Copilot y la seguridad de datos en M365: Purview, sensitivity labels y gobernanza

El mayor riesgo de Copilot no es la IA. Es el oversharing preexistente en tu tenant. Si llevas años sin auditar permisos en SharePoint, Copilot va a exponer a tus empleados TODOS los documentos a los que tienen acceso, incluidos los que no deberían.

El problema del oversharing

Caso real: cliente del sector financiero. 12 años de SharePoint on-premise migrado a Online. Permisos heredados de grupos anidados que nadie ha revisado desde 2017. Un usuario con "Lectura" en un site de compensación pregunta a Copilot "¿cuánto gana el CEO?". Copilot devuelve el documento. Incidente reportado al regulador.

Lo mínimo antes de activar Copilot

• Auditoría de permisos: PowerShell con PnP para detectar sites con "Todos los usuarios" o "Everyone except external users" en acceso no intencional.
• Sensitivity labels: definidos al menos 4 niveles (Público, Interno, Confidencial, Altamente Confidencial) con auto-clasificación donde sea posible.
• Configurar Copilot para que NO devuelva contenido con label "Altamente Confidencial" sin permiso explícito.
• SharePoint Advanced Management: activar acceso restringido por dominio, enlaces compartidos con expiración, site access reviews trimestrales.

Microsoft Purview essentials

Purview no es opcional con Copilot. Necesitas: Information Protection (labels), Data Loss Prevention (reglas), Insider Risk Management (señales de comportamiento), Audit (retención de logs). Sin esto, Copilot opera en un entorno sin red de seguridad.