Qué hace Copilot con los datos de tu empresa

Alguien de tu equipo pega en Copilot el contrato de un cliente para que se lo resuma. La cuenta es suya, quizá la pague él o quizá la empresa con la tarjeta, y nadie se ha preguntado qué pasa con ese texto después. La respuesta depende menos de la herramienta que del tipo de cuenta y del contrato que haya detrás.

Este artículo repasa lo que dicen las páginas oficiales de Microsoft sobre cuatro asuntos: si entrena con tus datos, cuánto los guarda, si pueden quedarse en la Unión Europea y qué contrato de encargo de tratamiento ofrece. Es una foto a 5 de octubre de 2026. Forma parte de una serie de cuatro: ChatGPT, Claude y Gemini. Estas páginas cambian a menudo, así que antes de decidir nada abre los enlaces del pie.

Dos ideas atraviesan todo lo que viene. «No entrenar» no significa «no guardar». Y el plan personal de un empleado no tiene las condiciones del plan de empresa³.

La frontera es la cuenta

En la página de privacidad que se aplica a la versión antigua de su app Copilot, Microsoft excluye del entrenamiento a quien entra con una cuenta de organización (Entra ID)¹. Nuestra lectura es que la línea la marcan el tipo de cuenta y el contrato. Lo que lleva a tu empresa al otro lado es contratar un plan de empresa. Si un empleado usa su Copilot personal para trabajar, rige lo que él aceptó como particular.

Primero, los nombres

Confunden: Microsoft 365 Copilot se llama ahora Microsoft Copilot, y Microsoft 365 Copilot Chat ha pasado a ser Microsoft Copilot Chat². La app para particulares también se llama Microsoft Copilot³. Mismo nombre, condiciones distintas: comprueba que en el trabajo se entra con la cuenta de trabajo.

Si entrena con lo que escribes

Entrenar un modelo es usar textos para ajustar el modelo de lenguaje, de forma que lo leído influya en cómo responderán sus versiones futuras. Cuando un fabricante dice que no entrena con tus datos, habla de eso y sólo de eso: no dice cuánto tiempo los guarda.

Para la app de particulares hay hoy dos páginas oficiales, una por versión, que no dicen lo mismo. La de la versión antigua cuenta que, salvo ciertas categorías de usuarios o quien se haya dado de baja, Microsoft usa los datos de Copilot para entrenar IA¹. La de la versión nueva, disponible desde el 18 de agosto de 2026, dice que las indicaciones, respuestas y archivos de la app no se usan para entrenar modelos de base³. Lo que aplique a un empleado depende de la versión de la app que use.

Con cuenta de trabajo, las indicaciones, las respuestas y los datos de la organización a los que Copilot accede a través de Microsoft Graph no se usan para entrenar los modelos de base².

Cuánto lo guarda

En la versión antigua de la app de particulares, Microsoft guarda la actividad de las conversaciones 18 meses por defecto¹.

Con cuenta de trabajo, el administrador puede fijar políticas de retención con Microsoft Purview² para conservar los mensajes de Copilot y después borrarlos⁴. Pregunta a quien lleve vuestro Microsoft 365 si hay alguna configurada y con qué plazo.

Si los datos pueden quedarse en Europa

Microsoft tiene el EU Data Boundary, la frontera geográfica dentro de la cual se compromete a guardar y procesar los datos de sus servicios en la nube para empresas⁵. Para los clientes de la UE, Microsoft Copilot es un servicio incluido en ella². Los modelos de Anthropic que Microsoft ofrece dentro de Copilot quedan, por ahora, fuera², y las búsquedas web tampoco están cubiertas⁶. Y el propio compromiso tiene circunstancias limitadas en las que los datos siguen saliendo de esa frontera⁵.

El contrato de encargo

El uso de Copilot y Copilot Chat por organizaciones queda cubierto por el DPA de Microsoft, con Microsoft como encargado⁶. Las búsquedas web que Copilot lanza en Bing van aparte: ahí Microsoft actúa como responsable independiente⁶. Archiva el DPA con la fecha y ten presente esa excepción.

Lo que conviene revisar

• Con qué correo entra cada persona. Si es una dirección personal, sospecha de un plan personal y compruébalo en los ajustes de la cuenta.
• Los gastos de los últimos meses: cada suscripción individual es una cuenta personal más que añadir al inventario.
• Si alguien va a seguir con su cuenta personal para tareas sin datos sensibles, que al menos apague el uso para entrenar, si la herramienta lo permite, y no pulse los botones de valoración.

Hay cosas que, en nuestra opinión, no deberían entrar nunca en un asistente con cuenta personal: datos que identifiquen a clientes, proveedores o empleados; salud, nóminas o asuntos de recursos humanos; contratos, ofertas y precios que todavía no son públicos; contraseñas y claves de API; y cuentas o cifras internas que no quieras ver fuera.

Ponle fecha de revisión. Esta foto es del 5 de octubre de 2026: vuelve a leer las condiciones cada seis meses y cada vez que el proveedor anuncie cambios.