Microsoft Purview para IA: governance, RGPD y AI Act en 2026

Microsoft Purview es la plataforma de governance y cumplimiento de datos de Microsoft que protege a las empresas del principal riesgo del despliegue de Copilot: el oversharing, es decir, que el asistente de IA exponga información confidencial almacenada en SharePoint, OneDrive o Exchange a usuarios que técnicamente tienen permisos pero que jamas habrian navegado hasta esos archivos. Purview clasifica automáticamente los datos del tenant, aplica etiquetas de sensibilidad que Copilot respeta, registra en audit logs todas las interacciones del asistente con datos protegidos y genera alertas cuando una política de prevención de pérdida de datos (DLP) se incumple. Es además el instrumento principal de cumplimiento del RGPD y del AI Act europeo en entornos Microsoft 365. Hiberus es Microsoft Partner Tier 1 y implementa Purview antes del rollout de Copilot en empresas de 100 a 1.000 empleados.

¿Qué es Microsoft Purview y cómo se relaciona con la IA?

Microsoft Purview agrupa bajo un mismo portal las herramientas de seguridad de datos, cumplimiento normativo y governance de información de Microsoft. El nombre engloba lo que antes eran productos separados: Azure Purview (catálogo de datos), Microsoft Information Protection, Microsoft Compliance Manager y las soluciones de eDiscovery, audit e Insider Risk Management.

La relación con la IA es directa y crítica. Cuando una empresa despliega Microsoft 365 Copilot, el asistente trabaja con los datos a los que tiene acceso el usuario: correos en Exchange, archivos en SharePoint y OneDrive, chats de Teams, páginas de OneNote. Si esos datos no están clasificados y sus permisos no están correctamente configurados, Copilot puede recuperar y mostrar en una respuesta información que el usuario no debería ver o que no debería salir del departamento.

Purview actúa como la capa de control que define que datos puede usar el sistema de IA, bajo que condiciones y con que nivel de registro. Las etiquetas de sensibilidad se heredan en los outputs de Copilot: si un documento esta marcado como Confidential, la respuesta que Copilot genere basándose en ese documento heredara la misma etiqueta y quedara sujeta a las mismas políticas de DLP.

Concepto clave: Purview no controla si Copilot puede usar IA; controla sobre que datos puede trabajar la IA y que rastro queda de cada interacción. Sin Purview, el deployment de Copilot es un deployment sin cinturon de seguridad.

¿Por qué necesitas Purview antes de desplegar Microsoft 365 Copilot?

El problema del oversharing no es teórico. En la mayoría de tenants Microsoft 365 con más de tres años de uso, hay una cantidad significativa de documentos almacenados con permisos más amplios de lo necesario: carpetas de SharePoint con acceso Everyone, documentos compartidos con "cualquiera que tenga el enlace", archivos de RRHH en sitios de equipo accesibles por toda la organización.

Antes de la IA, ese exceso de permisos era un riesgo latente pero poco probable: para que un empleado accediese a esos datos tenía que navegar activamente hasta ellos. Con Copilot, el acceso se vuelve trivial: el empleado pregunta "muestra los salarios del equipo de ventas del año pasado" y el asistente, si tiene permisos sobre esa carpeta, devuelve la respuesta.

El riesgo de oversharing tiene tres dimensiones:

Exposition interna. Datos de RRHH, planes estratégicos, presupuestos o acuerdos con clientes accesibles por empleados de otros departamentos que tienen permisos heredados de estructuras de SharePoint antiguas.

Exposition en respuestas de Copilot. El asistente puede incluir en una respuesta fragmentos de documentos que el usuario no había visto nunca pero a los que técnicamente tiene acceso. Esa respuesta puede copiarse, compartirse o guardarse fuera del entorno controlado.

Incumplimiento normativo. Si el documento sobreexpuesto contiene datos personales (contratos, nóminas, historiales médicos de empleados), su acceso no autorizado es un incidente bajo el RGPD que puede requerir notificación a la AEPD en menos de 72 horas.

La recomendación de Microsoft y de los principales partners es ejecutar una fase de data cleanup y configuración de Purview de entre 4 y 8 semanas antes de activar Copilot en producción. Saltarse esa fase por presión para llegar rápido al despliegue es el error más frecuente en proyectos de Copilot que acaban mal.

¿Qué hace Purview Data Security Posture Management para IA?

Purview DSPM for AI (Data Security Posture Management for AI) es el panel de control específico para supervisar como los sistemas de IA del tenant interactuan con los datos. Se activa desde el portal de Microsoft Purview y requiere tener activas las licencias de Copilot for Microsoft 365.

Las funcionalidades principales del DSPM for AI son:

Visibilidad en tiempo real. Muestra cuantas interacciones de Copilot han tocado datos clasificados como confidenciales o altamente confidenciales en las últimas 24-48 horas, con desglose por usuario, tipo de dato y ubicación del dato.

Detección de datos sin etiqueta. Identifica documentos en SharePoint y OneDrive que Copilot esta usando activamente pero que no tienen etiqueta de sensibilidad asignada, lo que significa que las políticas DLP no los protegen. Genera una lista priorizada de archivos a etiquetar.

Alertas de política. Cuando Copilot procesa datos que están bajo una política de DLP configurada (por ejemplo, documentos con números de tarjeta de crédito o datos de salud), DSPM for AI genera una alerta que llega al equipo de compliance en tiempo real.

Recomendaciones de mitigación. El panel sugiere acciones concretas: reducir permisos de determinadas carpetas de SharePoint, aplicar etiquetas automáticas a ciertos tipos de documentos, o restringir el acceso de Copilot a sitios específicos.

¿Cómo funcionan las sensitivity labels con Copilot?

Las etiquetas de sensibilidad (sensitivity labels) son el mecanismo central de clasificación de datos en Microsoft Purview. Se pueden aplicar manualmente por el usuario que crea el documento, automáticamente por reglas de clasificación basadas en contenido (número de DNI, IBAN, datos de salud, patrones personalizados) o de forma recomendada (el usuario acepta o rechaza la sugerencia del sistema).

En el contexto de Copilot, las etiquetas funcionan de dos maneras:

Herencia en outputs. Si Copilot genera un documento (un resumen en Word, una respuesta en el chat de Teams) basándose en fuentes con etiqueta de sensibilidad, el output hereda automáticamente la etiqueta más restrictiva de las fuentes usadas. Esto significa que el documento generado queda sujeto a las mismas restricciones: no se puede enviar por correo fuera del dominio, no se puede copiar a unidades no gestionadas, no se puede imprimir en impresoras no autorizadas.

Control de acceso. Las etiquetas pueden llevar asociada cifrado con Azure Information Protection. Un documento cifrado con la etiqueta Highly Confidential solo puede ser abierto por los usuarios que figuran en la lista de control de acceso, independientemente de donde este almacenado el archivo. Copilot tampoco puede usar ese documento para un usuario que no tiene acceso de descifrado.

¿Qué governance de Copilot ofrece Purview?

Además de las etiquetas y del DSPM for AI, Microsoft Purview ofrece un conjunto de herramientas específicas para gobernar el uso de Copilot en la organización:

Audit logs de Copilot. Cada interacción del usuario con Copilot (prompt enviado, fuentes de datos consultadas, respuesta generada) queda registrada en el audit log de Microsoft 365. Con la licencia de Audit Standard, los logs se conservan 90 días. Con Audit Premium (add-on E5 Compliance), hasta un año. Estos logs son imprescindibles para investigaciones internas, reclamaciones de empleados o requerimientos de autoridades regulatorias.

eDiscovery sobre conversaciones de Copilot. Si hay un litigio o una investigación interna, el equipo legal puede usar eDiscovery de Purview para buscar y exportar las conversaciones de Copilot de un usuario específico en un rango de fechas. Las conversaciones de Copilot se tratan como correo electrónico a efectos de eDiscovery.

DLP for AI. Las políticas de prevención de pérdida de datos se extienden ahora a las interacciones con Copilot. Es posible configurar una política que bloquee o avise al usuario cuando intenta pegar datos sensibles (números de tarjeta, datos de salud, información clasificada) en el prompt de Copilot. La política puede bloquear la interacción, mostrar un aviso o simplemente registrarla para revisión posterior.

Content Explorer. Permite al equipo de compliance navegar visualmente por todos los datos clasificados del tenant, ver su distribución por departamento, sitio de SharePoint o tipo de etiqueta, y detectar concentraciones anomalas de datos sensibles en ubicaciones con permisos amplios.

Communication Compliance. Módulo adicional que aplica políticas de revisión sobre las respuestas de Copilot para detectar contenido inapropiado, acoso, discriminacion o violaciones de política corporativa generados por el asistente o en conversaciones donde participaron usuarios con Copilot activo.

Caso practico: Una empresa del sector retail con 800 empleados despliega Copilot sin Purview. En la tercera semana, un responsable de tienda obtiene vía Copilot el listado de salarios de los coordinadores de su región porque esos datos estaban en un SharePoint de RRHH al que el tenía acceso heredado desde una migración de tres años atras. Con Purview, ese documento habría tenido etiqueta Highly Confidential, permisos restringidos al equipo de RRHH y una alerta automática al intentar acceder a el vía Copilot.

¿Cómo cumple Purview con el RGPD y el AI Act?

El RGPD (Reglamento General de Protección de Datos) y el AI Act europeo imponen obligaciones distintas pero complementarias que Purview ayuda a satisfacer:

RGPD — minimización de datos y trazabilidad. El principio de minimización exige que los sistemas solo accedan a los datos estrictamente necesarios para su función. Las políticas DLP y las etiquetas de sensibilidad de Purview permiten definir que tipos de datos puede y no puede procesar Copilot. Los audit logs satisfacen el requisito de trazabilidad: se puede demostrar que datos proceso el sistema, cuando y para que usuario.

RGPD — respuesta a incidentes. Si se detecta un acceso no autorizado a datos personales por vía de Copilot, el audit log de Purview proporciona la evidencia necesaria para evaluar el alcance del incidente y notificarlo a la AEPD en el plazo de 72 horas que exige el reglamento.

AI Act — documentación y supervisión humana. El AI Act clasifica Microsoft 365 Copilot como sistema de IA de riesgo limitado, lo que requiere transparencia (el usuario sabe que interactúa con IA) y cierto nivel de trazabilidad. Para sectores con sistemas de IA de riesgo alto (ciertos usos en salud, sector público, infraestructuras críticas), los requisitos son más estrictos: logs completos, posibilidad de intervención humana, evaluación de riesgos documentada. Purview cubre la capa de logs y la capacidad de auditoría; la evaluación de riesgos y la documentación técnica del sistema son responsabilidad del operador y requieren herramientas adicionales.

Compliance Manager. Purview incluye Compliance Manager, una herramienta que traduce los requisitos del RGPD, ISO 27001, ENS (Esquema Nacional de Seguridad) y otras normativas en acciones concretas con puntuación de progreso. Permite al equipo de compliance ver de un vistazo que controles están implementados, cuáles están en progreso y cuáles son críticos.

¿Cuánto cuesta Microsoft Purview en 2026?

Los módulos de Purview se distribuyen entre varias capas de licencia:

Para la mayoría de empresas medianas en España con licencias M365 E3, el primer paso es activar los módulos ya incluidos (etiquetas, DLP estándar, audit 90 días) antes de considerar el salto a E5 Compliance. Una implementación básica de Purview pre-Copilot con E3 es completamente funcional para gestionar el riesgo de oversharing en la mayoría de los casos.

¿Cómo implementar Purview antes de desplegar Copilot en una empresa de 100 a 1.000 empleados?

La secuencia recomendada por Microsoft y los principales partners de implementación en 2026 sigue cuatro fases:

Fase 1 — Descubrimiento y clasificación de datos (semanas 1-2). Activar el escaner de clasificación automática de Purview sobre SharePoint, OneDrive y Exchange. El objetivo es obtener un mapa de donde están los datos sensibles: cuantos documentos contienen datos personales, financieros o de salud, en que sitios están almacenados y con que permisos. Esta fase suele revelar que entre el 15% y el 30% de los documentos de una empresa tienen permisos más amplios de lo necesario.

Fase 2 — Diseño y despliegue de etiquetas (semanas 3-4). Definir la taxonomia de etiquetas (típicamente 4-6 niveles: Public, General, Confidential, Highly Confidential, con posibles sublabels por departamento o tipo de dato). Configurar las reglas de clasificación automática y recomendada. Comunicar a los usuarios el nuevo sistema antes de activarlo. Una taxonomia excesivamente compleja (más de 8-10 etiquetas) genera confusión y abandono.

Fase 3 — Políticas DLP y permisos (semanas 5-6). Configurar las políticas DLP para los patrones de datos más críticos: datos de salud, números de identificación fiscal, datos de tarjetas de pago. Revisar y corregir los permisos de los sitios de SharePoint con mayor concentración de datos sensibles detectados en la fase 1. Activar DSPM for AI si las licencias de Copilot ya están disponibles.

Fase 4 — Activación de Copilot y monitoring (semana 7 en adelante). Desplegar Copilot sobre la infraestructura de Purview ya configurada. Establecer un proceso de revisión semanal o quincenal del dashboard de DSPM for AI durante el primer mes. Ajustar políticas según los patrones de uso reales.

Dato: Según datos de despliegues en el mercado español (2025-2026), las empresas que ejecutan la fase de Purview antes de Copilot tienen un 60% menos de tickets de seguridad en los primeros 90 días de uso del asistente, comparadas con las que activaron Copilot directamente.

¿Hiberus implementa Microsoft Purview y governance IA?

Si. Hiberus Booster es Microsoft Partner Tier 1 especializado en despliegues de IA responsable en empresas españolas de sector industrial, retail, salud, energía y sector público. El servicio de governance IA de Hiberus incluye:

Auditoría inicial del estado de permisos y datos del tenant de Microsoft 365. Diseño de la taxonomia de etiquetas de sensibilidad adaptada al sector y a la regulación aplicable (RGPD, ENS, AI Act, normativa sectorial). Configuración de políticas DLP para los patrones de datos más críticos de la organización. Activación y configuración del dashboard DSPM for AI. Formación del equipo de compliance para operar el entorno de Purview de forma autónoma tras la implementación. Acompañamiento durante el primer mes de Copilot en producción para ajustar políticas según el uso real.

El servicio de governance IA de Hiberus garantiza que la empresa llega al día de activación de Copilot con el riesgo de oversharing minimizado, los registros de auditoría operativos y la documentación necesaria para demostrar cumplimiento del RGPD y del AI Act ante una inspección.