Datatilsynet trækker i land om Microsoft Copilot

Virksomheder og offentlige arbejdspladser er landet over ved at udrulle Microsoft Copilot til tusindvis ansatte, og derfor var det bekymrende nyt, da Datatilsynet i Version2 i slutningen af januar advarede om at gøre netop dette.

Årsagen var offentliggørelsen af en kritisk rapport om Microsoft 365 Copilot fra det norske Datatilsyn, som den danske tilsynsmyndighed erklærede sig enig i.

Faktisk har problemet med manglende gennemsigtighed i Microsofts databehandling medført, at Datatilsynet selv har ”slukket” for tjenesten overalt organisationen, fortalte Allan Frank, jurist og it-sikkerhedsspecialist i Datatilsynet.

Men den udtalelse kan misforstås.

For i realiteten har Datatilsynet hele tiden brugt on-premise servere hos Statens IT, og tilsynsmyndighedens ansatte har derfor slet ikke haft adgang til den cloud-baserede Microsoft-løsning, som den norske rapport handler om.

Og ifølge Allan Frank fraråder Datatilsynet heller ikke brugen af Copilot.

”Vi siger hverken, at man godt kan bruge Copilot, eller at man ikke kan. Det, vi siger, er, at vi ikke har vurderet, om vi kan bruge det, og vi har heller aldrig brugt det,” siger han.

Næppe muligt at bruge lovligt…

Men hvad er det så, den norske rapport konkluderer, som Datatilsynet i Danmark bakker op om?

Rapporten kommer ikke med et entydigt svar på, om brug af Microsoft 365 Copilot er lovlig. I stedet peger den på, at mange virksomheder vil stå med store udfordringer, hvis de vælger at tage tjenesten i brug.

”Løsningen forudsætter fra Microsofts side, at man har meget god kontrol over sin egen informationsforvaltning – en grad af kontrol, som mange virksomheder nok ikke vil kunne påberåbe sig”, lyder det eksempelvis i rapporten.

Og selvom Microsoft som leverandør giver nok så mange forsikringer om, at databehandlingen overholder reglerne, er det i sidste ende virksomheden eller myndigheden selv, der som dataansvarlig skal sikre at GPDR-reglerne overholdes.

Og det er ikke en simpel øvelse, vurderer nordmændene.

”Det vil næppe være muligt at bruge M365 Copilot på en ansvarlig og lovlig måde uden at investere betydeligt forarbejde”, hedder det i rapporten, der kommer med ni centrale anbefalinger og overvejelser til det forberedende arbejde. 

Det inkluderer at skabe orden i egne systemer og gennemføre grundige vurderinger af konsekvenserne for persondatasikkerhed for de planlagte anvendelsesområder. 

Norske erfaringer

De norske myndigheders rapport er en opfølgning på en evaluering fra Norges Tekniske og Naturvidenskabelige Universitet (NTNU), der selv har gjort forsøg med Copilot.

NTNU konstaterede her, at brugen af Copilot indebar en række risici, der stiller meget store krav til datastyring, og universitetet har foreløbig valgt kun at bruge Copilot til begrænsede og udvalgte opgaver. 

Ifølge Allan Frank viser det norske eksempel, at man skal tænke sig grundigt om og lave et grundigt forarbejde, før man slipper Copilot løs.

”Og pointen er, at det ikke er enten eller. Nordmændene har vurderet, at der er områder, hvor de simpelthen må afstå fra at tage Copilot i anvendelse, fordi de ikke kan gennemskue, hvad der foregår,” siger han.

”Men på andre afgrænsede områder har de godt kunnet komme igennem med deres analyser, og der bruger de det så til typer af behandlinger, der ikke er personfølsomme.”

Tilsvarende illustrerer de norske erfaringer, hvorfor det ikke giver mening for Allan Frank eller Datatilsynet at komme med entydige anbefalinger til, hvad man kan bruge eller ikke bruge Copilot til, mener han.

”Hvis du sidder og designer vindmøller, så er Copilot måske et fantastisk og uproblematisk redskab. Men hvis du sidder i en socialforvaltning og har adgang til personfølsomme oplysninger, så skal du tænke dig godt om, før du bruger det. Og det eneste, jeg plæderer for, er, at man laver de her undersøgelser, før man går i gang med Copilot,” siger han.