Microsoft 365 Copilot è conforme al GDPR?
Sotto il profilo della protezione dei dati, Microsoft 365 Copilot è chiaramente meglio posizionato delle varianti consumer degli altri LLM cloud: accordo di trattamento presente, EU Data Boundary disponibile, nessun addestramento sui contenuti del cliente. Restano però tre temi: Microsoft è una società USA (CLOUD Act), il Bing Grounding può inviare dati fuori dal tenant e per i professionisti tenuti al segreto del § 203 del codice penale tedesco la combinazione resta rischiosa.
Utilizzabile in modo realistico con un setup enterprise e l'EU Data Boundary – ma non per tutti i casi d'uso né per tutti i settori.
- Accordo di trattamento nell'Enterprise Agreement
- EU Data Boundary configurabile
- Il CLOUD Act statunitense resta applicabile
- Il Bing Grounding invia fuori dal tenant
Di quale variante Copilot si sta parlando?
« Copilot » è il marchio ombrello di Microsoft per più prodotti con profili di privacy molto diversi. Confonderli porta direttamente all'incidente di conformità.
Il classico per le aziende: Microsoft 365 E3/E5 più la licenza Copilot. Con accordo di trattamento, vincolo al tenant ed elaborazione dati nell'UE come opzione. Per l'uso professionale in area DACH l'unica variante seriamente verificabile.
Versione personale per utenti privati. Nessun accordo, nessun tenant, inadatta all'uso aziendale. Chi inserisce dati di clienti qui viola regolarmente il GDPR.
La versione web gratuita. Gli input possono essere elaborati in servizi cloud Microsoft fuori dall'UE. Non destinata a contenuti professionali.
Strumento per costruire agenti IA su base Copilot. Eredita le proprietà di privacy del tenant sottostante – sicuro quanto il setup.
Perché Microsoft è in vantaggio qui sul piano della protezione dei dati
Rispetto alle versioni consumer di ChatGPT o Claude, Copilot Enterprise offre tre vantaggi solidi – e uno più morbido che regge solo con una configurazione rigorosa.
Accordo di trattamento incluso
L'Enterprise Agreement Microsoft 365 include l'accordo di trattamento per impostazione predefinita. A differenza di ChatGPT Plus o Claude Pro, scompare l'ostacolo « nessun accordo disponibile ».
EU Data Boundary
Modalità configurabile che mantiene l'elaborazione di Microsoft 365 e Copilot principalmente in data center europei. Riduce il rischio paese terzo – ma non lo elimina del tutto a causa del CLOUD Act.
Nessun addestramento sui contenuti del cliente
Microsoft si impegna contrattualmente a non addestrare i propri modelli di base sui contenuti del tenant M365. È una differenza importante rispetto ai piani consumer di altri fornitori.
Sensitivity Labels & Purview
Microsoft Purview permette di classificare documenti ed e-mail. Copilot rispetta queste etichette e nasconde i contenuti protetti di conseguenza – se Purview è configurato correttamente.
Sei domande GDPR che restano aperte anche con Copilot
Anche nella variante Enterprise con EU Data Boundary restano rischi residui che le autorità di controllo tedesche sollevano sistematicamente.
Il CLOUD Act statunitense resta applicabile
Microsoft è una società USA. Il CLOUD Act obbliga le capogruppo statunitensi a consegnare i dati delle controllate – anche con archiviazione nell'UE. La sentenza Schrems II resta il problema di fondo.
Il Bing Grounding esce dal tenant
Quando Copilot include risultati di ricerca web (Bing Grounding), il contenuto del prompt lascia il tenant protetto e viene elaborato nei servizi cloud Bing. Attivo per impostazione predefinita, disattivabile nel centro di amministrazione.
La DPIA è obbligatoria
Prima dell'introduzione di Copilot è obbligatoria una valutazione d'impatto sulla protezione dei dati. Spesso omessa in pratica – manca poi la prova di giustificazione verso le autorità di controllo.
Il segreto professionale resta rischioso
Medici, avvocati, commercialisti, farmacisti, assicurazioni, banche: anche con M365 Copilot Enterprise, il trasferimento verso un paese terzo nel senso del segreto professionale resta problematico. Responsabilità penale non esclusa.
Plug-in e connettori
Le estensioni Copilot (Salesforce, ServiceNow, SAP) inoltrano dati ai rispettivi fornitori. Ogni singola estensione richiede una propria valutazione legale e un accordo di trattamento.
Obblighi informativi verso i clienti
Se dati di clienti vengono elaborati in flussi Copilot, gli interessati devono essere informati in modo trasparente – su destinatari, trasferimento verso paesi terzi e base giuridica. La maggior parte delle informative privacy non lo riporta.
Quando posso usare Copilot – e quando no?
Un'autovalutazione rapida: se la configurazione e il caso d'uso rientrano nella colonna di sinistra, Copilot è generalmente accettabile. Se qualcosa nella colonna di destra si applica, serve una soluzione migliore.
Molto probabilmente OK
- Enterprise Agreement M365 E3/E5 attivo
- EU Data Boundary configurata, Bing Grounding disattivato
- DPIA eseguita e documentata
- Sensitivity Labels configurate tramite Purview
Non senza ulteriori misure
- Copilot Pro o variante consumer Bing in uso
- Segreto professionale ai sensi del § 203 StGB coinvolto
- Categorie particolari dell'art. 9 GDPR (salute ecc.)
- Valutazione d'impatto in sospeso
Quali alternative esistono?
Tre vie – ordinate per livello di protezione. Se Copilot non va bene o i rischi residui sono troppo alti, ecco le opzioni.
KOSMO on-premise
KOSMO gira sul tuo hardware. Niente società USA, niente CLOUD Act, niente trasferimenti verso paesi terzi, pieno accesso alle fonti interne. Adatto anche alle professioni del § 203 StGB.
- Nessun dato lascia la tua rete
- Nessun accordo di trattamento necessario (nessun responsabile esterno)
- RAG sulle tue fonti di conoscenza
M365 Copilot con policy rigorosa
Se mantieni Copilot: disattivare il Bing Grounding, policy d'uso chiare, formazione dei collaboratori, controlli a campione regolari e DPIA documentata.
- Disattivare il Bing Grounding
- Etichettare contenuti sensibili con Purview
- Aggiornare la DPIA ogni anno
Fornitore UE con accordo
Fornitori europei specializzati con hosting nell'UE, accordo di trattamento e politica del modello trasparente. Rischio paese terzo inferiore a Copilot, ma integrazione Microsoft di solito più macchinosa.
- Verificare accordo di trattamento e hosting UE
- Verificare la capogruppo e l'esposizione al CLOUD Act
- Esclusione dell'addestramento sui tuoi input
FAQ – le domande di dettaglio su Copilot
Microsoft 365 Copilot è la variante Enterprise con accordo di trattamento, vincolo al tenant ed EU Data Boundary come opzione. Copilot Pro è la variante consumer senza accordo, destinata ai privati. Per uso professionale con dati dei clienti, solo M365 Copilot è un'opzione seria – Copilot Pro praticamente non è mai conforme al GDPR per le aziende.
Fonti & approfondimenti
Questa pagina si basa sulle seguenti fonti pubbliche e ufficiali:
- Microsoft Learn – Microsoft 365 Copilot: Data, Privacy & Security
- Microsoft – EU Data Boundary for the Microsoft Cloud
- DSK – Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz (Mai 2024, PDF)
- DSK – Technische & organisatorische Maßnahmen für KI-Systeme (Juni 2025, PDF)
- BSI – Generative KI-Modelle: Chancen und Risiken
- EuGH – Urteil C-311/18 „Schrems II" (16. Juli 2020)
- EUR-Lex – Verordnung (EU) 2016/679 (DSGVO) im Volltext
Pieno controllo invece di rischio residuo
KOSMO gira sul tuo hardware o in data center sovrani europei. Niente società USA, niente CLOUD Act, niente Bing Grounding – solo i tuoi dati e la tua conoscenza.
Questa pagina offre una panoramica generale e non sostituisce una consulenza legale. Nei casi concreti – in particolare per dati sensibili, segreto professionale o trasferimenti transfrontalieri – rivolgiti al tuo responsabile della protezione dei dati o a uno studio specializzato.
