¿Qué datos personales se generan con Copilot?
Con cada uso se generan datos que antes no existían:
- Prompts y respuestas, a menudo con nombres, casos y detalles internos.
- Historiales de chat con el asistente.
- Grabaciones de reuniones, transcripciones y resúmenes.
- Borradores y documentos creados por Copilot.
- Referencias a los contenidos en los que Copilot basa sus respuestas.
¿Qué puede ver Copilot?
Copilot accede a los contenidos para los que la persona en cuestión tiene permisos. Así debe ser, pero hace visible lo que antes estaba oculto: documentos compartidos «con todos en la organización» o «con cualquiera que tenga el enlace», repositorios antiguos con datos de personal o de salud, exportaciones olvidadas. Lo que antes nadie encontraba, Copilot lo encuentra en segundos.
Por eso, antes de la implantación conviene buscar datos personales en los repositorios y depurar los contenidos compartidos en exceso.
¿Qué exige la normativa de protección de datos?
En 2023, el PFPDT dejó claro que la ley de protección de datos vigente es directamente aplicable a las aplicaciones de IA. Rigen los principios conocidos: limitación de la finalidad, proporcionalidad y transparencia. De ellos se derivan tareas concretas:
- Incluir Copilot como tratamiento en el registro.
- Tener en cuenta los prompts y las transcripciones en las solicitudes de acceso.
- Fijar y aplicar plazos de conservación para los datos de IA.
- En caso de alto riesgo, realizar una evaluación de impacto relativa a la protección de datos (art. 22 LPD, art. 35 RGPD).
- Regular contractualmente el encargo del tratamiento por parte del proveedor (art. 9 LPD, art. 28 RGPD).
¿Cuánto tiempo pueden conservarse los prompts y las transcripciones?
No existe un plazo legal único. Lo determinante es la finalidad: una transcripción de reunión que solo sirve como recordatorio se borra antes que una que se considera acta. Microsoft 365 ofrece para ello opciones de conservación. Lo decisivo es fijar el plazo, aplicarlo y comprobar periódicamente si se cumple.
Implantar Copilot: cinco pasos
- 1Buscar datos personales en los repositorios de SharePoint, OneDrive y buzones de correo.
- 2Depurar los contenidos compartidos en exceso.
- 3Registrar y clasificar Copilot como sistema de IA.
- 4Fijar plazos para prompts y transcripciones.
- 5Comprobar periódicamente si se cumplen los plazos y las garantías.