CopilotEen analist bij een middelgroot bedrijf typt een simpele vraag in Microsoft 365 Copilot: "Wat is de laatste stand van de reorganisatie?" Copilot geeft behulpzaam een samenvatting van een conceptplan, compleet met namen, voorgestelde boventalligheid en ontslagvergoedingen.
De analist had dat document nooit mogen zien. Maar twee jaar geleden zette iemand het op een SharePoint-site die was gedeeld met "iedereen behalve externe gebruikers", en niemand keek daarna nog naar die rechten. Technisch gezien had de analist altijd al toegang. Hij wist alleen niet dat het bestand bestond, tot Copilot het opdiepte als antwoord op een vraag in gewone taal.
Er werd niets gehackt. Er werd geen enkel recht omzeild. Copilot deed precies waarvoor Microsoft het heeft ontworpen: het erfde de toegang van de gebruiker en maakte die doorzoekbaar. En dat is het hele privacyverhaal van Copilot op het werk.
Is Microsoft 365 Copilot veilig voor bedrijfsgegevens?
Als dienst wel, en de toezeggingen van Microsoft zijn hier echt sterk. Microsoft 365 Copilot gebruikt je prompts, antwoorden en Microsoft Graph-gegevens niet om zijn onderliggende modellen te trainen. De verwerking blijft binnen de servicegrens van Microsoft 365, en Copilot toont alleen gegevens waarvoor de gebruiker die de vraag stelt al rechten heeft.
Juist in die laatste garantie zit de adder onder het gras. Copilot neemt de toegang van elke persoon precies over. Is er in je organisatie jarenlang te ruim gedeeld (brede deellinks, doorbroken overerving, sites open voor "iedereen", bestanden op de verkeerde plek), dan zorgt Copilot niet voor nieuwe risico's, maar haalt het wel de onzichtbaarheid weg die je stilletjes beschermde. Waar je vroeger moest weten dat een bestand bestond en ernaar moest zoeken, volstaat nu één goed geformuleerde vraag. Daarin verschilt Copilot het meest van ChatGPT en Claude: die zien wat iemand plakt of koppelt. In ons artikel over het verschil tussen ChatGPT, Claude en Copilot staan de drie naast elkaar.
Het risico in Copilot is niet de AI. Het zijn je rechten, in één klap zichtbaar gemaakt.
Hoe Copilot met je gegevens omgaat
Er is niet één Copilot. Er zijn er drie, met heel verschillende bescherming.
| Gratis Copilot (consument) | Copilot Chat (werk) | Microsoft 365 Copilot (add-on) | |
|---|---|---|---|
| Inloggen | Persoonlijk / geen | Werkaccount | Werkaccount |
| Zakelijke gegevensbescherming | Nee | Ja | Ja |
| Training van modellen met je gegevens | Oudere app: mogelijk, tenzij je het uitzet. Nieuwe app en web: nee | Nee | Nee |
| Toegang tot je e-mail, bestanden en Teams | Nee | Beperkt: in Outlook mail, agenda en een deel van de bestanden, elders wat je zelf toevoegt | Volledig, via Graph |
| Het "erft jouw toegang"-risico | Nee | Beperkt | Ja |
De gratis consumenten-Copilot (copilot.microsoft.com, zonder werkaccount) put uit het open web en heeft geen zakelijke gegevensbescherming. Hij is niet bedoeld voor werkgegevens: dit is de versie die het Amerikaanse Huis van Afgevaardigden voor zijn personeel blokkeerde. Training is daarbij niet meer het grootste bezwaar. Sinds 18 augustus 2026 is er een bijgewerkte Copilot-app, en voor die app en voor Copilot op het web zegt Microsoft dat prompts, antwoorden en de inhoud van bestanden niet worden gebruikt om basismodellen te trainen (Microsoft, Copilot voor individuen: jouw activiteitenoverzicht, gecontroleerd op 21 oktober 2026). De oudere app kan nog wel op gesprekken trainen, tenzij je dat uitzet (Microsoft, veelgestelde vragen over privacy voor Microsoft Copilot, gecontroleerd op 21 oktober 2026). Wat blijft: met een persoonlijk account gelden de consumentenvoorwaarden van Microsoft, niet de afspraken die jouw organisatie met Microsoft heeft gemaakt.
Microsoft 365 Copilot Chat, gebruikt met een werkaccount, valt onder zakelijke gegevensbescherming. Buiten Outlook werkt het met het web en met wat je zelf plakt, uploadt of met "/" toevoegt. In Outlook gaat het verder, ook zonder betaalde licentie: dan kan Copilot Chat bij je e-mail, agenda, vergaderingen en chats, en bij een begrensd deel van je bestanden. Dat zijn je eigen OneDrive en andere OneDrive-bestanden waar je bij kunt, bestanden van SharePoint-sites die je vaak bezoekt, bestanden die rechtstreeks met je zijn gedeeld, en bestanden die je hebt bekeken, bewerkt of gemaakt (Microsoft Learn, Microsoft Copilot Chat Privacy and Protections, gecontroleerd op 25 oktober 2026). Toegang tot al je werkgegevens via de semantische index houdt Microsoft voor de betaalde licentie. Wat Copilot Chat zonder licentie verder kan, lees je in ons artikel over Copilot Chat zonder licentie.
Microsoft 365 Copilot (de betaalde add-on) is de variant met volledige Graph-toegang: e-mail, bestanden, agenda, Teams, SharePoint. Daar zit ook het probleem van te ruim delen.
Microsoft 365 Copilot heet inmiddels Microsoft Copilot, net als de consumentenapp, en Microsoft 365 Copilot Chat heet nu Microsoft Copilot Chat (Microsoft Learn, Beveiliging van bedrijfsgegevens in Microsoft Copilot en Microsoft Copilot Chat, gecontroleerd op 21 oktober 2026). Aan de naam op het scherm zie je het verschil dus nauwelijks. Aan het account wel: een persoonlijk Microsoft-account, of een werk- of schoolaccount.
Dan de vraag waar je gegevens blijven. Microsoft 365 Copilot valt onder de EU-datagrens. Maar bij piekbelasting kan "flex routing" de LLM-verwerking naar de VS, Canada of Australië verplaatsen, en die optie staat standaard aan voor nieuwere tenants. Opgeslagen gegevens blijven in de EU; de verwerking misschien niet, tenzij je ingrijpt.
De grootste privacyrisico's in Copilot
1. Te ruim delen, doorzoekbaar gemaakt
Dit is het belangrijkste risico. Een salarisbestand op een te ruim gedeelde site, een bestuursstuk in een open Teams-kanaal, een HR-brief in een verkeerd ingestelde bibliotheek: allemaal al toegankelijk voor meer mensen dan bedoeld, en nu met één vraag te vinden. Copilot verbreedt de toegang niet; het maakt bestaande te ruime toegang bruikbaar.
2. Verouderde en geërfde rechten
Mensen wisselen van rol, projecten eindigen, externen vertrekken, en hun toegang blijft vaak hangen. Copilot put uit alles wat elke gebruiker vandaag nog kan bereiken, ook rechten die maanden geleden al weg hadden moeten zijn.
3. De "welke Copilot"-vergissing
Een medewerker die de gratis consumenten-Copilot gebruikt voor een werktaak, ingelogd met een persoonlijk account, krijgt geen enkele zakelijke bescherming. In Copilot Chat met een werkaccount valt dezelfde prompt onder zakelijke gegevensbescherming; in de consumentenversie niet. De meeste gebruikers zien het verschil niet.
4. Promptinjectie die bij beheerde gegevens komt
In 2025 lieten onderzoekers "EchoLeak" (CVE-2025-32711) zien: een lek waarbij een speciaal opgestelde e-mail Copilot interne gegevens kon laten ophalen en wegsluizen, zonder dat de gebruiker ergens op hoefde te klikken. Microsoft dichtte het lek aan de serverkant voordat er misbruik bekend was, maar het bewees dat promptinjectie ook de zakelijke Copilot raakt, juist omdat Copilot bij alles kan wat het slachtoffer kan openen.
5. Verzonnen persoonsgegevens
Copilot kan stellig maar onjuist iets beweren over echte, herleidbare personen. Onder de AVG zijn onjuiste persoonsgegevens op zichzelf al een probleem, en een Nederlandse DPIA voor de hele sector noemde precies dit als restrisico.
6. Verwerking die bij pieken de EU verlaat
Omdat flex routing bij nieuwere tenants standaard aanstaat, kan de LLM-verwerking van Copilot tijdelijk buiten de EU-datagrens plaatsvinden. Voor organisaties met strikte eisen aan verwerking in de EU is dat een keuze die je bewust maakt en niet ongemerkt overneemt.
Wat er voor de organisatie op het spel staat
Laat Copilot persoonsgegevens zien aan iemand die ze niet mag zien, zoals salarissen, gezondheidsgegevens of een dossier, dan kan dat onder de AVG een datalek zijn, ook al was er geen aanvaller en werd er technisch geen recht geschonden. Is er een risico voor de rechten en vrijheden van mensen, dan moet de organisatie dat binnen 72 uur melden bij de Autoriteit Persoonsgegevens.
Boetes kunnen oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet, als dat hoger is, en de aansprakelijkheid ligt bij de organisatie als verwerkingsverantwoordelijke. Ook los van de toezichthouder doet het pijn: leest een medewerker via Copilot de salarissen van collega's of een reorganisatieplan, dan ontstaat er meteen schade aan het vertrouwen en de verhoudingen op het werk, en die is moeilijk in te dammen.
Het ongemakkelijke is dat een vlekkeloos contract met Microsoft geen verweer biedt als het probleem in je eigen rechtenstructuur zat.
Copilot in het nieuws: de gedocumenteerde incidenten
Maart 2024: Amerikaans Huis van Afgevaardigden blokkeert Copilot
Het Office of the Chief Administrative Officer verklaarde de commerciële versie van Microsoft Copilot "ongeautoriseerd voor gebruik door het Huis", vanwege het risico dat gegevens zouden lekken naar clouddiensten die niet waren goedgekeurd, en liet weten de overheidsversie later te beoordelen. Het besluit ging over de consumentenversie, niet over de zakelijke M365 Copilot, maar maakte organisaties wel voorzichtiger. Bron: Axios, maart 2024.
December 2024 tot 2025: SURF Copilot-DPIA (Nederland)
SURF, de ICT-coöperatie van het Nederlandse onderwijs en onderzoek, publiceerde in december 2024 een DPIA over Microsoft 365 Copilot. Daarin stonden vier hoge privacyrisico's en het advies aan instellingen om Copilot voorlopig niet te gebruiken. Na aanpassingen door Microsoft werden de risico's in een update van september 2025 verlaagd naar "oranje". Er bleven twee zorgen over: onjuiste persoonsgegevens die over echte mensen worden gegenereerd, en een bewaartermijn van 18 maanden voor gepseudonimiseerde metadata. Bron: SURF, 2024-2025.
Juni 2025: EchoLeak (CVE-2025-32711)
Aim Labs maakte een lek in Microsoft 365 Copilot bekend waarmee via promptinjectie interne gegevens konden worden weggesluisd, zonder dat de gebruiker iets hoefde te doen. Het lek kreeg de beoordeling kritiek (CVSS 9.3). Microsoft dichtte het in mei 2025 aan de serverkant en zag geen aanwijzingen dat het in de praktijk was misbruikt. Bron: BleepingComputer / The Hacker News, juni 2025.
De rode draad is niet één fout, maar een tool waarvan de kracht tegelijk het grootste privacyrisico is: hij kan bij alles wat een gebruiker kan openen.
Wat je in Copilot en Microsoft 365 kunt instellen
1. Spoor te ruim delen op met SharePoint Advanced Management Gebruik Data Access Governance en rechtenrapportages om doorbroken overerving, "iedereen"-links en te ruim gedeelde sites te vinden, en herstel ze. Dit is de echte oplossing, en die is bij Microsoft 365 Copilot inbegrepen.
2. Pas Microsoft Purview-gevoeligheidslabels toe Copilot respecteert labels met versleuteling: het toont inhoud alleen als de gebruiker die ook mag uitlezen. Het staat of valt met hoeveel je hebt gelabeld: een te ruim gedeeld bestand zonder label blijft vrij spel.
3. Configureer Purview DLP voor Copilot Een DLP-beleid voor de locatie Microsoft 365 Copilot kan gelabelde inhoud buiten de verwerking door Copilot houden.
4. Gebruik Restricted SharePoint Search, maar tijdelijk Restricted SharePoint Search (RSS) kan wat Copilot vindt beperken tot een lijst van maximaal 100 toegestane sites, terwijl je opruimt. Microsoft zegt duidelijk dat het geen beveiligingsgrens is, geen rechten wijzigt en alleen voor de korte termijn bedoeld is.
5. Zet flex routing uit als de verwerking strikt binnen de EU moet blijven Ga in het Microsoft 365 admin center naar Copilot > Instellingen > flex routing en kies "Flex routing niet toestaan". Dan blijft de LLM-verwerking binnen de EU-datagrens.
6. Beperk of verwijder Copilot-licenties Zet Copilot per gebruiker uit door de licentie in te trekken of via Integrated Apps, zodat de gevolgen tijdens een gefaseerde uitrol beperkt blijven.
Stappen gecontroleerd in juni 2026. Microsoft deelt het Copilot-beheer regelmatig opnieuw in, dus menunamen kunnen veranderen.
Wat geen beheerinstelling afvangt
Instellingen bepalen wat Microsoft met je gegevens doet en hoe breed Copilot zoekt. Ze repareren de onderliggende rechten niet, en ze bepalen niet wat een medewerker in de prompt typt.
Geen schakelaar zet de map die drie jaar geleden voor "iedereen" werd opengezet, weer dicht. Geen instelling voor de opslaglocatie haalt het rekeningnummer van een klant weg dat iemand in een Copilot-prompt plakte met de vraag het "samen te vatten". Copilot vergroot twee zwakke plekken uit: te ruim gedeelde inhoud en te vol geplakte prompts. Beide komen neer op menselijke beslissingen waar geen instellingenscherm bij kan.
Dat is het gat: tussen de toegang die een organisatie heeft opgebouwd en wat iemand op het punt staat te typen.
Het laatste moment waarop je nog kunt kiezen
BeeSensible zoekt terwijl je typt naar persoonsgegevens in tekstvelden in de browser, ook in het promptvak van Copilot. De tekst gaat naar de detectiedienst van BeeSensible in de EU, waar de analyse in het werkgeheugen draait en de tekst na detectie wordt gewist. Er wordt niets van opgeslagen. Staat er gevoelige informatie in een prompt, dan markeert BeeSensible die in de tekst. De gebruiker ziet zo precies wat hij op het punt staat te delen, en kan het nog maskeren met een label zoals [NAAM1] of verwijderen voordat hij verstuurt.
