La respuesta corta es que sí, puede serlo. Pero no de forma automática. Hay pasos que dar antes de activar Copilot en el entorno corporativo.

Qué datos procesa Copilot

Microsoft Copilot para Microsoft 365 accede a los datos del tenant de la empresa: correos, documentos, reuniones de Teams, chats, calendarios y cualquier contenido almacenado en SharePoint o OneDrive al que el usuario tenga acceso. Si esos contenidos incluyen datos personales de clientes, empleados o terceros, Copilot los procesa.

No se trata de que Copilot “lea” todos los documentos de la empresa. Accede a los datos que el usuario concreto puede ver, y genera respuestas basadas en ese contexto. Pero si un comercial tiene acceso a fichas de clientes con datos personales, Copilot puede procesar esos datos al generar un resumen o redactar un correo.

Microsoft como encargado del tratamiento

Desde el punto de vista del RGPD, Microsoft actúa como encargado del tratamiento cuando procesa datos en nombre de la empresa. El artículo 28 del RGPD exige que esa relación esté regulada mediante un contrato escrito que incluya, entre otros puntos, las instrucciones de tratamiento, las medidas de seguridad, la gestión de subencargados y los derechos de auditoría.

Microsoft incluye ese contrato (Data Processing Agreement o DPA) dentro de los términos de servicio de Microsoft 365. Está disponible en el Portal de Confianza de Servicios de Microsoft y cubre las obligaciones del artículo 28 RGPD. No es necesario negociarlo por separado: está firmado de forma implícita al contratar el servicio.

Residencia de datos y transferencias internacionales

Una pregunta habitual es dónde se procesan los datos cuando se usa Copilot. Microsoft tiene centros de datos en la UE (Irlanda y Países Bajos, principalmente) y permite configurar la residencia de datos dentro del territorio europeo para los servicios de Microsoft 365.

Sin embargo, determinados modelos de lenguaje de Copilot pueden procesar prompts fuera de la UE. Microsoft ha publicado documentación técnica sobre este punto y ofrece compromisos específicos de residencia de datos para clientes con suscripciones Enterprise. Si la empresa tiene obligaciones de localización de datos muy estrictas, es imprescindible revisar la configuración antes de activar Copilot.

Qué hay que actualizar en tu documentación RGPD

Activar Copilot no es instalar una aplicación más. Desde el punto de vista del RGPD, supone incorporar un nuevo tratamiento o modificar tratamientos existentes. Eso implica actualizar el Registro de Actividades de Tratamiento para reflejar que Copilot procesa datos en los tratamientos en los que se usa, y revisar si el DPA de Microsoft está referenciado en el registro de encargados del tratamiento.

Si la empresa tiene empleados en puestos con acceso a datos sensibles (datos de salud, datos sindicales, datos de menores), conviene evaluar si el uso de Copilot en esos contextos requiere una Evaluación de Impacto en la Protección de Datos.

Copilot bajo el AI Act

El AI Act clasifica Microsoft Copilot para Microsoft 365 como sistema de IA de propósito general (GPAI) conforme al artículo 50 del reglamento. Eso implica que Microsoft, como proveedor, tiene obligaciones de transparencia: debe informar a los usuarios cuando interactúan con un sistema de IA y etiquetar los contenidos generados artificialmente cuando corresponda.

Para las empresas que despliegan Copilot, el AI Act añade una obligación nueva desde agosto de 2026: disponer de una política interna de uso de IA. Esa política debe establecer qué usos están permitidos, qué datos pueden compartirse con la herramienta y qué controles existen para evitar que Copilot acceda a información que no debería procesar.

Copilot frente a ChatGPT Enterprise: qué cambia

La diferencia principal entre usar Copilot y usar ChatGPT Enterprise en la empresa no está en las capacidades del modelo sino en la arquitectura de datos. Copilot opera dentro del tenant de Microsoft 365 de la empresa, con los permisos y controles que ya existen en ese entorno. ChatGPT Enterprise opera sobre datos que el usuario sube o pega explícitamente en la interfaz.

Desde el RGPD, ambos pueden ser legales si se gestionan correctamente. La diferencia es que Copilot procesa automáticamente datos a los que el usuario tiene acceso en su entorno de trabajo, lo que aumenta el riesgo de que se procesen datos personales sin que el usuario sea consciente de ello. Eso hace que los controles de acceso y los permisos en Microsoft 365 sean más importantes que nunca.

Cómo activar Copilot de forma conforme

Antes de desplegar Copilot en la empresa, el proceso habitual incluye cuatro pasos: revisar y actualizar el RAT con el nuevo tratamiento, verificar que el DPA de Microsoft está referenciado en el registro de encargados, configurar la residencia de datos si la empresa lo requiere, y redactar o actualizar la política interna de uso de IA.

En Adaptación RGPD ayudamos a empresas que están activando Copilot a hacer ese proceso de forma ordenada y documentada. Si tienes dudas sobre si tu empresa está preparada, consúltanos sin compromiso.

La entrada Microsoft Copilot y RGPD: ¿es legal usar Copilot en tu empresa? se publicó primero en Adaptación RGPD.