conclusión

Un agente de GRC construido con Microsoft Purview, Power Automate y Copilot Studio convierte el cumplimiento de una tarea de documentación en un sistema de orquestación siempre activo. Purview aporta los datos, Power Automate los filtra, clasifica y programa, y Copilot Studio los explica en un lenguaje claro y reproducible. Como todo se define mediante reglas, el resultado es predecible y auditable, y los equipos dejan de depender del esfuerzo manual de cada ciclo de informes. Implantarlo antes de la próxima temporada de auditoría permite sustituir el trabajo repetitivo por un proceso estable, documentado y consistente.