SURF tegen onderwijs- en onderzoeksinstellingen: gebruik Microsoft 365 Copilot niet

In 2024 voerde SURF samen met externe privacy-experts van Privacy Company een Data Protection Impact Assessment (DPIA) uit op Microsoft 365 Copilot. Deze beoordeling richtte zich op gebruik door medewerkers en volwassen studenten, aangezien de educatielicentie van Microsoft niet beschikbaar is voor minderjarigen. Uit de DPIA kwamen meerdere privacyrisico’s voor gebruikers naar voren.

Gebrek aan transparantie

Een van de risico’s die SURF vaststelt is het gebrek aan transparantie van Microsoft. Het blijft onduidelijk welke persoonsgegevens worden verzameld en opgeslagen bij het gebruik van Microsoft 365 Copilot. Bovendien zijn de gegevens die beschikbaar worden gesteld via inzageverzoeken vaak onvolledig en moeilijk te begrijpen.

Daarnaast genereert Microsoft 365 Copilot mogelijk onjuiste of onvolledige persoonsgegevens. Gebruikers worden hiervan niet op de hoogte gesteld, waardoor zij onbewust met foutieve gegevens kunnen werken en te veel vertrouwen op de AI-tool.

Reactie Microsoft

Microsoft wijst in een reactie erop dat de DPIA op Microsoft 365 Copilot is geïnitieerd door SLM Rijk samen met externe privacy-experts van Privacy Company. "SURF is in een later stadium aangehaakt als onderdeel van het SLM proces. SLM Rijk heeft ook haar bevindingen gepubliceerd. Deze bevindingen bieden een uitgebreidere toelichting dan het bericht van SURF", meldt het bedrijf.

"We evalueren de tussentijdse bevindingen en zullen blijven samenwerken met de Nederlandse overheid om ervoor te zorgen dat het gebruik van Microsoft 365 Copilot ten goede komt aan Nederlandse burgers en in overeenstemming is met internationale regelgeving," aldus een woordvoerder van Microsoft.

Microsoft meldt de voortdurende inzet van de Nederlandse overheid voor hoge standaarden op het gebied van gegevensbescherming, veiligheid en transparantie te waarderen. Het stelt zich te blijven inzetten om nauw samen te werken met de Nederlandse overheid en hun opmerkingen in het tussentijdse rapport aan te pakken.

Ook zegt de techgigant het niet eens te zijn met enkele tussentijdse conclusies en hebben er vertrouwen in dat publieke en commerciële klanten in de bredere EU/EER, waaronder Nederland, de productiviteits- en efficiëntievoordelen van Microsoft 365 Copilot kunnen benutten in overeenstemming met de AVG.

Tot slot meldt Microsoft dat de privacy-audits uitgevoerd door de Nederlandse overheid aantonen dat Microsoft al technische en organisatorische maatregelen toepast om persoonsgegevens te beschermen en te verwerken, en daarnaast contractuele verplichtingen en uitgebreide garanties biedt.