Copilot ja tietosuoja: 12 kohdan tarkistuslista ylläpitäjälle
Copilot ei ohita Microsoft 365:n käyttöoikeuksia. Se näyttää käyttäjälle vain tietoa, jonka tämä voi jo nyt avata. Copilotin tietosuojariski syntyy siitä, että moni voi avata enemmän kuin pitäisi, ja Copilot löytää ylijaetun tiedoston sekunneissa. Siksi tärkeimmät tietosuojatoimet ennen käyttöönottoa ovat SharePoint- ja OneDrive-oikeuksien korjaaminen, luottamuksellisuustunnisteiden käyttöönotto ja sen arvioiminen, tarvitaanko tietosuojaa koskeva vaikutustenarviointi.
Tarkistuslista on tehty Microsoft 365 -ylläpitäjälle, tietosuojavastaavalle ja IT-päällikölle. Microsoftia koskevat tiedot on tarkistettu Microsoft Learnin dokumentaatiosta 13.10.2026, ja lähteet on linkitetty tekstiin.
Microsoft on nimennyt maksullisen Microsoft 365 Copilotin uudelleen nimellä Microsoft Copilot ja maksuttoman Microsoft 365 Copilot Chatin nimellä Microsoft Copilot Chat, mutta sovelluksissa ja ohjeissa näkyy siirtymävaiheessa vielä vanhoja nimiä. Tässä kirjoituksessa maksullinen versio on Copilot ja maksuton Copilot Chat.
Tilanne 13.10.2026. Microsoftin asetukset ja nimet muuttuvat usein, joten tarkista ajantasaiset tiedot linkeistä. Ei oikeudellista neuvontaa.
Miten Copilot käyttää organisaation tietoja
Microsoftin Copilotin tietosuojasivun mukaan maksullinen Copilot hakee sisältöä Microsoft Graphin kautta: sähköpostit, kalenterit, Teams-keskustelut, kokoukset ja tiedostot. Keskeiset periaatteet:
- Käyttöoikeudet ratkaisevat. Copilot näyttää vain organisaation tietoa, johon käyttäjällä on vähintään lukuoikeus.
- Ei mallien koulutusta. Kehotteita, vastauksia ja Graphin kautta haettua dataa ei käytetä perusmallien kouluttamiseen.
- Microsoft on käsittelijä. Kehotteisiin ja vastauksiin sovelletaan Microsoftin tietosuojalisäystä (Data Protection Addendum, DPA) ja tuoteehtoja.
- Keskustelut tallentuvat. Kehotteet ja vastaukset tallentuvat organisaation Microsoft 365 -ympäristöön. Ylläpitäjä voi hakea niitä eDiscoveryllä ja määrittää niille säilytyskäytännöt Microsoft Purviewssa.
Erota kaksi tuotetta toisistaan: maksullinen Copilot hakee organisaation sisältöä itse. Copilot Chat perustuu Microsoftin mukaan ensisijaisesti verkkotietoon, eikä se hae organisaation tietoja automaattisesti. Käyttäjä voi kuitenkin liittää keskusteluun tiedoston, johon hänellä on oikeus, ja Outlookin Copilot Chat voi käyttää käyttäjän sähköposteja, kalenteria ja osaa hänen tiedostoistaan. Samat käyttöoikeudet rajaavat molempia.
Ylijakaminen: Copilot löytää sen, minkä kuka tahansa voi avata
Oletetaan, että Esimerkki Oy:n palkkataulukko on tallennettu vuosia sitten Teams-tiimiin, jonka jäseninä on koko henkilöstö. Kukaan ei ole etsinyt sitä, joten ongelma ei ole tullut esiin. Kun myyjä kysyy Copilotilta ”mitä tiimimme palkat ovat”, Copilot löytää taulukon, koska myyjällä on siihen lukuoikeus.
Copilot ei luonut ongelmaa vaan teki sen näkyväksi. Microsoftin käyttöönotto-ohjeessa ylijakamisen korjaaminen on siksi ensimmäinen vaihe. Ohje neuvoo etsimään sivustot, joilla on liian laaja yleisö, omistajattomat ja käyttämättömät sivustot sekä koko organisaatiolle jaetut linkit.
Väliaikaiseksi suojaksi Microsoft suosittaa Restricted Content Discovery -asetusta. Se piilottaa valitun SharePoint-sivuston sisällön Copilotista ja organisaation laajuisesta hausta muuttamatta käyttöoikeuksia. Asetus edellyttää, että organisaatiolla on Copilot-lisenssejä. Aiempi Restricted SharePoint Search -toiminto on poistumassa, eikä sitä ole voinut ottaa uutena käyttöön 31.7.2026 jälkeen (Microsoft Learn). Molemmat ovat väliaikaisia ratkaisuja: varsinainen korjaus on käyttöoikeuksien siivous.
EU Data Boundary: mitä pysyy EU:ssa ja mitä ei
EU Data Boundary on Microsoftin sitoumus tallentaa ja käsitellä asiakasdata EU- ja EFTA-maissa. Microsoft 365 -asiakkaat, joiden tilaus on tehty EU- tai EFTA-maassa, kuuluvat sen piiriin, lukuun ottamatta Multi-Geo-ominaisuudet hankkineita. Copilotin tietosuojasivun mukaan EU:n käyttäjien liikenne kielimalleille pysyy EU Data Boundaryn sisällä.
Tärkeät poikkeukset:
- Verkkohaku. Kun Copilot hakee tietoa verkosta, se muodostaa kehotteesta lyhyen hakulauseen ja lähettää sen Bing-hakupalveluun ilman käyttäjän ja organisaation tunnisteita. DPA ja EU Data Boundary eivät koske näitä hakulauseita, ja Microsoft toimii niiden osalta rekisterinpitäjänä (Microsoft). Verkkohaku on oletuksena käytössä, ellei ylläpitäjä rajoita sitä Allow web search in Copilot -käytännöllä.
- Anthropicin mallit. Copilotissa voi käyttää myös Anthropicin Claude-malleja. Anthropic toimii Microsoftin alikäsittelijänä, mutta Microsoftin mukaan sen mallit eivät tällä hetkellä kuulu EU Data Boundaryn piiriin. EU- ja EFTA-maissa yleinen Anthropic-asetus on oletuksena pois päältä. Wordin, Excelin ja PowerPointin Copilotille on kuitenkin erillinen asetus, joka on oletuksena päällä 25.3.2026 jälkeen luoduissa EU-tenanteissa. Vanhemmissa tenanteissa oletus kerrotaan Message Centerissä. Tarkista siis molemmat asetukset. Tietoja säilyttävät Anthropic-mallit (Anthropic models with Data Retention) kuuluvat Anthropicin omien ehtojen piiriin, ja ne ovat aina oletuksena pois päältä.
- Agentit ja liitännäiset. Kolmansien osapuolten agenttien tietojenkäsittelyyn sovelletaan niiden omia ehtoja.
12 kohdan tarkistuslista Copilotin tietosuojaan
| # | Tarkista | Miksi | Missä |
|---|---|---|---|
| 1 | Ylijaetut sivustot ja tiedostot | Copilot näyttää kaiken, mihin käyttäjällä on oikeus. | Purview DSPM:n tietoriskiarvioinnit ja SharePoint Advanced Managementin Content Management Assessment |
| 2 | Koko organisaation jakolinkit ja Anyone-linkit | Laajat linkit ja ryhmä Everyone except external users ovat tyypillisin ylijakamisen syy. | SharePointin jakamisasetukset ja Data access governance -raportit |
| 3 | Omistajattomat ja vanhentuneet sivustot | Vanha sisältö heikentää vastauksia ja voi sisältää unohtuneita henkilötietoja. | SAM:n omistajuus- ja käyttämättömien sivustojen käytännöt, Microsoft 365 Archive |
| 4 | Väliaikainen rajaus arkaluonteisille sivustoille | Antaa aikaa korjata oikeudet ennen laajaa käyttöönottoa. | Restricted Content Discovery (Restricted SharePoint Search on poistumassa) |
| 5 | Luottamuksellisuustunnisteet ja salaus | Salatun tiedoston sisältöä Copilot palauttaa vain, jos käyttäjällä on VIEW- ja EXTRACT-oikeus. Wordissa, PowerPointissa ja Outlookissa tunniste periytyy Copilotin luomaan sisältöön. | Purview Information Protection. Ota tunnisteet käyttöön myös SharePointissa ja OneDrivessa (ohje). |
| 6 | DLP-käytännöt Copilotille | Voit estää Copilotia käyttämästä tunnisteella merkittyjä tiedostoja. Kehotteiden esto (esim. henkilötunnukset) on esikatseluvaiheessa. Keskusteluun ladattuja tiedostoja DLP ei tarkista. | Purview DLP, sijainti Microsoft 365 Copilot and Copilot Chat |
| 7 | Verkkohaku | Hakulauseet eivät kuulu DPA:n eivätkä EU Data Boundaryn piiriin. | Cloud Policy service, käytäntö Allow web search in Copilot |
| 8 | Tekoälymallit ja alikäsittelijät | Anthropicin mallit eivät kuulu EU Data Boundaryn piiriin, ja Office-sovellusten asetus voi olla oletuksena päällä. | Microsoft 365 -hallintakeskus: Copilot, Settings, AI providers operating as Microsoft subprocessors |
| 9 | Agentit ja Graph-liittimet | Ulkoiset agentit voivat käsitellä dataa omilla ehdoillaan. | Microsoft 365 -hallintakeskus, Integrated apps |
| 10 | Auditointi, säilytys ja eDiscovery | Rekisteröityjen pyyntöihin ja selvityksiin tarvitaan kehotteet ja vastaukset. | Purview Audit, säilytyskäytännöt (Microsoft Copilot Experiences), eDiscovery |
| 11 | Vaikutustenarviointi, selosteet ja yhteistoiminta | Tietosuoja-asetus edellyttää riskien arviointia. Kehotteiden seuranta voi kuulua yhteistoimintamenettelyyn. | Tietosuojavastaava, HR ja Microsoftin DPIA-materiaalit |
| 12 | Käyttäjien ohjeistus ja koulutus | Tekniset rajaukset eivät kerro, mitä Copilotiin saa kirjoittaa ja miten vastaukset tarkistetaan. | Organisaation tekoälyohjeistus ja henkilöstön koulutus |
Microsoftin käyttöönotto-ohjeen mukaan SharePoint Advanced Management sisältyy Copilot-lisensseihin, ja Purviewn perustoiminnot sisältyvät Microsoft 365 E3:een. Osa toiminnoista edellyttää E5- tai E7-lisenssiä. Jos pk-yrityksesi käyttää Business-paketteja, tarkista saatavuus erikseen ennen suunnittelua.
Vinkki: Kohtaa 12 ei voi hoitaa hallintakeskuksesta. Aigen Campuksen moduuli 5 ”Tiedot turvassa” opettaa henkilöstölle liikennevalomallin: mitkä tiedot ovat vihreitä, mitkä keltaisia ja mitä tekoälylle ei anneta koskaan.
Tarvitaanko Copilotille tietosuojan vaikutustenarviointi?
Lyhyt vastaus: usein kyllä, mutta päätös on rekisterinpitäjän. Microsoftin mukaan Office 365:ssä ei ole mitään, mikä sellaisenaan edellyttäisi vaikutustenarviointia. Tarve riippuu siitä, miten organisaatio ottaa palvelun käyttöön ja miten sitä käytetään.
Tietosuojavaltuutetun ohjeen mukaan vaikutustenarviointi on yleensä tehtävä, jos käsittelyssä täyttyy kaksi kahdeksasta kriteeristä. Copilotin käyttöönotossa voi täyttyä useita niistä:
- Uusi teknologia: generatiivinen tekoäly on uuden teknologian soveltamista.
- Heikossa asemassa olevat rekisteröidyt: tietosuojavaltuutettu luettelee tähän ryhmään myös työntekijät.
- Tietokokonaisuuksien yhdistäminen: Copilot yhdistää tietoa sähköposteista, keskusteluista ja tiedostoista.
- Laajamittainen käsittely, kun käyttäjiä on paljon.
Microsoft tarjoaa pohjaksi Office 365:lle laaditun muokattavan DPIA-asiakirjan, joka ei käsittele Copilotia erikseen, sekä Service Trust Portalissa Copilotin riskiarvioinnin pikaoppaan (Microsoft Copilot & Copilot Chat Risk Assessment Quickstart). Ne nopeuttavat työtä mutta eivät korvaa omaa arviointia, koska riskit riippuvat juuri teidän tiedoistanne ja asetuksistanne.
Huomioi myös työelämän tietosuoja. Jos aiot seurata Copilotin kehotteita esimerkiksi Purviewn Communication Compliance- tai Insider Risk Management -toiminnoilla, kyse voi olla teknisin menetelmin toteutetusta valvonnasta tai työntekijöiden sähköisen viestinnän tietojen käsittelystä. Lain yksityisyyden suojasta työelämässä (759/2004) 21 §:n mukaan nämä asiat kuuluvat yhteistoimintalain mukaisen vuoropuhelun piiriin. Selvitä asia HR:n kanssa ennen käyttöönottoa.
Copilot on vain osa kokonaisuutta. Laajempi kuva on kirjoituksessa tekoäly ja tietosuoja, ja tekniset rajaukset kannattaa kirjata myös henkilöstön tekoälyohjeistukseen.
Usein kysyttyä
Onko Microsoft Copilot GDPR-yhteensopiva?
Microsoftin mukaan Copilot (ent. Microsoft 365 Copilot) noudattaa samoja tietosuoja- ja tietoturvasitoumuksia kuin muu Microsoft 365, mukaan lukien GDPR ja EU Data Boundary. Verkkohaun hakulauseet ja Anthropicin mallit ovat poikkeuksia. Organisaatio on silti rekisterinpitäjä ja vastaa siitä, että käyttöoikeudet, käyttötarkoitukset ja arvioinnit ovat kunnossa.
Käyttääkö Microsoft Copilotin keskusteluja tekoälyn kouluttamiseen?
Ei käytä. Microsoftin mukaan kehotteita, vastauksia ja Microsoft Graphin kautta haettua dataa ei käytetä perusmallien kouluttamiseen.
Pysyvätkö Copilotin tiedot EU:ssa?
EU-asiakkaiden Copilot-liikenne kielimalleille pysyy EU Data Boundaryn sisällä. Poikkeuksia ovat verkkohaun hakulauseet ja Anthropicin mallit, jos ne ovat käytössä. Tarkista asetukset, sillä osa niistä on oletuksena päällä.
Näkeekö Copilot kaikkien sähköpostit ja tiedostot?
Ei näe. Copilot näkee vain sisällön, johon kyseisellä käyttäjällä on jo vähintään lukuoikeus. Ongelma syntyy, jos oikeuksia on annettu liian laajasti.
Tarvitaanko Copilotille DPIA?
Tarve riippuu käytöstä, mutta monessa organisaatiossa vähintään kaksi tietosuojavaltuutetun kriteeristä täyttyy, esimerkiksi uusi teknologia ja työntekijöiden tietojen käsittely. Tee arviointi tai dokumentoi ainakin, miksi sitä ei tarvita.
Aloita
Tekniset asetukset rajaavat, mitä Copilot voi nähdä, mutta henkilöstön on tiedettävä, mitä sille saa kirjoittaa. Aigen Campuksessa voit aloittaa maksutta: laadi tekoälyohjeistus, jossa on tietojen liikennevalot ja hyväksytyt työkalut, ja julkaise se henkilöstön kuitattavaksi.