Copilot o IA local en una pyme con datos sensibles

El caso: expedientes con datos de salud

La asesoría lleva las nóminas y los trámites laborales de sus empresas cliente. Cada mes recibe contratos, certificados de discapacidad para bonificaciones y partes de accidente de trabajo con la descripción de la lesión. El equipo de laboral, cinco personas, quiere que la IA resuma cada expediente y prepare el borrador del correo al cliente. Ya pagan Microsoft 365 y se preguntan si basta con añadir Copilot. Es un ejemplo inventado para explicar el método, no un cliente.

La duda tiene base. El RGPD trata los datos relativos a la salud como una categoría especial (artículo 9), y esos documentos los contienen. Eso no prohíbe usar un servicio en la nube, pero obliga a decidir con criterio quién trata esos datos y dónde. Lo que sigue no es asesoramiento legal: la última palabra la tiene tu delegado de protección de datos.

1. Separa las tareas por el dato que tocan

Haz la lista de tareas y marca qué datos entran en cada una. En el ejemplo salen dos grupos. Correos internos, actas de reuniones, plantillas y consultas sobre el convenio no llevan datos de salud. Los expedientes con certificados de discapacidad o partes de accidente, sí.

Para no quedarte en la intuición, sigue un documento de cada grupo desde que llega hasta que se archiva: buzón, carpeta, quién lo abre y dónde se copia. Lo explicamos en qué incluir en un mapa de datos.

2. Ordena los permisos antes de activar Copilot

Según Microsoft, Copilot solo muestra los datos de la organización que cada usuario puede ver y aplica los mismos permisos que el resto de Microsoft 365. Es una buena regla con una consecuencia práctica: si una carpeta de expedientes está compartida con toda la asesoría, cualquiera puede recibir fragmentos de esos expedientes en una respuesta.

Antes de asignar licencias, revisa quién tiene acceso a cada carpeta de SharePoint y OneDrive con datos de salud y ciérrala al equipo que la necesita. Si cifráis documentos con etiquetas de confidencialidad de Microsoft Purview, Copilot respeta los derechos de uso de cada persona. Un detalle para presupuestar: el chat de Copilot con resultados de la web viene incluido en los planes elegibles de Microsoft 365, pero el que trabaja con tus documentos necesita la licencia de Copilot.

3. Decide qué modelos y servicios admites

Microsoft Copilot es un servicio del EU Data Boundary: para los usuarios de la UE, el tráfico se queda dentro de ese perímetro. Hay dos excepciones que conviene conocer. Los modelos de Anthropic, que el administrador puede activar, quedan hoy fuera del EU Data Boundary. Y cuando la búsqueda web está activa, Copilot envía al servicio de Bing una consulta generada a partir de la pregunta.

Microsoft también indica que las preguntas, las respuestas y los datos a los que Copilot accede no se usan para entrenar los modelos fundacionales. Para las tareas del primer grupo, esas condiciones pueden ser suficientes; confírmalo con tu delegado de protección de datos. Para los expedientes de salud, la pregunta deja de ser técnica y pasa a ser de política: ¿aceptáis que un proveedor en la nube trate esos datos?

4. Lleva a local solo lo que no debe salir

Si la respuesta es no, porque lo dice vuestra política o porque lo exigen los contratos con los clientes, el resumen de expedientes con datos de salud pasa a un modelo que corre en la oficina. Copilot se queda con el resto. Las dos cosas conviven: la instalación local expone una API compatible con OpenAI y las herramientas internas la llaman como a cualquier otra.

La cuenta con nuestra calculadora de VRAM, hecha el 17 de octubre de 2026 para las cinco personas de laboral y un modelo denso de 32B en FP8: 32 GB de pesos, de 1,1 a 2,1 GB de caché para 1 o 2 conversaciones a la vez y 5,2 GB de margen del servidor. En total, de 38,3 a 39,3 GB.

Cabe con mucha holgura en Starter, el equipo más pequeño que instalamos, con 230 GB útiles. Para cinco personas va sobrado, así que solo tiene sentido si el volumen de expedientes es constante o si otras áreas lo usarán después. Si no es así, no te compensa, y te lo diremos.

5. Prueba con expedientes ficticios antes de decidir

Prepara entre diez y veinte expedientes inventados que imiten los reales, con algún caso incompleto o contradictorio, y define antes qué es un buen resumen. Pasa los del primer grupo por Copilot y los de salud por el modelo local, y anota qué hubo que corregir en cada uno. Es un método propuesto, no un resultado medido. El detalle está en cómo preparar ejemplos para una prueba de IA.

Dónde encajamos y dónde no

Encajamos cuando hay datos que no deben salir, un volumen sostenido de trabajo con ellos y ganas de que otro instale, ajuste y mantenga el sistema. No encajamos si los datos sensibles aparecen pocas veces al mes, si vuestra política ya admite que Microsoft trate esos datos o si solo necesitáis redactar correos. En esos casos, Copilot con los permisos ordenados es la respuesta más sencilla.

¿Copilot entrena con los datos de mi empresa?

No, según Microsoft. Su documentación indica que las preguntas, las respuestas y los datos a los que Copilot accede a través de Microsoft Graph no se usan para entrenar los modelos fundacionales, tampoco los de Copilot. Que no entrene no significa que no los procese: las consultas se tratan en la nube de Microsoft, dentro de sus compromisos contractuales.

¿Puede Copilot enseñar documentos que no debería?

Solo los que la persona que pregunta ya puede abrir. Copilot aplica los permisos de Microsoft 365, así que el riesgo real son las carpetas compartidas de más: si todo el equipo puede abrir los expedientes, Copilot también puede citarlos en sus respuestas. Revisa y cierra esos permisos antes de asignar las licencias, no después del primer susto.

¿Puedo usar Copilot y una IA local a la vez?

Sí, repartiendo por tareas. Copilot se queda con el correo, las reuniones y los documentos sin datos especiales, y el modelo local con los expedientes que no deben salir. Lo importante es que la frontera esté escrita: qué tareas van a cada sitio, quién lo decide y qué se hace con un documento que no encaja en ninguna.

Fuentes

Leídas el 17 de octubre de 2026: privacidad y seguridad de Microsoft Copilot, licencias de Microsoft Copilot y el texto del Reglamento General de Protección de Datos en EUR-Lex. La asesoría y sus cifras son un ejemplo; la cuenta de memoria sale de nuestra calculadora con los supuestos que la propia herramienta enseña.