Gobernanza de datos en Microsoft 365 y Google Workspace: qué trae cada plan y cómo prepararla antes de que Copilot y Gemini lean tus archivos.

Durante años, una carpeta de sueldos compartida con toda la empresa era un riesgo dormido: estaba, pero nadie la buscaba. Con Copilot y Gemini eso cambió. La IA responde con todo lo que cada persona tiene permiso de ver, así que un permiso mal puesto en 2019 aparece hoy en la respuesta a una pregunta inocente. La gobernanza de datos dejó de ser un tema de auditores y pasó a ser el paso previo a cualquier implementación de IA.

¿Qué es la gobernanza de datos y por qué la IA la volvió urgente?

La gobernanza de datos es el conjunto de reglas, responsables y controles que deciden qué datos tiene una empresa, dónde viven, quién accede y qué se puede hacer con ellos: compartirlos, descargarlos, conservarlos o borrarlos. En una pyme rara vez sale de una sola herramienta. En la práctica se apoya en cuatro piezas:

• Permisos. Quién ve cada carpeta, sitio o unidad compartida. Es la base de todo lo demás.
• Clasificación. Etiquetas que marcan un archivo como público, interno o confidencial, puestas a mano o de forma automática.
• Prevención de pérdida de datos (DLP). Reglas que detectan datos sensibles —un número de documento, una tarjeta, un CBU— y bloquean que salgan de la empresa.
• Retención. Cuánto tiempo se guarda cada cosa y cómo se recupera ante un reclamo o una auditoría.

La IA no cambió esas piezas: cambió el costo de tenerlas mal. Un asistente que busca en todo el correo, el Drive o SharePoint para responder convierte cada permiso descuidado en una filtración posible. Y del otro lado está la shadow AI: el equipo que, si no tiene una IA corporativa, pega los mismos datos en ChatGPT o Gemini con su cuenta personal.

¿Cómo se hace gobernanza de datos en Microsoft 365?

Con Microsoft Purview, el paraguas de cumplimiento y protección de datos de Microsoft 365. Según la descripción de servicio de Purview (actualizada el 6 de noviembre de 2026), lo que trae cada plan se reparte así:

• Business Premium y E3: etiquetas de confidencialidad aplicadas a mano, DLP para Exchange, SharePoint y OneDrive, políticas de retención, cifrado de mensajes y eDiscovery básico.
• Solo E5 o los complementos de Purview: etiquetado automático, DLP para Teams, eDiscovery Premium, auditoría Premium e Insider Risk Management.
• Para pymes: Microsoft Purview Suite for Business Premium suma esas funciones sobre Business Premium, con un tope de 300 puestos.

¿Qué ve Microsoft 365 Copilot?

Lo mismo que el usuario. La documentación de privacidad de Copilot dice que solo muestra datos de la organización sobre los que la persona tiene al menos permiso de lectura, que respeta los derechos de uso del contenido cifrado con etiquetas y que los prompts, las respuestas y los datos de Microsoft Graph no se usan para entrenar los modelos. Lo que no hace es corregir permisos: si un sitio de SharePoint está abierto a toda la empresa, Copilot lo usa.

Para eso Microsoft tiene tres herramientas puntuales:

• DLP para Copilot. Una política que impide que Copilot procese archivos y correos con cierta etiqueta. Requiere E5, Purview Suite u Office 365 E5: no viene en Business Premium ni en E3. El DLP sobre los prompts, en cambio, está para todos los usuarios de Copilot.
• SharePoint Advanced Management. Informes de sobreexposición, revisiones de acceso y Restricted Content Discovery, que saca sitios enteros de las búsquedas de Copilot. Según Microsoft, llega incluido cuando al menos un usuario tiene licencia de Copilot, sobre bases Office 365 o Microsoft 365 E3/E5.
• DSPM for AI. Un panel de Purview con reportes de uso de IA, políticas de un clic para detectar datos sensibles pegados en ChatGPT o Gemini desde el navegador y una evaluación semanal de sobreexposición sobre los 100 sitios de SharePoint más usados (documentación).

¿Cómo se hace gobernanza de datos en Google Workspace?

Desde la consola de administración, con cinco herramientas que no están en todas las ediciones. Esto es lo que documenta Google al 7 de noviembre de 2026:

• Etiquetas de clasificación: manuales desde Business Standard (fuente). La clasificación automática con IA viene en Enterprise Plus y Frontline Plus (fuente).
• DLP para Drive: solo en ediciones Enterprise, Frontline, Education y Enterprise Essentials Plus. No está en las Business.
• Google Vault: retención y eDiscovery desde Business Plus (fuente).
• Regiones de datos: la versión básica desde Business Standard; la completa, que cubre en reposo los prompts y respuestas de Gemini, en Enterprise Plus o como complemento (fuente).
• Cifrado del lado del cliente: solo Enterprise Plus, Frontline Plus y Education (fuente).

¿Qué ve Gemini en Google Workspace?

También lo mismo que el usuario. El centro de privacidad de IA generativa de Workspace dice que Gemini solo recupera contenido al que el usuario tiene acceso, que Workspace no usa los datos del cliente para entrenar modelos sin su permiso, que el DLP existente sigue aplicando a lo que Gemini genera y que el cifrado del lado del cliente puede restringir su acceso. Gemini viene incluido en Business Starter (7 dólares), Standard (14) y Plus (22) por usuario por mes, según la página de precios; en Starter, solo dentro de Gmail.

La pieza nueva es DLP for Gemini: una regla que, si un archivo de Drive tiene cierta etiqueta (por ejemplo, «Confidencial»), bloquea que Gemini lo use. Cubre la app de Gemini, Gemini en Workspace, Gemini Notebook y Workspace Studio, y tiene dos límites que conviene saber: funciona solo sobre Drive y no cubre Gemini Enterprise ni Gemini en Chrome. Además está en las mismas ediciones que el DLP para Drive, así que tampoco llega a las Business.

Microsoft 365 vs Google Workspace: ¿qué control trae cada plan?

La tabla compara los planes que más compran las pymes y empresas medianas. Es un resumen de la documentación oficial al 7 de noviembre de 2026; las ediciones y los nombres cambian seguido.

La lectura práctica: una pyme en Microsoft 365 Business Premium ya tiene DLP y etiquetas para empezar, y le falta el último candado sobre Copilot. Una pyme en Google Workspace Business tiene etiquetas y permisos, pero no DLP: su gobernanza depende de que los permisos estén bien puestos y de que el equipo sepa qué no compartir. Si estás eligiendo entre las dos suites por otros motivos, en seguridad y compliance de Claude vs Gemini comparé las certificaciones y los controles de cada IA.

¿Qué pasa cuando los documentos están en Microsoft y la IA es de Google? El caso Red Link

Es más común de lo que parece, y lo vi de cerca en Red Link, la empresa que opera la red de cajeros Link y procesa pagos del sistema financiero argentino. Entre el 29 de septiembre y el 3 de noviembre de 2026 formé a 26 Champions de IA de la empresa sobre Gemini Enterprise, la plataforma de IA de Google que Link ya tenía habilitada. Sus documentos, en cambio, viven en Microsoft 365, en SharePoint.

En una empresa que mueve tarjetas, claves y transacciones de millones de personas, la regla de qué se carga y qué no viene antes que cualquier prompt. Por eso la primera jornada no arrancó en el teclado sino con un semáforo de datos:

• Nunca: tarjetas, claves, datos de clientes y transacciones.
• Con criterio: procesos, minutas y borradores, solo en herramientas aprobadas.
• Libre: normativa pública, prensa y plantillas.

Y una regla de arquitectura: lo sensible se queda en SharePoint, y Gemini Enterprise lo lee con los permisos de cada persona. La lección sirve para cualquier empresa con un entorno mixto: cuando los documentos son de un proveedor y la IA de otro, la gobernanza tiene que vivir donde están los datos. Los controles de un lado no siempre cubren al otro; por ejemplo, el DLP for Gemini de Workspace no alcanza a Gemini Enterprise. Lo que sí funciona en los dos mundos son los permisos bien puestos y un equipo que sabe qué color tiene cada dato. Si estás evaluando la plataforma, en Gemini para empresas está cómo trabajo la implementación.

No es un caso aislado. En HBC Latina, en Santiago de Chile, capacité a 45 personas en Claude Team conectado a Microsoft 365: otra vez, una IA de un proveedor trabajando sobre los archivos de otro.

¿Qué alternativas hay si no usás Microsoft 365 ni Google Workspace?

Cuatro caminos, según cuánto querés cambiar y quién lo va a mantener:

Zoho Workplace o Zoho One: una suite completa

Es la opción más directa para quien no quiere ni Microsoft ni Google, y tiene presencia en pymes latinoamericanas. Su WorkDrive trae DLP con 149 tipos de datos personales de 47 países ya definidos, clasificación automática o manual con etiquetas, y bloqueo de compartir afuera, descargar, copiar o imprimir los archivos que coinciden. Un detalle: las políticas nuevas no se aplican a los archivos que ya existían. Sobre su IA, Zoho declara que no usa los datos de clientes para entrenar sus modelos y que, por defecto, el procesamiento queda en su infraestructura; si el administrador conecta un proveedor externo con su propia clave, rigen los términos de ese proveedor.

Egnyte y Box: una capa de contenido sobre cualquier suite

Se montan sobre la suite que ya tenés y centralizan los archivos con gobernanza propia. Egnyte es la que más empujó la gobernanza de IA este año: lanzó AI Safeguards el 31 de marzo de 2026 y el AI Control Center el 15 de octubre, un panel para decidir qué contenido sensible pueden tocar los agentes. Le sirve a estudios contables, constructoras y empresas reguladas con muchos archivos. En Box, la clasificación y detección de amenazas (Box Shield) y la retención (Box Governance) figuran como complementos pagos y los planes Enterprise no publican precio: apunta a empresas medianas o reguladas más que a las chicas.

Nextcloud: los datos en tu propio servidor

Para quien necesita que los datos no salgan de su infraestructura. Es de código abierto, ofrece cifrado de punta a punta y su asistente de IA puede correr con modelos locales. El costo está en otro lado: alguien tiene que instalarlo, actualizarlo y respaldarlo, y en una pyme eso pesa.

¿Qué más hace falta además de la suite?

Tres capas que completan el cuadro, uses la suite que uses:

• Identidad y accesos. Un inicio de sesión único (SSO) y un lugar para dar y quitar accesos cuando alguien entra o se va. JumpCloud y Okta son las opciones habituales; JumpCloud está más pensado para pymes.
• Contraseñas compartidas. Bitwarden o 1Password Business, para que las claves de los sistemas no vivan en una planilla o en un chat.
• Backup independiente. Que algo esté en la nube no quiere decir que esté respaldado. Microsoft lo deja escrito en su modelo de responsabilidad compartida: en cualquier tipo de nube, los datos y las identidades son del cliente. Acronis respalda Microsoft 365 y Google Workspace; Veeam, Microsoft 365.

¿Y la gobernanza de la propia IA?

Suele ser la capa más urgente, porque muchas pymes ya tienen al equipo usando ChatGPT, Claude o Gemini con cuentas personales. Ningún DLP de la suite controla lo que alguien pega en una app personal desde su celular. Pasar a un plan corporativo — Claude Team o Enterprise, ChatGPT Business o Gemini en Workspace— da cinco cosas que una cuenta personal no tiene:

• Una consola de administración centralizada.
• Inicio de sesión único y alta y baja de usuarios.
• Que los datos no se usen para entrenar modelos.
• Retención configurable.
• Control de qué conectores e integraciones se habilitan.

La herramienta sola no alcanza: hace falta una regla escrita de qué datos entran y en qué herramienta. En qué tiene que decir una política de uso de IA están las cláusulas que casi nadie escribe.

¿Qué cambia en Chile con la Ley 21.719 de protección de datos?

La Ley 21.719 se publicó el 13 de diciembre de 2024, crea la Agencia de Protección de Datos Personales y entra en vigencia el 1 de diciembre de 2026. Alcanza a cualquier empresa que trate datos personales. Para las pymes trae dos matices: las exigencias de cumplimiento se gradúan según el tamaño de la empresa y, durante los primeros 12 meses, a las empresas de menor tamaño se les puede aplicar una amonestación por escrito en lugar de una multa.

Hay una postergación en curso. El 28 de octubre de 2026 el Senado aprobó, por 33 votos a 6, el proyecto (boletín 18.623-07) que mueve la vigencia al 15 de octubre de 2027, y pasó a la Cámara de Diputados. Mientras no se publique como ley, la fecha que vale sigue siendo el 1 de diciembre de 2026. Con o sin prórroga, el inventario de datos y los permisos son el primer paso de cualquier plan de cumplimiento; en la guía de IA para pymes en Chile está el resto del cuadro regulatorio.

¿Por dónde empieza una pyme con la gobernanza de datos?

Por cuatro pasos, en este orden. Los tres primeros se hacen en semanas y no exigen cambiar de plan:

1. Diagnóstico. Qué datos sensibles hay, dónde están, quién accede y qué IA usa el equipo hoy, incluidas las cuentas personales.
2. Política de uso de IA. Un semáforo como el de Red Link: qué no entra nunca, qué entra con criterio y qué es libre, y en qué herramientas.
3. Configuración. Permisos corregidos en las carpetas sensibles, etiquetas, DLP donde el plan lo permita y la consola de la IA corporativa.
4. Capacitación. Que el equipo sepa aplicar las reglas: una política que nadie conoce no gobierna nada. Es lo que trabajo en las capacitaciones corporativas.

Recién con el diagnóstico en la mano conviene decidir si hace falta subir de plan, sumar Purview Suite o pasar a Workspace Enterprise. Ordenar los datos, elegir la IA corporativa y dejar las reglas configuradas es el trabajo de una consultoría de IA para empresas. Si vas a activar Copilot o Gemini y no sabés qué van a encontrar, agendemos una conversación.

Preguntas frecuentes.

Última actualización: 7 de noviembre de 2026 · Fuentes: Microsoft — Purview service description, Data, Privacy, and Security for Microsoft 365 Copilot, Google — About DLP for Gemini, Generative AI in Google Workspace Privacy Hub, Zoho WorkDrive DLP, Egnyte (15/10/2026) y BCN — Ley 21.719, todas consultadas el 7/11/2026. Ediciones, nombres y precios cambian seguido: confirmalos con tu proveedor antes de comprar. Análisis y caso Red Link: Diego Ceredi.