Enterprise Data Protection in Microsoft 365 Copilot

Enterprise Data Protection (EDP) beschrijft hoe Microsoft omgaat met bedrijfsdata bij het gebruik van Microsoft 365 Copilot en Microsoft 365 Copilot Chat. Deze diensten vallen onder de Microsoft Data Protection Addendum (DPA) en Productvoorwaarden, waarbij Microsoft optreedt als verwerker van data.

Prompts en antwoorden zijn bedrijfsdata

Alles wat gebruikers invoeren (prompts) en wat Copilot teruggeeft (antwoorden) wordt beschermd onder dezelfde enterprise-voorwaarden als e-mail in Exchange en bestanden in SharePoint. Dit betekent dat dezelfde contractuele en technische bescherming geldt.

Data is goed beveiligd

Microsoft beschermt bedrijfsdata met:

• Encryptie bij opslag en transport
• Strikte fysieke beveiliging van datacenters
• Strikte scheiding tussen tenants — data van verschillende organisaties wordt nooit gemengd

Data blijft privé

Dit is een cruciaal verschil met gratis AI-tools: bij Microsoft 365 Copilot worden je bedrijfsgesprekken nooit gebruikt om het model te verbeteren.

Bestaand security- en compliancebeleid geldt ook voor Copilot

Copilot werkt binnen je bestaande Microsoft 365 beveiligingsframework:

• Gebruikersrechten en identiteit — Copilot heeft alleen toegang tot data waartoe de gebruiker zelf ook toegang heeft
• Sensitivity labels — Labels op documenten en e-mails worden door Copilot overgenomen en gerespecteerd
• Retentiebeleid — Bestaand bewaar- en verwijderbeleid geldt ook voor Copilot-interacties
• Auditing — Copilot-activiteiten worden gelogd en zijn doorzoekbaar
• Tenant- en admininstellingen — Beheerdersbeleid wordt gerespecteerd

> Let op: De exacte mogelijkheden hangen af van je Microsoft-licentie. E5 biedt uitgebreidere compliance-tools dan Business Premium.

Bescherming tegen AI- en copyrightrisico's

Microsoft biedt drie lagen bescherming:

1. Beveiliging tegen schadelijke content — Ingebouwde filters tegen ongewenste of schadelijke output
2. Detectie van beschermd materiaal — Copilot herkent en signaleert content die mogelijk auteursrechtelijk beschermd is
3. Customer Copyright Commitment — Microsoft neemt de juridische verantwoordelijkheid op zich als Copilot auteursrechtelijk beschermd materiaal genereert, mits je de ingebouwde beveiligingen gebruikt

Webzoekopdrachten (Bing) — andere spelregels

Copilot kan webinformatie gebruiken om antwoorden actueel te houden. Hiervoor worden zoekopdrachten naar Bing gestuurd. Dit is een belangrijk aandachtspunt met andere privacyregels:

Wat betekent dit in de praktijk?

• Webqueries worden geanonimiseerd — er wordt geen gebruiker- of tenant-ID meegestuurd naar Bing
• Queries worden niet gedeeld met adverteerders
• Queries worden niet gebruikt om AI-modellen te trainen
• Maar: webqueries vallen niet onder de DPA, EU Data Boundary of HIPAA

Voor organisaties met strenge compliance-eisen is het verstandig om webzoekopdrachten in Copilot uit te schakelen via de admin-instellingen.

Copilot Agents

Bij gebruik van Copilot Agents geldt een extra aandachtspunt: controleer altijd de privacyverklaring en voorwaarden van de agent zelf. Third-party agents kunnen anders met data omgaan dan Microsoft 365 Copilot.

Belangrijk: Anthropic-modellen en EU Data Boundary

Microsoft maakt voor bepaalde Copilot-functies gebruik van Anthropic-modellen (Claude). Deze modellen vallen op dit moment nog buiten de EU Data Boundary. Dit is relevant voor organisaties die verplicht zijn alle dataverwerking binnen de EU te houden.

EU/EFTA-tenants (Nederland)

Voor EU-tenants geldt:

• Anthropic is standaard uitgeschakeld
• Anthropic valt buiten de EU Data Boundary
• Een admin moet expliciet opt-in geven om Anthropic in te schakelen via het Microsoft 365 Admin Center

Tenzij jij of je IT-team dit bewust heeft aangezet, gebruik je geen Anthropic. Je hoeft dus geen actie te ondernemen.

Hoe weet je of Copilot Anthropic (Claude) gebruikt?

Als Anthropic voor jouw tenant is toegestaan, zie je dit expliciet in Copilot Chat:

• In Copilot Chat verschijnt een modelkeuze (bijv. GPT vs Claude Sonnet)
• Je ziet letterlijk "Claude" of "Anthropic" als optie
• Zie je geen modelkeuze? Dan wordt Anthropic niet gebruikt voor jouw tenant

Samenvatting

Microsoft 365 Copilot behandelt prompts en antwoorden als volwaardige bedrijfsdata met dezelfde beveiliging, compliance en privacybescherming als de rest van Microsoft 365. De belangrijkste uitzondering: webzoekopdrachten via Bing hebben een aparte privacycontext waarbij Microsoft als controller optreedt in plaats van verwerker.

Checklist voor IT-beheerders

• [ ] Controleer of sensitivity labels correct zijn geconfigureerd
• [ ] Review de Copilot admin-instellingen in het Microsoft 365 Admin Center
• [ ] Beoordeel of webzoekopdrachten aan- of uitgeschakeld moeten zijn
• [ ] Controleer retentiebeleid voor Copilot-interacties
• [ ] Informeer gebruikers over het verschil tussen Copilot en gratis AI-tools
• [ ] Check of Anthropic-modellen binnen jullie compliance-kader passen