Går GDPR og Microsoft 365 Copilot hånd-i-hånd? Ny rapport forsøger at give et svar

NTNU og det norske Datatilsyn har sammen afdækket tre områder, hvor Copilot særligt kan medføre GDPR-mæssige udfordringer:

1. Copilot har adgang til alt
2. Brugen af Copilot kan skabe en række nye behandlinger, som kræver hjemmel i GDPR
3. Copilot kan medføre ansættelsesretlige udfordringer

Copilot har adgang til alt

Ifølge rapporten, som du kan læse her, har Copilot samme adgange og rettigheder i Microsoft 365, som den medarbejder der anvender løsningen.

Medarbejderen får derfor ikke adgang til nye oplysninger ved at anvende Copilot, men det øger alligevel risikoen for utilsigtet og uautoriseret brug af data, fordi værktøjet hurtigt kan finde oplysninger frem, som medarbejderen måske ikke havde kendskab til eller har fået adgang til ved en fejl.

Det stiller derfor ifølge NTNU meget store krav til organisationens adgangsstyring, hvis organisationen vælger at anvende Copilot.

Der kan opstå en række nye behandlinger, som kræver hjemmel i GDPR

NTNU har erfaret, at brugen af Copilot kan medføre en lang række nye behandlinger, som organisationen skal føre fortegnelse over og ikke mindst have (behandlings)hjemmel til at foretage.

Et eksempel fra undersøgelsen er brugen af Copilot til at skrive mødereferater.

Uden brug af Copilot vil det være begrænset, hvilke personoplysninger der vil indgå i referatet, da det kun vil være de oplysninger, som ”forfatteren” aktivt vælger at indarbejde. Men med brug af Copilot til at skrive referatet vil der ske en form for optagelse og transskription af mødet.

Dermed bliver der behandlet personoplysninger som stemme, tonefald, udtryksform og køn. Copilot kan desuden indsamle oplysninger om, hvem der taler, hvor længe de taler, og om der er overensstemmelse med det, den enkelte siger på mødet og tidligere har sagt eller givet udtryk for. Det skyldes, at Copilot (også) kan søge i nærliggende dokumenter og foretage en sammenligning.

Copilot kan medføre ansættelsesretlige udfordringer

Rapporten fra NTNU afslører en lang række funktioner i Copilot, der betyder, at organisationen ikke bare skal undersøge, om brugen af løsningen overholder GDPR, men også skal undersøge, om der er ansættelsesretlige udfordringer ved brugen.

Mens det norske arbejdsmarked primært er reguleret gennem lovgivning, er det danske arbejdsmarked i høj grad reguleret af overenskomster. Dette er nødvendig at huske, når du læser rapporten.

Det ændrer dog ikke ved, at de arbejdsmarkedsretlige problemstillinger, der fremgår af rapporten, også potentielt kan være problemstillinger i Danmark. Det handler blandt andet om overvågning af medarbejderens brug af IT-udstyr, som kan være særdeles omfattende ved brugen af Copilot. Desuden lægger NTNU til grund, at Copilot kan anvendes til at profilere den enkelte bruger, hvilket der som udgangspunkt er et forbud mod i GDPR artikel 22.