Risico’s van Microsoft 365 Copilot volgens VNG en IBD

Microsoft 365 Copilot belooft een revolutie in de manier waarop overheden en organisaties werken. Binnen applicaties als Word, Excel, Outlook en Teams kan deze AI-assistent teksten genereren, samenvattingen maken, vergaderingen ondersteunen en data analyseren. Voor gemeenten betekent dit potentieel een aanzienlijke efficiëntiewinst in de informatievoorziening en besluitvorming.

Tegelijkertijd benadrukt de Informatiebeveiligingsdienst (IBD) in een recente notitie (12 augustus), gebaseerd op een Data Protection Impact Assessment (DPIA) van SLM Rijk, dat er aanzienlijke risico’s kleven aan het gebruik van Copilot binnen gemeentelijke context. Voor juristen die werken binnen of voor gemeenten is het cruciaal deze risico’s te begrijpen. Niet alleen vanwege de Algemene verordening gegevensbescherming (AVG), maar ook vanwege de bredere plicht tot zorgvuldige omgang met persoonsgegevens en vertrouwelijke informatie.

In dit artikel zetten wij de belangrijkste risico’s volgens de VNG en IBD op een rij en bespreken we de juridische en organisatorische implicaties voor gemeenten.

Vier hoog ingeschatte risico’s volgens de IBD

1. Belemmeringen bij inzagerechten

Onder de AVG hebben betrokkenen recht op inzage in de persoonsgegevens die over hen worden verwerkt. Bij Microsoft 365 Copilot blijkt dit in de praktijk problematisch. Microsoft biedt nog geen compleet en begrijpelijk overzicht van alle gegevens die Copilot verwerkt. Vooral de diagnostische data – verzameld in de zogeheten Required Service Data – zijn nauwelijks inzichtelijk. Dit betekent dat gemeenten gebruikers niet volledig kunnen informeren of inzage kunnen verlenen, wat direct raakt aan de kern van de AVG-verplichtingen.

2. Verlies van controle en risico op onjuiste gegevens

Een tweede groot risico is het verlies van controle. Copilot kan onjuiste of onvolledige persoonsgegevens genereren. Dit kan leiden tot sociaaleconomische nadelen voor betrokkenen, bijvoorbeeld wanneer onjuiste informatie wordt gebruikt in een HR-context of bij besluitvorming over voorzieningen.

Daarbij speelt ook het gevaar van overreliance: het te veel vertrouwen op door AI gegenereerde antwoorden. Doordat Copilot als een chatbot wordt gepresenteerd, wekt de tool de suggestie van betrouwbaarheid. In werkelijkheid is het een statistisch voorspellingsmodel, niet een bron van juridisch zekere feiten.

3. Onvoldoende transparantie over verwerking van persoonsgegevens

Het derde risico betreft de beperkte transparantie van Microsoft over welke persoonsgegevens precies worden verwerkt en hoe. De Required Service Data worden altijd verzameld, ongeacht de privacy-instellingen van gebruikers. Hierdoor kunnen gemeenten hun informatieplicht richting medewerkers of burgers niet volledig nakomen. Dit maakt het lastig om de gegevensverwerking te toetsen aan de beginselen van doelbinding en proportionaliteit uit de AVG.

4. Heridentificatie door lange bewaartermijnen

Het vierde risico heeft te maken met bewaartermijnen. Microsoft kan pseudonieme gegevens tot ruim tien jaar bewaren, afhankelijk van de duur van het dienstverband van de gebruiker. Dit schept het gevaar van heridentificatie: data die aanvankelijk gepseudonimiseerd lijken, kunnen door langdurige opslag opnieuw herleidbaar worden tot individuen. Dit staat op gespannen voet met het beginsel van dataminimalisatie en de verplichting om persoonsgegevens niet langer te bewaren dan noodzakelijk.

Advies van de IBD: terughoudendheid en duidelijke kaders

De IBD adviseert gemeenten daarom om voorlopig terughoudend te zijn met het verwerken van persoonsgegevens via Copilot. Bijzonder gevoelige gegevens, zoals medische of strafrechtelijke informatie, horen helemaal niet in Copilot thuis.

Zolang Microsoft onvoldoende transparantie en controle biedt, is het risico te groot dat gemeenten in strijd handelen met de AVG. Dit geldt temeer omdat gemeenten een hoge mate van zorgvuldigheid moeten betrachten bij de verwerking van persoonsgegevens van burgers, ambtenaren en ketenpartners.

Technische en organisatorische maatregelen

Beperk oversharing

Een veelgenoemd risico is oversharing: het onbedoeld delen van te veel of te gevoelige informatie met Copilot. Microsoft heeft hiervoor een implementatieplan opgesteld dat gemeenten kunnen volgen. Belangrijke maatregelen zijn:

• uitschakelen van de standaardintegratie met Bing;

• blokkeren van toegang tot consumentenversies van Copilot;

• uitschakelen van feedbackfuncties;

• strikt labelen van documenten en inrichten van toegangsrechten.

Zonder dergelijke maatregelen loopt een gemeente het risico dat vertrouwelijke stukken of persoonsgegevens in de AI-verwerking terechtkomen.

Informatiehuishouding en toegangsbeheer

Op organisatorisch niveau is een actuele en goed gestructureerde informatiehuishouding essentieel. Documenten moeten worden voorzien van duidelijke labels en toegangsrechten, zodat Copilot geen toegang krijgt tot informatie die daar niet voor bedoeld is.

Daarnaast moeten gemeenten investeren in AI-geletterdheid van medewerkers. Alleen wanneer ambtenaren begrijpen hoe generatieve AI werkt en welke risico’s eraan verbonden zijn, kan verantwoord gebruik worden gemaakt van Copilot.

AI-beleid en toezicht

Tot slot is beleid onmisbaar. Gemeenten moeten vastleggen wat wel en niet mag bij het gebruik van generatieve AI. Dit beleid moet actief worden gedeeld, herhaald en gehandhaafd. Denk hierbij aan:

• welke functies van Copilot toegestaan zijn;

• welke gegevens nooit in Copilot ingevoerd mogen worden;

• welke medewerkers (bijvoorbeeld HR of juridische diensten) juist uitgesloten moeten worden van Copilot-licenties;

• inrichting van auditlogs en controlemechanismen.

Zonder dergelijk kader is het gebruik van AI-tools een juridisch mijnenveld.

Juridische implicaties voor juristen

Voor juristen die gemeenten adviseren of binnen gemeenten werkzaam zijn, zijn de risico’s rondom Copilot meer dan een technische kwestie. Zij raken direct aan fundamentele AVG-rechten, zoals inzage, rectificatie en dataminimalisatie.

Daarnaast speelt de bredere zorgvuldigheidsplicht van gemeenten als publieke organisaties. Het gebruik van een tool die mogelijk verkeerde persoonsgegevens genereert of onvoldoende transparant is over dataverwerking, kan leiden tot aansprakelijkheid, klachten bij de Autoriteit Persoonsgegevens of verlies van vertrouwen bij burgers.

Ook in bestuursrechtelijke procedures kan de betrouwbaarheid van door Copilot gegenereerde informatie een rol spelen. Als besluiten mede gebaseerd zijn op onjuiste of onvolledige AI-output, kan dit leiden tot vernietiging wegens strijd met het zorgvuldigheidsbeginsel.

Balans tussen kansen en risico’s

Microsoft 365 Copilot biedt onmiskenbaar kansen voor gemeenten: efficiëntere documentverwerking, betere samenwerking en versnelling van werkprocessen. Maar tegenover die voordelen staan juridische en privacyrisico’s die niet genegeerd mogen worden.

De VNG en de IBD zijn duidelijk: pas wanneer Microsoft meer transparantie biedt, inzagerechten waarborgt en bewaartermijnen verduidelijkt, kan Copilot verantwoord worden ingezet voor de verwerking van persoonsgegevens. Tot die tijd zijn beleid, technische maatregelen en bewustwording de sleutels tot veilig gebruik.

Afsluiting

De inzet van Microsoft 365 Copilot binnen gemeenten staat op een kruispunt. Enerzijds biedt de tool kansen om de publieke dienstverlening te moderniseren en de informatiehuishouding te verbeteren. Anderzijds wijzen de bevindingen uit de DPIA en de IBD-notitie op aanzienlijke juridische en privacyrisico’s.

Voor juristen is het essentieel deze risico’s scherp in beeld te hebben en gemeenten te adviseren over noodzakelijke waarborgen. Dat betekent: geen gebruik van Copilot voor bijzondere persoonsgegevens, terughoudendheid bij reguliere persoonsgegevens, en nadruk op beleid, transparantie en training.

Alleen dan kan de belofte van AI werkelijkheid worden zonder dat het ten koste gaat van privacy, zorgvuldigheid en vertrouwen.

Hulp nodig?

Wil je hulp en advies bij het veilig en juridisch verantwoord inzetten van Microsoft 365 Copilot binnen jouw organisatie? Neem gerust contact met ons op. Onze experts ondersteunen gemeenten en juridische teams bij het ontwikkelen van AI-beleid, het uitvoeren van risicoanalyses en het trainen van medewerkers in AI-geletterdheid.