Cuando exporta registros de auditoría desde Microsoft 365 Purview para revisar las interacciones de Copilot, el archivo CSV o JSON exportado puede contener metadatos como marcas de tiempo y nombres de documentos, pero mostrar celdas vacías o valores nulos para los mensajes reales del usuario. Esto hace imposible verificar lo que los usuarios escribieron, lo que Copilot respondió o qué datos de fundamento se utilizaron. La causa raíz es una configuración predeterminada de registro de auditoría de Purview que excluye la columna de carga útil del mensaje de las exportaciones. Este artículo explica cómo ajustar el esquema de exportación y qué comando de PowerShell fuerza la inclusión del texto del mensaje en sus registros de auditoría.
Puntos clave: Recuperar mensajes de usuario de Copilot faltantes en los registros de auditoría
- Licencia de auditoría de Purview (Premium): Se requiere para exportar la columna AuditData que contiene los mensajes del usuario. Se necesita licencia E5 o complemento.
- Search-UnifiedAuditLog -ResultSize 5000 -SessionId “Export” | Export-Csv: Cmdlet de PowerShell que fuerza la inclusión de la columna AuditData en la exportación.
- Portal de Purview > Auditoría > Búsqueda > Exportar > Exportar todos los resultados: Método de la interfaz web que exporta solo las columnas visibles; NO incluye AuditData de forma predeterminada.
Por qué faltan los mensajes de usuario de Copilot en las exportaciones del registro de auditoría
La auditoría de Microsoft 365 Purview almacena las interacciones de Copilot en la columna AuditData como un objeto JSON. Esta columna contiene el mensaje del usuario, la respuesta de Copilot y los documentos de fundamento utilizados. Cuando exporta registros de auditoría a través de la interfaz web de Purview, la función de exportación solo incluye las columnas mostradas en la cuadrícula de resultados de búsqueda. La columna AuditData está oculta de forma predeterminada porque contiene grandes bloques JSON que ralentizan la representación del navegador.
El formato de exportación también importa. El archivo CSV generado por la interfaz web elimina los campos JSON anidados. La exportación JSON conserva la columna AuditData, pero muchos administradores no seleccionan la opción JSON. En ambos casos, el texto del mensaje del usuario está presente en los datos sin procesar, pero se filtra durante el proceso de exportación.
Requisito de licencia para el acceso a AuditData
Solo los inquilinos con una licencia Microsoft 365 E5 o el complemento Audit (Premium) pueden exportar la columna AuditData completa. Los inquilinos con planes E3 o Business Premium ven una versión truncada de AuditData que excluye el contenido del mensaje de Copilot. Si su inquilino carece de la licencia requerida, el texto del mensaje siempre aparecerá como nulo independientemente del método de exportación.
Pasos para exportar registros de auditoría de Copilot con mensajes de usuario
Utilice uno de los dos métodos a continuación. El método 1 utiliza la interfaz web de Purview con formato JSON. El método 2 utiliza PowerShell y es la única forma confiable de obtener todos los datos del mensaje en un solo archivo CSV.
Método 1: Exportar a JSON desde el portal de Purview
- Abrir la búsqueda de auditoría de Purview
Vaya al portal de cumplimiento de Microsoft Purview en compliance.microsoft.com. Seleccione Auditoría en Soluciones. - Ejecutar una búsqueda específica de Copilot
Establezca el rango de fechas para cubrir el período con mensajes faltantes. En Actividades, seleccione Interacciones de Copilot o escriba Copilot en la barra de búsqueda. Haga clic en Buscar. - Cambiar el formato de exportación a JSON
Una vez finalizada la búsqueda, haga clic en Exportar en la parte superior del panel de resultados. En el menú desplegable, elija Exportar todos los resultados en formato JSON. No seleccione CSV. - Abrir el archivo JSON
Abra el archivo .json descargado en un editor de texto o un visor de JSON. Cada registro contiene un campo AuditData. Dentro de ese campo, busque CopilotPrompt o UserPrompt para ver el texto completo del mensaje.
El método JSON conserva la columna AuditData. La desventaja es que los archivos JSON son más difíciles de analizar en Excel sin un script de aplanamiento.
Método 2: Exportar con PowerShell incluyendo la columna AuditData
Este método fuerza la inclusión de la columna AuditData en una exportación CSV. Solo funciona con licencias Audit (Premium).
- Conectar a Exchange Online PowerShell
Abra Windows PowerShell como Administrador. Ejecute Connect-ExchangeOnline e inicie sesión con una cuenta de Administrador global o Administrador de cumplimiento. - Ejecutar el cmdlet de búsqueda de registros de auditoría
Ejecute el siguiente comando. Reemplace los valores StartDate y EndDate con su rango objetivo.Search-UnifiedAuditLog -StartDate "2025-01-01" -EndDate "2025-01-31" -ResultSize 5000 -SessionId "CopilotExport" -Operations "CopilotInteraction" | Export-Csv -Path "C:\Audit\CopilotAudit.csv" -NoTypeInformation - Verificar que la exportación contenga datos del mensaje
Abra el archivo CSV en Excel. Busque la columna AuditData. Cada celda contiene una cadena JSON. Utilice la consulta Desde JSON de Excel en Power Query para analizar el campo del mensaje en una columna legible. - Aumentar el tamaño del resultado si es necesario
Si tiene más de 5000 registros, ejecute el mismo comando con un rango de fechas más pequeño y use el parámetro -SessionId para reanudar desde el último registro. El ID de sesión garantiza que no haya duplicados.
Si los mensajes de Copilot siguen faltando después de la exportación
El registro de auditoría de Copilot no muestra ningún resultado
Si la búsqueda de auditoría devuelve cero registros, es posible que el registro de auditoría de Copilot esté deshabilitado. Vaya a Purview > Auditoría > Registro de auditoría y verifique que el registro de auditoría esté activado. Si está desactivado, haga clic en Iniciar el registro de actividad de usuarios y administradores. Espere hasta 24 horas para que aparezcan nuevas interacciones de Copilot.
El nombre de operación CopilotInteraction no aparece en la búsqueda
El nombre de operación CopilotInteraction se agregó a finales de 2024. Si está buscando registros más antiguos, use WorkplaceAnalytics o SubstrateSearchQuery como nombre de operación. Esas operaciones más antiguas también contienen datos del mensaje de Copilot, pero con nombres de campo diferentes. En el JSON de AuditData, busque QueryText en lugar de CopilotPrompt.
La columna AuditData muestra nulo en la exportación de PowerShell
Si la columna AuditData contiene la cadena “null” o está vacía, el inquilino no tiene licencia Audit (Premium). Verifique su licencia ejecutando Get-OrganizationConfig | fl AuditLogAgeLimit. Si el valor es 90 días, tiene auditoría estándar. Si el valor es 365 días o más, tiene Audit (Premium). Actualice a E5 o compre el complemento Audit (Premium) para restaurar los datos completos del mensaje.
Exportación web de Purview vs exportación de PowerShell: manejo de AuditData
| Elemento | Exportación de la interfaz web de Purview | Exportación de PowerShell |
|---|---|---|
| Formato predeterminado | CSV (solo columnas de la cuadrícula) | CSV con todas las columnas, incluida AuditData |
| Columna AuditData incluida | Solo en formato JSON | Siempre incluida |
| Visibilidad del mensaje del usuario | Oculta en CSV, presente en JSON | Presente como cadena JSON en CSV |
| Requisito de licencia | E5 o Audit Premium para AuditData completo | E5 o Audit Premium para AuditData completo |
| Ideal para análisis | Revisión rápida en el navegador | Análisis con Power Query o scripts |
La exportación JSON de la interfaz web funciona para comprobaciones puntuales. La exportación de PowerShell es mejor para informes de cumplimiento recurrentes porque conserva la columna AuditData en un formato legible por máquina.
Ahora puede exportar registros de auditoría de Copilot con el texto completo del mensaje del usuario utilizando la exportación JSON de Purview o el método de PowerShell. Comience verificando el estado de su licencia Audit Premium. Si tiene la licencia requerida, use el comando de PowerShell con el filtro -Operations “CopilotInteraction” para obtener el conjunto de datos más completo. Para exportaciones automatizadas diarias, programe el script de PowerShell como una tarea y use Power Query para aplanar el JSON de AuditData en columnas separadas para el mensaje del usuario, la respuesta de Copilot y los documentos de fundamento.