Microsoft 365 Copilot ignora la etiqueta de confidencialidad en un archivo de SharePoint: solución

Aplica una etiqueta de confidencialidad a un archivo de SharePoint para restringir el acceso o evitar que Copilot lo lea. Pero Copilot sigue resumiendo, reescribiendo o haciendo referencia al archivo en sus respuestas. Esto ocurre porque Copilot lee los archivos según los permisos de SharePoint y la indexación de Microsoft Graph, no únicamente según la configuración de cifrado o marcado de la etiqueta. La etiqueta por sí sola no bloquea a Copilot a menos que la configures para aplicar cifrado que elimine el permiso de lectura del usuario. Este artículo explica por qué Copilot omite la etiqueta y cómo configurar las etiquetas de confidencialidad para que Copilot respete tus reglas de protección de datos.

Por qué Copilot no respeta una etiqueta de confidencialidad por sí sola

Una etiqueta de confidencialidad en Microsoft 365 puede aplicar marcas visuales, cifrado o ambos. Cuando aplicas una etiqueta sin cifrado, Copilot todavía puede leer el archivo porque la etiqueta solo agrega un encabezado, un pie de página o una marca de agua. El archivo sigue siendo totalmente accesible a través de los permisos de SharePoint y de la indexación de búsqueda de Microsoft Graph.

Copilot recupera contenido de Microsoft Graph, que indexa los archivos según los derechos de acceso existentes del usuario. Si un usuario tiene al menos permiso de Lectura sobre el archivo de SharePoint, Copilot puede leer el archivo independientemente del marcado de la etiqueta de confidencialidad. La etiqueta no revoca ni modifica el permiso de SharePoint del usuario. Solo el cifrado que elimina explícitamente el acceso de lectura del usuario impedirá que Copilot procese el archivo.

Microsoft 365 trata las etiquetas de confidencialidad como metadatos para la clasificación y la protección. La protección, es decir, el cifrado, es opcional. Para bloquear a Copilot, debes configurar la etiqueta para cifrar el archivo y luego asignar permisos que excluyan al usuario o grupo que no debe acceder al contenido.

Pasos para configurar una etiqueta de confidencialidad que bloquee a Copilot

1. Abre el portal de cumplimiento de Microsoft Purview
   Ve a https://compliance.microsoft.com e inicia sesión con una cuenta de Administrador global o Administrador de cumplimiento.
2. Navega a las etiquetas de confidencialidad
   Selecciona Protección de la información en el menú izquierdo y luego haz clic en Etiquetas en la sección Etiquetas de confidencialidad.
3. Edita la etiqueta existente o crea una nueva
   Haz clic en la etiqueta que deseas modificar. Si necesitas una etiqueta nueva, haz clic en + Crear una etiqueta. Proporciona un nombre y una descripción, y luego haz clic en Siguiente.
4. Habilita el cifrado
   En la página Definir la configuración de protección, selecciona Controlar el acceso y luego Asignar permisos ahora o Permitir que los usuarios asignen permisos. Para un control estricto, elige Asignar permisos ahora.
5. Configura los permisos de cifrado
   Haz clic en Asignar permisos. En el panel, haz clic en + Agregar cualquier usuario autenticado o agrega usuarios o grupos específicos. Para los usuarios o grupos que deseas bloquear, NO los agregues. Agrega solo los usuarios o grupos que deben tener acceso. Por ejemplo, agrega solo al equipo legal y excluye a todos los demás usuarios.
6. Establece el nivel de acceso
   En Elige qué permisos deseas conceder, selecciona Ver y Editar para los usuarios permitidos. No concedas Ver a los usuarios que deben estar bloqueados. Haz clic en Guardar y luego en Siguiente.
7. Aplica la etiqueta al archivo
   Una vez publicada la etiqueta, aplícala al archivo de SharePoint. En SharePoint, selecciona el archivo, haz clic en los tres puntos, elige Detalles y luego aplica la etiqueta de confidencialidad desde el selector de etiquetas. El archivo se cifrará. Los usuarios que no figuren en los permisos de la etiqueta verán un error de acceso denegado. Copilot no podrá leer el archivo.

Si Copilot sigue leyendo el archivo después del cifrado de la etiqueta

Copilot devuelve contenido del archivo aunque apliqué una etiqueta cifrada

Esto suele ocurrir cuando la etiqueta usa la opción Permitir que los usuarios asignen permisos y el usuario que aplicó la etiqueta se concedió todos los permisos a sí mismo. En ese caso, el archivo está cifrado, pero el usuario propietario del archivo todavía puede leerlo. Para solucionarlo, cambia la etiqueta a Asignar permisos ahora y enumera explícitamente los usuarios que deben tener acceso. Elimina cualquier entrada predeterminada que otorgue control total al propietario del archivo.

Copilot devuelve un error genérico en lugar del contenido del archivo

Cuando Copilot no puede leer un archivo cifrado, debería mostrar un error como No se puede acceder a este archivo debido a las restricciones de la etiqueta de confidencialidad. Si ves un error diferente, comprueba el estado de cifrado del archivo. Abre el archivo en la aplicación de escritorio, ve a Archivo > Información > Proteger documento > Restringir acceso. Confirma que la etiqueta está aplicada y que el cifrado está activo. Si la etiqueta aparece como aplicada pero el archivo no está cifrado, es posible que la etiqueta no tenga el cifrado habilitado. Vuelve al portal de Purview y verifica que el cifrado esté activado.

Copilot lee archivos de una biblioteca de SharePoint que no tiene etiquetas de confidencialidad

Si tu inquilino no usa etiquetas de confidencialidad, puedes bloquear por completo el acceso de Copilot al contenido de SharePoint. Ve al centro de administración de Microsoft 365, selecciona Configuración > Configuración de la organización > Copilot. En Orígenes de datos, desmarca SharePoint. Esto impide que Copilot lea cualquier archivo de SharePoint, independientemente de las etiquetas. Esta es una configuración para todo el inquilino y afecta a todos los usuarios.

Comportamiento de Copilot con las etiquetas de confidencialidad: solo etiqueta frente a etiqueta con cifrado

Elemento	Etiqueta sin cifrado	Etiqueta con cifrado
Copilot puede leer el archivo	Sí, si el usuario tiene permiso de Lectura en SharePoint	No, a menos que el usuario tenga acceso concedido explícitamente en la etiqueta
Marca visual aplicada	Sí	Sí
El archivo sigue siendo reconocible en la búsqueda de Microsoft Graph	Sí	No, el cifrado elimina el archivo del índice de Graph para los usuarios bloqueados
El usuario ve acceso denegado	No	Sí, para los usuarios que no figuren en los permisos de la etiqueta
Requiere configuración adicional	No	Sí, debes asignar usuarios o grupos específicos

Comprobaciones finales y enfoques alternativos

Después de configurar la etiqueta, realiza una prueba iniciando sesión como un usuario que debería estar bloqueado. Abre el archivo directamente en SharePoint. El usuario debería ver un mensaje de acceso denegado. Luego abre Copilot y haz una pregunta sobre ese archivo. Copilot debería responder con un error indicando que no puede acceder al archivo. Si Copilot todavía devuelve contenido, la etiqueta no está cifrando el archivo o el usuario aún tiene permisos directos de SharePoint.

También puedes usar los permisos del sitio de SharePoint para bloquear a usuarios específicos de todo el sitio. Esto funciona independientemente de las etiquetas, pero elimina todo el acceso, no solo el acceso de Copilot. Para un control granular, combina etiquetas cifradas con la reducción de permisos de SharePoint. Revisa el registro de auditoría de Microsoft Purview para ver los eventos de aplicación de etiquetas y confirmar que la etiqueta se aplicó correctamente.

Si tu organización usa Microsoft 365 Copilot y requiere una protección de datos estricta, configura etiquetas de confidencialidad con cifrado y asigna permisos explícitamente. Esto garantiza que Copilot respete la etiqueta y no exponga contenido protegido a usuarios no autorizados.