Usted hace una pregunta a Copilot en el chat de Microsoft Teams y la respuesta incluye un archivo que su organización ha etiquetado como Confidencial. Esto expone datos confidenciales a usuarios que no deberían verlos. La causa raíz es una brecha entre cómo se aplican las etiquetas de confidencialidad de Microsoft Purview Information Protection y cómo Copilot interpreta sus permisos de acceso a datos. Este artículo explica por qué Copilot muestra archivos etiquetados y proporciona los pasos exactos para evitar que esto ocurra.
Puntos clave: Evite que Copilot exponga archivos confidenciales
- Portal de cumplimiento de Microsoft Purview > Protección de la información > Etiquetas de confidencialidad: Configure el cifrado y el marcado de etiquetas para restringir el acceso solo a usuarios autorizados.
- Centro de administración de Microsoft 365 > Copilot > Orígenes de datos: Restrinja los sitios de SharePoint y las carpetas de OneDrive que Copilot puede indexar para las respuestas fundamentadas.
- Centro de administración de Microsoft Entra > Acceso condicional > Directivas: Cree una directiva de sesión que impida que Copilot acceda a archivos con etiquetas de confidencialidad específicas.
Por qué Copilot muestra archivos confidenciales etiquetados en el chat
Copilot usa Microsoft Graph para recuperar datos de SharePoint, OneDrive y Exchange. Cuando usted hace una pregunta, Copilot busca en todo el contenido al que el usuario tiene al menos acceso de lectura, independientemente de la etiqueta de confidencialidad aplicada a ese contenido. Un archivo etiquetado como Confidencial pero compartido con un grupo amplio como Todos excepto usuarios externos seguirá apareciendo en las respuestas de Copilot para cualquier miembro de ese grupo. La etiqueta de confidencialidad en sí no actúa como límite de permisos. Solo aplica marcas visuales y configuraciones de cifrado si se configuran explícitamente. Si la etiqueta no aplica cifrado ni administración de derechos, Copilot trata el archivo como contenido legible y lo incluye en las respuestas fundamentadas.
Pasos para evitar que Copilot muestre archivos confidenciales
Use los siguientes tres métodos en orden. Cada método cierra una brecha específica en la protección de datos.
Método 1: Aplicar cifrado en la etiqueta de confidencialidad
- Abra el portal de cumplimiento de Microsoft Purview
Vaya a compliance.microsoft.com e inicie sesión con una cuenta que tenga el rol de administrador de cumplimiento. - Vaya a las etiquetas de confidencialidad
Seleccione Protección de la información en el menú izquierdo y luego haga clic en Etiquetas de confidencialidad. - Edite la etiqueta Confidencial
Haga clic en la etiqueta Confidencial para abrir su configuración. Si tiene subetiquetas, edite la subetiqueta específica asignada a los archivos. - Habilite el cifrado
En la sección Cifrado, establezca Cifrado en Activado. Elija Asignar permisos ahora o Permitir que los usuarios asignen permisos según su directiva de cumplimiento. Para un control estricto, seleccione Asignar permisos ahora. - Defina los usuarios y grupos autorizados
Haga clic en Asignar permisos y agregue solo los grupos de seguridad o usuarios individuales que deban tener acceso. Establezca el rol de coautor o revisor según sea necesario. Haga clic en Guardar. - Aplique la actualización de la etiqueta
Haga clic en Guardar en la página de configuración de la etiqueta y luego haga clic en Publicar para enviar la etiqueta actualizada a todos los usuarios. Espere hasta 24 horas para que el cambio se replique en todos los servicios de Microsoft 365.
Método 2: Restringir los orígenes de datos de Copilot en el centro de administración
- Abra el centro de administración de Microsoft 365
Vaya a admin.microsoft.com e inicie sesión con el rol de administrador global. - Acceda a la configuración de Copilot
En la navegación izquierda, expanda Configuración y seleccione Copilot. - Seleccione Orígenes de datos
Haga clic en la pestaña Orígenes de datos. Aquí controla qué sitios de SharePoint y carpetas de OneDrive puede indexar Copilot. - Limite los sitios indexados
Cambie la configuración de Todos los sitios a Sitios seleccionados. Agregue solo los sitios de SharePoint que contengan contenido no confidencial. No incluya sitios donde se almacenen archivos confidenciales. - Guarde y pruebe
Haga clic en Guardar. Espere 15 minutos para que el cambio surta efecto y luego pruebe una consulta de Copilot que antes devolvía un archivo etiquetado.
Método 3: Crear una directiva de acceso condicional en Microsoft Entra
- Abra el centro de administración de Microsoft Entra
Vaya a entra.microsoft.com e inicie sesión con el rol de administrador de acceso condicional. - Cree una nueva directiva
En Proteger y asegurar, seleccione Acceso condicional y luego haga clic en Directivas y Nueva directiva. - Asigne un nombre a la directiva
Escriba un nombre descriptivo, como Bloquear el acceso de Copilot a archivos confidenciales. - Asigne usuarios y grupos
En Usuarios, seleccione Todos los usuarios o un grupo específico al que se deba bloquear el acceso a archivos confidenciales a través de Copilot. - Configure las aplicaciones en la nube
En Aplicaciones o acciones en la nube, seleccione Todas las aplicaciones en la nube. Esto garantiza que la directiva se aplique a Copilot, que usa varias aplicaciones de Microsoft 365 como orígenes de datos. - Establezca condiciones para las etiquetas de confidencialidad
En Condiciones, haga clic en Protección de la información. Seleccione Etiquetas de confidencialidad y elija la etiqueta Confidencial. Haga clic en Seleccionar. - Bloquee el acceso
En Conceder, seleccione Bloquear acceso. Haga clic en Seleccionar. - Habilite la directiva
Establezca Habilitar directiva en Activado. Haga clic en Guardar. La directiva bloquea la sesión del usuario cuando Copilot intenta leer un archivo con la etiqueta Confidencial.
Si Copilot sigue mostrando archivos etiquetados después de aplicar las soluciones
Copilot devuelve archivos que se etiquetaron después de que Copilot los indexara
Copilot almacena en caché el contenido indexado durante un máximo de 24 horas. Si un archivo se indexó primero sin una etiqueta de confidencialidad y luego se etiquetó más tarde, la versión en caché aún puede aparecer. Fuerce una reindexación quitando y volviendo a agregar el sitio de SharePoint afectado en la pestaña Orígenes de datos. Después de quitarlo, espere 30 minutos y luego vuelva a agregar el sitio. El siguiente ciclo de indexación respetará la nueva etiqueta.
Los usuarios aún pueden ver archivos confidenciales en las respuestas de Copilot
Compruebe si la etiqueta de confidencialidad realmente aplica cifrado. Una etiqueta establecida como Confidencial pero sin cifrado es solo un marcador visual. Copilot ignora los marcadores visuales. Vuelva al Método 1 y confirme que el conmutador Cifrado esté Activado y que los permisos estén asignados a grupos específicos, no a Todos.
La directiva de acceso condicional no bloquea a Copilot
La directiva de acceso condicional bloquea la sesión del usuario, no el archivo en sí. Si la directiva se aplica después de que Copilot ya estableció una sesión, el usuario puede seguir viendo resultados. Cierre la sesión en todas las aplicaciones de Microsoft 365 y vuelva a iniciarla. Esto fuerza una nueva sesión que respeta la directiva de acceso condicional.
Acceso de Copilot a los datos sin cifrado frente a con cifrado
| Elemento | Sin cifrado en la etiqueta | Con cifrado en la etiqueta |
|---|---|---|
| Comportamiento de Copilot | Incluye el archivo en las respuestas fundamentadas para cualquier usuario con acceso de lectura | Bloquea el archivo para Copilot a menos que el usuario tenga derechos de descifrado explícitos |
| Alcance de los permisos | Se basa únicamente en los permisos de uso compartido de SharePoint/OneDrive | Requiere tanto los permisos de SharePoint como los derechos de cifrado de la etiqueta |
| Experiencia del usuario | Ve el contenido del archivo en la respuesta del chat sin restricciones | Recibe un error de acceso denegado o no se devuelve ningún archivo |
| Tiempo de configuración | No se requiere ninguno: la etiqueta es solo visual | 15 minutos por etiqueta para habilitar el cifrado y asignar derechos |
| Cobertura de cumplimiento | No cumple los requisitos de prevención de pérdida de datos | Cumple los requisitos de DLP y protección de la información |
Ahora puede evitar que Copilot exponga archivos confidenciales aplicando cifrado en las etiquetas de confidencialidad, restringiendo los orígenes de datos de Copilot y aplicando una directiva de bloqueo de acceso condicional. Comience revisando su etiqueta Confidencial existente en el portal de Purview y habilite el cifrado. Luego pruebe una consulta en el chat de Teams para confirmar que el archivo etiquetado ya no aparece. Para una protección continua, audite las respuestas de Copilot semanalmente usando el Explorador de actividades de Microsoft Purview para detectar cualquier exposición no detectada.