Copilot i Microsoft 365 kan kun finde det, den enkelte medarbejder i forvejen har adgang til. Det lyder betryggende, men det er netop problemet i mange virksomheder: Medarbejderne har adgang til langt mere, end nogen har tænkt over. Copilot gør de brede rettigheder synlige, fordi den kan finde lønlister, kontrakter og personalesager på sekunder. Samtidig gemmes medarbejdernes samtaler med Copilot, og de kan blive en del af en sag.
Artiklen er til IT og ledere, der har indført Copilot eller overvejer det. Den handler om to ting: hvad I skal tjekke før og efter, og hvad det betyder, når der opstår en sag.
Copilot ændrer ikke adgangen, men gør den brugbar
Før Copilot skulle en medarbejder vide, hvor en fil lå, og bruge tid på at lede. En mappe med lønoplysninger, der ved en fejl var delt med hele virksomheden, blev sjældent fundet. Med Copilot kan medarbejderen spørge “hvad tjener mine kolleger?” og få svar fra alle de filer, vedkommende teknisk kan åbne.
Det er ikke en fejl i Copilot. Det er en fejl i rettighederne. Men konsekvensen er den samme: Fortrolige oplysninger kan ende hos de forkerte, og det kan føre til personalesager, konflikter og i værste fald et brud på persondatasikkerheden. → Persondatabrud: de første 72 timer
Før I udruller: tjek rettighederne
- ☐ Find områder i SharePoint og Teams, der er delt med “alle i virksomheden”.
- ☐ Tjek, hvor løn, personalesager, kontrakter, bestyrelsesmateriale og forhandlinger ligger.
- ☐ Gennemgå links, der er delt bredt internt.
- ☐ Overvej følsomhedsmærker på de mest fortrolige dokumenter, hvis jeres licens giver mulighed for det.
- ☐ Beslut, hvem der skal have Copilot først, og om nogle grupper skal vente.
Det kræver ikke, at alt er perfekt. Men de mest følsomme områder skal være på plads, før en ny funktion gør dem lettere at finde.
Hvad gemmes?
Når en medarbejder bruger Copilot i Microsoft 365, gemmes spørgsmål og svar typisk i virksomhedens tenant, knyttet til brugerens postkasse. Brugen registreres også i revisionsloggen. Det betyder, at samtalerne er omfattet af jeres opbevaringspolitikker, og at de kan søges frem og bevares på samme måde som mail og chats, afhængigt af licens og opsætning.
Det har to sider:
- Det kan hjælpe jer. Hvis en medarbejder har brugt Copilot til at samle kundelister eller opsummere fortrolige projekter lige før en fratrædelse, kan det være et spor.
- Det kan bruges mod jer. I en tvist kan modparten bede om at få oplysninger om jeres brug af Copilot, for eksempel hvis et dokument er skrevet med Copilot og indholdet er omstridt. → Edition af modpartens ChatGPT- og Copilot-historik
Når der opstår en sag
Hvis Copilot har fundet noget, den ikke burde
En medarbejder har set lønoplysninger eller en personalesag via Copilot. Gør dette:
- Luk adgangen til filen, men notér først, hvor den lå, og hvem der havde adgang.
- Bed IT sikre loggen for filen og for Copilot-brugen i perioden.
- Vurder, om det er et brud på persondatasikkerheden, sammen med jeres databeskyttelsesansvarlige eller rådgiver.
- Håndtér medarbejderen sagligt. Den, der stillede et spørgsmål og fik et svar, har ikke nødvendigvis gjort noget forkert. Fejlen var rettighederne.
Hvis der er mistanke om misbrug
En medarbejder er stoppet, og der er mistanke om, at vedkommende brugte Copilot til at samle fortrolige oplysninger. Så gælder de samme regler som for mail og filer: Bevar, før I undersøger. Bed IT sætte et hold på postkassen og sikre loggen. Læs ikke samtalerne selv uden et klart formål og uden at have tjekket jeres IT-politik. → Litigation hold i Microsoft 365
Når Copilot har skrevet dokumentet
En anden type sag handler ikke om, hvad Copilot fandt, men om hvad den skrev. En medarbejder bruger Copilot til at lave et tilbud, en kontrakt eller et referat, og teksten indeholder en fejl eller et løfte, som ingen havde tænkt sig at give. Kunden holder fast i teksten.
I den situation kan det være relevant at kunne vise, hvordan dokumentet blev til: hvilke spørgsmål medarbejderen stillede, hvilke kilder Copilot brugte, og hvad medarbejderen selv rettede bagefter. Det kræver, at Copilot-samtalen, dokumentets versionshistorik og eventuelle mails er bevaret. Det ændrer ikke nødvendigvis på, hvad I er bundet af. Men det giver advokaten et bedre grundlag for at vurdere sagen.
Gør det derfor til en fast vane, at dokumenter, der sendes til kunder og leverandører, læses igennem af et menneske, og at det er det endelige dokument, der gemmes i sagen. AI-hjælp fritager ikke for ansvaret for indholdet.
Andre AI-værktøjer
Copilot er ikke det eneste AI-værktøj, jeres medarbejdere bruger. Mange bruger også ChatGPT, Gemini eller andre tjenester, ofte på private konti. Samtaler i de tjenester ligger ikke i jeres tenant, og I kan ikke selv søge i dem. Det er en af grundene til, at mange virksomheder vælger én godkendt AI-tjeneste med virksomhedskonto og forbyder private konti til arbejdsopgaver. → Fortrolige data i ChatGPT eller en anden AI-tjeneste
Orientér medarbejderne
Medarbejderne skal vide, at deres samtaler med Copilot gemmes, at de er virksomhedens data, og at de kan blive gennemgået i en konkret sag efter de samme regler som mail. Skriv det ind i jeres IT-politik og jeres AI-politik. Tjek reglerne og eventuel kontrolaftale eller overenskomst. → AI-politik: skriv den, så den kan bruges
Gør det også klart, at Copilot ikke må bruges til at lede efter oplysninger om kolleger, løn eller personalesager, selv om det teknisk er muligt. En klar regel gør det lettere at håndtere, hvis det alligevel sker.
Hvem gør hvad
- Leder · Beslutter udrulning og godkender regler for brug
- IT · Rydder op i rettigheder, tjekker opbevaring og log
- HR · Opdaterer IT-politikken og orienterer medarbejderne
- Databeskyttelsesansvarlig · Vurderer persondata og eventuelle brud
Det skal I lade være med
- At udrulle Copilot til alle uden at kigge på rettighederne. Det er den hyppigste fejl.
- At slette Copilot-samtaler, når en sag opstår. Det kan ligne bevisforspildelse.
- At bruge Copilot til at gennemgå en medarbejders mails i en personalesag, uden at have overvejet formål, afgrænsning og orientering. → AI til gennemgang af medarbejderes mails
- At tro, at Copilot kun ser det, medarbejderen plejer at bruge. Den ser alt, medarbejderen kan åbne.
Hvornår skal I have hjælp udefra
Få en IT-sagkyndig ind, hvis Copilot-samtaler eller -logs kan blive bevis i en tvist, eller hvis der er mistanke om, at en medarbejder har brugt Copilot til at samle fortrolige oplysninger før en fratrædelse. Sikringen skal ske, før opbevaringen udløber, og den skal dokumenteres, så den kan efterprøves.
Læs også: Delte postkasser: hvem skrev egentlig mailen fra info@? · Teams-optagelser og transskriptioner: hvor ligger de, og hvornår udløber de?
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
