Microsoft 365 Copilot mag pas aan als je de basis op orde hebt, oordeelt de AP

De Autoriteit Persoonsgegevens oordeelde half juli 2026 dat de gemeente Haarlemmermeer Microsoft 365 Copilot niet rechtmatig kan inzetten zoals zij dat had voorgelegd. Dat oordeel volgde op een voorafgaande raadpleging, een procedure die je start als uit een DPIA hoge risico's blijken die je niet zelf kunt wegnemen. Het advies is geschreven voor één gemeente, maar de lijn die de AP trekt geldt voor elke organisatie die Copilot boven op haar Microsoft-omgeving wil zetten, ook advocatenkantoren en juridische afdelingen. Een organisatie mag Microsoft 365 Copilot pas inzetten als haar verwerkingsregister, autorisaties en informatiehuishouding op orde zijn, en een gebrek aan transparantie bij de leverancier ontslaat haar niet van haar eigen AVG-verplichtingen.

Wat de AP over Microsoft 365 Copilot besliste

De AP concludeerde dat de voorgenomen inzet inbreuk zou maken op de AVG en sloot af met een kort advies: niet starten voordat de genoemde maatregelen zijn genomen. Zonder die maatregelen is de verwerking, op basis van de aangeleverde stukken waarschijnlijk onrechtmatig.

De kern van het probleem zit in hoe Copilot werkt. De in- en output worden gekoppeld aan individuele gebruikers, en via de Microsoft Graph krijgt Copilot toegang tot bestanden en metadata die persoonsgegevens bevatten. Uit de risicoanalyse waarop de gemeente zich baseert komen vier hoge restrisico's: betrokkenen kunnen hun inzagerecht niet uitoefenen, Copilot kan onjuiste persoonsgegevens genereren met significante gevolgen, er is geen zicht op de Required Service Data die naar Microsoft stroomt, en gepseudonimiseerde gegevens kunnen worden geheridentificeerd door onbekende bewaartermijnen. De AP wijst er nadrukkelijk op dat deze risico's samenhangen met de beperkte openheid van Microsoft, en dat juist die beperkte openheid de afnemer niet van zijn eigen plichten ontslaat.

De basis op orde komt vóór de tool

De AP behandelt een reeks randvoorwaarden die op orde moeten zijn voordat je een generatief AI-systeem aanzet. Je hebt een actueel verwerkingsregister nodig, een overzicht van welke persoonsgegevens waar staan, een gecontroleerde autorisatiestructuur en zicht op je cloudomgeving. Dat klinkt als bekend AVG-huiswerk, maar Copilot verandert de inzet ervan. Een generatief AI-systeem dat toegang krijgt tot je systemen kan bestaande, nog onopgemerkte problemen blootleggen en vergroten.

Het scherpst zit dat bij de autorisaties. Copilot heeft toegang tot alle gegevens waar de gebruiker zelf bij kan, plus historische data en metadata over die bestanden. Als je toegangsrechten rommelig zijn ingericht, gaat Copilot dus meer persoonsgegevens verwerken dan nodig, wat botst met het beginsel van minimale gegevensverwerking. Voor een kantoor is dat geen abstract punt. Afgeschermde dossiers, ethische wanden tussen zaken en stukken die onder het beroepsgeheim vallen, staan of vallen met de vraag of je autorisaties kloppen op het moment dat je Copilot toegang geeft. Een verkeerd ingericht toegangsmodel laat Copilot dan materiaal oppervlakken dat afgeschermd had moeten blijven.

Deze acties horen vóór de ingebruikname te gebeuren, niet erna. Dat sluit aan bij wat we eerder schreven over de teruggedraaide uitrol van Microsoft 365 bij de Belastingdienst: een leverancier die een veilige inrichting mogelijk maakt, levert daarmee nog geen bewijs dat jouw omgeving ook zo staat ingesteld.

Het gebrek aan transparantie van Microsoft blijft jouw probleem

De vier hoge restrisico's komen terug op één gegeven: Microsoft geeft onvoldoende inzicht in wat er onder de motorkap gebeurt. Het Responsible AI-filter, dat prompts en antwoorden filtert, kun je als organisatie niet aanpassen, en Microsoft legt niet uit wat het filter doet met content die als laag- of middel-schadelijk wordt aangemerkt. De definitie van wat schadelijk is verschilt bovendien per rechtsorde, en de AP wijst erop dat de filterinstellingen van een Amerikaans bedrijf niet vanzelf aansluiten op de Nederlandse en Europese context. Je hebt dus geen inzicht in en geen invloed op een mechanisme dat je eigen dataverkeer raakt. Voor de Required Service Data geldt hetzelfde: Microsoft is niet transparant over de inhoud, het doel en de bewaartermijn, waardoor de afnemer die transparantie ook niet aan betrokkenen kan bieden.

De AP trekt hier een harde conclusie die verder gaat dan een aansporing. Als een leverancier de instellingen of de transparantie die de AVG vereist niet biedt, ontslaat dat de organisatie niet van haar plichten, en kan het generatieve AI-systeem simpelweg niet in gebruik worden genomen. Dat is de duiding die telt voor de praktijk. Een geruststelling van de leverancier, een belofte dat feedback het systeem later beter maakt, of een filter dat je niet kunt zien, verschuift de verantwoordelijkheid niet. Die blijft bij de organisatie die de tool inzet. Dezelfde logica geldt voor stukken die onder het beroepsgeheim vallen, waarover we eerder schreven dat een publiek model geen begaanbare route is zonder afgeschermde omgeving en verwerkersovereenkomst.

Wat een kantoor vastlegt voordat Copilot aangaat

De praktische opgave begint bij een concreet doel. De AP vond de doelomschrijving van de gemeente, het ondersteunen van de medewerker, te vaag om als welbepaald doel te gelden. Zonder scherp doel is de verwerking niet rechtmatig, dus benoem waar Copilot precies bij helpt en beperk de toegang daartoe.

Daarna leg je in het contract met de leverancier vast in welke rol die handelt, en of Microsoft voor bepaalde verwerkingen zelf verwerkingsverantwoordelijke is. Regel dat de verwerker je ondersteunt bij inzageverzoeken, dat je inzicht houdt in de filters, en dat de bewaartermijnen helder en beïnvloedbaar zijn. Werkt de leverancier daar niet aan mee, dan kun je hem volgens de AP niet inschakelen zodra je weet dat je daarmee de AVG overtreedt. Zorg tot slot voor voldoende AI-geletterdheid en een echte menselijke controlestap, want de chat-interface wekt de indruk van een betrouwbare zoekmachine terwijl het model onjuiste persoonsgegevens plausibel kan presenteren. Dat raakt de automation bias die maakt dat mensen output van een systeem te snel voor waar aannemen.

Onder dat alles ligt een terugkerend punt. De Europese of contractuele herkomst van een tool zegt niets over de vraag of je hem verantwoord kunt inzetten. Dat beoordeel je aan wat je aantoonbaar in de hand hebt, en dat leg je vast in beleid in plaats van het per medewerker te laten ontstaan.