Microsoft 365 Copilot y el cumplimiento del Reglamento de IA: depende del uso
¿Microsoft 365 Copilot cumple el Reglamento de IA? Depende del uso: productividad (riesgo mínimo), de cara al cliente (art. 50) o anexo III (alto riesgo).
Microsoft 365 Copilot no es "de alto riesgo" ni "de riesgo mínimo" por sí mismo. El Reglamento de IA, Reglamento (UE) 2024/1689, clasifica por el uso, no por la herramienta ni por la marca. El mismo Copilot dentro de Word, Outlook o Teams es de riesgo mínimo para un equipo que lo usa para productividad, y de alto riesgo si lo conectas a una decisión del anexo III. Esta guía separa los escenarios, aclara qué obligaciones recaen sobre Microsoft y cuáles sobre ti, y dónde el artículo 25 puede convertirte en proveedor.
La regla de oro: clasifica por uso
Olvídate de la etiqueta del producto. Pregunta qué hace el sistema en tu despliegue concreto. No existe un "nivel Copilot": el mismo asistente cae en niveles distintos según para qué lo uses.
| Uso de Microsoft 365 Copilot | Nivel | Tu obligación principal |
|---|---|---|
| Productividad interna (Word, Outlook, Teams, Excel) | Riesgo mínimo | Sin obligaciones obligatorias; alfabetización en IA (art. 4) |
| Función de cara al cliente (chatbot, agente externo) | Riesgo limitado | Transparencia: avisar de que se interactúa con una IA (art. 50(1)) |
| Uso del anexo III (p. ej. cribar candidatos) | Alto riesgo | Régimen completo de alto riesgo según tu rol |
Casi todo el uso que una empresa hace de Copilot es de productividad interna y, por tanto, de riesgo mínimo. El nivel sube solo cuando el resultado llega a un cliente sin intermediación humana o cuando entra en una decisión sensible del anexo III.
Escenario 1: productividad interna = riesgo mínimo
Tu equipo usa Copilot para redactar borradores en Word, resumir correos en Outlook, preparar reuniones en Teams o construir fórmulas en Excel. Una persona revisa el resultado antes de actuar sobre él. Esto es riesgo mínimo: el Reglamento no impone obligaciones específicas para este nivel —ni evaluación de la conformidad (artículo 43), ni documentación técnica (artículo 11), ni registro (artículo 49)—. Lo único transversal es la alfabetización en IA (artículo 4), en vigor desde el 2 de febrero de 2025 y aplicable a toda la IA. Desde el 27 de julio de 2026, en la redacción del Reglamento (UE) 2026/1744, el deber es adoptar medidas para apoyar la alfabetización en IA de tu personal, sin garantizar un nivel concreto. En la práctica, tu personal necesita saber que el resultado es un borrador que puede equivocarse o inventar. Una política breve y una sesión informativa lo cubren.
Escenario 2: función de cara al cliente = transparencia del artículo 50
Si despliegas Copilot Studio o un agente para que tus clientes conversen con él, entra el artículo 50(1): debes informar a la persona de que está interactuando con un sistema de IA, salvo que resulte evidente. Es un deber de transparencia ligero —un aviso claro al inicio—, no el régimen de alto riesgo. La transparencia del artículo 50 se aplica desde el 2 de agosto de 2026, incluido el marcado de contenido sintético del artículo 50(2), que recae en el proveedor del sistema generativo; solo los sistemas generativos comercializados antes de esa fecha tienen hasta el 2 de diciembre de 2026 para el marcado. Las infracciones del artículo 50 se sitúan en el tramo de 15 millones de euros o el 3% (artículo 99(4)), no en el más alto.
Escenario 3: uso del anexo III = alto riesgo
Aquí cambia todo. Si conectas Copilot a una finalidad del anexo III —por ejemplo, cribar currículos o preseleccionar candidatos en contratación (anexo III, punto 4), evaluar a estudiantes o decidir sobre el acceso a servicios esenciales—, el sistema es de alto riesgo. Las obligaciones dependen de tu rol: si lo usas tal cual eres responsable del despliegue (artículo 26); si construyes y comercializas la función bajo tu nombre pasas a ser proveedor por la vía del artículo 25, con el régimen completo —gestión de riesgos (artículo 9), documentación técnica, supervisión humana (artículo 14), conformidad—. Recuerda el plazo: las obligaciones de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027 (originalmente, el 2 de agosto de 2026). Las aplazó el Digital Omnibus, el Reglamento (UE) 2026/1744, publicado en el Diario Oficial de la UE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026; para la IA de alto riesgo integrada en productos del anexo I, la fecha es el 2 de agosto de 2028.
Microsoft es el proveedor del modelo (GPAI), no tú
Copilot se construye sobre modelos de uso general (GPAI). Las obligaciones de modelo de uso general —documentación técnica, información a los integradores, política de derechos de autor, resumen de los datos de entrenamiento (artículos 51 a 55)— recaen sobre Microsoft y el proveedor del modelo, no sobre ti. Están en vigor desde el 2 de agosto de 2025 y las supervisa la Oficina Europea de IA; las multas a los proveedores de modelos GPAI las impone la Comisión por la vía del artículo 101, no las autoridades nacionales. A ti, como usuario, esa capa GPAI no te corresponde: lo tuyo es el sistema que despliegas o construyes encima.
El artículo 25: si construyes sobre Copilot bajo tu marca, pasas a ser proveedor
Si te limitas a usar Copilot, eres responsable del despliegue. Pero si tomas Copilot Studio o la capa de extensibilidad y construyes una función de IA que comercializas bajo tu nombre dentro de tu producto, el artículo 25 te convierte en proveedor de ese sistema, con sus obligaciones —que se disparan si la función entra en un uso del anexo III—. La línea está en si comercializas algo propio bajo tu marca o solo consumes una herramienta de terceros.
Ejemplo práctico: una pyme de 40 personas en Bilbao
Norte Consulting, una empresa tecnológica de 40 personas (~4,5 M€ de facturación), tiene Microsoft 365 Copilot y lo usa de tres maneras. (1) Internamente, para redactar propuestas en Word y resumir hilos en Teams. (2) Estudia un agente de soporte en su web con Copilot Studio. (3) Valora una función de "preselección de candidatos" para su propia contratación.
Veredictos: el uso (1) es de riesgo mínimo —solo alfabetización del artículo 4—. El uso (2) sería de riesgo limitado: avisar de que se conversa con una IA (artículo 50(1)). El uso (3) sería de alto riesgo (anexo III, punto 4); como Norte solo lo desplegaría, sería responsable del despliegue (artículo 26), pero si lo empaqueta y revende a clientes bajo su marca, el artículo 25 la convertiría en proveedora. En los tres casos Microsoft es el proveedor del modelo GPAI. Tres usos de la misma herramienta, tres niveles distintos.
Cómo ayuda Confir
Confir registra cada uso de Copilot por separado y devuelve el nivel —mínimo, limitado o alto riesgo— y tu rol, citando el artículo y la regla que se aplicó, y señalando cuándo el artículo 25 te convertiría en proveedor. El motor es determinista y basado en reglas: el mismo dato de entrada produce siempre el mismo resultado, sin inferencia de modelo ni alucinaciones.
Guías relacionadas
- Microsoft 365 Copilot en tu inventario de IA
- Transparencia del artículo 50
- Proveedor o responsable del despliegue
- Responsabilidades en la cadena de valor (artículo 25)
- Clasificación de IA de selección de personal
- ChatGPT y el cumplimiento del Reglamento de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →