Beeld: PxHere/Ekta Varia
De Informatiebeveiligingsdienst (IBD) heeft een vernieuwde notitie gepubliceerd over de risico’s van Microsoft 365 Copilot voor gemeentelijke organisaties. Deze notitie volgt uit een Data Protection Impact Assessment (DPIA), uitgevoerd in opdracht van SLM Rijk. De IBD benadrukt dat gemeenten terughoudend moeten zijn met het gebruik van Copilot bij de verwerking van persoonsgegevens.
De DPIA brengt vier hoge risico’s in kaart:
Belemmeringen bij inzagerechten van gebruikers. Gemeenten hebben geen volledig inzicht in de diagnostische data die Microsoft verzamelt.
Verlies aan controle door onjuiste of onvolledige persoonsgegevens. Copilot kan onbetrouwbare antwoorden genereren, waardoor gebruikers verkeerde aannames doen.
Gebrek aan transparantie over dataverwerking. Het blijft onduidelijk welke persoonsgegevens Microsoft verwerkt en bewaart.
Langdurige opslag van Required Service Data. Pseudonieme persoonsgegevens kunnen meer dan tien jaar worden bewaard, wat risico op heridentificatie vergroot.
Aanbevelingen voor gemeenten
De IBD adviseert gemeenten om Copilot niet te gebruiken voor persoonsgegevens totdat Microsoft aanvullende maatregelen treft. Daarnaast wordt aangeraden:
Geen bijzondere persoonsgegevens (zoals medische of strafrechtelijke gegevens) te verwerken in Copilot.
Licenties alleen toe te kennen aan accounts die geen toegang hebben tot gevoelige data.
De informatiehuishouding actueel te houden en Microsoft Purview te gebruiken voor labeling en toegangsbeheer.
Standaardverbindingen, zoals met Bing of feedbackportalen, zo nodig uit te schakelen.
AI-geletterdheid bij medewerkers te stimuleren en duidelijke afspraken te maken over wat wel en niet mag.
Voorbeelden van AI-beleid
Een goed AI-beleid helpt gemeenten om risico’s structureel te beheersen. In de notitie noemt de IBD een aantal aandachtspunten:
Gebruik van functies: bepaal vooraf welke functies van Copilot wel en niet zijn toegestaan.
Afdelingen met gevoelige gegevens: wijs medewerkers die met HR-gegevens of andere gevoelige informatie werken uitdrukkelijk uit van Copilot-gebruik.
Data-invoer: leg vast welke gegevens nooit in Copilot mogen worden ingevoerd.
Beleid en communicatie: publiceer richtlijnen niet alleen op intranet, maar herhaal de boodschap regelmatig en bespreek naleving actief.
AI-geletterdheid: investeer in training zodat medewerkers begrijpen hoe generatieve AI werkt, welke risico’s bestaan en hoe antwoorden gecontroleerd moeten worden.
Gemeenten kunnen zich laten inspireren door reeds gepubliceerd AI-beleid van andere gemeenten. Ook de IBD-handreiking AI en Algoritmen biedt praktische ondersteuning bij het opstellen van lokaal beleid.
Lopende gesprekken
Microsoft heeft inmiddels enkele maatregelen getroffen naar aanleiding van de DPIA. Toch zijn nog gesprekken gaande tussen SLM Rijk en Microsoft over aanvullende verbeteringen. Zodra deze zijn afgerond, wordt de notitie opnieuw geactualiseerd.
