Microsoft 365 Copilot e GDPR: i tuoi dati restano in UE?
In breve
Microsoft 365 Copilot non usa prompt, risposte o dati aziendali per addestrare i modelli ed è coperto dall'accordo sul trattamento dei dati di Microsoft. I dati rientrano nell'EU Data Boundary, ma i nuovi clienti UE possono vedere le richieste elaborate fuori dall'UE nei momenti di picco (flex routing), cosa che un amministratore può disattivare. Copilot vede tutto ciò a cui l'utente ha accesso in Microsoft 365 – quindi i permessi su file ed e-mail contano quanto l'AI stessa.
Il rischio maggiore è l'accesso, non l'AI
Copilot trova e riassume ciò che l'utente può vedere. Se un dipendente ha accesso a una cartella con le buste paga, Copilot può usarle anche in una risposta. Per questo il primo passo è mettere ordine nei permessi – è comunque una buona prassi ai sensi del GDPR.
Quando i dati arrivano da altri sistemi
Se Copilot deve lavorare su un elenco clienti, una pila di CV o un'esportazione dal sistema paghe, la cosa più sicura è lasciare fuori i nomi. Con GoalCube i dati vengono caricati in UE e Copilot riceve solo codici. La risposta con i nomi veri la vedi solo tu.
| Cliente | Città | Argomento | |
|---|---|---|---|
| Federica Fontana | federica.fontana@example.com | Bologna | Rimborso |
| Matteo Colombo | matteo.colombo@example.com | Torino | Consegna |
| Elena Moretti | elena.moretti@example.com | Parma | Reclamo |
| Luca Gallo | luca.gallo@example.com | Cagliari | Consegna |
| Stefano Ferrari | stefano.ferrari@example.com | Bergamo | Rimborso |
Richiesta Buongiorno, sono Federica Fontana. Ho restituito l'ordine 7012345678 due settimane fa, ma non ho ancora ricevuto il rimborso. Potete accreditarlo su IT23 K020 0802 4210 0010 4827 316? Cordiali saluti, Federica
| Cliente | Città | Argomento | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Rimborso |
| [PERSON_2] | [EMAIL_2] | [STED] | Consegna |
| [PERSON_3] | [EMAIL_3] | [STED] | Reclamo |
| [PERSON_4] | [EMAIL_4] | [STED] | Consegna |
| [PERSON_5] | [EMAIL_5] | [STED] | Rimborso |
Richiesta Buongiorno, sono [PERSON_1]. Ho restituito l'ordine [ID_1] due settimane fa, ma non ho ancora ricevuto il rimborso. Potete accreditarlo su [IBAN_1]? Cordiali saluti, [PERSON_1]
Federica Fontana e Stefano Ferrari aspettano un rimborso e vanno ricontattati oggi. Luca Gallo aspetta un pacco da 10 giorni. Bozza di risposta per Federica Fontana: "Buongiorno Federica Fontana, grazie per la pazienza. Il rimborso è in arrivo e sarà sul suo conto entro 5 giorni lavorativi."
[PERSON_1] e [PERSON_5] aspettano un rimborso e vanno ricontattati oggi. [PERSON_4] aspetta un pacco da 10 giorni. Bozza di risposta per [PERSON_1]: "Buongiorno [PERSON_1], grazie per la pazienza. Il rimborso è in arrivo e sarà sul suo conto entro 5 giorni lavorativi."
| Candidato | Nato il | Codice fiscale | Datore di lavoro | Esperienza |
|---|---|---|---|---|
| Valentina Greco | 1985-03-12 | GRCVNT85C52Z000K | Cartiera Valdarno Srl | 12 |
| Davide Lombardi | 1992-11-02 | LMBDVD92S02Z000H | Logistica Adriatica Srl | 4 |
| Silvia Barone | 1988-06-21 | BRNSLV88H61Z000T | Metalmeccanica Friulana Srl | 9 |
| Roberto Serra | 1979-01-30 | SRRRRT79A30Z000W | Farmaceutica Tirrena SpA | 18 |
CV Valentina Greco lavora da 12 anni su budget e report mensili alla Cartiera Valdarno Srl. Ha introdotto un nuovo sistema ERP e coordina un team di tre persone. Contatto: valentina.greco@example.com.
| Candidato | Nato il | Codice fiscale | Datore di lavoro | Esperienza |
|---|---|---|---|---|
| [PERSON_1] | 40–49 anni | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 anni | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 anni | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 anni | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] lavora da 12 anni su budget e report mensili alla [VIRKSOMHED_1]. Ha introdotto un nuovo sistema ERP e coordina un team di tre persone. Contatto: [EMAIL_1].
Conviene fissare un colloquio con Valentina Greco e Silvia Barone, che hanno più di 5 anni di esperienza; chiedi a Silvia Barone dell'esperienza con i sistemi ERP. Davide Lombardi ha 4 anni di esperienza, ne servono 5. La decisione spetta a una persona.
Conviene fissare un colloquio con [PERSON_1] e [PERSON_3], che hanno più di 5 anni di esperienza; chiedi a [PERSON_3] dell'esperienza con i sistemi ERP. [PERSON_2] ha 4 anni di esperienza, ne servono 5. La decisione spetta a una persona.
| Fornitore | Referente | Conto | Scadenza |
|---|---|---|---|
| Componenti Brianza Srl | Paolo Vitale | IT60 S030 6909 6061 0000 0062 831 | 2027-01-31 |
| Cloud Adriatico Srl | Marta Leone | IT78 D020 0805 3640 0010 4563 921 | 2026-12-31 |
| Precisione Padana Srl | Simone Fabbri | IT97 Z010 0503 2000 0000 0058 274 | 2028-06-30 |
| Imballaggi Salentini Srl | Nicoletta Barbieri | IT45 F050 3401 6000 0000 0417 385 | 2027-03-31 |
Condizioni Componenti Brianza Srl fornisce componenti speciali per il Progetto Cristallo. Il prezzo viene adeguato ogni anno all'indice dei prezzi al consumo più il 3 %. La responsabilità è limitata al 10 % del valore annuo del contratto. Per modifiche rivolgetevi a Paolo Vitale.
| Fornitore | Referente | Conto | Scadenza |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Condizioni [VIRKSOMHED_1] fornisce componenti speciali per il [PROJEKT_1]. Il prezzo viene adeguato ogni anno all'indice dei prezzi al consumo più il 3 %. La responsabilità è limitata al 10 % del valore annuo del contratto. Per modifiche rivolgetevi a [PERSON_1].
Il contratto con Componenti Brianza Srl si rinnova da solo se non viene disdetto entro il 31 ottobre. È importante per un progetto interno, quindi conviene rinegoziare il prezzo invece di disdire. Anche il contratto con Imballaggi Salentini Srl si rinnova da solo; la scadenza per la disdetta è il 31 dicembre.
Il contratto con [VIRKSOMHED_1] si rinnova da solo se non viene disdetto entro il 31 ottobre. È importante per un progetto interno, quindi conviene rinegoziare il prezzo invece di disdire. Anche il contratto con [VIRKSOMHED_4] si rinnova da solo; la scadenza per la disdetta è il 31 dicembre.
Come fare
- Metti ordine negli accessi.Copilot trova tutto ciò a cui il dipendente ha accesso. Controlla cartelle condivise e SharePoint.
- Disattiva il flex routing se i dati devono restare in UE.Un amministratore può disattivarlo.
- Etichetta i documenti sensibili.Usa le etichette di riservatezza, così Copilot le rispetta.
- Registra l'uso.Soprattutto se Copilot è usato in HR o su dati dei clienti.
- Pseudonimizza quando l'AI lavora su dati di altri sistemi.Con GoalCube Copilot riceve solo codici.
Cosa dice la legge
- Art. 25 e 32 GDPR
- Protezione dei dati fin dalla progettazione e misure di sicurezza adeguate – compresa la gestione degli accessi.
- Art. 44–46 GDPR
- Il trattamento fuori dall'UE richiede una base giuridica.
Domande e risposte
Microsoft si addestra sui nostri dati?
No. Secondo Microsoft, prompt, risposte e dati aziendali in Microsoft 365 Copilot non sono usati per addestrare i modelli di base.
Cos'è il flex routing?
È la possibilità che i nuovi clienti UE vedano le richieste a Copilot elaborate fuori dall'UE quando c'è molto carico. Un amministratore può disattivarlo.
Copilot si può usare con GoalCube?
Sì, tramite gli agenti in Copilot Studio. I requisiti di licenza non sono ancora confermati e Copilot è ancora in fase di test.
Fonti
- Microsoft: Data, privacy and security for Microsoft 365 Copilot
- Microsoft: Copilot flex routing
- Microsoft: EU Data Boundary
A cura di Redazione GoalCube. Ultimo aggiornamento 11 ottobre 2026. GoalCube ti aiuta a rispettare l’AI Act e il GDPR. Non è consulenza legale.
Sii tra i primi.
Prevediamo di partire a novembre 2026. Iscriviti e ti scriveremo quando potrai iniziare.