Microsoft Purview: Gobernanza de Datos y Cumplimiento Normativo en la Era de la IA

Cuando Microsoft Copilot para Microsoft 365 llegó al mercado, muchas organizaciones encontraron un problema inesperado: el asistente de IA podía acceder y resumir cualquier documento a los que el usuario tuviera permisos. En empresas con controles de permisos maduros, eso funcionó bien. En empresas donde todos los empleados tenían acceso a todos los documentos porque “siempre fue así”, Copilot reveló la fragilidad de ese esquema de seguridad.

No es un problema de la IA. Es un problema de gobernanza de datos que la IA hizo visible.

Microsoft Purview es la respuesta: una plataforma integrada que ayuda a las organizaciones a entender qué datos tienen, clasificarlos según su sensibilidad, aplicar controles de protección proporcionales y demostrar cumplimiento con regulaciones de privacidad — todo dentro del ecosistema de Microsoft 365 que ya están usando.

El problema que Purview resuelve

Antes de hablar de soluciones, vale la pena precisar cuáles son los dolores concretos que Purview aborda:

Datos sensibles sin clasificar: La mayoría de las organizaciones no tienen una idea precisa de cuántos documentos con información sensible (datos de clientes, información financiera, contratos, propiedad intelectual) existen en sus SharePoints, OneDrives y correos, ni quién tiene acceso a ellos.

Oversharing por defecto: Con el tiempo, los permisos en SharePoint tienden a expandirse. Carpetas que deberían ser accesibles para 5 personas terminan compartidas con toda la organización. El 80% de las brechas de datos en empresas medianas involucra acceso excesivo de un usuario interno, no un hackeo externo.

Cumplimiento reactivo: Las empresas que tienen que demostrar cumplimiento con Habeas Data, ISO 27001 o requisitos de clientes bancarios/aseguradores generalmente producen los reportes manualmente, tardando días y con alto riesgo de error.

Shadow IT y datos fuera del tenant: Empleados que envían documentos a cuentas de Google Drive personales, comparten información por WhatsApp o copian datos a dispositivos USB sin que TI tenga visibilidad.

Las cuatro capacidades clave de Purview para empresas medianas

1. Etiquetas de sensibilidad (Sensitivity Labels)

El sistema de clasificación de la información. Las etiquetas son metadatos que se aplican a documentos, correos y reuniones para indicar su nivel de confidencialidad:

• Público: Información que puede compartirse libremente.
• General: Contenido interno sin restricciones especiales.
• Confidencial: Información que debe protegerse — contratos, financiero, datos de clientes.
• Altamente Confidencial: Máxima protección — estrategia corporativa, información de auditorías, datos regulados.

Las etiquetas no son solo cosmética (el color del encabezado del documento). Tienen acciones concretas asociadas:

• Cifrado automático: Los documentos confidenciales se cifran para que solo los usuarios autorizados puedan abrirlos, incluso si el archivo se saca del tenant.
• Restricciones de uso: El destinatario no puede reenviar, imprimir, copiar el contenido.
• Marca de agua: Identifica visualmente el nivel de clasificación.
• Control de acceso en SharePoint: Los sitios y carpetas heredan las políticas de la etiqueta.

Aplicación automática con IA: Purview puede detectar automáticamente contenido sensible (cédulas, números de tarjeta, datos de salud, información financiera) usando modelos de clasificación entrenados por Microsoft y aplicar la etiqueta correcta sin intervención humana. Los documentos existentes en SharePoint y OneDrive se clasifican retroactivamente en un proceso de escaneo.

2. Prevención de Pérdida de Datos (DLP)

Las políticas DLP son las reglas que controlan cómo se mueve la información sensible:

• En el correo: Detectar si un email contiene datos de tarjetas de crédito, números de cédula o información marcada como confidencial, y bloquear el envío o requerir justificación.
• En Teams: Alertar cuando se comparte información sensible en un chat externo.
• En endpoints: Bloquear la copia de archivos clasificados a dispositivos USB o la subida a servicios de almacenamiento no autorizados.
• En SharePoint/OneDrive: Detectar y clasificar automáticamente archivos que contienen datos sensibles.

Las políticas DLP no son binarias (bloquear/permitir). Se pueden configurar para advertir, requerir justificación de negocio, o bloquear según el destinatario (interno vs. externo) y el nivel de sensibilidad.

3. Gestión del ciclo de vida de la información (Retention)

¿Cuánto tiempo debe conservarse un contrato? ¿Cuándo pueden eliminarse las grabaciones de reuniones? ¿Qué pasa con los correos de un empleado que dejó la empresa? Las políticas de retención en Purview responden estas preguntas de forma automática:

• Retener documentos por un período mínimo (por requerimientos legales o de auditoría).
• Eliminar automáticamente contenido después de un período definido.
• Preservar (“hold”) contenido relevante para litigios o investigaciones.

Para empresas colombianas, esto ayuda a cumplir con obligaciones de conservación de documentos del Código de Comercio y a reducir la exposición legal de conservar datos más tiempo del necesario.

4. Auditoría e investigación

Purview registra en un log inmutable quién accedió a qué, cuándo, desde dónde, y qué hizo. En caso de un incidente de seguridad o una investigación interna, este registro permite reconstruir exactamente qué ocurrió con un documento o una cuenta.

El módulo de Content Search y eDiscovery permite buscar en todos los buzones de correo, SharePoints y Teams de la organización para recolectar evidencia ante litigios o investigaciones regulatorias — lo que en el mundo físico requería meses de trabajo de paralegals se hace en horas con una búsqueda filtrada.

Purview y Microsoft Copilot: el fundamento de la IA responsable

Cuando una organización despliega Microsoft 365 Copilot, Purview se convierte en el mecanismo que garantiza que la IA opera dentro de los límites correctos. Copilot respeta las etiquetas de sensibilidad: si un documento está marcado como Altamente Confidencial y el usuario no tiene acceso, Copilot no lo incluye en sus respuestas, aunque técnicamente exista en el tenant.

Esto hace de Purview un prerequisito para la adopción responsable de IA: antes de que Copilot acceda a los datos de la organización, esos datos deberían estar clasificados y con permisos correctamente configurados.

El punto de partida práctico

Implementar Purview no tiene que ser un proyecto de 12 meses. El enfoque recomendado es progresivo:

Mes 1: Activar el escaneo de clasificación automática y revisar los resultados — entender cuántos documentos sensibles existen y dónde están. Configurar las etiquetas base (4-5 niveles) y activar la etiquetación manual para nuevos documentos.

Mes 2-3: Activar las primeras políticas DLP para los vectores de mayor riesgo (correo externo con datos personales, compartición de documentos confidenciales a externos).

Mes 4-6: Implementar retención automática para las categorías de documentos más relevantes. Revisar y remediar el oversharing existente (sitios de SharePoint con acceso excesivo).

¿Sabe exactamente qué datos sensibles tiene su empresa en Microsoft 365 y quién tiene acceso a ellos? Contáctenos para una evaluación de madurez en gobernanza de datos sin costo.