Microsoft 365 Copilot a RODO: czy Twoje dane zostają w UE?
Krótka odpowiedź
Microsoft 365 Copilot nie używa promptów, odpowiedzi ani danych firmy do trenowania modeli i jest objęty umową powierzenia przetwarzania danych Microsoftu. Dane podlegają EU Data Boundary, ale nowi klienci z UE mogą mieć zapytania przetwarzane poza UE w szczycie obciążenia (flex routing), co administrator może wyłączyć. Copilot widzi wszystko, do czego użytkownik ma dostęp w Microsoft 365 – więc uprawnienia do plików i maili są równie ważne jak sama AI.
Największe ryzyko to dostęp, nie AI
Copilot znajduje i streszcza to, co użytkownik może zobaczyć. Jeśli pracownik ma dostęp do folderu z paskami wypłat, Copilot może ich użyć także w odpowiedzi. Dlatego pierwszym krokiem jest uporządkowanie uprawnień – i tak jest to dobra praktyka na gruncie RODO.
Gdy dane pochodzą z innych systemów
Jeśli Copilot ma pracować na liście klientów, stosie CV albo eksporcie z systemu płacowego, najbezpieczniej, by nazwiska mu nie towarzyszyły. Z GoalCube dane są wgrywane w UE, a Copilot dostaje tylko kody. Odpowiedź z prawdziwymi nazwiskami widać tylko u Ciebie.
| Klient | Miasto | Temat | |
|---|---|---|---|
| Aleksandra Kamińska | aleksandra.kaminska@example.com | Łódź | Zwrot |
| Mateusz Wójcik | mateusz.wojcik@example.com | Kraków | Dostawa |
| Barbara Lewandowska | barbara.lewandowska@example.com | Lublin | Reklamacja |
| Tomasz Zieliński | tomasz.zielinski@example.com | Szczecin | Dostawa |
| Krzysztof Szymański | krzysztof.szymanski@example.com | Białystok | Zwrot |
Zgłoszenie Dzień dobry, nazywam się Aleksandra Kamińska. Dwa tygodnie temu odesłałam zamówienie 7012345678, a zwrotu pieniędzy nadal nie ma. Czy możecie przelać go na konto PL70 1020 1045 0000 1234 5678 9012? Pozdrawiam, Aleksandra
| Klient | Miasto | Temat | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Zwrot |
| [PERSON_2] | [EMAIL_2] | [STED] | Dostawa |
| [PERSON_3] | [EMAIL_3] | [STED] | Reklamacja |
| [PERSON_4] | [EMAIL_4] | [STED] | Dostawa |
| [PERSON_5] | [EMAIL_5] | [STED] | Zwrot |
Zgłoszenie Dzień dobry, nazywam się [PERSON_1]. Dwa tygodnie temu odesłałam zamówienie [ID_1], a zwrotu pieniędzy nadal nie ma. Czy możecie przelać go na konto [IBAN_1]? Pozdrawiam, [PERSON_1]
Aleksandra Kamińska i Krzysztof Szymański czekają na zwrot pieniędzy i powinni dostać odpowiedź dziś. Tomasz Zieliński czeka na paczkę od 10 dni. Szkic odpowiedzi (adresat: Aleksandra Kamińska): "Dzień dobry, dziękujemy za cierpliwość. Zwrot jest w drodze i będzie na koncie w ciągu 5 dni roboczych."
[PERSON_1] i [PERSON_5] czekają na zwrot pieniędzy i powinni dostać odpowiedź dziś. [PERSON_4] czeka na paczkę od 10 dni. Szkic odpowiedzi (adresat: [PERSON_1]): "Dzień dobry, dziękujemy za cierpliwość. Zwrot jest w drodze i będzie na koncie w ciągu 5 dni roboczych."
| Kandydat | Data urodzenia | PESEL | Pracodawca | Doświadczenie |
|---|---|---|---|---|
| Magdalena Dąbrowska | 1985-03-12 | 85031245126 | Zakłady Wartańskie S.A. | 12 |
| Paweł Jabłoński | 1992-11-02 | 92110277318 | Logistyka Nadodrzańska S.A. | 4 |
| Joanna Michalska | 1988-06-21 | 88062130988 | Metalurgia Podkarpacka S.A. | 9 |
| Robert Pawlak | 1979-01-30 | 79013055212 | Farmacja Bałtycka S.A. | 18 |
CV Magdalena Dąbrowska od 12 lat prowadzi budżety i miesięczne raporty w firmie Zakłady Wartańskie S.A., wdrożyła nowy system ERP i kieruje zespołem trzech osób. Kontakt: magdalena.dabrowska@example.com.
| Kandydat | Data urodzenia | PESEL | Pracodawca | Doświadczenie |
|---|---|---|---|---|
| [PERSON_1] | 40–49 lat | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 lat | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 lat | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 lat | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] od 12 lat prowadzi budżety i miesięczne raporty w firmie [VIRKSOMHED_1], wdrożyła nowy system ERP i kieruje zespołem trzech osób. Kontakt: [EMAIL_1].
Magdalena Dąbrowska i Joanna Michalska mają ponad 5 lat doświadczenia i warto zaprosić ich na rozmowę. Joanna Michalska: zapytaj o doświadczenie z systemami ERP. Paweł Jabłoński ma 4 lata doświadczenia, a wymagane jest 5. Decyzję podejmuje człowiek.
[PERSON_1] i [PERSON_3] mają ponad 5 lat doświadczenia i warto zaprosić ich na rozmowę. [PERSON_3]: zapytaj o doświadczenie z systemami ERP. [PERSON_2] ma 4 lata doświadczenia, a wymagane jest 5. Decyzję podejmuje człowiek.
| Dostawca | Kontakt | Konto | Wygasa |
|---|---|---|---|
| Komponenty Mazowsze S.A. | Piotr Witkowski | PL18 1160 2236 0000 0123 4567 8901 | 2027-01-31 |
| Chmura Nadbałtycka S.A. | Marta Czarnecka | PL48 2490 0005 0000 4567 8901 2345 | 2026-12-31 |
| Precyzja Wielkopolska S.A. | Szymon Borkowski | PL11 1050 1555 0000 1122 3344 5566 | 2028-06-30 |
| Opakowania Podlaskie S.A. | Natalia Pietrzak | PL30 1240 1111 0000 2233 4455 6677 | 2027-03-31 |
Warunki Komponenty Mazowsze S.A. dostarcza komponenty specjalne do projektu Szafir. Cena jest co roku waloryzowana o wskaźnik inflacji plus 3%. Odpowiedzialność jest ograniczona do 10% rocznej wartości umowy. Osoba do kontaktu w sprawie zmian: Piotr Witkowski.
| Dostawca | Kontakt | Konto | Wygasa |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Warunki [VIRKSOMHED_1] dostarcza komponenty specjalne do projektu [PROJEKT_1]. Cena jest co roku waloryzowana o wskaźnik inflacji plus 3%. Odpowiedzialność jest ograniczona do 10% rocznej wartości umowy. Osoba do kontaktu w sprawie zmian: [PERSON_1].
Umowa z firmą Komponenty Mazowsze S.A. przedłuża się automatycznie, jeśli nie zostanie wypowiedziana do 31 października. Jest ważna dla wewnętrznego projektu, więc lepiej renegocjować cenę, niż wypowiadać. Umowa z firmą Opakowania Podlaskie S.A. też przedłuża się automatycznie; termin wypowiedzenia to 31 grudnia.
Umowa z firmą [VIRKSOMHED_1] przedłuża się automatycznie, jeśli nie zostanie wypowiedziana do 31 października. Jest ważna dla wewnętrznego projektu, więc lepiej renegocjować cenę, niż wypowiadać. Umowa z firmą [VIRKSOMHED_4] też przedłuża się automatycznie; termin wypowiedzenia to 31 grudnia.
Jak to zrobić
- Uporządkuj dostępy.Copilot znajdzie wszystko, do czego pracownik ma dostęp. Sprawdź udostępnione foldery i SharePoint.
- Wyłącz flex routing, jeśli dane mają zostać w UE.Administrator może to wyłączyć.
- Oznacz wrażliwe dokumenty.Używaj etykiet poufności, żeby Copilot je respektował.
- Zarejestruj użycie.Zwłaszcza gdy Copilot jest używany w HR lub na danych klientów.
- Pseudonimizuj, gdy AI ma pracować na danych z innych systemów.Z GoalCube Copilot dostaje tylko kody.
Co mówi prawo
- RODO, art. 25 i 32
- Uwzględnianie ochrony danych w fazie projektowania i odpowiednie bezpieczeństwo – w tym zarządzanie dostępem.
- RODO, art. 44–46
- Przetwarzanie poza UE wymaga podstawy.
Pytania i odpowiedzi
Czy Microsoft trenuje na naszych danych?
Nie. Według Microsoftu prompty, odpowiedzi i dane firmy w Microsoft 365 Copilot nie służą do trenowania modeli bazowych.
Czym jest flex routing?
Tym, że zapytania Copilota nowych klientów z UE mogą być przetwarzane poza UE w czasie dużego obciążenia. Administrator może to wyłączyć.
Czy Copilot można używać z GoalCube?
Tak, przez agentów w Copilot Studio. Wymogi licencyjne nie są jeszcze potwierdzone, a Copilot jest nadal testowany.
Źródła
- Microsoft: Data, privacy and security for Microsoft 365 Copilot
- Microsoft: Copilot flex routing
- Microsoft: EU Data Boundary
Autor redakcja GoalCube. Ostatnia aktualizacja 11 października 2026. GoalCube pomaga stosować AI Act i RODO. To nie jest porada prawna.
Bądź wśród pierwszych.
Planujemy start w listopadzie 2026. Zapisz się, a odezwiemy się, gdy będzie można zacząć.