La retención que cubría Copilot se apaga este mes, y nadie ha tocado la política

Hay un tipo de cambio de configuración que no aparece en tu registro de cambios, porque no lo haces tú: el que el fabricante hace dentro de un control que tú diste por puesto hace meses. Entre finales de octubre y mediados de noviembre de 2026, Microsoft convierte las políticas de retención antiguas de Teams en políticas solo Teams. El contenido de Teams se queda exactamente igual. Las conversaciones con Copilot, que muchas de esas políticas estaban conservando sin que nadie lo hubiera pedido, se quedan fuera. El aviso se llama MC1481313, se publicó el 28 de septiembre y no nombra ni una sola de tus políticas.

Qué dice el aviso, y qué deja en tus manos

El texto es corto y no se esconde. Las políticas de retención antiguas de Teams «que hoy afectan tanto a datos de Teams como de Copilot se tratarán como políticas solo de Teams», y a partir de ahí «las interacciones de Copilot ya no se conservarán ni se borrarán mediante esas políticas antiguas de Teams». El despliegue «empieza a finales de octubre de 2026 y se espera que se complete a mediados de noviembre de 2026». La entrada equivalente de la hoja de ruta, la 571306, se publicó diez días antes, el 18 de septiembre, y lleva la misma frase en una línea: las políticas de Teams que cubren Copilot pasan a ser solo de Teams.

Lo que el aviso no hace es la parte difícil. No te dice cuántas políticas de tu tenant están afectadas, ni cuáles. Te pide que «revises las políticas de retención de Microsoft Purview existentes para identificar las que puedan aplicarse hoy a interacciones de Copilot». El verbo es tuyo. Y conviene leer la consecuencia en las dos direcciones, porque casi todo el mundo la está leyendo en una sola: si tu política era de retener, dejas de conservar algo que creías conservado; pero si era de retener y luego borrar, o de borrar sin más, lo que dejas de hacer es borrar. Hay empresas que van a descubrir en noviembre que siguen guardando conversaciones que habían prometido eliminar a los treinta días.

Por qué Copilot estaba ahí sin que tú lo pusieras

La ubicación en la que marcabas la casilla se llamaba, literalmente, «chats de Teams e interacciones de Copilot». Y la documentación de Microsoft explica el motivo sin adornos: los mensajes de Copilot «se incluían automáticamente» ahí «porque se conservaban y se borraban usando los mismos mecanismos». Y luego viene la frase que debería hacer levantar la vista a cualquiera que firme un plan de cumplimiento: «los usuarios no tenían que estar usando Teams para que la política de retención se aplicara a Copilot».

Es decir: la cobertura nunca fue una decisión de producto. Fue un efecto colateral de la fontanería. Teams y Copilot guardan su copia de cumplimiento en el mismo sitio —una carpeta oculta del buzón de Exchange del usuario— y por eso la misma política alcanzaba a los dos. Una cobertura que nace de que dos cosas comparten tubería se acaba el día que separan las tuberías, y ese día lo elige el fabricante. Separar las ubicaciones es lo correcto, además; Copilot no es Teams y tratarlos como si lo fueran era el apaño. Así que no estamos diciendo que el cambio esté mal hecho. Estamos diciendo que el control que tenías no era el que creías tener, y que el único sitio donde eso se anuncia es un mensaje del centro de mensajes con fecha de caducidad.

Donde había una casilla ahora hay once nombres

Las políticas nuevas ya no tienen una ubicación de IA: tienen tres grupos, con once aplicaciones nombradas una a una. En experiencias de Microsoft Copilot: Microsoft 365 Copilot, Security Copilot, Copilot en Fabric y Copilot Studio. En aplicaciones de IA empresariales: aplicaciones de IA registradas en Entra, ChatGPT Enterprise y Microsoft Foundry. Y en otras aplicaciones de IA: ChatGPT, Google Gemini, el Copilot de consumo y DeepSeek. Que en el selector de retención de tu tenant aparezcan ahora ChatGPT, Gemini y DeepSeek dice bastante sobre dónde cree Microsoft que va a estar el problema de cumplimiento en 2027, y no creemos que se equivoque.

Antes de que alguien se emocione con la lista conviene leer la frase que la acota, porque es más dura de lo que parece. La política de retención, por sí sola, alcanza las preguntas y respuestas de dos de esas once: Microsoft 365 Copilot y Copilot Studio. Las otras nueve —Security Copilot, Copilot en Fabric, las aplicaciones registradas en Entra, ChatGPT Enterprise, Microsoft Foundry, ChatGPT, Gemini, el Copilot de consumo y DeepSeek— solo entran «cuando tienen una política de recopilación con la opción de capturar contenido». Es decir, hace falta otra pieza encima, y no es una casilla sino un montaje. Marcar la ubicación y dar el trabajo por hecho es exactamente el error que acaba de costarle la cobertura de Copilot a medio mundo.

El reloj no empieza cuando crees ni acaba cuando crees

Si vas a crear la política nueva, conviene saber qué estás comprando. Detrás de cada interacción de Copilot hay un trabajo temporizado del servicio de Exchange que «normalmente tarda entre 1 y 7 días en ejecutarse», una carpeta intermedia llamada SubstrateHolds donde el mensaje se queda «al menos 1 día», y otra pasada del mismo trabajo para el borrado definitivo. Microsoft lo suma por ti con un ejemplo propio: una política de borrar al día siguiente «podría tardar 16 días» hasta que el mensaje deja de aparecer en una búsqueda de eDiscovery. De esa aritmética ya escribimos al contar por qué los chats de Teams no están en tu copia de seguridad, y aquí aplica igual.

Y una advertencia que la documentación destaca en un aviso aparte, y que invalida el método de comprobación que va a usar todo el mundo: «los mensajes visibles en tus aplicaciones de IA no son un reflejo exacto de si están retenidos o borrados permanentemente a efectos de cumplimiento». Abrir Copilot y mirar si la conversación sigue ahí no demuestra nada, ni a favor ni en contra. La comprobación válida es una búsqueda de eDiscovery.

La copia de seguridad tampoco lo cubre, y no se entera

La reacción natural es «pues lo meto en la copia». No se puede. El backup nativo de Microsoft 365 protege tres cargas de trabajo —OneDrive, SharePoint y Exchange Online—, con una ventana configurable de 3 meses, 6 meses, 1 año o 2 años y un precio de 0,15 $ por GB y mes, restauraciones incluidas. Copilot no está en esa lista. Teams tampoco, que es lo que contamos en su día.

Hay otra línea en esa misma página que ya citamos en agosto, al hablar del archivado, y que aquí cambia de sentido: las políticas de retención y de borrado «no afectan a la ventana de recuperación de la copia, que permanece totalmente aislada de esas políticas». Es una frase buena —te protege de que un borrado por política te vacíe la copia— y a la vez es el diagnóstico completo: retención y copia son dos sistemas que no se hablan. Lo que conserva la retención no está en la copia; lo que conserva la copia no obedece a la retención. Si tu plan de cumplimiento asume que uno respalda al otro, el plan tiene un agujero que no aparece hasta que alguien pide un dato concreto. Por el mismo camino va el matiz de la inmutabilidad, que aquí se declara con una honestidad que no abunda: el producto «cumple esa definición salvo por no impedir el borrado», con un periodo de gracia fijo de 90 días tras darlo de baja. Append-only no es inmutable, y lo dice el fabricante.

Nuestro servicio de Backup 365 existe precisamente por este hueco, y la regla que aplicamos es la misma que fuera de la nube: 3-2-1 y copias inmutables, porque Microsoft 365 no hace tus copias por ti. Traducido a lo que hacemos al entrar en un tenant: listar qué carga de trabajo tiene copia, cuál tiene retención, cuál tiene las dos y cuál no tiene ninguna. El desajuste más habitual no es que falte la copia; es que la empresa daba por hecho que la retención era la copia. Y el dueño de la llave también importa, que es lo que vimos cuando escribimos sobre cómo el backup de tu Microsoft 365 entra con una llave que no guardas tú.

Los otros relojes que tampoco arrancaste tú

Microsoft 365 no tiene «una retención». Tiene varios contadores independientes, con plazos distintos, que arrancan con acciones distintas y los para gente distinta. Esto es lo que hay hoy, con los números de la documentación oficial:

De esa documentación hay dos frases que no caben en una celda. Una: «la papelera de reciclaje no está indexada y por tanto las búsquedas no encuentran contenido ahí. Esto significa que una retención de eDiscovery no puede localizar contenido en la papelera para retenerlo». Ojo con lo que dice y con lo que no: una retención que ya estaba puesta sí manda, y la propia página lo aclara —un OneDrive bajo retención de un caso de eDiscovery no se borra hasta que se levante la retención—. Lo que no puedes es poner una retención nueva sobre algo que ya cayó en la papelera, porque ahí dentro la búsqueda no lo encuentra. Dicho de otra forma: los 93 días no son un agujero, son un plazo durante el cual la decisión de retener hay que haberla tomado antes. La segunda frase nos dejó mirando la pantalla un rato: «tras 12 meses de almacenamiento o archivo impagado, los datos de OneDrive podrían borrarse con independencia de la configuración de retención, las políticas de retención, eDiscovery y todas las retenciones legales». Léela otra vez. Una factura impagada pesa más que una retención legal, y eso no lo arregla ninguna política de Purview. Es la clase de letra pequeña que aparece el día que alguien deja de pagar un archivo que nadie recordaba tener encendido.

El patrón se repite fuera de Microsoft 365, por cierto: la ventana de tus registros casi nunca cubre la ventana del incidente, y eso lo medimos al escribir sobre cómo el aviso llegó 47 días tarde y tus registros duran 30. La pregunta útil no es «¿tengo retención?», es «¿cuántos días, contados desde qué acto, y quién puede pararlo?».

Lo que no haríamos, aunque nos cueste una venta

Si en tu empresa las conversaciones con Copilot no son registro de negocio —nadie las va a pedir en una auditoría, no sostienen una decisión, no hay un regulador detrás—, la respuesta correcta a MC1481313 es no crear la política nueva y escribir en un documento por qué. Crear una retención «por si acaso» sobre interacciones de IA no es gratis: lo que retienes lo tienes que poder encontrar y entregar, y acabas de añadir once orígenes de datos a tu próximo eDiscovery. Un control que no has decidido es un pasivo con pinta de activo.

Y tampoco vamos a vender aquí el remedio fácil. No hay producto que podamos ponerte encima que convierta una conversación con un asistente en registro de negocio si tu empresa no ha decidido antes que lo es. Esa decisión es de dirección, no de sistemas, y cuando la tenéis tomada la parte técnica es casi aburrida. Cuando no la tenéis tomada, ninguna herramienta la sustituye.

Seis comprobaciones antes de mediados de noviembre

1. Saca la lista con PowerShell, no por el portal, y con el interruptor correcto. En Security & Compliance PowerShell: Get-RetentionCompliancePolicy -DistributionDetail | Format-List Name,*Location*. Lo de -DistributionDetail no es cosmético: sin él, la propia documentación avisa de que los valores de DistributionStatus y de las propiedades *Location «serán inexactos». Y no te fíes de la columna Workload de la salida por defecto: muestra todas las cargas de trabajo, no la que la política aplica de verdad. -TeamsPolicyOnly acota la búsqueda.
2. Para cada una, decide qué querías que pasara con Copilot. ¿Retener, borrar, o nada? Si la respuesta honesta es «no lo habíamos pensado», esa es una respuesta válida: escríbela y fírmala. Lo que no vale es dejarla sin contestar.
3. Si la respuesta es retener o borrar, crea la política para la ubicación de Copilot ANTES de mediados de noviembre. Entre la conversión y tu política nueva hay una ventana en la que no se aplica ninguna, y esa ventana es tuya, no de Microsoft.
4. Comprueba la dirección contraria. Si la política era de borrar, dejar de aplicarse significa que ahora se guarda. Si le prometiste a alguien —un cliente, un comité, un delegado de protección de datos— que eso se eliminaba en X días, ese compromiso se rompe solo.
5. Mira quién ha encendido Copilot Studio, Security Copilot o aplicaciones de IA registradas en Entra. Son ubicaciones separadas con su propia política, casi nunca las pidió el departamento de sistemas y casi seguro que no están cubiertas.
6. No verifiques abriendo la aplicación. Microsoft lo destaca en un aviso aparte: lo que ves en Copilot no refleja lo que está retenido o borrado. La comprobación válida es una búsqueda de eDiscovery, y conviene hacerla antes del cambio para tener con qué comparar después.

Lo que de verdad nos llevamos de este aviso

No es Copilot. Es que un control de cumplimiento puede dejar de aplicar sin que nadie de tu empresa toque nada, y que el único sitio donde eso se anuncia es un mensaje del centro de mensajes que caduca en la bandeja de un administrador que a lo mejor ya no trabaja aquí. Eso no es un fallo de Microsoft: es cómo funciona el software como servicio, y conviene asumirlo en vez de fingir que tus controles son estáticos. La parte que sí es tuya es tener escrito qué esperas de cada control y revisar esa lista cuando el fabricante mueve algo. Si tu respuesta a «¿cómo está configurada la retención de vuestro Microsoft 365?» es «la configuramos en su día», este mes es un momento razonable para mirarla.

Nosotros esa revisión la hacemos como parte de la gestión del Microsoft 365 y del trabajo de cumplimiento y continuidad, y suele caber en una tarde: sacar las políticas, cruzarlas con lo que la empresa cree que tiene, y entregar la lista de las que no coinciden. Si quieres que la hagamos con tu tenant antes de mediados de noviembre —o solo que te digamos qué políticas tuyas están en la lista de afectadas—, hablamos.

Fuentes. El cambio: aviso del centro de mensajes de Microsoft 365 MC1481313, «Microsoft Purview | DLM: Legacy Teams retention policies that cover Copilot will be treated as Teams-only», publicado el 28 de septiembre de 2026, de donde salen las citas sobre el trato como políticas solo de Teams, el «Copilot interactions will no longer be retained or deleted through these legacy Teams retention policies», la ventana «beginning in late October 2026 and expected to complete by mid-November 2026» y la acción requerida de revisar las políticas existentes; y la entrada 571306 de la hoja de ruta de Microsoft 365, publicada el 18 de septiembre de 2026, con disponibilidad general fijada en octubre de 2026. La mecánica y los plazos: Microsoft Learn, «Learn about retention for Copilot and AI apps» (consultada el 25 de octubre de 2026), de donde salen la ubicación antigua «Teams chats and Copilot interactions», el «Users didn't have to be using Teams for the retention policy to apply to Copilot», la lista de las tres agrupaciones y las once aplicaciones, que la política de retención por sí sola solo alcanza a Microsoft 365 Copilot y Copilot Studio y que las otras nueve aplicaciones necesitan además una política de recopilación con captura de contenido, el almacenamiento en carpeta oculta del buzón de Exchange, el trabajo temporizado de 1 a 7 días, el mínimo de un día en SubstrateHolds, el ejemplo propio de Microsoft de los 16 días y el aviso destacado de que lo visible en la aplicación no refleja el estado de cumplimiento. La copia: Microsoft Learn, «Overview of Microsoft 365 Backup» (página actualizada el 18 de septiembre de 2026), para las tres cargas de trabajo, la ventana de 3 meses, 6 meses, 1 año o 2 años, los 0,15 $ por GB y mes con restauraciones gratis, el aislamiento entre políticas de retención y ventana de recuperación, y el matiz de que el producto «follows that definition except for disallowing deletion» con los 90 días de gracia. Los demás contadores: Microsoft Learn, «Recoverable Items folder in Exchange Online» (actualizada el 22 de octubre de 2026) para los 14 días por defecto y el máximo de 30; «OneDrive retention and deletion» (actualizada el 23 de junio de 2026) para los 30 días por defecto del OneDrive de un usuario borrado, el Set-SPOTenant -OrphanedPersonalSitesRetentionPeriod, el arranque del contador solo al borrar la cuenta en Entra ID, los 93 días de la papelera de la colección de sitios, el archivado automático en el día 93 sin licencia, la frase sobre la papelera no indexada y eDiscovery, y la de los 12 meses de archivo impagado (la errata «12 month» es de la propia documentación); y «Microsoft Entra Backup and Recovery overview» (actualizada el 30 de junio de 2026) para la copia diaria, los siete días de historial, los requisitos de licencia P1 o P2 y la no recuperación de objetos borrados en firme. Lo que no afirmamos: no hemos visto la conversión ejecutarse en ningún tenant —el despliegue empieza ahora—, no damos ninguna cifra de cuántas organizaciones están afectadas porque nadie la ha publicado, y no hemos medido los plazos del trabajo temporizado: son los que Microsoft documenta.