Microsoft 365 Copilot en de AVG: blijven je gegevens in de EU?
Kort antwoord
Microsoft 365 Copilot gebruikt prompts, antwoorden en bedrijfsgegevens niet om modellen te trainen en valt onder de verwerkersovereenkomst van Microsoft. Gegevens vallen onder de EU Data Boundary, maar nieuwe EU-klanten kunnen bij piekbelasting verzoeken buiten de EU laten verwerken (flex routing), wat een beheerder kan uitzetten. Copilot ziet alles waar de gebruiker in Microsoft 365 toegang toe heeft; rechten op bestanden en mail zijn dus net zo belangrijk als de AI zelf.
Het grootste risico is toegang, niet AI
Copilot vindt en vat samen wat de gebruiker kan zien. Heeft een medewerker toegang tot een map met loonstroken, dan kan Copilot die ook in een antwoord gebruiken. Begin daarom met het opruimen van rechten; dat is onder de AVG hoe dan ook goede praktijk.
Als gegevens uit andere systemen komen
Moet Copilot werken met een klantenlijst, een stapel cv's of een export uit het salarissysteem, dan is het het veiligst dat de namen niet meegaan. Met GoalCube worden gegevens in de EU geüpload en krijgt Copilot alleen codes. Het antwoord met de echte namen is alleen bij jou te zien.
| Klant | Plaats | Onderwerp | |
|---|---|---|---|
| Sanne Bakker | sanne.bakker@example.com | Utrecht | Terugbetaling |
| Thijs Mulder | thijs.mulder@example.com | Zwolle | Levering |
| Daan Visser | daan.visser@example.com | Arnhem | Klacht |
| Lotte Claes | lotte.claes@example.com | Gent | Levering |
| Ruben Jansen | ruben.jansen@example.com | Eindhoven | Terugbetaling |
Vraag Goedendag, mijn naam is Sanne Bakker. Ik heb bestelling 7012345678 twee weken geleden teruggestuurd, maar nog geen geld ontvangen. Wilt u het overmaken naar NL94 INGB 0006 2158 34? Groet, Sanne
| Klant | Plaats | Onderwerp | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Terugbetaling |
| [PERSON_2] | [EMAIL_2] | [STED] | Levering |
| [PERSON_3] | [EMAIL_3] | [STED] | Klacht |
| [PERSON_4] | [EMAIL_4] | [STED] | Levering |
| [PERSON_5] | [EMAIL_5] | [STED] | Terugbetaling |
Vraag Goedendag, mijn naam is [PERSON_1]. Ik heb bestelling [ID_1] twee weken geleden teruggestuurd, maar nog geen geld ontvangen. Wilt u het overmaken naar [IBAN_1]? Groet, [PERSON_1]
Sanne Bakker en Ruben Jansen wachten op een terugbetaling en moeten vandaag antwoord krijgen. Lotte Claes wacht al 10 dagen op een pakket. Voorstel voor een antwoord aan Sanne Bakker: "Beste Sanne Bakker, bedankt voor je geduld. Het geld is onderweg en staat binnen 5 werkdagen op je rekening."
[PERSON_1] en [PERSON_5] wachten op een terugbetaling en moeten vandaag antwoord krijgen. [PERSON_4] wacht al 10 dagen op een pakket. Voorstel voor een antwoord aan [PERSON_1]: "Beste [PERSON_1], bedankt voor je geduld. Het geld is onderweg en staat binnen 5 werkdagen op je rekening."
| Kandidaat | Geboren | BSN of rijksregisternummer | Werkgever | Ervaring |
|---|---|---|---|---|
| Femke Dekker | 1985-03-12 | 999912410 | Brabant Hout B.V. | 12 |
| Bram Willems | 1992-11-02 | 999912501 | IJssel Logistiek B.V. | 4 |
| Eline Maes | 1988-06-21 | 88.06.21-284.06 | Limburgse Metaalwerken NV | 9 |
| Joost Verhoeven | 1979-01-30 | 999913086 | Rijnfarma B.V. | 18 |
Cv Femke Dekker werkt al 12 jaar aan begrotingen en maandrapportages bij Brabant Hout B.V. Ze heeft een nieuw ERP-systeem ingevoerd en leidt een team van drie mensen. Contact: femke.dekker@example.com.
| Kandidaat | Geboren | BSN of rijksregisternummer | Werkgever | Ervaring |
|---|---|---|---|---|
| [PERSON_1] | 40–49 jaar | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 jaar | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 jaar | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 jaar | [ID_4] | [VIRKSOMHED_4] | 18 |
Cv [PERSON_1] werkt al 12 jaar aan begrotingen en maandrapportages bij [VIRKSOMHED_1] Ze heeft een nieuw ERP-systeem ingevoerd en leidt een team van drie mensen. Contact: [EMAIL_1].
Femke Dekker en Eline Maes hebben meer dan 5 jaar ervaring en kunnen worden uitgenodigd voor een gesprek; vraag Eline Maes naar ervaring met ERP-systemen. Bram Willems heeft 4 jaar ervaring; gevraagd is 5. Het besluit neemt een mens.
[PERSON_1] en [PERSON_3] hebben meer dan 5 jaar ervaring en kunnen worden uitgenodigd voor een gesprek; vraag [PERSON_3] naar ervaring met ERP-systemen. [PERSON_2] heeft 4 jaar ervaring; gevraagd is 5. Het besluit neemt een mens.
| Leverancier | Contactpersoon | Rekening | Loopt af |
|---|---|---|---|
| Veluwe Componenten B.V. | Pieter Bos | NL17 RABO 0347 2918 56 | 2027-01-31 |
| Schelde Cloud NV | Sophie Wouters | BE73 7350 1234 5660 | 2026-12-31 |
| Maas Precisietechniek B.V. | Simon Brouwer | NL29 ABNA 0529 3847 16 | 2028-06-30 |
| Twentse Verpakking B.V. | Sandra Meijer | NL70 TRIO 0391 8274 65 | 2027-03-31 |
Voorwaarden Veluwe Componenten levert speciale onderdelen voor Project Duinroos. De prijs wordt elk jaar aangepast met de consumentenprijsindex plus 3 %. De aansprakelijkheid is beperkt tot 10 % van de jaarlijkse contractwaarde. Neem bij wijzigingen contact op met Pieter Bos.
| Leverancier | Contactpersoon | Rekening | Loopt af |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Voorwaarden [VIRKSOMHED_1] levert speciale onderdelen voor [PROJEKT_1]. De prijs wordt elk jaar aangepast met de consumentenprijsindex plus 3 %. De aansprakelijkheid is beperkt tot 10 % van de jaarlijkse contractwaarde. Neem bij wijzigingen contact op met [PERSON_1].
Het contract met Veluwe Componenten B.V. wordt automatisch verlengd als het niet uiterlijk 31 oktober wordt opgezegd. Het is belangrijk voor een intern project, dus onderhandel liever opnieuw over de prijs dan op te zeggen. Het contract met Twentse Verpakking B.V. wordt ook automatisch verlengd; de uiterste opzegdatum is 31 december.
Het contract met [VIRKSOMHED_1] wordt automatisch verlengd als het niet uiterlijk 31 oktober wordt opgezegd. Het is belangrijk voor een intern project, dus onderhandel liever opnieuw over de prijs dan op te zeggen. Het contract met [VIRKSOMHED_4] wordt ook automatisch verlengd; de uiterste opzegdatum is 31 december.
Zo pakken jullie het aan
- Ruim de toegangsrechten op.Copilot vindt alles waar een medewerker bij kan. Check gedeelde mappen en SharePoint.
- Zet flex routing uit als gegevens in de EU moeten blijven.Een beheerder kan het uitzetten.
- Label gevoelige documenten.Gebruik vertrouwelijkheidslabels, zodat Copilot ze respecteert.
- Registreer het gebruik.Vooral als Copilot wordt gebruikt voor HR of klantgegevens.
- Pseudonimiseer als de AI met gegevens uit andere systemen werkt.Met GoalCube krijgt Copilot alleen codes.
Dit zegt de wet
- Artikel 25 en 32 AVG – gegevensbescherming door ontwerp en beveiliging
- Gegevensbescherming door ontwerp en passende beveiliging, ook toegangsbeheer.
- Artikel 44–46 AVG – doorgiften
- Verwerking buiten de EU vraagt om een grondslag.
Vragen en antwoorden
Traint Microsoft op onze gegevens?
Nee. Volgens Microsoft worden prompts, antwoorden en bedrijfsgegevens in Microsoft 365 Copilot niet gebruikt om basismodellen te trainen.
Wat is flex routing?
Dat nieuwe EU-klanten hun Copilot-verzoeken bij drukte buiten de EU kunnen laten verwerken. Een beheerder kan het uitzetten.
Kan Copilot met GoalCube worden gebruikt?
Ja, via agents in Copilot Studio. De licentie-eisen zijn nog niet bevestigd en Copilot wordt nog getest.
Bronnen
- Microsoft: Data, privacy and security for Microsoft 365 Copilot
- Microsoft: Copilot flex routing
- Microsoft: EU Data Boundary
Geschreven door de redactie van GoalCube. Laatst bijgewerkt 11 oktober 2026. GoalCube helpt jullie de AI Act en de AVG te volgen. Het is geen juridisch advies.
Wees er als eerste bij.
We verwachten in november 2026 live te gaan. Meld je aan, dan hoor je van ons zodra jullie aan de slag kunnen.