Sí: usar Microsoft Copilot (en Microsoft 365, Windows o Edge) en tu empresa es legal. No es una práctica prohibida ni te convierte, por sí solo, en un sistema de «alto riesgo». Pero al integrarlo en tu trabajo activas obligaciones del Reglamento (UE) 2024/1689 que ya están en vigor: la alfabetización en IA del artículo 4 (desde el 2 de febrero de 2025) y, si el resultado llega a clientes, la transparencia del artículo 50 (desde el 2 de agosto de 2026). Y como Copilot trabaja sobre tus correos, documentos y datos de Microsoft 365, el RGPD es aquí especialmente relevante.
¿Es legal usar Copilot en la empresa?
Legal, sí. Tu empresa actúa como usuario (deployer) de la herramienta; Microsoft es el proveedor del modelo. Las obligaciones de documentación del modelo son de Microsoft. Lo que asumes tú son las obligaciones de quien usa IA en un contexto profesional, más las de protección de datos, que en Copilot pesan más de lo habitual porque accede a tu información interna.
Qué te obliga hoy
- Alfabetización en IA (art. 4, desde el 2/2/2025). Forma a quien usa Copilot para que entienda qué hace, qué datos toca y sus límites. Registra quién se formó y cuándo: es tu evidencia.
- Transparencia (art. 50, desde el 2/8/2026). Si publicas o envías a clientes contenido generado con Copilot, márcalo como generado con IA. Un asistente de cara al cliente debe avisar de que es IA.
- RGPD. Copilot razona sobre correos, chats de Teams, archivos de SharePoint y OneDrive. Revisa permisos y accesos: si un empleado ve más de lo que debe, Copilot también. Define qué datos entran y con qué base legal.
El punto clave: tus datos de Microsoft 365
La diferencia de Copilot frente a otros asistentes es que trabaja dentro de tu organización. El mayor riesgo no es que Microsoft entrene con tus datos —su versión empresarial no lo hace—, sino la sobreexposición interna: Copilot puede sacar a la luz información mal permisada. Antes de desplegarlo, revisa permisos de SharePoint y OneDrive y las etiquetas de sensibilidad.
En dos minutos: el diagnóstico gratuito de Gobernaia te dice, según cómo usas Copilot y otras herramientas, qué obligaciones tienes activas y desde qué fecha. Sin registro, con el plan de acción por email.
Cuándo Copilot pasa a «alto riesgo»
El uso de oficina (redactar, resumir reuniones, analizar una hoja) no es de alto riesgo. Sí lo es si lo usas para decidir sobre personas en los ámbitos del Anexo III: selección de personal, evaluación de empleados o solvencia. Ahí aplican las obligaciones del artículo 26, con fecha de aplicación el 2 de diciembre de 2027. Si Copilot toca esas decisiones, aplica supervisión humana real y registro desde ya.
Checklist para desplegar Copilot
- Revisa permisos y etiquetas de sensibilidad en Microsoft 365 antes de activarlo.
- Forma a quien lo usa y registra la formación (art. 4).
- Marca el contenido generado si sale a clientes (art. 50).
- Define qué datos personales pueden entrar y con qué base legal (RGPD).
- Si toca decisiones sobre personas, trátalo como alto riesgo.
- Guarda un dossier con fecha de todo lo anterior.
Guías relacionadas: ChatGPT en tu empresa · Google Gemini en tu empresa · Chatbot de atención al cliente.
Fuentes
- Reglamento (UE) 2024/1689: artículos 4, 50, 26 y Anexo III.
- Reglamento (UE) 2016/679 (RGPD).
- Calendario vigente tras el «Digital Omnibus»: alto riesgo del Anexo III desde el 2 de diciembre de 2027.
Esta guía es orientativa y no sustituye el asesoramiento jurídico. Comprueba las fechas antes de tomar decisiones.