Er Microsoft 365 Copilot GDPR-kompatibel?
Microsoft 365 Copilot står databeskyttelsesretligt klart bedre end consumer-varianterne af andre cloud-LLM'er: databehandleraftale på plads, EU Data Boundary muligt, ingen modeltræning på kundeindhold. Alligevel er der tre udeståender: Microsoft er et amerikansk selskab (CLOUD Act), Bing Grounding kan sende data ud af tenanten, og for faggrupper med lovbestemt tavshedspligt er kombinationen fortsat risikabel.
Med enterprise-setup og EU Data Boundary realistisk anvendelig – men ikke til alle anvendelsesformål og ikke i alle brancher.
- Databehandleraftale i Enterprise Agreement
- EU Data Boundary kan konfigureres
- Den amerikanske CLOUD Act gælder fortsat
- Bing Grounding sender data ud af tenanten
Hvilken Copilot-variant mener du?
„Copilot" er Microsofts paraplybrand for flere produkter med vidt forskellige databeskyttelsesprofiler. Forveksler man dem, ender det direkte i en compliance-sag.
Klassikeren for virksomheder: Microsoft 365 E3/E5 plus Copilot-licens. Med databehandleraftale, tenant-binding og EU-databehandling som mulighed. Til professionel brug den eneste variant, der seriøst kan vurderes.
Den personlige variant til privatbrugere. Ingen databehandleraftale, ingen tenant, uegnet til virksomhedsbrug. Den, der indtaster kundedata her, overtræder som regel GDPR.
Den gratis webvariant. Input kan blive behandlet i Microsoft-cloud-tjenester uden for EU. Ikke tiltænkt professionelt indhold.
Værktøj til at bygge egne AI-agenter på Copilot-basis. Arver databeskyttelsesegenskaberne fra den underliggende tenant – kun så sikkert som dit setup.
Derfor ligger Microsoft databeskyttelsesretligt i front her
Sammenlignet med consumer-abonnementerne på ChatGPT eller Claude byder Copilot i enterprise-varianten på tre hårde fordele – og en blød, som kun holder med konsekvent konfiguration.
Databehandleraftale uden ekstraomkostninger
Microsoft 365 Enterprise Agreement indeholder databehandleraftalen som standard. I modsætning til ChatGPT Plus eller Claude Pro falder forhindringen „ingen databehandleraftale" dermed bort.
EU Data Boundary
Konfigurerbar tilstand, der primært holder Microsoft 365- og Copilot-databehandlingen i EU-datacentre. Reducerer tredjelandsrisikoen – men fjerner den ikke helt på grund af CLOUD Act.
Ingen træning på kundeindhold
Microsoft har kontraktligt forpligtet sig til ikke at træne sine foundation-modeller på indhold fra din M365-tenant. Det er en vigtig forskel fra andre udbyderes consumer-abonnementer.
Sensitivity Labels & Purview
Microsoft Purview gør det muligt at klassificere dokumenter og mails. Copilot respekterer disse labels og skjuler beskyttet indhold – forudsat at Purview er sat ordentligt op.
Seks GDPR-spørgsmål, der forbliver åbne – selv med Copilot
Også i enterprise-varianten med EU Data Boundary er der restrisici, som de europæiske tilsynsmyndigheder konsekvent sætter fokus på.
Den amerikanske CLOUD Act gælder fortsat
Microsoft er et amerikansk selskab. CLOUD Act forpligter amerikanske moderkoncerner til at udlevere deres datterselskabers data – også ved lagring i EU. Schrems II-dommen er fortsat grundproblemet.
Bing Grounding sender data ud af tenanten
Når Copilot inddrager websøgeresultater (Bing Grounding), forlader promptindhold den beskyttede tenant og behandles i Bing-cloud-tjenester. Aktiveret som standard – kan slås fra i Admin Center.
DPIA er obligatorisk
Inden Copilot tages i brug, er en konsekvensanalyse vedrørende databeskyttelse (DPIA) obligatorisk. I praksis springes den ofte over – og så mangler dokumentationen over for tilsynsmyndighederne.
Tavshedspligten er fortsat et risikopunkt
Læger, advokater, revisorer, apotekere, forsikringsselskaber, banker: Selv med M365 Copilot Enterprise er en tredjelandsoverførsel problematisk i forhold til tavshedspligten. Strafansvar kan ikke udelukkes.
Plugins og connectorer
Copilot-udvidelser (Salesforce, ServiceNow, SAP) videresender data til de respektive udbydere. Hver enkelt udvidelse kræver sin egen juridiske vurdering og databehandleraftale.
Oplysningspligt over for kunderne
Når kundedata behandles i Copilot-workflows, skal de berørte informeres gennemsigtigt – om modtager, tredjelandsoverførsel og retsgrundlag. Det mangler i de fleste privatlivspolitikker.
Hvornår må jeg bruge Copilot – og hvornår ikke?
Et hurtigt selvtjek: Hvis jeres konfiguration og use case passer i venstre kolonne, er Copilot som regel forsvarligt. Rammer noget i højre kolonne, har I brug for en bedre løsning.
Med stor sandsynlighed OK
- M365 E3/E5 Enterprise Agreement er aktivt
- EU Data Boundary konfigureret, Bing Grounding slået fra
- DPIA gennemført og dokumenteret
- Sensitivity Labels sat op via Purview
Ikke uden yderligere foranstaltninger
- Copilot Pro eller Bing-consumer-varianten i brug
- Lovbestemt tavshedspligt (§ 203 StGB) i spil
- Særlige kategorier efter art. 9 i GDPR (helbred m.m.)
- Konsekvensanalysen (DPIA) mangler stadig
Hvilke alternativer findes der?
Tre veje – sorteret efter beskyttelsesniveau. Hvis Copilot ikke passer, eller restrisiciene er for høje, er her jeres muligheder.
KOSMO On-Premise
KOSMO kører på jeres egen hardware. Ingen amerikansk koncern, ingen CLOUD Act, ingen tredjelandsoverførsel, fuld adgang til interne kilder. Også egnet til erhverv med lovbestemt tavshedspligt.
- Data forlader aldrig jeres netværk
- Ingen databehandleraftale nødvendig (ingen ekstern databehandler)
- RAG på jeres egne videnskilder
M365 Copilot med stram policy
Hvis I beholder Copilot: Deaktivér Bing Grounding, indfør klare retningslinjer for brugen, uddan medarbejderne, lav løbende stikprøver og dokumentér jeres DPIA.
- Deaktivér Bing Grounding
- Markér følsomt indhold med Purview
- Opdatér DPIA'en årligt
EU-udbyder med databehandleraftale
Specialiserede europæiske AI-udbydere med hosting i EU, databehandleraftale og gennemsigtig modelpolitik. Lavere tredjelandsrisiko end Copilot, men typisk mere besværligt at integrere med Microsoft.
- Verificér databehandleraftale og hosting i EU
- Tjek moderselskab og CLOUD Act-eksponering
- Sikr, at jeres input ikke bruges til træning
FAQ – detailspørgsmålene om Copilot
Microsoft 365 Copilot er enterprise-varianten med databehandleraftale, tenant-binding og EU Data Boundary som mulighed. Copilot Pro er consumer-varianten uden databehandleraftale, tiltænkt privatpersoner. Til professionel brug med kundedata er kun M365 Copilot en seriøs mulighed – Copilot Pro er for virksomheder stort set aldrig GDPR-holdbar.
Kilder & yderligere information
Denne side bygger på følgende offentlige og myndighedskilder:
- Microsoft Learn – Microsoft 365 Copilot: Data, Privacy & Security
- Microsoft – EU Data Boundary for the Microsoft Cloud
- DSK – Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz (Mai 2024, PDF)
- DSK – Technische & organisatorische Maßnahmen für KI-Systeme (Juni 2025, PDF)
- BSI – Generative KI-Modelle: Chancen und Risiken
- EuGH – Urteil C-311/18 „Schrems II" (16. Juli 2020)
- EUR-Lex – Verordnung (EU) 2016/679 (DSGVO) im Volltext
Fuld kontrol i stedet for restrisiko
KOSMO kører på jeres egen hardware eller i suveræne EU-datacentre. Ingen amerikansk koncern, ingen CLOUD Act, ingen Bing Grounding – kun jeres data og jeres viden.
Denne side giver et generelt overblik og erstatter ikke juridisk rådgivning. I konkrete sager – især ved særlige kategorier af personoplysninger, lovbestemt tavshedspligt eller grænseoverskridende dataoverførsler – bør du kontakte jeres databeskyttelsesrådgiver (DPO) eller et specialiseret advokatfirma.
