AI
12 september 2025
Privacyrisico's Microsoft 365 Copilot naar oranje
Vanuit ons consortium (SURF, SLBdiensten en APS IT-diensten) adviseren wij scholen en besturen om terughoudend om te gaan met de inzet van Microsoft 365 Copilot. Dat is de conclusie van een nieuwe DPIA (Data Protection Impact Assessment). Ondanks dat er verbeteringen zijn doorgevoerd in Microsoft 365 Copilot, zijn niet alle risico's overtuigend geadresseerd.
Op deze pagina houden we je op de hoogte van de actuele ontwikkelingen rondom Microsoft 365 Copilot en de DPIA. Let op: dit is momenteel ook alle informatie die onze Servicedesk beschikbaar heeft.
12 september 2025
Hieronder lees je de volledige berichtgeving vanuit SURF.
SURF adviseert onderwijs- en onderzoekinstellingen terughoudend om te gaan met de inzet van Microsoft 365 Copilot. Dat is de conclusie van een nieuwe DPIA (Data Protection Impact Assessment) op Microsoft 365 Copilot. Ondanks dat er verbeteringen zijn doorgevoerd in de AI-toepassing, zijn niet alle risico's overtuigend geadresseerd. De afgelopen maanden hebben SURF en SLM (Strategisch Leveranciers Management) van de Rijksoverheid intensieve gesprekken gevoerd met Microsoft om de risico's aan te pakken.
Terughoudende inzet en randvoorwaarden
Door de verbeteringen in Microsoft 365 Copilot, waar alle gebruikers profijt van hebben, raden we vanuit ons consortium (SURF, SLBdiensten en APS IT-diensten) de inzet ervan niet meer volledig af. Maar gezien de nog aanwezige risico's raden onderwijs- en onderzoeksinstellingen aan terughoudend om te gaan met de inzet van Copilot en weloverwogen per soort gebruik de risico's af te wegen. Daarbij adviseren we in ieder geval duidelijke afspraken te maken binnen de instelling over de inzet van AI en een AI-gebruiksbeleid te hanteren.
Conclusies en risicobeoordeling
In december 2024 publiceerde SURF de eerste DPIA op Microsoft 365 Copilot, waaruit vier hoge risico’s naar voren kwamen. Van de vier eerder gevonden hoge risico's blijven er twee over die nu als ‘medium’ of ‘oranje’ zijn beoordeeld. Deze twee resterende risico’s hebben betrekking op inaccurate (persoons)gegevens en de bewaartermijn van de diagnostische (persoons)gegevens over het gebruik van de dienst. SURF houdt vinger aan de pols bij de gedane toezeggingen van Microsoft om deze medium risico's aan te pakken en maakt over 6 maanden een nieuwe afweging.
Meer informatie?
Op 25 september organiseert SURF een webinar rondom de DPIA op Microsoft 365 Copilot. Wij zullen je hier binnenkort van op de hoogte brengen.
Aan de slag met Microsoft 365 Copilot?
De licentie voor Microsoft 365 Copilot is verkrijgbaar via onze webwinkel. Daar vind je ook onze aanbevolen maatregelen voor een goede voorbereiding en tips om veilig en verantwoord met Copilot te werken.
