Qué hace Microsoft Copilot con tus datos

Copilot es el asistente que más líos da cuando preguntas qué hace con tus datos, porque Microsoft llama casi igual a productos que los tratan de forma muy distinta. La pregunta es la misma que con ChatGPT, pero aquí tiene cuatro respuestas.

Lo primero que miraría es con qué cuenta has entrado. De ahí sale casi todo lo demás: si entrena, cuánto se guarda, quién puede leerlo y a quién le reclamas.

Copilot personal o de empresa: cuál usas y qué pasa con tus datos

Microsoft 365 Copilot ahora se llama Microsoft Copilot, y Microsoft 365 Copilot Chat, Microsoft Copilot Chat. Durante la transición verás los dos nombres. Si en tu oficina hay varias cuentas mezcladas, conviene dejarlo resuelto en una política de uso de IA.

Se distingue mirando la pantalla: la etiqueta «Trabajo» bajo tu perfil y el escudo verde indican la experiencia de empresa. Las dos conviven en la misma aplicación, y es lo que menos me gusta: compruébalo antes de pegar nada.

La aplicación nueva está disponible desde el 18 de agosto de 2026. Si no has actualizado tu cuenta personal, sigues en la anterior. Microsoft pide entrar en la nueva antes del 31 de diciembre de 2026 para conservar los chats que se puedan migrar: lo demás se borra para siempre.

¿Copilot entrena con mis datos? Según la versión y la cuenta

La página de la aplicación nueva lo dice claro: consultas, respuestas y contenido de archivos no entrenan los modelos base. Los comentarios que envíes pueden servir para mejorar Copilot, pero tampoco entrenan esos modelos.

En esa versión anterior, Microsoft entrena con datos de Bing, MSN, Copilot e interacciones con anuncios, incluidas voz y conversaciones. Dice que deja fuera el perfil de la cuenta y el correo, y que quita nombres, teléfonos, identificadores, datos sensibles y direcciones. En las imágenes elimina metadatos y difumina caras.

A mí esa limpieza no me tranquiliza del todo: describe qué se quita antes de entrenar, cuando el texto ya ha llegado. En esa versión, además, algunas conversaciones pueden pasar por revisión humana, sin opción de excluirte. Y si lo sacas de una hoja de cálculo, puede llevar las columnas que ocultaste al exportar.

Cuánto tiempo guarda Copilot tus conversaciones

Con la aplicación nueva, Microsoft guarda tus conversaciones para que vuelvas a ellas y no da plazo. Yo no leería «sin plazo publicado» como «se borra pronto»: si quieres que desaparezca, bórralo tú. Un archivo, además, llega con lo que guarda por dentro, del autor a la ruta de la carpeta.

Borrar una conversación la saca de tu historial, pero Microsoft no publica qué conserva después. Si en tu oficina conviven los dos, en ChatGPT borrar un chat no se lleva la memoria ni los archivos.

Con las fotos conviene mirar aparte qué se queda: lo cuento en la guía sobre si ChatGPT guarda las fotos, que repasa también a los otros tres asistentes.

Microsoft Graph en Copilot: qué puede leer en tu empresa

Graph es la pieza que conecta Copilot con tu correo, tus chats y tus documentos. Solo saca lo que esa persona tiene permiso para ver, y por eso, si fuera mi empresa, revisaría los permisos de SharePoint antes de dar una sola licencia.

Hay un lector que la gente olvida: tu administrador. Puede ver y gestionar lo guardado con la búsqueda de contenido o con Purview, y en Teams tiene además API de exportación. Igual que en ChatGPT Business, el plan de empresa añade quien mire.

A cambio, hay un dato bueno. Microsoft escribe que sus servicios de Copilot han optado por no participar en la supervisión de abusos con revisión humana de Azure OpenAI, aunque el filtrado automático sigue. Antes de activar un agente, comprueba su declaración de privacidad: Microsoft remite a ella.

DPA de Copilot y RGPD: quién responde en cada producto

Con cuenta de trabajo, Copilot queda bajo el Anexo de protección de datos de Microsoft, con Microsoft como encargado. Con cuenta personal, Microsoft decide como responsable. Yo lo escribiría así en tu registro y en el cuestionario del seguro o del cliente, porque de ahí sale tu contrato del artículo 28.

En Edge, la protección de empresa solo la tienes si has entrado con la cuenta de Entra ID. Y si tratas datos por encargo, como una asesoría con las nóminas de sus clientes, recurrir a Microsoft exige la autorización previa de tu cliente, por escrito (artículo 28.2).

Límite de Datos de la UE: qué cubre en Copilot y qué deja fuera

Es el compromiso de Microsoft de guardar y tratar en la UE y la EFTA los datos de sus servicios de empresa. Para clientes europeos, Copilot entra, con el tráfico de la UE dentro del límite. Lo que me preocupa son las excepciones.

En la UE, la EFTA y el Reino Unido, los modelos de Claude vienen apagados, y tu administrador puede activarlos. Cuidado con Word, Excel y PowerPoint: tienen un ajuste aparte, encendido por defecto en las organizaciones dadas de alta después del 25 de marzo de 2026. Yo lo comprobaría hoy mismo.

En las anteriores, Microsoft remite al Centro de mensajes. Decidir a qué modelo va cada petición, en una aplicación propia, es el trabajo de un AI gateway.

Más delicados son los modelos «con retención de datos»: vienen apagados para todos y se rigen por los términos de Anthropic, no por el DPA. Anthropic guarda la mayoría de entradas y salidas hasta 30 días, y hasta dos años si detecta una posible infracción. Lo cuento en qué hace Claude con tus datos.

Búsqueda web en Copilot: qué va a Bing y cuándo apagarla

Cuando le hace falta información actual, Copilot saca unas pocas palabras de tu petición y las manda a Bing. Pueden salir también del documento que tienes abierto o has subido. Según Microsoft, no va la petición entera, salvo que sea muy corta, ni archivos completos, ni tu identidad de Entra.

Sí va la dirección IP, para localizar resultados. Y ese tramo cambia de papel: el DPA no se aplica y Microsoft actúa como responsable. Los Términos del producto añaden que no se usa para perfiles publicitarios, mejorar Bing ni entrenar modelos. El ejemplo de la propia Microsoft es el que me haría pensar:

Si un nombre puede acabar en esa consulta, la apagaría donde se trabaje con expedientes, y no solo por el nombre: repasa qué datos identifican en un documento. Lo que pierdes es actualidad en las respuestas. Si la dejas, tus administradores pueden auditar las consultas exactas.

Anuncios en Copilot: qué usa de tu historial y cómo apagarlos

Sin suscripción a Microsoft 365 puedes ver anuncios en la aplicación personal. Yo apagaría los personalizados el primer día: no ganas nada dejando que tus chats afinen la publicidad, y lo mismo miraría en ChatGPT si lo usas también.

En la versión anterior, la personalización viene activada donde está disponible, pero los anuncios personalizados tienen un ajuste aparte. Con cuenta de trabajo, la documentación no habla de anuncios, y Microsoft dice que las consultas web no se comparten con anunciantes.

Cómo desactivar Copilot y borrar el historial en Office, Windows y Android

Lo que apagas y lo que borras son cosas distintas, y prefiero hacer las dos. Si te preocupa lo que ya subiste, el botón importante es el del panel de privacidad. Si tiene que hacerlo más gente, escríbelo en tu política de uso de IA: de memoria no va a salir.

Reclamar por tus datos en Copilot: Microsoft Ireland y la AEPD

Con cuenta personal en Europa, los responsables son Microsoft Corporation y Microsoft Ireland Operations Limited. Yo no me complicaría con Irlanda: el artículo 77 del RGPD te da la opción de reclamar aquí, donde resides, y si toca, la autoridad de aquí se lo pasa a la irlandesa.

Así pasó en una decisión de septiembre de 2025: una queja presentada en Noruega contra Microsoft Ireland acabó en la DPC como autoridad principal. Y el anexo de Microsoft regula tu relación con Microsoft, así que a tu cliente le respondes tú: te cuento cómo informarle de que usas IA.

Lo que ninguna licencia de Copilot cubre

Supón que todos usan cuenta de trabajo, has cortado la búsqueda web y has revisado los agentes. Es el mejor Copilot posible y alguien puede seguir pegando un expediente con nombre, DNI y cuenta bancaria. Yo no contaría con que no pase. Para taparlo a mano en Word, tienes el método paso a paso.

Copilot y datos de clientes: por dónde empezaría

Contrátalo como empresa, con cuenta de Entra ID, y no te quedes ahí. No dejaría que nadie use la cuenta personal para nada del trabajo, y taparía los identificadores antes de que salgan, sea cual sea la licencia. El análisis de los demás asistentes lo tienes en las guías.

Cuando tapan cinco personas con prisa, alguien acaba saltándose el repaso, y nada avisa. Para eso existe Nonimo, una aplicación que sustituye por etiquetas el DNI o el IBAN antes de que salgan hacia Copilot. Trabaja en tu equipo, Mac o Windows, y vale también para el NIE o el número de la Seguridad Social.

Te los marca para revisarlos y, cuando pegas la respuesta, los vuelve a poner. La tabla que une cada etiqueta con su dato se queda en tu ordenador y, según el artículo 4.5 del RGPD, siguen siendo datos personales para ti. Lo que afirmamos del producto está en seguridad.

También lee en el equipo los PDF escaneados, y en una empresa la extensión llega a cada navegador por política. Si eres consultora o asesoría informática, mira la página del canal. Qué encaja con vuestro DPA lo decide tu DPD o tu abogado: esta guía solo ordena lo que publica Microsoft.

Fuentes

• Microsoft Learn, datos, privacidad y seguridad para Microsoft Copilot. Graph y permisos, entrenamiento, historial, Purview, exportación de Teams, portal Mi cuenta, Límite de Datos, supervisión de abusos, agentes, exactitud y derechos de autor.
• Soporte de Microsoft, controles de privacidad. Disponible desde el 18 de agosto de 2026, entrenamiento, borrar un chat, recuerdos, experiencia compartida y anuncios; sin plazo de conservación.
• Microsoft Learn, «Protección de datos de empresa» (DPA y encargado) y privacidad en Copilot Chat (Exchange, OneDrive, citas de 24 horas).
• Microsoft Learn, «Búsqueda web en Microsoft Copilot y Copilot Chat». Qué va a Bing, la IP, los Términos del producto, el ejemplo del administrador y la directiva.
• Microsoft Learn, «Modelos Claude de Anthropic» (valores por región, exclusión del Límite, retención de 30 días y dos años) y Copilot con modelos de Anthropic (el ajuste encendido tras el 25 de marzo de 2026).
• Microsoft Learn, «Administrar Copilot Chat» (nombres, señales de cuenta y Edge) y «Qué es el Límite de Datos de la UE» (servicios de empresa, países y Multi-Geo).
• Soporte de Microsoft, cambios en la aplicación (migración antes del 31 de diciembre de 2026), historial de actividad y preguntas de privacidad de la versión anterior (18 meses, Vision, exclusiones, países, revisión humana).
• Soporte de Microsoft, panel de privacidad y compartir conversaciones (exportar, borrar, dejar de compartir), Copilot en Microsoft 365 para el hogar y «Desactivar Copilot» (planes, historial, la casilla y lo que no se apaga).
• Microsoft, Declaración de privacidad. Microsoft Corporation y Microsoft Ireland Operations Limited como responsables en el EEE.
• GitHub, de Microsoft, aviso de cambios del 25 de marzo de 2026. Entrenamiento desde el 24 de abril; Business y Enterprise, fuera.
• GitHub, de Microsoft, Data Protection Agreement de octubre de 2025 y declaración de privacidad. Papel de GitHub y lugares; ninguna menciona el Límite.
• RGPD, texto del DOUE en el BOE. Artículos 4.5, 28, 28.2 y 77.1.
• AEPD, preguntas frecuentes sobre reclamaciones. Que para ejercer un derecho hay que dirigirse antes al responsable.
• Comité Europeo de Protección de Datos, folleto sobre la ventanilla única. Cooperación entre autoridades para que puedas reclamar desde tu país.
• Comisión de Protección de Datos de Irlanda, decisión de 1 de septiembre de 2025 sobre Microsoft Ireland. La queja presentada en Noruega y la DPC como autoridad principal.

Consultadas el 7 de noviembre de 2026.