Cómo los administradores de TI configuran Microsoft Copilot con protección de datos empresariales

Los administradores de TI corporativos pueden blindar las conversaciones en Microsoft Copilot frente a filtraciones externas, retención indebida y entrenamiento de modelos de inteligencia artificial mediante la aplicación de la Protección de Datos Empresariales (Enterprise Data Protection o EDP), combinando la autenticación con Microsoft Entra ID y directivas centralizadas de Microsoft 365.

La Protección de Datos Empresariales (anteriormente denominada Protección de Datos Comerciales o CDP) es un compromiso de seguridad integrado sin coste adicional para las organizaciones con licencias comerciales aptas de Microsoft 365. En cuanto un empleado inicia sesión con su cuenta profesional o educativa de Microsoft Entra ID (antes Azure AD), la EDP se activa automáticamente. Bajo este marco, las instrucciones (prompts) y respuestas generadas permanecen dentro del límite de servicio del inquilino (tenant) de Microsoft 365, se cifran en tránsito y en reposo, y queda contractualmente prohibido su uso para entrenar los modelos lingüísticos fundacionales (LLM) de Microsoft u OpenAI.

Sin embargo, esta protección depende estrictamente de la identidad del usuario. Si un empleado accede a Copilot sin iniciar sesión o mediante una cuenta personal de Microsoft (MSA), la sesión queda regulada por los términos de consumo personal, donde las interacciones pueden ser registradas para fines publicitarios o ajuste de modelos. Por ello, el equipo de TI debe forzar la autenticación corporativa, configurar directivas de navegador, supervisar la conexión web y aplicar directivas de cumplimiento en Microsoft Purview.

1. Funcionamiento de la Protección de Datos Empresariales (EDP)

Según el tipo de cuenta con la que se inicie sesión, Microsoft Copilot opera bajo dos regímenes jurídicos y arquitecturas técnicas totalmente distintos:

Garantías técnicas y de seguridad de la EDP

• Aislamiento del inquilino y cifrado integral: Las solicitudes y respuestas se procesan dentro del entorno seguro de Microsoft 365. Se aplica cifrado TLS 1.2+ en tránsito y cifrado de servicio con BitLocker en reposo.
• Cero entrenamiento de modelos: Microsoft no utiliza los prompts, las respuestas generadas ni los archivos leídos mediante Microsoft Graph para entrenar los modelos base de IA.
• Almacenamiento de cumplimiento en Exchange: Los registros de chat corporativos se resguardan en la arquitectura de buzón de Exchange Online del usuario, lo que permite programar purgas automáticas, retenciones legales y auditorías.
• Compromiso legal del DPA: Microsoft asume el papel de encargado del tratamiento según el DPA, cumpliendo con el RGPD, la norma ISO/IEC 27018 y las exigencias del Límite de Datos de la UE (EU Data Boundary).

2. Requisitos y licencias válidas

La Protección de Datos Empresariales está incluida sin coste adicional en la mayoría de las suscripciones empresariales y educativas:

• Planes Enterprise: Microsoft 365 E3, E5, F1, F3; Office 365 E1, E3, E5, F3
• Planes para Empresas: Microsoft 365 Empresa Básico, Empresa Estándar, Empresa Premium
• Sector Educativo: Microsoft 365 A3, A5; Office 365 A1, A3, A5 (profesorado y alumnos aptos)
• Teams independiente y sector público: Teams Enterprise, Teams Essentials y entornos GCC

Los usuarios que disponen adicionalmente de la licencia de Microsoft Copilot (antes complemento Microsoft 365 Copilot) disfrutan de las mismas garantías de EDP junto con el acceso de búsqueda semántica en Microsoft Graph (archivos internos, correos y SharePoint).

3. Guía de configuración para administradores de TI

Para garantizar la protección de datos en toda la organización, los administradores deben actuar sobre cinco áreas estratégicas: cumplimiento de identidad, políticas de Edge, conexión a la web, red y retención en Purview.

+-----------------------------------------------------------------------------------+
|                         1. Capa de Identidad y Red                                |
|  - Asignar licencias M365 -> Permitir copilot.cloud.microsoft -> Tenant Restrictions|
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                    2. Directivas de Dispositivos y Microsoft Edge                 |
|  - Forzar inicio de sesión (BrowserSignin = 2) -> RestrictSigninToPattern         |
|  - Controlar contexto de navegación (EdgeEntraCopilotPageContext)                 |
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                     3. Centro de Administración y Búsqueda Web                    |
|  - Parámetros en Centro de administración M365 -> Directiva Allow web search      |
+-----------------------------------------------------------------------------------+
                                         |
                                         v
+-----------------------------------------------------------------------------------+
|                     4. Gobernanza y Auditoría con Microsoft Purview               |
|  - Directivas de retención -> Auditoría de interacciones -> Prevención DLP        |
+-----------------------------------------------------------------------------------+

Paso 1: Forzar el inicio de sesión con Entra ID y bloquear cuentas personales

Puesto que la EDP solo se activa cuando el sistema valida un token de Entra ID, es fundamental impedir que los empleados utilicen cuentas personales en los equipos corporativos.

A. Desplegar directivas de Microsoft Edge (Intune o GPO)

Configure las plantillas administrativas de Microsoft Edge mediante Intune o directivas de grupo:

1. Forzar el inicio de sesión en el navegador (BrowserSignin):
   • Establezca BrowserSignin en 2 (Forzar a los usuarios a iniciar sesión para usar el explorador). Esto garantiza que no haya sesiones anónimas.
2. Restringir las cuentas permitidas (RestrictSigninToPattern):
   • Configure RestrictSigninToPattern con una expresión regular que limite los inicios de sesión al dominio de la empresa (por ejemplo: .*@suempresa\.com).
   • Esto bloquea de raíz la creación de perfiles con cuentas @outlook.com, @gmail.com u otros dominios externos no controlados.
3. Controlar el contexto de página en la barra lateral (EdgeEntraCopilotPageContext):
   • Establézcalo en Enabled (1) para permitir que Copilot resuma páginas web internas o documentos PDF que el usuario tenga abiertos; o en Disabled (0) para prohibir la lectura del contenido de la pestaña activa. No obstante, las páginas protegidas mediante directivas DLP de Purview bloquean automáticamente la lectura de Copilot, con independencia de este ajuste.

B. Configurar Restricciones de inquilino v2 en Entra ID

Para impedir que desde la red de la empresa se inicie sesión en inquilinos externos o cuentas personales:

1. Acceda al Centro de administración de Microsoft Entra > Identidades externas > Configuración de acceso entre inquilinos.
2. Active Restricciones de inquilino v2 para permitir únicamente la autenticación en el identificador de directorio de su propia organización.

Paso 2: Permitir los puntos de conexión de red autorizados

Microsoft ha unificado los servicios de Copilot bajo el dominio .cloud.microsoft.

1. Habilitar dominios clave en firewalls y proxies: Asegúrese de que el cortafuegos corporativo y los pasarelas web seguras (SWG) permitan el tráfico hacia:
   • *.cloud.microsoft
   • Portal principal: https://copilot.cloud.microsoft
2. Evitar bloqueos selectivos a nivel de red: Microsoft desaconseja intentar filtrar o bloquear subdominios, IPs o puertos específicos de Copilot. Al estar fuertemente integrado en Teams, Outlook y aplicaciones de Microsoft 365, el bloqueo por paquetes puede provocar fallos e interrupciones en la suite ofimática. La gestión debe realizarse mediante directivas internas.

Paso 3: Gestionar la búsqueda web en Bing y la anonimización de consultas

De forma predeterminada, Microsoft Copilot Chat recurre al motor Bing para fundamentar sus respuestas en información pública reciente.

Cómo se protegen las consultas a Bing

Cuando Copilot necesita consultar la web:

• Genera una búsqueda de pocas palabras clave derivada de la pregunta original.
• Elimina completamente el identificador del usuario (UPN), el nombre corporativo y el ID del inquilino.
• Nunca envía a Bing documentos completos, correos corporativos ni datos adjuntos.
• La transmisión es segura (HTTPS) y Microsoft asume el compromiso contractual de no compartir las consultas con anunciantes, no elaborar perfiles de usuario y no utilizarlas para entrenar modelos.

Desactivación de la búsqueda web (Opcional)

Si su normativa corporativa prohíbe cualquier consulta hacia el exterior:

1. Inicie sesión en el Centro de administración de aplicaciones de Microsoft 365 (config.office.com) y vaya a Directiva en la nube (Cloud Policy).
2. Cree o edite una directiva para los grupos de usuarios correspondientes.
3. Configure el ajuste Permitir la búsqueda web en Copilot (Allow web search in Copilot):
   • Habilitado en Microsoft Copilot y Microsoft Copilot Chat: Mantiene la búsqueda web anonimizada.
   • Deshabilitado en modo Trabajo de Microsoft Copilot; habilitado en modo Web: Protege las consultas de trabajo y permite asistencia web general.
   • Deshabilitado en Microsoft Copilot y Microsoft Copilot Chat: Apaga totalmente las consultas a Bing. Copilot responderá únicamente con el conocimiento interno o preentrenado.

Este parámetro también puede ajustarse en el Centro de administración de Microsoft 365 desde Copilot > Configuración.

Paso 4: Configurar la retención de datos y la auditoría en Microsoft Purview

Con la EDP activa, los registros de interacción quedan bajo el límite de cumplimiento de Exchange Online, permitiendo una gobernanza integral desde Microsoft Purview:

1. Directivas de retención para Copilot:
   • En el Portal de cumplimiento de Microsoft Purview, acceda a Administración del ciclo de vida de los datos > Directivas de retención.
   • Cree una directiva específica para Interacciones de usuario de Microsoft Copilot.
   • Configure un periodo de eliminación automática (por ejemplo, 30, 60 o 90 días) para minimizar la exposición residual de datos, o establezca un periodo de conservación si así lo exigen las normativas legales de su sector.
2. Auditoría e investigación de eventos:
   • En Microsoft Purview > Auditoría, busque eventos bajo el esquema CopilotInteraction.
   • Los registros contienen la marca temporal, la identidad del usuario, el cliente utilizado y si se generó una consulta a Bing.
3. Prevención de pérdida de datos (DLP):
   • Configure directivas de DLP para endpoints y Edge. Cuando un usuario visualice un archivo etiquetado como «Confidencial», el sistema impedirá que se copie texto hacia Copilot o que la barra lateral analice el documento.

4. Lista de verificación: Cómo comprobar que la protección está activa

Una vez implementada la configuración, valide el entorno mediante los siguientes puntos de control:

1. Comprobación visual de la interfaz:
   • Inicie sesión en https://copilot.cloud.microsoft o abra la barra lateral de Copilot en Microsoft Edge.
   • Observe la presencia del icono de escudo verde con la palabra Protegido (Protected) visible junto al botón «Nuevo chat».
   • Confirme que el perfil de usuario muestra la insignia de cuenta de Trabajo (Work).
   • Debajo del campo de texto debe aparecer el mensaje informativo: «Los datos personales y de la empresa están protegidos en este chat.»
2. Prueba de bloqueo de cuentas personales:
   • Intente iniciar sesión en Edge o Copilot con una cuenta personal @outlook.com. El sistema debe mostrar un mensaje de restricción de la organización que impida el acceso.
3. Validación de auditoría:
   • Envíe una consulta de prueba desde una cuenta corporativa.
   • Trascurridos entre 15 y 30 minutos, acceda a Purview Audit y compruebe que el evento de interacción ha quedado registrado en su inquilino.

5. Resumen de buenas prácticas

La protección de los datos corporativos al usar Microsoft Copilot no requiere pasarelas intermedias complejas ni software adicional:

• Cierre el paso a las cuentas personales: Utilice directivas de Intune y Edge (BrowserSignin = 2 y RestrictSigninToPattern) para garantizar que sólo se utilicen cuentas de Entra ID corporativas.
• Capacite al personal: Advierta a los usuarios sobre la importancia de verificar el escudo verde «Protegido» antes de introducir información interna relevante.
• Ajuste la búsqueda web según el nivel de riesgo: Para equipos que manejan información crítica (como desarrollo o legal), evalúe deshabilitar la búsqueda externa de Bing mediante Cloud Policy.
• Aplique ciclos de vida mediante Purview: Configure directivas de eliminación periódica de chats para reducir la superficie de exposición de la información histórica.

Referencias

• Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat | Microsoft Learn
• Microsoft Copilot Chat Privacy and Protections | Microsoft Learn
• Data, privacy, and security for web search in Microsoft Copilot and Microsoft Copilot Chat | Microsoft Learn
• Manage Microsoft Copilot Chat | Microsoft Learn