Copilot saugumas prieš diegimą

Microsoft Copilot mato tik tai, ką gali atidaryti pats naudotojas, ir naujų prieigos teisių nesuteikia. Tačiau jis gali rasti ir atsakyme pateikti dokumentą, apie kurį naudotojas net nežinojo. Todėl prieš diegimą tikrinamas ne pats Copilot, o prieigos teisės SharePoint, OneDrive ir Teams aplinkoje. Kartu verta nuspręsti dėl jautrumo žymų, paieškos internete ir Claude modelių naudojimo bei patvirtinti vidaus DI naudojimo tvarką.

Ką Copilot mato ir ko nemato?

Pagal Microsoft aprašą Copilot naudoja tik turinį, prie kurio naudotojas turi prieigą, ir papildomų prieigos teisių nesuteikia. Galioja esamos teisės, jautrumo žymos ir saugojimo taisyklės. Rizika atsiranda ten, kur prieigos teisės per plačios. Pavyzdžiui, jei aplankas su atlyginimų lentele bendrinamas su visa organizacija, Copilot gali jį rasti atsakydamas į bet kurio darbuotojo užklausą. Tai ne Copilot klaida, o sena prieigos teisių problema, kuri tampa matoma.

Prieigos teisių patikros sąrašas

1. Atviros svetainės ir komandos. Suraskite SharePoint svetaines ir Teams komandas, atviras visai organizacijai, ir įvertinkite, ar taip turi būti.
2. Bendrinimo nuorodos. Peržiūrėkite nuorodas, kuriomis jautrūs failai bendrinami su visa organizacija ar išorės asmenimis.
3. Senos prieigos teisės. Patikrinkite buvusių darbuotojų, svečių ir projektų grupių teises.
4. Ypač jautrios svetainės. Atlyginimų, sutarčių ar valdybos svetainėms laikinai taikykite ribotą turinio aptikimą (Restricted Content Discovery). Jis paslepia pasirinktas SharePoint svetaines organizacijos paieškoje ir Copilot atsakymuose, bet teisių nekeičia. Jam reikia Copilot licencijos. OneDrive jis netaikomas, o svetainėse, kuriose yra daugiau nei 500 000 elementų, pakeitimas gali užtrukti ilgiau nei savaitę.
5. Jautrumo žymos. Pradėkite naudoti Microsoft Purview jautrumo žymas (sensitivity labels). Copilot jas paveldi, o duomenų praradimo prevencijos (DLP) taisyklės gali blokuoti atsakymus, kai užklausoje yra jautrių duomenų, ir neleisti Copilot apdoroti pažymėtų failų.
6. Bandomoji grupė. Pradėkite nuo nedidelės grupės ir stebėkite, kokie dokumentai atsiranda atsakymuose.

Darbo ar asmeninė paskyra?

Įmonės duomenų apsauga (enterprise data protection) taikoma tik prisijungus prie darbo (Microsoft Entra) paskyros. Tada naudojimą reglamentuoja Microsoft duomenų apsaugos priedas (DPA) ir produktų sąlygos, o Microsoft veikia kaip duomenų tvarkytojas. Microsoft nurodo, kad užklausos, atsakymai ir per Microsoft Graph pasiekiami duomenys nenaudojami pagrindiniams modeliams mokyti.

Asmeninei paskyrai taikomos vartotojų sąlygos. Microsoft privatumo DUK nurodoma, kad Copilot pokalbių duomenys naudojami DI modeliams mokyti, išskyrus tam tikrų naudotojų grupių ir tų naudotojų, kurie to atsisakė, duomenis.

Bendroje darbo ir asmeninėms paskyroms skirtoje Microsoft Copilot programoje prie profilio rodoma, ar prisijungta prie darbo, ar prie asmeninės paskyros. Darbo paskyrą žymi skydo ženklas. Šį skirtumą verta parodyti kiekvienam darbuotojui. Administratoriams Microsoft rekomenduoja neblokuoti copilot.cloud.microsoft adreso, o asmeninių paskyrų naudojimą riboti taikant organizacijos aplinkos apribojimus (tenant restrictions).

ES duomenų riba ir dvi išimtys

Microsoft Copilot patenka į ES duomenų ribą (EU Data Boundary), todėl ES naudotojų srautas lieka ES. Tačiau yra dvi svarbios išimtys.

Paieška internete per Bing

Kai Copilot ieško internete, iš užklausos sudaryta paieškos frazė siunčiama Bing be naudotojo ir organizacijos identifikatorių. Tokioms frazėms netaikomas nei duomenų apsaugos priedas, nei ES duomenų riba, o Microsoft čia veikia kaip savarankiškas duomenų valdytojas. Administratorius paiešką internete gali išjungti nustatydamas atitinkamą politiką, o naudotojas pokalbyje gali išjungti žiniatinklio turinį.

Anthropic Claude modeliai

Copilot gali naudoti ir Anthropic Claude modelius, tačiau jie nepatenka į ES duomenų ribą. ES, ELPA šalių ir Jungtinės Karalystės organizacijose jie pagal numatytąsias nuostatas išjungti. Įjungti juos galima Microsoft 365 administravimo centro Copilot nustatymuose, skiltyje „AI providers operating as Microsoft subprocessors“. Prieš įjungdami įrašykite šį sprendimą į DI naudojimo tvarką.

Todėl, jei įjungta paieška internete ar Claude modeliai, teigti, kad visi Copilot duomenys lieka ES, negalima.

Ką dar verta nuspręsti?

• Atmintis. Copilot atmintis, kol kas prieinama kaip peržiūros versija, pasiekiama ir be licencijos. Microsoft Purview saugojimo politikos jai netaikomos, o atminties veiksmai neįrašomi į audito žurnalą. Nuspręskite, ar leisti ją naudoti.
• Paieška internete. Nuspręskite, ar leisti paiešką visiems, ir aiškiai įvardykite, kokių duomenų negalima rašyti į užklausas.
• Agentai. Nustatykite, kas gali kurti ir publikuoti agentus ir kas tvirtina jų žinių šaltinius.

Vidaus DI naudojimo tvarka

Tvarka yra trumpas dokumentas, kurį darbuotojai perskaito prieš gaudami Copilot. Joje verta nurodyti:

• kokiais DI įrankiais ir paskyromis leidžiama naudotis darbe;
• kokių duomenų negalima įvesti, pavyzdžiui, asmens kodų ar sveikatos duomenų;
• kada galima naudoti paiešką internete ir ar įjungti Claude modeliai;
• kaip tikrinamas DI rezultatas prieš jį siunčiant klientui;
• kas kuria ir tvirtina agentus;
• kam pranešti apie klaidą ar duomenų nutekėjimą;
• kaip registruojami darbuotojų mokymai.

Padedame parengti tokios tvarkos juodraštį pagal jūsų licencijas ir nustatymus. Galutinį tekstą verta suderinti su duomenų apsaugos pareigūnu ar teisininku.

Ko iš tikrųjų reikalauja DI akto 4 straipsnis?

ES DI akto 4 straipsnis nuo 2025 m. vasario 2 d. taikomas DI sistemų tiekėjams ir diegėjams. Įmonė, kuri suteikia darbuotojams Copilot, DI akte vadinama diegėju. 2026 m. liepos 27 d. įsigaliojusiu Reglamentu (ES) 2026/1744 straipsnis pakeistas. Dabar įmonė turi imtis priemonių darbuotojų DI raštingumui stiprinti, atsižvelgdama į jų žinias, patirtį ir naudojimo kontekstą. Užtikrinti konkretaus raštingumo lygio nereikalaujama. Pakeistą tekstą rasite ES DI akto pagalbos tarnybos puslapyje.

Europos Komisijos klausimų ir atsakymų puslapyje, atnaujintame 2026 m. spalio 20 d., nurodyta, kad privalomų mokymų formų ar sertifikatų nėra, o vidaus mokymų įrašą saugoti patartina. Nacionalinės rinkos priežiūros institucijos nuo 2026 m. rugpjūčio 2 d. prižiūri, kaip vykdoma ši pareiga. Mokymai yra viena iš priemonių, bet savaime atitikties neužtikrina. Tai bendro pobūdžio informacija, o ne teisinė konsultacija.