Datatilsynet har ikke udgivet en vejledning til private virksomheder om Copilot. Det, der gælder, er de almindelige regler i forordningen, og denne artikel anvender dem. To spørgsmål fylder mest, nemlig hvad jeres egne medarbejdere pludselig kan finde, og hvad Microsoft gør med oplysningerne. Copilot viser det, brugeren har adgang til, og derfor afgør jeres rettigheder en stor del af risikoen.
Beskrivelsen af Microsofts vilkår bygger på Microsofts dokumentation og databeskyttelsestillæg, læst 5. november 2026. Vilkår ændrer sig, så læs dem igen, før I beslutter. Artiklen vurderer ikke produktet. Om licensen er pengene værd, er et andet spørgsmål, som hører til under Copilot-licensen.
Rettighederne kommer først
Microsoft skriver, at Copilot kun viser organisationsdata, som den enkelte bruger har mindst læseadgang til. Sætningen forudsætter, at adgangene er rigtige. Før Copilot skulle en medarbejder vide, hvor en fil lå, for at finde den. Med Copilot kan en bruger stille et spørgsmål og få svar fra lønfilen på det åbne drev, den gamle personalesag i et Teams-rum eller en kollegas delte notat.
Teknisk er intet ændret, for adgangen fandtes i forvejen. Datatilsynet regner dog en adgang, ingen har godkendt, for uautoriseret, også når den ikke bruges, og Copilot gør det langt lettere at bruge den. Start derfor med en oprydning, se alle kan se alt. Gælder det store mængder, kan en udrulning i trin være en god idé, hvor I begynder med de grupper, hvis områder er ryddet op.
Microsofts rolle og vilkår
Microsoft oplyser, at virksomheders brug af Copilot er dækket af databeskyttelsestillægget (DPA), senest opdateret 1. november 2026, og af Product Terms, med Microsoft som databehandler. Prompts, svar og data, der hentes gennem Microsoft Graph, bruges efter Microsofts oplysninger ikke til at træne grundmodellerne.
Tre forhold fortjener opmærksomhed i jeres vurdering.
Microsofts egne formål. DPA’et giver Microsoft lov til at bruge data til afgrænsede forretningsaktiviteter, bl.a. fakturering, intern rapportering og økonomisk rapportering, og her overholder Microsoft forpligtelserne som uafhængig dataansvarlig. Ifølge DPA’et sker det uden at tilgå indholdet af kundedata. Datatilsynets svar til en region i 2024 viser, at spørgsmålet skal afdækkes. Svaret gik til en region, og private virksomheder står med et andet behandlingsgrundlag. Spørgsmålet om leverandørens egne formål skal de besvare på samme måde. Se også leverandøren bruger data til egne formål.
Websøgning. Med websøgning slået til danner Copilot en kort søgning ud fra brugerens prompt og sender den til Bing sammen med brugerens IP-adresse, men uden identifikation fra brugerens konto. Her er Microsoft efter egne oplysninger selvstændig dataansvarlig, DPA’et gælder ikke, og EU Data Boundary gælder heller ikke. Product Terms giver særskilte tilsagn om søgningerne. Microsofts eget eksempel viser, at søgningen kan indeholde en leders navn. Virksomheden kan styre det med en politik, og konfigurerer I den ikke, er websøgning som udgangspunkt tilgængelig. Beslut det aktivt, og skriv valget ned.
Modeller og underdatabehandlere. Copilot er opført som EU Data Boundary-tjeneste. Claude-modellerne fra Anthropic, hvor Anthropic er underdatabehandler, er pr. 5. november 2026 undtaget fra EU Data Boundary. For kunder i EU, EFTA og Storbritannien er de som udgangspunkt slået fra, og en administrator kan slå dem til. Visse modeller er underlagt Anthropics egne vilkår og opbevaring og er uden for DPA’et. Lad derfor valget ligge hos den, der har ansvaret, og lad det ikke være en indstilling, en administrator ændrer på egen hånd. DPA’et oplyser, at nye underdatabehandlere til AI-funktioner varsles 30 dage før, med mulighed for at slå dem fra i mindst 6 måneder efter meddelelsen. Nogen skal modtage og læse den slags varsler. Se overførsel til tredjelande for reglerne, hvis data forlader EU.
Skal I lave en konsekvensanalyse?
Art. 35 kræver en DPIA, når behandlingen sandsynligvis medfører en høj risiko for personer. WP248 siger, at den i de fleste tilfælde skal overvejes, når to kriterier er opfyldt, og Datatilsynets liste supplerer. Datatilsynet har en særskilt skabelon til AI. Hvad vurderingen ender med hos jer, afhænger af, hvilke data der ligger i Microsoft 365, og hvem der får licens. Følsomme oplysninger i HR, sundhed eller rådgivning taler for en analyse. Har I en DPO, skal I søge rådgivning efter art. 35, stk. 2, men det er jer, der laver analysen. Se DPIA for AI-værktøjer.
Selv når svaret bliver nej, bør vurderingen ligge på skrift. Den bør dække tjenester, formål, oplysningstyper, grundlag, rettigheder, modtagere, tredjelande og beslutningen om websøgning.
Det, Copilot efterlader
Microsoft gemmer brugerens prompt og Copilots svar, inklusive henvisninger, som brugerens aktivitetshistorik. Administratorer kan søge i data og sætte opbevaringsregler med Purview, og brugere kan slette deres egen historik. Det giver jer fire opgaver.
- Opbevaring. Fastsæt, hvor længe prompts og svar gemmes, og læg det ind i jeres regler om sletning.
- Rettigheder. Prompts og svar kan indeholde personoplysninger, så de skal indgå, når I besvarer en anmodning om indsigt.
- Kontrol af ansatte. Søgning i ansattes prompts er kontrol af medarbejdere og kræver grundlag og information, se kontrol af medarbejdere.
- Fortegnelsen. Copilot er en behandling, der skal stå der.
Svar kan også være forkerte. Microsoft skriver selv, at svarene ikke er garanteret korrekte. Bruges et svar om en person til en afgørelse, gælder kravet om rigtige oplysninger stadig, jf. art. 5, stk. 1, litra d.
Det skal I lade være med
· At udrulle før rettighederne er gennemgået. Copilot gør gamle fejl lette at finde.
· At lade standardindstillinger stå uden vurdering. Websøgning og modelvalg er beslutninger.
· At læne jer op ad en leverandørs erklæring alene. I skal selv kunne vise jeres vurdering.
Det skal I kræve af den eksterne
- ☐ Rådgivning om, hvorvidt der skal laves en DPIA, og om analysen er korrekt gennemført.
- ☐ En dateret gennemlæsning af Microsofts vilkår og dokumentation.
- ☐ Kontrol af rettigheder på de områder med flest følsomme oplysninger.
- ☐ En gennemgang af indstillinger for websøgning, modeller og opbevaring.
- ☐ En plan for, hvem der følger varsler om nye underdatabehandlere.
Kilder
Alle Microsoft-kilder er læst 5. november 2026.
- Microsoft: Data, Privacy, and Security for Microsoft Copilot: side dateret 9. juli 2026.
- Microsoft: Enterprise data protection: side dateret 29. maj 2026.
- Microsoft: Web search in Microsoft Copilot: side dateret 29. oktober 2026.
- Microsoft: Claude models from Anthropic in Microsoft Online Services: side dateret 4. november 2026.
- Microsoft: Tillæg om databeskyttelse (DPA): dansk udgave, senest opdateret 1. november 2026.
- Microsoft: Product Terms, Privacy and Security Terms.
- Datatilsynet: Region Syddanmarks påtænkte brug af Microsoft 365: 2024.
- Datatilsynet: Nye skabeloner til konsekvensanalyser: 22. maj 2024.
- Datatilsynet: Styr på rettighedsstyring: december 2023.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Databehandleraftale med Microsoft · AI-agenter med adgang til mail
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
