Configuró una directiva de Prevención de pérdida de datos en el portal de cumplimiento de Microsoft 365 Purview, pero Copilot sigue devolviendo contenido que contiene números de tarjetas de crédito, números de seguridad social u otra información confidencial. Este problema suele ocurrir porque la directiva DLP no incluye la carga de trabajo de Copilot o porque la directiva usa una regla de detección que Copilot no puede evaluar en tiempo real. Este artículo explica por qué la directiva DLP no bloquea contenido confidencial en las interacciones de Copilot y proporciona los pasos exactos para verificar, actualizar y probar la directiva para que Copilot respete sus reglas de protección de datos.
Puntos clave: Solución de brechas en la directiva DLP de Copilot
- Portal de cumplimiento de Microsoft Purview > Prevención de pérdida de datos > Directivas > Editar directiva > Ubicaciones > Copilot: La carga de trabajo de Copilot debe seleccionarse explícitamente como una ubicación para que la directiva DLP se aplique a las respuestas de Copilot.
- Portal de cumplimiento de Microsoft Purview > Prevención de pérdida de datos > Directivas > Editar directiva > Reglas > Condición > El contenido contiene tipos de información confidencial: Use una regla de alta confianza con el tipo de información confidencial correcto y un recuento mínimo de 1 para garantizar la detección.
- Portal de cumplimiento de Microsoft Purview > Prevención de pérdida de datos > Directivas > Editar directiva > Reglas > Acción > Bloquear acceso o restringir: Establezca la acción en “Bloquear” y habilite la notificación al usuario final para informar a los usuarios cuando se bloquee el contenido.
Por qué Copilot ignora su directiva DLP
Microsoft 365 Copilot es una carga de trabajo que procesa datos de Microsoft Graph, SharePoint, OneDrive y Exchange Online. Una directiva DLP que se aplica a Exchange, SharePoint y OneDrive no se aplica automáticamente a Copilot. La directiva debe incluir la ubicación Copilot en el ámbito de la directiva. Incluso si se incluye la ubicación, la regla de la directiva debe usar un tipo de información confidencial que Copilot pueda detectar durante la generación de la respuesta. Copilot evalúa las reglas DLP cuando devuelve contenido al usuario, no cuando el usuario introduce un mensaje. Si la regla usa un tipo de información confidencial personalizado que no está indexado o usa un recuento mínimo demasiado alto, Copilot no detectará la infracción y mostrará el contenido confidencial.
Ubicación de la directiva no seleccionada
La causa más común es que la directiva DLP se creó antes de que Copilot se agregara como carga de trabajo en Purview. Las directivas más antiguas se dirigen a Exchange, SharePoint, OneDrive y Teams, pero no incluyen Copilot. Debe editar la directiva y agregar la ubicación de Copilot.
Tipo de información confidencial o umbral incorrecto
Copilot usa los mismos tipos de información confidencial que están disponibles en Purview. Si la regla usa un tipo personalizado sin un nivel de confianza publicado o establece un recuento mínimo de 5 o superior, es posible que Copilot no clasifique el contenido como confidencial. Use un tipo integrado con nivel de confianza alto y recuento mínimo 1.
Acción establecida en Auditar en lugar de Bloquear
Una directiva DLP en modo de auditoría registra las infracciones pero no bloquea el contenido. Si la acción de la directiva se establece en “Solo auditar” o “Notificar al usuario” sin bloquear, Copilot devolverá el contenido confidencial y solo registrará el evento. Cambie la acción a “Bloquear” para evitar que Copilot muestre el contenido.
Pasos para corregir la directiva DLP de Copilot
Siga estos pasos para verificar y corregir la directiva DLP para Copilot. Necesita el rol de Administrador de protección de información o un rol con permisos de administración de DLP en el portal de cumplimiento de Microsoft 365 Purview.
- Abra el portal de cumplimiento de Microsoft Purview
Vaya a https://compliance.microsoft.com e inicie sesión con su cuenta de administrador. En la navegación izquierda, seleccione Prevención de pérdida de datos y luego Directivas. - Seleccione la directiva que debe bloquear contenido confidencial en Copilot
Busque el nombre de la directiva en la lista. Si no tiene una directiva dirigida a Copilot, cree una nueva haciendo clic en Crear directiva y elija Personalizada. Para esta solución, edite la directiva existente haciendo clic en el nombre de la directiva. - Verifique que las ubicaciones de la directiva incluyan Copilot
En el editor de directivas, vaya a Ubicaciones. Asegúrese de que la carga de trabajo Copilot esté activada en Activado. Si está desactivada, actívela. También verifique que Exchange, SharePoint y OneDrive estén activados, ya que Copilot puede hacer referencia a datos de esas fuentes. Haga clic en Siguiente. - Verifique las condiciones de la regla y el tipo de información confidencial
Vaya a Reglas. Haga clic en el nombre de la regla para editarla. En Condiciones, busque El contenido contiene tipos de información confidencial. Haga clic en Agregar si falta. Seleccione un tipo de información confidencial integrado, como Número de seguridad social de EE. UU. o Número de tarjeta de crédito. Establezca el Recuento mínimo en 1 y el Nivel de confianza en Alto. Haga clic en Guardar. - Establezca la acción para bloquear
Aún en el editor de reglas, desplácese hasta Acciones. Seleccione Bloquear acceso o restringir. En Bloquear acceso, elija Bloquear el acceso al contenido. Habilite Notificar a los usuarios y personalice el texto de la notificación para que los usuarios entiendan por qué se bloquea el contenido. Haga clic en Guardar y luego en Siguiente. - Revise y guarde la directiva
Revise el resumen de la directiva. Confirme que el modo de la directiva esté establecido en Activar la directiva inmediatamente o Modo de prueba con notificaciones. Si usa el modo de prueba, asegúrese de que la acción esté configurada para bloquear. Haga clic en Enviar. - Pruebe la directiva con Copilot
Abra Copilot en Microsoft 365 y escriba un mensaje que incluya un patrón de datos confidenciales conocido, por ejemplo, un número de tarjeta de crédito de 16 dígitos. Copilot debe bloquear la respuesta y mostrar el mensaje de notificación que configuró. Si no bloquea, espere hasta 24 horas para la replicación de la directiva y vuelva a probar.
Si Copilot sigue mostrando contenido confidencial después de la solución
Si la directiva DLP está configurada correctamente pero Copilot sigue devolviendo contenido confidencial, verifique estos factores adicionales.
Copilot usa un inquilino o una fuente de datos diferente
Si el usuario accede a Copilot desde una cuenta personal de Microsoft o un inquilino diferente, la directiva DLP de su organización no se aplica. Asegúrese de que el usuario haya iniciado sesión con su cuenta profesional o educativa y que la carga de trabajo de Copilot esté habilitada en el mismo inquilino donde se implementa la directiva.
El tipo de información confidencial no es compatible con Copilot
Microsoft publica una lista de tipos de información confidencial que Copilot puede evaluar. Es posible que los tipos de información confidencial personalizados que usan patrones regex sin una lista de palabras clave no funcionen. Use un tipo integrado o agregue una lista de palabras clave al tipo personalizado. Consulte la documentación de Microsoft para obtener la lista de tipos compatibles.
Retraso en la replicación de la directiva
Los cambios en la directiva DLP pueden tardar hasta 24 horas en replicarse en todos los servicios de Microsoft 365. Si probó inmediatamente después de guardar, espere y vuelva a probar después de 24 horas. Puede verificar el estado de la directiva en el portal de Purview en Prevención de pérdida de datos > Directivas. El estado debe mostrar Activa.
No se muestra la notificación al usuario final
Si la acción está configurada para bloquear, el contenido se bloquea incluso si la notificación no aparece. Verifique el registro de auditoría en Purview en Auditoría > Búsqueda para ver las coincidencias de reglas DLP. Si el registro de auditoría muestra una coincidencia, la directiva funciona, pero la notificación puede estar suprimida por la configuración del navegador o del cliente del usuario.
| Elemento | Directiva DLP sin ubicación de Copilot | Directiva DLP con ubicación de Copilot |
|---|---|---|
| Ámbito | Exchange, SharePoint, OneDrive, Teams | Exchange, SharePoint, OneDrive, Teams, Copilot |
| Efecto en Copilot | Sin aplicación; se devuelve contenido confidencial | El contenido se bloquea cuando se detectan datos confidenciales |
| Momento de la detección | Se evalúa solo en datos almacenados | Se evalúa en la respuesta de Copilot antes de mostrarla |
| Notificación al usuario | No aplicable | Muestra un mensaje de bloqueo con sugerencia de directiva |
| Registro de auditoría | Registra infracciones de Exchange, SharePoint, OneDrive | Registra infracciones de todas las cargas de trabajo, incluida Copilot |
Ahora puede verificar que su directiva DLP incluya la carga de trabajo de Copilot, use un tipo de información confidencial de alta confianza con un recuento mínimo de 1 y establezca la acción para bloquear. Después de guardar la directiva, pruébela con un patrón confidencial conocido y espere hasta 24 horas para la replicación. Para una protección avanzada, configure varias reglas para diferentes tipos de información confidencial y habilite la notificación al usuario final con un mensaje personalizado que dirija a los usuarios a sus directrices de protección de datos.