Copilot en la empresa: qué ve, dónde trata los datos y cuándo buscar otra cosa
Empezamos por un consejo que quizá no espera de quien vende una alternativa: si en su empresa la gente pasa el día en Outlook, Word y Teams, pruebe primero Copilot. Tiene sentido buscar otra herramienta si quiere decidir usted, proyecto a proyecto, qué modelo ve qué datos, o si hay trabajo que no debería llegar nunca a un proveedor de modelos externo.
Un apunte de nombres: en su documentación técnica Microsoft ya llama al producto «Microsoft Copilot», y sus páginas comerciales en español siguen con «Microsoft 365 Copilot».
Lo que Copilot ve y a dónde lo manda
| Pregunta | Lo que dice Microsoft |
|---|---|
| ¿A qué datos accede? | A contenido y contexto a través de Microsoft Graph; solo muestra datos de la organización sobre los que cada usuario tiene al menos permiso de visualización |
| ¿Dónde se procesa para clientes de la UE? | «Para los clientes de la UE, Microsoft Copilot es un servicio de límites de datos de la UE»; en picos de uso puede llamar a otras regiones con capacidad, pero el tráfico de la UE permanece dentro del Límite de datos de la UE |
| Excepciones al Límite de datos de la UE | Las consultas de búsqueda web y los modelos de Anthropic |
| Modelos de OpenAI | Subencargado desde el 23/06/2026; incluidos en el Límite de datos de la UE; activados por defecto para clientes comerciales elegibles desde el 24/07/2026, salvo que el administrador los desactive |
| Modelos de Anthropic | Desactivados por defecto para clientes dentro del Límite de datos de la UE |
| ¿Procesamiento dentro de España? | Anunciado en noviembre de 2025 para 2026; en la actualización del 03/04/2026 España ya no figura entre los países previstos |
| ¿Entrenan con nuestros datos? | Mensajes, respuestas y datos de Graph no se usan para entrenar los modelos básicos |
| Licencia | Complemento de Microsoft 365; hace falta una suscripción válida. Copilot Chat está incluido sin coste adicional para usuarios con suscripción |
Ojo a la primera fila. Copilot enseña a cada persona lo que esa persona ya podía abrir, y en muchas empresas eso incluye carpetas de SharePoint compartidas con toda la organización desde hace años, con nóminas o actas dentro. Conviene revisar esos permisos antes de repartir licencias; para lo que quede, Purview ofrece etiquetas de confidencialidad y reglas de DLP que pueden impedir que Copilot responda cuando el mensaje lleva datos sensibles. La retención, otra de las preguntas que la AEPD se hace antes de contratar IA generativa, también depende de cómo tenga configurado Purview.
Copilot y Myra AI Workspace, punto por punto
| Criterio | Microsoft 365 Copilot | Myra AI Workspace |
|---|---|---|
| Dónde trabaja | Dentro de Word, Excel, PowerPoint, Outlook y Teams | Aplicación web propia; exporta en formatos de Office y OpenDocument, sin integración dentro de Word u Outlook |
| Modelos | Modelos operados por Microsoft, más OpenAI y Anthropic como subencargados | Modelos alojados por Myra en su infraestructura de la UE y, si la organización lo permite, modelos internacionales |
| Control de modelos | Por usuario o grupo de seguridad de Entra ID | Por proyecto: en «Local only» solo modelos de Myra, sin búsqueda web ni herramientas externas (en planes de pago en autoservicio, con el paquete «EU-Gov») |
| Datos personales en la consulta | Purview DLP puede impedir la respuesta si el mensaje contiene tipos de información sensible | Seudonimización: nombres, IBAN y otros datos se sustituyen por marcadores antes del modelo externo y se reponen en la respuesta; soporte completo en alemán e inglés, en español con menor fiabilidad |
| Región | Límite de datos de la UE activo por defecto para clientes de la UE, con las excepciones citadas | Enrutamiento solo a proveedores de la región UE, desactivado de serie; los modelos de Myra funcionan en su infraestructura de la UE |
| Registro | Auditoría automática de quién interactuó con Copilot, cuándo y dónde | Cambios de administración y eventos de seguridad (con cadena hash a petición); sin vista propia para los administradores del cliente. El registro de peticiones guarda por defecto también consulta y respuesta; se puede desactivar |
| Entrenamiento | Sin entrenamiento de modelos básicos con mensajes ni datos de Graph | Myra no usa datos de clientes para entrenar modelos; con modelos externos rigen sus condiciones |
| Certificaciones | Según Microsoft, entre otras ISO 27001 e ISO 42001 | ISO 27001 sobre IT-Grundschutz, IDW PS 951 tipo 2, PCI-DSS nivel 1; infraestructura de Myra con atestado C5 tipo 2 (cubre la infraestructura, no la aplicación) |
| Idioma de la interfaz | Español | Alemán e inglés |
Quien trabaja por completo en Microsoft 365 y quiere seguir ahí, está bien servido con Copilot. Quien quiere decidir por sí mismo qué modelo ve qué datos, necesita otra cosa. Sascha Schumann, CEO Myra Security
Cuál encaja en su caso
| Situación | Nuestra recomendación |
|---|---|
| La plantilla trabaja casi todo el día en Outlook, Word y Teams | Copilot |
| Necesita menús en español para todo el personal | Copilot (la interfaz de Myra está en alemán y en inglés) |
| Ya tiene Purview con etiquetas y DLP en marcha | Copilot, aprovechando esa base |
| Lo delicado es el expediente, no la persona (despachos, personal, I+D) | Myra: el control va por proyecto, y un proyecto «Local only» rechaza cualquier petición a la nube |
| Quiere que la gente siga trabajando cuando aparece un dato personal, en vez de bloquear la respuesta | Myra, con seudonimización; para datos que no deben salir nunca, mejor un proyecto «Local only» |
| Quiere combinar modelos propios en la UE con modelos internacionales según el caso | Myra |
De todo esto queda una idea. Copilot pregunta quién puede usar qué modelo; nosotros preguntamos en qué proyecto se está trabajando. Si sus datos sensibles se reparten por personas, lo primero le irá bien. Si se reparten por asuntos, como pasa en un despacho de abogados o en un departamento de personal, le costará menos lo segundo.
El resto del producto está en Myra AI Workspace, y para despachos tiene la guía ChatGPT para abogados.
Preguntas frecuentes
¿Microsoft 365 Copilot cumple el RGPD?
Microsoft lo presta como encargado del tratamiento bajo su adenda de protección de datos y, para clientes de la UE, dentro del Límite de datos de la UE, salvo la búsqueda web y los modelos de Anthropic. Que su uso concreto cumpla el RGPD depende de cosas que solo controla usted, como los permisos de SharePoint, los modelos que deja activos o si le toca hacer una evaluación de impacto.
¿Se puede usar Copilot sin que los datos salgan de España?
A fecha de hoy, no con esa seguridad: España salió de la lista de procesamiento dentro del país en abril de 2026 y lo que aplica es el Límite de datos de la UE. Con nosotros tampoco, para ser justos. Los modelos de Myra funcionan en nuestra infraestructura de la UE, y operar en otros países, también en España, es posible en principio bajo petición, sin una fecha que podamos prometer en esta página.
Fuentes
- Microsoft Learn: datos, privacidad y seguridad de Microsoft Copilot, consultado el 12/10/2026
- Microsoft Learn: Enterprise data protection in Microsoft Copilot (en inglés), consultado el 12/10/2026
- Microsoft Learn: Anthropic as a subprocessor for Microsoft Copilot (en inglés), consultado el 12/10/2026
- Microsoft Learn: OpenAI as a subprocessor for Microsoft Copilot (en inglés), consultado el 12/10/2026
- Microsoft: in-country data processing for Microsoft 365 Copilot (04/11/2025, actualización del 03/04/2026, en inglés), consultado el 12/10/2026
- Microsoft Learn: DLP for Microsoft 365 Copilot (en inglés), consultado el 12/10/2026
- Microsoft Learn: Audit logs for Copilot and AI applications (en inglés), consultado el 12/10/2026
- Microsoft: Microsoft 365 Copilot para empresas, consultado el 12/10/2026
- Microsoft: Microsoft 365 Copilot Business, consultado el 12/10/2026
- AEPD: Política general para el uso de IA generativa en procesos administrativos de la AEPD (27/11/2025), consultado el 12/10/2026
- Ley 3/1991, de Competencia Desleal, art. 10, consultado el 12/10/2026