SURF adviseert Microsoft 365 Copilot terughoudend in te zetten vanwege privacyrisico’s

SURF adviseert onderwijs- en onderzoekinstellingen terughoudend om te gaan met de inzet van Microsoft 365 Copilot. Dat is de conclusie van een nieuwe DPIA (Data Protection Impact Assessment) op Microsoft 365 Copilot. Ondanks dat er verbeteringen zijn doorgevoerd in de AI-toepassing, zijn niet alle risico’s overtuigend aangepakt.

In december 2024 publiceerde SURF de eerste DPIA op Microsoft 365 Copilot, waaruit vier hoge risico’s naar voren kwamen. De afgelopen maanden hebben SURF en SLM (Strategisch Leveranciers Management) van de Rijksoverheid intensieve gesprekken gevoerd met Microsoft om de risico’s aan te pakken.  

Van de 4 eerder gevonden hoge risico’s blijven er 2 over die nu als ‘medium’ of ‘oranje’ zijn beoordeeld. Door de privacyverbeteringen in Microsoft 365 Copilot, waar alle gebruikers profijt van hebben, raadt SURF de inzet ervan nu niet meer volledig af.  

De twee resterende risico’s hebben betrekking op inaccurate (persoons)gegevens en de bewaartermijn van de diagnostische (persoons)gegevens over het gebruik van de dienst.   

Terughoudende inzet en afspraken maken binnen je schoolbestuur

Gezien de nog aanwezige risico’s raadt SURF onderwijs- en onderzoeksinstellingen aan terughoudend om te gaan met de inzet van Copilot en weloverwogen per soort gebruik de risico’s af te wegen. Daarbij adviseren zij in ieder geval duidelijke afspraken te maken binnen de onderwijsinstelling over de inzet van AI en een AI-gebruiksbeleid te hanteren. 

Kennisnet staat achter dit advies en raadt ook scholen in het po en vo aan om terughoudend te zijn in het gebruik van Microsoft 365 Copilot. Maak gebruik van de toolkit schoolafspraken generatieve AI om afspraken te maken over de inzet van Copilot. In deze handleiding vind je de principes voor het gebruik van generatieve AI op school inclusief voorbeeldafspraken, tips en aandachtspunten. Je kunt deze afspraken overnemen of op basis hiervan eigen afspraken formuleren. 

Nieuwe afweging over zes maanden

SURF houdt een vinger aan de pols bij de gedane toezeggingen van Microsoft om de twee overgebleven risico’s aan te pakken en maakt over zes maanden een nieuwe afweging. Kennisnet blijft dat volgen. Zo gauw de situatie verandert laten we dat weten.