← Back to Blog

Microsoft Copilot lee sus documentos de Office.
Qué significa esto para el GDPR.

Microsoft 365 Copilot está implantado en aproximadamente el 70% de las empresas de Fortune 500. Cuando un usuario invoca Copilot en Word, Excel u Outlook, todo el documento o hilo de correo se envía como contexto al Azure OpenAI Service de Microsoft. Si ese documento contiene datos personales —nombres de clientes, historiales médicos, datos financieros, archivos de recursos humanos—, se aplican las obligaciones del GDPR para los encargados del tratamiento. Esto es lo que los equipos legales y de desarrollo necesitan saber.

Cómo procesa Copilot los datos de sus documentos

Cuando pide a Copilot que resuma un documento de Word, redacte una respuesta en Outlook o genere un gráfico a partir de datos de Excel, el asistente de IA recibe el contenido relevante del documento como parte del contexto del prompt. Este contexto se envía al Azure OpenAI Service —la infraestructura de modelos de lenguaje de gran tamaño alojada por Microsoft— para su procesamiento.

La documentación de tratamiento de datos de Microsoft confirma que el contenido de los documentos utilizado con Copilot es procesado por Azure OpenAI Service conforme al Addendum de Protección de Datos de Productos y Servicios de Microsoft (DPA). Esto significa que Copilot actúa como encargado del tratamiento según el art. 4(8) del GDPR: una entidad que trata datos personales por cuenta del responsable del tratamiento (su organización).

For most organisations with active Microsoft 365 enterprise agreements, the DPA is already in place — it's part of the standard licensing terms. But the existence of a DPA doesn't automatically make Copilot usage GDPR-compliant. The controller (your organisation) remains responsible for ensuring:

• A lawful basis exists for the processing (GDPR Art. 6)
• Special category data (health, biometric, political opinion — Art. 9) is handled with additional safeguards
• Data minimisation applies — only necessary data reaches Copilot (Art. 5(1)(c))
• International transfer safeguards are in place if Azure processing occurs outside the EEA (Art. 44)

Where Copilot creates compliance risk: five scenarios

1. HR files in Word

An HR manager uses Copilot to draft an employee review, summarise disciplinary proceedings, or generate a report from a spreadsheet containing salary data. The document contains names, national identification numbers, health information, or union membership status — all special category data under GDPR Art. 9.

Special category data processing requires explicit consent or one of the Art. 9(2) exceptions. Using Copilot to process it requires that the DPA explicitly covers special category data handling — which standard Microsoft DPAs do, but which many organisations have not specifically reviewed for Copilot workflows.

2. Client contracts in Word

A legal team uses Copilot to redline a client contract, extract key terms, or generate a summary. The contract contains the client's personal data: name, address, email, potentially financial information. Forwarding this to Azure OpenAI for processing constitutes data processing on behalf of the controller — with the client as data subject.

If your privacy policy does not disclose that client data may be processed by AI services, and your client contracts don't contemplate sub-processing, this creates a transparency violation under Art. 13/14.

3. Historiales de pacientes en Excel

Una organización sanitaria usa Copilot para analizar datos de resultados de pacientes en Excel, generar informes de cumplimiento o crear gráficos para presentaciones clínicas. Los datos de salud son categoría especial según el art. 9. Procesarlos con Copilot exige tanto el DPA estándar como el cumplimiento de la normativa aplicable de tratamiento de datos sanitarios (por ejemplo, el UK DSPT o la BDSG alemana).

4. Financial data across jurisdictions

A finance team uses Copilot to process spreadsheets containing account numbers, transaction histories, or tax identifiers. Azure OpenAI Service may process this data in US-based data centres depending on the tenant configuration. Under GDPR Chapter V, international transfers require either an adequacy decision or standard contractual clauses (SCCs).

Microsoft's DPA includes SCCs for international transfers, but organisations must verify that their specific Azure region configuration keeps EU data within the EEA — or that the applicable SCC framework covers their use case.

5. Email threads in Outlook Copilot

Copilot in Outlook can summarise email threads, draft replies, and analyse correspondence. Email threads often contain unstructured PII — names, contact details, negotiation terms, health information shared informally. This PII enters Copilot's context without any structured data handling review.

Copilot's built-in privacy controls: what they cover (and don't)

Microsoft provides several data governance controls for Copilot:

• Zero Data Retention (ZDR): Prompts and responses not retained beyond the session. Available for enterprise tenants with commercial data protection commitments.
• Sensitivity labels: Microsoft Information Protection labels can restrict which documents Copilot is allowed to access.
• Restricted SharePoint access: Copilot respects existing SharePoint permissions — it cannot access documents the user cannot access.
• EU Data Boundary: Available for some Microsoft 365 services — keeps processing and storage within the EU for qualifying tenants.

These controls address storage and access scope. They do not address the content layer: even with ZDR enabled, the document content (including all PII) is still sent to Azure OpenAI for processing during the session. The question is not whether Copilot retains your data — it's whether sending PII-rich documents to a cloud AI for processing is appropriate for your data classification and legal basis.

The data minimisation approach: anonymize before prompting

La forma más directa de hacer que el uso de Copilot cumpla con el GDPR —sin restringir su utilidad— es aplicar la minimización de datos a nivel de documento antes de invocar Copilot. Esto es exactamente para lo que está diseñado el Office Add-in de anonymize.dev.

El flujo de trabajo es: (1) abra su documento, (2) use el Add-in para anonimizar los datos personales —los nombres se convierten en [PERSON_1], los correos electrónicos en [EMAIL_1], los números de cuenta en [IBAN_1]—, (3) invoque Copilot sobre el documento anonimizado, (4) restaure los datos reales con un solo clic mediante el almacén cifrado de correspondencias del Add-in.

Copilot funciona con el contexto completo y genera resultados igualmente útiles: simplemente procesa texto limpio y anonimizado en lugar de datos personales identificables. Lo único que Copilot no ve son los datos personales que, en primer lugar, no necesitaba ver.

Qué significa esto para su EIPD

Si su organización no ha realizado una EIPD para el uso de Microsoft 365 Copilot, las siguientes actividades de tratamiento requieren revisión:

1. Tipos de documentos en el alcance: Inventaríe qué categorías de documentos se abren habitualmente mientras Copilot está activo. Los archivos de RR. HH., los contratos con clientes y los historiales médicos requieren un tratamiento de EIPD distinto al de la documentación de procesos internos.
2. Interesados afectados: Identifique qué categorías de datos de interesados llegan a Copilot: empleados, clientes, pacientes, clientes potenciales. Cada categoría puede tener bases jurídicas y obligaciones de transparencia distintas.
3. Cadena de subencargados: Documente que Azure OpenAI Service es un subencargado del tratamiento conforme a su DPA con Microsoft, y que se cumplen las obligaciones de notificación a los interesados sobre subencargados (o que están cubiertas por el aviso de tratamiento).
4. Tratamiento del riesgo residual: Para las categorías de tratamiento de alto riesgo (datos de categoría especial del art. 9, elaboración de perfiles a gran escala), documente los controles técnicos aplicados —incluida la anonimización a nivel de documento— como medidas mitigadoras que reducen el riesgo residual a niveles aceptables.

Pasos prácticos para un uso de Copilot conforme al GDPR

• Realice una EIPD específica para Copilot — utilizando como punto de partida las plantillas de evaluación de preparación para IA de Microsoft, ampliadas para cubrir sus categorías de documentos y sus interesados específicos.
• Active el límite de datos de la UE para los tenants con interesados en el EEE, si está disponible en su nivel de licencia.
• Revise las etiquetas de confidencialidad — Asegúrese de que los documentos con datos de categoría especial del art. 9 tengan etiquetas que restrinjan el acceso de Copilot o que marquen la anonimización obligatoria antes de usar la IA.
• Despliegue el Office Add-in de anonymize.dev para los miembros del equipo que trabajan habitualmente con documentos de alta sensibilidad — RR. HH., legal, finanzas, sanidad. Fórmelos en el flujo de trabajo de anonimizar y luego invocar.
• Actualice su aviso de privacidad para revelar el tratamiento de documentos asistido por IA como actividad de tratamiento, indicar a Azure OpenAI Service (Microsoft) como subencargado y describir los controles aplicados.
• Forme al personal sobre qué tipos de documentos requieren anonimización antes de usar Copilot. Las políticas basadas en clasificación («nunca use Copilot en documentos etiquetados como Confidencial sin anonimizar antes») son más prácticas que las restricciones generales.