Copilot Chat beantwoordt vragen over uw e-mail, ook zonder licentie
Dienstverleners activeren steeds vaker standaard AI-functionaliteit waar u niet om gevraagd heeft. Hoe gaat u om met dit risico?
Elke Outlook-gebruiker kan Copilot Chat vragen stellen over inbox en agenda, ook zonder Copilot-licentie. Bij piekbelasting kan deze verwerking buiten de EU plaatsvinden. U blijft verantwoordelijk voor die verwerking. Deel uw mailboxen in naar gevoeligheid, blokkeer de Copilot-app waar uw DPIA niet reikt en leg het restrisico vast.
Praktijkvoorbeelden
Microsoft 365: de dominante e-maildienst
Uit ons onderzoek blijkt dat bij 76% van de gemeenten en 73% van de ziekenhuizen e-mails door Microsoft 365 worden verwerkt.
Copilot Chat in Outlook, met verwerking buiten de EU bij piekbelasting
Sinds januari 2026 beantwoordt Copilot Chat in Outlook vragen over inbox en agenda, ook zonder Copilot-licentie. In omgevingen van na 25 maart 2026 staat flex routing standaard aan: bij piekbelasting mag de verwerking plaatsvinden in de Verenigde Staten, Canada of Australië. Zolang u niets anders instelt, geldt de standaardinstellingen van Microsoft.
De privacy-risico's in de praktijk bij SLM Rijk en in Haarlemmermeer
SLM Rijk onderhandelde de vier hoge risico's in de Copilot-DPIA terug naar twee middelhoge. De gemeente Haarlemmermeer legde een eigen DPIA voor aan de Autoriteit Persoonsgegevens. De AP prees in haar advies de kleine pilot, maar oordeelde dat het plan zoals beschreven inbreuk zou maken op de AVG. Zodoende wist de gemeente wat haar te doen stond, zoals een duidelijke doelomschrijving en betekenisvolle menselijke tussenkomst verankeren in besluitvorming.
Verder dan de standaarden
Gemeenten: GIBIT geeft in de cloud geen weigerrecht
GIBIT 2025 laat in artikel 2.5 de licentievoorwaarden van software van derden voorgaan. Updates weigeren kan volgens artikel 37.4 niet bij generieke clouddiensten, tenzij anders overeengekomen. Een nieuwe Microsoft-functie komt dus mee, tot u bij de opvolger van GT Microsoft in 2027 iets anders afspreekt. Tot dan heeft u alleen uw eigen instellingen als "knoppen" om aan te "draaien".
Zorg: de AIVG beschermt wat er is, niet wat erbij komt
De AIVG 2022 Module ICT (2024) verbiedt in artikel 9.1 een functionaliteit te beëindigen zonder toestemming, maar zwijgt over toevoegingen. Een AI-functie die erbij komt, raakt uw patiëntcorrespondentie dus zonder dat iemand u toestemming vraagt.
Uw DPIA loopt achter op de leverancier
De AVG vraagt een nieuwe oordeel zodra het risico verandert. Volgens de AP moet u kunnen bepalen tot welke gegevens AI toegang heeft, en vereist toegang tot e-mail extra onderbouwing. Microsoft biedt geen aparte instelling om alleen toegang tot de mailbox te beperken. U kunt wel de Copilot-app blokkeren per gebruiker of groep, of gelabelde items uitsluiten met DLP.
Veelvoorkomende misvattingen
Copilot Chat is toch uit de Office-apps gehaald voor wie geen licentie heeft?
Alleen uit Word, Excel, PowerPoint en OneNote; in Outlook houdt iedereen de inbox-functie.
Onze inkoopvoorwaarden beschermen ons tegen nieuwe functies.
Ze beschermen tegen schrappen, niet tegen toevoegen.
Het Rijk heeft de DPIA op Copilot al gedaan.
Die DPIA gaat over het betaalde Copilot; de gratis Copilot Chat raadt SLM Rijk overheden af.
Aan de slag
Aanbevelingen
- Stel eerst van buitenaf vast of Microsoft 365 uw e-mail verwerkt. Met de Masus Quick Scan heeft u gratis en zonder account, binnen 3 minuten uw rapport.
- Zet flex routing in het beheercentrum op "Do not allow" zolang uw DPIA uitgaat van verwerking binnen de EU, ook in een omgeving die aangemaakt zijn voor 25 maart 2026.
- Deel uw mailboxen in verschillende groepen zodat u beter kunt bepalen welke medewerkers Copilot kunnen gebruiken om e-mails te verwerken.
- Begin met een pilotgroep (met gevoeligheidslabels, DLP en training) om eerste ervaringen op te halen voordat Copilot toegang krijgt tot mailboxen van additionele medewerkers.
Vragen aan uw leverancier
- Kunt u toezeggen dat nieuwe AI-functies die onze informatie verwerken uit staan tot wij ze zelf aanzetten?
Klaar om dit voor uw organisatie te vertalen naar actie?
Krijg binnen 2 á 3 minuten uw eerste inzichten in de digitale soevereiniteitrisico's van uw organisatie middels onze gratis Quick Scan. Of neem contact op voor een vrijblijvend gesprek over uw specifieke situatie.