Gebruik van Microsoft 365 Copilot vooralsnog afgeraden

Op deze pagina houden we je op de hoogte van de actuele ontwikkelingen. Let op: dit is momenteel ook alle informatie die onze Servicedesk beschikbaar heeft.

18 december 2024

Hieronder lees je de berichtgeving vanuit SURF.

In 2024 voerden wij als SURF samen met externe privacy-experts van Privacy Company een Data Protection Impact Assessment (DPIA) uit op Microsoft 365 Copilot. Hierbij is gekeken naar gebruik van medewerkers en volwassen studenten omdat Microsoft de betaalde educatie licentie vooralsnog niet beschikbaar stelt voor minderjarigen. Hieruit kwamen een aantal privacyrisico’s naar voren voor gebruikers (medewerkers en volwassen studenten).

Vastgestelde privacyrisico's 
De uitkomst van deze DPIA is dat er 4 hoge en 7 lage gegevensbeschermingsrisico's zijn met betrekking tot het gebruik van de onderzochte Microsoft 365 Copilot-diensten door werknemers en volwassen studenten.  

De risico’s hebben onder andere betrekking op het gebrek aan transparantie van Microsoft. Het is niet duidelijk welke persoonsgegevens Microsoft verzamelt en bewaart over het gebruik van Microsoft 365 Copilot. Verder zijn de gegevens die gebruikers ontvangen als zij een inzageverzoek doen onvolledig en onbegrijpelijk. Daarnaast is het aannemelijk dat Microsoft 365 Copilot onjuiste en onvolledige persoonsgegevens genereert, en merken gebruikers niet dat ze met onjuiste gegevens werken, omdat ze te veel vertrouwen op de generatieve AI-tool. 

De hoge gegevensbeschermingsrisico’s zijn als volgt (de volledige uitwerking vind je in de bijlage): 

1. Belemmeringen bij het uitoefenen van inzagerechten door gebruikers. 
2. Verlies aan controle en sociaal-economisch nadeel voor betrokkenen als Microsoft 365 Copilot onjuiste en/of incomplete persoonsgegevens over hen genereert. 
3. Gebrek aan transparantie over de persoonsgegevens die Microsoft verwerkt over het gebruik van Microsoft 365 Copilot. 
4. Een risico op heridentificatie van pseudonieme persoonsgegevens door de potentieel hele lange bewaartermijn van de Required Service Data. 

Lage gegevensbeschermingsrisico’s zijn laag als de instellingen zelf maatregelen kunnen nemen om de risico’s te verlagen.   

• Onrechtmatige toegang tot persoonsgegevens door ingehuurd personeel van Microsoft dat in landen werkt zonder adequaat beschermingsniveau.
• Individuele reputatieschade als Microsoft 365 Copilot onjuiste persoonsgegevens genereert.
• Verlies aan controle over verdere verwerkingen voor eigen commerciële doelen van Microsoft (standaard toegang tot diensten waarvoor Microsoft de verantwoordelijke is).
• Verlies van tijd en aandacht door ongevraagde mail.
• Verlies aan controle door het aanhalen van onjuiste auteursnamen in bronvermeldingen door Microsoft 365 Copilot. 
• Mogelijk misbruik door instellingen van de gegevens over het gebruik van Microsoft 365 Copilot in een personeelsvolgsysteem.
• Verlies van controle als medewerkers toegang krijgen tot teveel persoonsgegevens op SharePoint en in OneDrive, waar ze op basis van hun rol geen toegang toe zouden mogen hebben.

Ondanks de pogingen van SURF om met Microsoft mitigerende maatregelen te treffen, kan SURF niet anders concluderen dan dat de vastgestelde hoge risico’s voorlopig onvoldoende worden weggenomen. We blijven met Microsoft in gesprek om deze risico’s op te lossen, maar raden op basis van de bestaande risico’s het gebruik vooralsnog af. 

Advies: gebruik Copilot vooralsnog niet
We blijven met Microsoft in gesprek om mitigerende maatregelen te treffen. Op dit moment kunnen we echter niet anders dan concluderen dat de vastgestelde hoge risico’s onvoldoende worden weggenomen. Daarom adviseren we onze leden om Microsoft 365 Copilot vooralsnog niet te gebruiken. We informeren onze leden zodra de situatie verandert.

Het advies geldt ook voor de gratis Copilot diensten, inclusief Copilot met Enterprise Data Protection. Zo noemt Microsoft het gebruik van haar gratis Copilot-diensten als mensen inloggen met hun Microsoft werk- of schoolaccount. Microsoft treedt dan op als verwerker voor de prompts en antwoorden, maar die bescherming geldt niet voor de ingebouwde toegang tot de commerciële zoekmachine Bing.

Volledig rapport openbaar beschikbaar 
De volledige bevindingen van het onderzoek zijn te vinden in de Data Protection Impact Assessment (DPIA). De vier hoge gegevensbeschermingsrisico's staan ook in deze bijlage.