Microsoft 365 Copilot: datan käsittely, tallentaminen ja sijainti

Peruskysymys: mitä dataa Copilot käyttää?¶

Microsoft 365 Copilot toimii kahdella datavirralla, joita on tärkeää käsitellä erikseen tietosuojanäkökulmasta:

1. Organisaation sisäinen data (Microsoft Graph)
Copilot ankkuroi vastauksiaan käyttäjän sähköposteihin, kalenterimerkintöihin, dokumentteihin, Teams-viesteihin ja muihin Microsoft 365 -palveluissa oleviin tietoihin. Tämä data käsitellään Microsoft 365 -palvelurajojen sisällä — se ei siirry Microsoftin tekoälymallien kouluttamiseen.

2. Verkkohaku Bingin kautta (erillinen komponentti)
Kun Copilot hakee vastausta verkon kautta, se muodostaa hakukyselyn Bing-palveluun. Tämä on erillinen datavirta eikä kuulu Microsoft 365 -palvelurajojen piiriin samalla tavalla. Jos käyttäjä kirjoittaa promptiin henkilötietoja ja Copilot tekee web-haun, nämä tiedot voivat siirtyä Bing-palveluun.

Tallentaako Copilot promptit ja vastaukset?¶

Kyllä — Copilot Chat lokittaa interaktiot Exchange Onlineen.

Microsoft kuvaa virallisessa dokumentaatiossaan, että Copilot Chat -interaktiot (promptit ja vastaukset) tallennetaan Exchange Online -infrastruktuuriin auditointi- ja eDiscovery-tarkoituksiin. Tämä tarkoittaa käytännössä:

• Copilot-promptit ovat osa organisaation tietorekisteriä
• Ne kuuluvat eDiscovery-hakemusten piiriin
• Rekisteröityjen oikeuspyynnöt (tietopyyntö, poistopyyntö) voivat koskea myös Copilot-lokeja
• Säilytysajat määräytyvät Exchange-säilytysasetusten mukaan — ellei erikseen määritetä, ne voivat olla hyvinkin pitkiä

Mitä tämä tarkoittaa DPO:lle:
Copilot-interaktiot tulee dokumentoida tietosuojaselosteessa ja tietojenkäsittelytoimien rekisterissä. Myös käyttäjille on tiedotettava tästä tallentamisesta.

EU Data Boundary — mikä se on ja onko se oletuksena päällä?¶

Microsoft tarjoaa EU Data Boundary -ratkaisun, jossa EU/ETA-asiakkaiden data käsitellään ja tallennetaan pääsääntöisesti EU:ssa. Tämä kattaa myös Microsoft 365 Copilotin promptit, vastaukset ja niihin liittyvät tiedot.

Tärkeää tietää:
- EU Data Boundary ei ole automaattisesti aktivoitu — se edellyttää, että organisaatio on EU/ETA-alueelle perustettu vuokraajaympäristö (tenant) ja käyttää EU-datakeskuksia
- Voit tarkistaa tilanteen: Microsoft 365 Admin Center → Settings → Org settings → Security & privacy → Data location
- Vaikka EU Data Boundary olisi käytössä, Bing-verkkohaut voivat silti siirtää dataa EU:n ulkopuolelle

In-country data processing (2025)
Microsoft ilmoitti marraskuussa 2025 tarjoavansa in-country data processing -ratkaisun 15 maalle, mukaan lukien Suomi. Tämä tarkoittaa, että data käsitellään Suomessa sijaitsevissa konesaleissa. Tämä on vielä erillinen sopimus EU Data Boundaryn päälle — tarkista tilanne Microsoft-tilisi yhteyshenkilöltä.

Käytetäänkö organisaation dataa tekoälymallien kouluttamiseen?¶

Ei — Microsoft on selkeästi linjautunut tähän.

Microsoft 365 Copilot ei käytä organisaation dataa (promptit, vastaukset, Microsoft 365 -sisältö) tekoälymallien kouluttamiseen. Tämä on kirjattu sekä Microsoftin tuotedokumentaatioon että tietojenkäsittelysopimukseen (DPA).

Kuluttaja-Copilot (henkilökohtaisella Microsoft-tilillä) on eri asia: siellä on erilliset asetukset personoinnista ja mallikoulutuksesta. Nämä eivät koske organisaatioympäristöä.

Yhteenveto: tietovirrat DPIA-dokumentaatioon¶

Microsoft Graph -data Pysyy Microsoft 365 -palvelurajojen sisällä. EU Data Boundary kattaa tämän, jos aktivoitu.

Exchange-lokitus Promptit ja vastaukset tallentuvat Exchange Onlineen. Säilytysaika pitää määrittää ja dokumentoida.

Bing-verkkohaut Erillinen komponentti. Ei kuulu EU Data Boundaryn piiriin samalla tavalla. Harkitse rajoittamista.

← Tietosuojariskit yleisesti | Tilaa Copilot DPIA → | ← Copilot-kirjasto