¿Microsoft Copilot cumple el RGPD?

Sí, Microsoft Copilot se puede usar cumpliendo el RGPD, pero no tal como viene de fábrica. Microsoft pone la base: un contrato de encargo del tratamiento, ningún entrenamiento con tus datos y el EU Data Boundary. Eso sí, la búsqueda web en Bing y los modelos de Anthropic quedan fuera de ese límite. Esos dos puntos y los permisos demasiado abiertos en SharePoint los tienes que resolver tú. Información actualizada a octubre de 2026.

En el uso normal de Copilot, el responsable del tratamiento eres tú y Microsoft actúa como encargado. En las consultas de búsqueda web enviadas a Bing, en cambio, el responsable es Microsoft. Aquí tienes qué han dicho las autoridades, qué se compromete a hacer Microsoft y qué ajustes revisar antes de dar licencias. Lo que cuesta Copilot y cómo queda frente a ChatGPT está en Copilot o ChatGPT.

¿Qué dicen las autoridades de protección de datos sobre Microsoft 365 y Copilot?

El caso más claro a nivel europeo es el de la propia Comisión Europea. En marzo de 2024, el Supervisor Europeo de Protección de Datos (SEPD) concluyó que la Comisión incumplía las normas de protección de datos al usar Microsoft 365. En julio de 2025 dio el caso por resuelto, después de que la Comisión concretara qué datos se tratan y para qué, nombrara a los destinatarios de las transferencias fuera de la UE y cambiara el contrato con Microsoft (nota del SEPD).

La lección para una pyme es la misma: no basta con que el proveedor diga que cumple. Quien contrata tiene que poder demostrar qué se trata, con qué fin y dónde.

En Alemania, la conferencia de autoridades de protección de datos (DSK) concluyó en noviembre de 2022 que quien usa Microsoft 365 no puede demostrar que lo hace cumpliendo la normativa, al menos con el anexo de protección de datos que Microsoft tenía entonces. El motivo principal: falta de transparencia sobre qué datos trata Microsoft para sus propios fines (decisión de la DSK del 24 de noviembre de 2022).

En noviembre de 2025, tras negociar con Microsoft, la autoridad de protección de datos de Hesse llegó a otra conclusión: Microsoft 365 se puede usar en Hesse cumpliendo la normativa. Su informe revisa el contrato de encargo de Microsoft, no productos concretos, no incluyó pruebas técnicas y no menciona Copilot. El contrato está mucho mejor que hace unos años, pero revisar tu propia configuración sigue siendo cosa tuya.

En España, la AEPD publicó en febrero de 2026 unas orientaciones sobre IA agéntica, es decir, sistemas que actúan por su cuenta en nombre del usuario. Dar permisos excesivos a un agente es, según la AEPD, un factor crítico. Y usar IA no obliga siempre a hacer una evaluación de impacto: depende del tratamiento, y una evaluación que ya tenías puede necesitar revisión.

¿Qué se compromete a hacer Microsoft con Copilot?

Según su documentación de privacidad y seguridad, Copilot tiene los mismos compromisos que el resto de Microsoft 365:

• Las preguntas, las respuestas y los datos de Microsoft Graph no se usan para entrenar los modelos base.
• Lo que escribes y lo que responde Copilot se guarda cifrado, como el resto de tu contenido de Microsoft 365, bajo el Data Protection Addendum, el contrato de encargo del tratamiento del artículo 28 del RGPD.
• Para clientes de la UE, Copilot es un servicio del EU Data Boundary, con las dos excepciones del apartado siguiente.
• Quien administra fija en Microsoft Purview cuánto se conservan los historiales. Cada usuario puede borrar el suyo.

Según Microsoft, esto vale para la licencia de pago y también para Copilot Chat en el contexto de empresa: ahí también las preguntas y respuestas quedan bajo Enterprise Data Protection y el contrato de encargo del tratamiento. Microsoft ha rebautizado Microsoft 365 Copilot como Microsoft Copilot, sin cambios en estos compromisos.

¿Dónde termina el EU Data Boundary en Copilot?

En dos puntos, y los dos los reconoce Microsoft.

La búsqueda web. Copilot saca unos pocos términos de la pregunta y los manda a Bing. No envía documentos enteros, aunque el contexto de tu empresa puede influir en esos términos. Según la documentación sobre la búsqueda web, a esas consultas no les aplica ni el contrato de encargo ni el EU Data Boundary: ahí Microsoft actúa como responsable. Se desactiva con la directiva «Allow web search in Copilot» del Cloud Policy Service. Si nadie la configura, la búsqueda web está activada, salvo que las experiencias conectadas opcionales de Office estén desactivadas.

Los modelos de Anthropic. Anthropic es subencargado de Microsoft, así que el contrato de encargo sí aplica, salvo en los modelos marcados como «Anthropic models with Data Retention», que vienen desactivados y se rigen por las condiciones propias de Anthropic. Pero sus modelos funcionan fuera del EU Data Boundary. En la UE, el ajuste general viene en «No users» por defecto (página sobre los modelos de Anthropic). Desde abril de 2026 hay además un ajuste propio para Copilot en Word, Excel y PowerPoint, que viene activado en los tenants de la UE creados después del 25 de marzo de 2026 (documentación de Microsoft). Si diste de alta Microsoft 365 este año, revísalo.

La DSK alemana considera preferibles los sistemas cerrados en su guía sobre IA. Es un motivo para decidir estos dos puntos a conciencia en lugar de dejarlos como vienen.

¿Por qué los permisos de SharePoint son el mayor riesgo?

Porque Copilot encuentra todo lo que una persona tiene permiso para ver. Microsoft lo dice claro: Copilot solo muestra contenido sobre el que el usuario tiene al menos permiso de lectura. Eso protege solo si los permisos están bien.

Un caso típico en una gestoría de 20 personas: la carpeta con las nóminas del equipo lleva años compartida con «todos» en Teams. Nadie la buscaba. Con Copilot basta preguntar «¿cuánto cobra la gente de administración?». No es un fallo de Copilot, es un fallo antiguo en cómo tenéis organizados los archivos, y Copilot lo saca a la luz. Antes de dar licencias, revisa lo compartido con toda la organización, los accesos de invitados y los enlaces abiertos.

¿Necesitamos una EIPD para Copilot?

Depende de para qué la use tu equipo. Según el artículo 35 del RGPD, la evaluación de impacto (EIPD) es obligatoria cuando un tratamiento probablemente entrañe un alto riesgo para las personas. Redactar, resumir o buscar información no suele llegar a ese nivel. Filtrar candidaturas o tratar datos de salud es otra cosa. Deja por escrito el análisis previo y añade Copilot al registro de actividades de tratamiento. Microsoft ofrece para esto el «Microsoft Copilot & Copilot Chat Risk Assessment Quickstart».

Si tenéis comité de empresa, cuenta con él. Copilot guarda las preguntas y respuestas de cada usuario, y quien administra puede revisarlas. El artículo 64.5 f) del Estatuto de los Trabajadores da al comité derecho a emitir un informe previo a la implantación de sistemas de control del trabajo, y Copilot puede entrar ahí.

¿Cómo dejar Copilot bien configurado?

Antes del primer usuario:

1. Revisa el contrato de encargo y añade Copilot al registro de actividades de tratamiento.
2. Decide sobre la búsqueda web: desactivada, o activada con una regla clara de para qué sirve.
3. Comprueba los dos ajustes de Anthropic en el Centro de administración de Microsoft 365.
4. Ordena los permisos de SharePoint, OneDrive y Teams.
5. Fija en Purview cuánto se guardan los historiales de Copilot.
6. Escribe las normas para el equipo: qué datos pueden entrar y quién revisa los resultados. Tienes una plantilla en política de uso de IA.
7. Documenta si necesitas una EIPD y por qué, e informa al comité de empresa.

Con alguien que administre Microsoft 365, es un trabajo abarcable. Si no lo tienes en casa, suele encargarse tu proveedor informático.

¿Hay una alternativa sin depender de Microsoft?

Sí, un espacio de trabajo de IA propio. Tiene sentido sobre todo si tu equipo no vive entero en Microsoft 365 o si quieres los ajustes en un solo sitio, no repartidos entre el centro de administración, Cloud Policy y Purview.

Verselo trabaja con modelos como Claude, GPT y Gemini, alojados en centros de datos de la UE; los chats y documentos se procesan en la UE y no se entrena con ellos. Una excepción, dicha claramente: en la búsqueda web, el término de búsqueda va a Google, y quien administra puede desactivarla. En Administración y seguridad decides qué modelos se permiten y cuánto se guardan los chats, y el registro de auditoría muestra qué ha pasado. Tus documentos van a carpetas compartidas o privadas, y las respuestas citan el documento y el pasaje (más información en Conocimiento de empresa). Microsoft 365 se conecta como fuente desde el lanzamiento (más información en Integraciones). Qué se trata y dónde lo explicamos en Seguridad.

Conclusión

Con licencia de empresa y contrato de encargo, Copilot te da una base sólida. Los huecos están en la búsqueda web, los modelos de Anthropic y los permisos, y los siete pasos de arriba los cierran. Si tu empresa ya vive en Microsoft 365 y dejas bien los ajustes de arriba, Copilot te puede servir. La comparación directa está en ¿Verselo o Microsoft 365 Copilot?