Gdzie są przetwarzane dane Copilota - granica danych w UE

Microsoft 365 Copilot

Gdzie są przetwarzane dane Copilota - granica danych w UE

W skrócie

Pytanie "gdzie fizycznie sa przetwarzane nasze dane, gdy uzywamy Copilota?" wraca przy kazdym wdrozeniu w firmie z Unii Europejskiej. Dla dzialow prawnych, inspektorow ochrony danych i sektorow regulowanych lokalizacja przetwarzania danych osobowych to nie ciekawostka, tylko warunek zgodnosci. W tym wpisie tlumaczymy, czym jest granica danych w UE (EU Data Boundary) i jak potwierdzic zakres dla swojego planu.

Jak to wygląda w praktyce

Dział prawny zadaje IT proste z pozoru pytanie: "czy dane wpisywane do Copilota opuszczają Unię Europejską?". Odpowiedź "chyba nie" nie wystarcza, bo od lokalizacji przetwarzania zależą zapisy w rejestrze czynności przetwarzania i w ocenie skutków. Projekt staje, bo nikt nie potrafi wskazać źródła, które da się zacytować w dokumentacji. Czasem pojawia się też odwrotny mit, że "wszystko idzie do USA", który zamyka rozmowę, zanim ktoś sprawdzi fakty.

Zobacz też: Szkolenie Copilot w Microsoft 365 - zwiększ efektywność dzięki AI

Dlaczego Copilot tak robi

Copilot nie wysyła danych do dowolnego serwisu w internecie. Działa wewnątrz Twojego tenantu (dzierżawy Microsoft 365) i w ramach tych samych zobowiązań umownych co reszta usług M365. Kiedy zadajesz pytanie, przez Microsoft Graph pobierane są tylko treści, do których masz dostęp, a model generuje odpowiedź w granicy usługi Microsoft 365. Dla lokalizacji kluczowy jest mechanizm EU Data Boundary: Microsoft udostępnia granicę danych dla klientów z Unii, w ramach której kluczowe przetwarzanie danych klientów odbywa się w centrach danych na terenie UE. To odpowiedź na wymóg kontroli nad lokalizacją przetwarzania danych osobowych. Ważne zastrzeżenie: dokładny zakres i to, które elementy usługi są objęte granicą, mogą się różnić i ewoluują, dlatego zawsze potwierdza się je w aktualnej dokumentacji umownej dla konkretnego planu.

Jak to rozwiązać krok po kroku

1. Nazwij, o jakie dane pytasz. Rozróżnij dane osobowe pracowników, dane klientów i treści firmowe, bo od tego zależy, jak opiszesz przetwarzanie w dokumentacji.
2. Signal do działu prawnego: potwierdź zakres EU Data Boundary w aktualnej dokumentacji Microsoftu dla swojego planu, a nie w broszurach czy artykułach. Szczegóły się zmieniają.
3. Sięgnij do źródeł umownych: Product Terms, warunki przetwarzania danych (Data Protection Addendum) oraz dokumentacja EU Data Boundary. To materiał, który możesz zacytować w rejestrze czynności przetwarzania.
4. Ustal role stron. W typowym scenariuszu organizacja jest administratorem danych, a Microsoft podmiotem przetwarzajacym. Zapisz to w dokumentacji zgodnosci.
5. Uwzględnij Copilota w rejestrze czynności przetwarzania i, jeśli przetwarzanie może wiązać się z wysokim ryzykiem, wykonaj ocenę skutków dla ochrony danych (DPIA). Włącz inspektora ochrony danych wcześnie.
6. Skonsultuj wynik z wlasnym dzialem prawnym lub inspektorem ochrony danych. To ich rola, zeby potwierdzic zgodnosc dla Twojego konkretnego przypadku.

Jak sprawdzić, że zadziałało

Sukcesem jest sytuacja, w której w dokumentacji zgodności masz konkretne odwołanie do oficjalnego źródła Microsoftu opisującego zakres EU Data Boundary dla Twojego planu, a nie ogólnikowe zapewnienie. Rejestr czynności przetwarzania zawiera wpis o Copilocie z określonymi rolami stron i lokalizacją przetwarzania, a inspektor ochrony danych zaakceptował ten opis. Nie polegaj na naszym tekście ani na materiałach marketingowych: konkretny zakres i lokalizacje zmieniają się, dlatego potwierdzeniem jest zawsze aktualna dokumentacja umowna i akceptacja własnego działu prawnego.

Wróć do listy: 213 najczęstszych pytań i problemów związanych z Microsoft 365 Copilot