Microsoft 365 Copilot ja tietosuoja: tarvitaanko vaikutustenarviointi?
Päivitetty · Complian asiantuntijat
Microsoft 365 Copilot ei anna kenellekään uutta oikeutta nähdä tietoja, mutta se tuo nopeasti esiin kaiken, mihin käyttäjällä on jo pääsy. Siksi Copilotin käyttöönotto on tietosuojan kannalta suurempi muutos kuin uusi toimisto-ohjelma: vanhat jaot ja tallennustavat alkavat yhtäkkiä vaikuttaa.
Mitä Microsoft kertoo?
Microsoftin ohjeiden mukaan (tilanne marraskuussa 2026):
- Kehotteita, vastauksia ja Microsoft Graphin kautta haettuja tietoja ei käytetä perusmallien kouluttamiseen.
- Copilot näyttää organisaation tietoja vain, jos käyttäjällä on niihin vähintään katseluoikeus.
- Copilot kuuluu EU-asiakkailla EU Data Boundaryn piiriin.
- Anthropicin Claude-mallit eivät kuulu EU Data Boundaryyn, ja EU:ssa ne ovat oletuksena pois päältä.
- Verkkohaku lähettää kehotteesta muodostetun hakukyselyn Bing-palveluun. Koko kehote tai kokonaiset tiedostot eivät lähde sen mukana, ja ylläpitäjä voi hallita asetusta.
Nämä ovat lähtötietoja, eivät valmis arvio. Te päätätte asetuksista ja käyttötavasta.
Mitä pitää päättää ja korjata?
| Riski | Mitä se tarkoittaa | Mitä tehdä |
|---|---|---|
| Liian laajat jaot | Copilot tuo esiin palkka- tai henkilöstötietoja väärälle ihmiselle | korjaa SharePointin, OneDriven ja Teamsin jaot ennen käyttöönottoa |
| Virheelliset tiedot | vastaus voi sisältää väärää tai puutteellista tietoa ihmisestä | ohjeista, että käyttäjä tarkistaa tuloksen |
| Säilytys | keskusteluhistoria säilyy, ellei toisin päätetä | määritä säilytysajat, esimerkiksi Purview’ssa |
| Työntekijöiden seuranta | käyttötiedoista voi tehdä päätelmiä työskentelystä | selvitä työelämän tietosuojalaki ja yhteistoiminta |
| Agentit ja laajennukset | tiedot voivat liikkua kolmannelle osapuolelle | tarkista kunkin agentin ehdot |
| Claude-mallit ja verkkohaku | käsittely voi laajeta EU Data Boundaryn ulkopuolelle | tee päätös asetuksista ja kirjaa perustelu |
Tarvitaanko vaikutustenarviointi?
Usein kyllä. Uusi teknologia ja työntekijöiden tiedot täyttävät jo kaksi Euroopan tietosuojaviranomaisten yhdeksästä kriteeristä, ja laajassa käytössä mukaan tulee myös laajamittaisuus. Vähintään tarve kannattaa arvioida ja perustelu kirjata.
Malliksi käy Alankomaiden arviointi. SLM ja SURF löysivät Copilotista joulukuussa 2024 neljä korkeaa riskiä. Koulutusalan lisenssejä koskevassa päivityksessä syyskuussa 2025 korkeita riskejä ei enää ollut, mutta kaksi jäi keskitasolle: virheelliset henkilötiedot vastauksissa ja metatietojen 18 kuukauden säilytysaika. Alhaiset riskit edellyttivät, että organisaatio tekee suositellut toimet.
Sama arvio ei sellaisenaan sovi teille, koska lisenssit, asetukset ja tiedot ovat erilaiset.
Mitä muuta voidaan tarvita?
- Tasapainotesti, jos käsittely perustuu oikeutettuun etuun.
- Siirtovaikutusten arviointi, jos tiedot siirtyvät EU:n ulkopuolelle vakiosopimuslausekkeilla.
- Henkilöstön ohje siitä, mitä Copilotiin saa kirjoittaa. Mallin saat tekoälyn tarkistuslistasta.
Tasapainotesti ja siirtojen arviointi sisältyvät vaikutustenarviointimme hintaan, kun niitä tarvitaan.
Mitä arviointi maksaa?
Microsoft 365:n ja Copilotin vaikutustenarviointi maksaa koon mukaan 1 490 €, 2 190 € tai 3 400 € (alv 0 %). Hintaan sisältyvät ennakkoarvio ja kirjaukset selosteisiin. Katso kaikki ohjelmistot ja esimerkkikokonaisuudet.
Usein kysytyt
Koulutetaanko Copilotin malleja meidän tiedoillamme?
Microsoftin mukaan kehotteita, vastauksia ja Microsoft Graphin kautta haettuja tietoja ei käytetä perusmallien kouluttamiseen.
Tarvitseeko Copilot perusoikeusvaikutusten arvioinnin (FRIA)?
Tavallisessa toimistotyössä yleensä ei, koska silloin se ei ole suuririskinen järjestelmä. Tilanne voi muuttua, jos Copilotilla esimerkiksi karsitaan työnhakijoita.
Kuka voi ottaa Claude-mallit käyttöön Copilotissa?
EU:ssa ne ovat oletuksena pois päältä, ja ylläpitäjä voi ottaa ne käyttöön. Koska ne ovat EU Data Boundaryn ulkopuolella, päätös kannattaa perustella ja kirjata.
Lähteet
- Microsoft: Data, privacy, and security for Microsoft Copilot
- Microsoft: Claude models from Anthropic in Microsoft Online Services
- Microsoft: Manage public web access
- Privacy Company: Update DPIA on Microsoft 365 Copilot for education
- Euroopan tietosuojaviranomaisten ohje vaikutustenarvioinnista (WP 248)
Tämä ohje on yleistä tietoa, ei oikeudellinen neuvo yksittäiseen tapaukseen.