Gemeenten gewaarschuwd voor risico's Microsoft Copilot

De notitie is gebaseerd op een Data Protection Impact Assessment (DPIA) die in opdracht van SLM Rijk is uitgevoerd. Hierin worden diverse risico's geïdentificeerd met betrekking tot de gegevensverwerking door Microsoft Copilot.

Belangrijkste risico's:

• Onduidelijkheid over AVG-naleving: Het is onduidelijk in hoeverre de gegevensverwerking door Copilot voldoet aan de Algemene Verordening Gegevensbescherming (AVG).
• Toegang tot gegevens: Copilot heeft mogelijk toegang tot gegevens waarvoor gebruikers zelf geen toegang hebben, met name documenten in SharePoint.
• Opslag van interacties: Interacties met Copilot, inclusief prompts en reacties, worden opgeslagen, maar het is niet duidelijk hoe lang Microsoft deze gegevens bewaart.
• Onjuiste gegevens: Copilot kan onjuiste gegevens verwerken, wat risico's met zich meebrengt, vooral omdat veel gemeenten verouderde informatie opslaan.
• Gebrek aan transparantie: Er is een gebrek aan transparantie over de gegevens die Microsoft verzamelt en hoe deze worden verwerkt.

Aanbevelingen voor gemeenten:

De IBD adviseert gemeenten om Copilot niet te gebruiken voor de verwerking van persoonsgegevens totdat Microsoft maatregelen heeft getroffen om de geïdentificeerde risico's te beperken.

Daarnaast worden gemeenten geadviseerd om:

• Copilot nooit te gebruiken in combinatie met bijzondere persoonsgegevens.
• Terughoudend te zijn met het verwerken van persoonsgegevens in Copilot.
• Technische maatregelen te nemen, zoals het uitschakelen van de toegang tot Bing en consumentenversies van Copilot.
• Zorg te dragen voor AI-geletterdheid onder medewerkers.
• Duidelijke afspraken te maken over het gebruik van Copilot.
• Een gemeentelijk AI-beleid te ontwikkelen.

De IBD benadrukt dat de notitie bedoeld is als hulpmiddel voor gemeentelijke organisaties en geen officieel standpunt van de Vereniging van Nederlandse Gemeenten (VNG) bevat.

Meer informatie:

De volledige notitie van de IBD is beschikbaar op de website van de Informatiebeveiligingsdienst.