Privacyrisico’s Microsoft 365 Copilot nu op oranje

Onderwijs- en onderzoeksinstellingen wordt geadviseerd terughoudend om te gaan met de inzet van Microsoft 365 Copilot. Dit is de uitkomst van een recente Data Protection Impact Assessment (DPIA) die SURF heeft uitgevoerd. Hoewel Microsoft de afgelopen maanden verschillende verbeteringen heeft doorgevoerd, zijn niet alle risico’s voldoende ondervangen. Daarom luidt het advies om Copilot alleen weloverwogen en onder duidelijke randvoorwaarden in te zetten.

Resultaten van de DPIA

In december 2024 constateerde de eerste DPIA nog vier hoge risico’s bij het gebruik van Copilot. Inmiddels zijn er stappen gezet en zijn twee van deze risico’s door Microsoft verminderd. Toch blijven er twee risico’s bestaan die nu als ‘medium’ of oranje worden ingeschat:

• Inaccurate (persoons)gegevens: de kans blijft aanwezig dat Copilot onjuiste of misleidende informatie genereert, wat gevolgen kan hebben voor de betrouwbaarheid van gegevens in onderwijs en onderzoek.

• Bewaartermijn van diagnostische gegevens: Microsoft slaat nog steeds gebruiks- en diagnostische data met persoonsgegevens langer op dan strikt noodzakelijk, wat risico’s met zich meebrengt op het gebied van privacy en dataminimalisatie.

SURF blijft toezien op de toezeggingen van Microsoft om ook deze punten verder te verbeteren. Over zes maanden volgt een nieuwe beoordeling van de stand van zaken.

Afspraken en beleid noodzakelijk

Omdat de resterende risico’s niet volledig zijn weggenomen, adviseert SURF instellingen om:

• Per gebruikstoepassing een afweging te maken van de risico’s en de mogelijke meerwaarde van Copilot.

• Instellingsbrede afspraken te maken over de inzet van AI-toepassingen.

• Een AI-gebruiksbeleid te hanteren, zodat medewerkers en studenten weten onder welke voorwaarden en met welke beperkingen Copilot kan worden gebruikt.

Regie op de inzet van AI

SURF benadrukt het belang dat de sector zelf de regie houdt over de inzet van kunstmatige intelligentie. Door middel van DPIA’s en andere trajecten worden leden geïnformeerd over de kansen én risico’s van AI. Daarbij wordt niet alleen gekeken naar technologische ontwikkelingen, maar ook naar bredere afhankelijkheden van leveranciers en de invloed van geopolitieke omstandigheden. Dit gebeurt steeds vanuit de Cloud Sourcing Strategie, die als kader dient om te zorgen voor een verantwoorde en evenwichtige inzet van digitale diensten.

Door: Drifter