Copilot käyttöön turvallisesti
Copilot ei ohita käyttöoikeuksia. Se käyttää niitä. Kaikki, mikä teillä on jaettu liian laajasti, löytyy nyt kysymällä. Lisäksi Microsoft on kytkenyt osan tekoälyasetuksista päälle oletuksena, jolloin dataa voidaan käsitellä EU:n ulkopuolella. Käymme ympäristönne läpi ja päätämme asetukset kanssanne ennen kuin tekoäly tekee sen puolestanne.
Kolme asiaa, jotka kannattaa tietää ennen käyttöönottoa
1. Copilot löytää sen, mikä on jo jaettu liian laajasti
Copilot näyttää käyttäjälle vain sitä, mihin hänellä on oikeus. Ongelma on, että oikeuksia on yleensä enemmän kuin kukaan muistaa. Koko organisaatiolle jaettu palkkataulukko, vanha hallituksen kansio ilman omistajaa, "kuka tahansa linkin saanut" -jako asiakassopimukseen. Ennen Copilotia näitä ei löytänyt kukaan, koska kukaan ei etsinyt. Nyt riittää, että kysyy.
2. Data voi liikkua EU:n ulkopuolelle, vaikka ette ole sitä päättäneet
Microsoft on tuonut Copilotiin asetuksia, jotka vaikuttavat siihen, missä tekoälyn käsittely tapahtuu:
- Flex routing: ruuhka-aikoina Copilotin käsittely voi siirtyä Yhdysvaltoihin, Kanadaan tai Australiaan. Päällä oletuksena EU-tenanteissa, jotka on luotu 25.3.2026 jälkeen.
- Anthropicin Claude-mallit: Anthropic toimii Microsoftin aliprosessorina (subprocessor), mutta sen mallit on rajattu EU:n datarajan (EU Data Boundary) ulkopuolelle. EU:ssa yleinen asetus on oletuksena pois. Wordin, Excelin ja PowerPointin oma Anthropic-asetus on kuitenkin oletuksena päällä uusissa EU-tenanteissa (luotu 25.3.2026 jälkeen). Vanhemmilla tenanteilla tilanne pitää tarkistaa.
Kumpikaan ei ole sinänsä väärin. Mutta sen pitää olla teidän päätöksenne, ei oletusarvo.
3. Käyttäjä voi antaa tekoälysovellukselle pääsyn omaan sähköpostiinsa
Microsoft 365:n oletusasetuksilla käyttäjä voi itse hyväksyä (user consent) ulkopuolisen sovelluksen lukemaan omaa postilaatikkoaan. Moni tekoälytyökalu pyytää juuri tätä. Tämä on useimmissa yrityksissä suurempi riski kuin Copilot, koska siitä ei jää kenellekään päätöstä tehtäväksi.
Mitä Microsoft lupaa EU-datasta
- Sopimus: Copilotin kehotteisiin ja vastauksiin sovelletaan samoja Microsoftin sopimusehtoja ja tietojenkäsittelyliitettä (Data Protection Addendum, DPA) kuin sähköpostiin ja tiedostoihin. Dataa ei käytetä mallien koulutukseen.
- Tallennus: EU:hun perustetussa tenantissa Copilot-keskustelut tallennetaan EU:ssa, kuten sähköpostit ja tiedostotkin.
- Käsittely: Copilot kuuluu Microsoftin EU:n datarajaan. Microsoftin omat mallit käsittelevät EU-käyttäjien pyynnöt EU:ssa.
- Poikkeukset: flex routing, Anthropicin mallit, OpenAI:n operoimien mallien käyttäjätunniste ja Copilot Coworkin keskustelut. Juuri nämä asetukset käymme kanssanne läpi.
Mitä teemme
-
Kartoitus.
Käymme läpi Copilot-asetukset, SharePointin ja OneDriven jakamisen, sivustot ilman omistajaa ja sovelluksille annetut luvat. Saatte listan löydöksistä tärkeysjärjestyksessä.
-
Päätökset kanssanne.
Sallitaanko flex routing? Kenelle Anthropic-mallit avataan, vai ei kenellekään? Kuka saa käyttää Copilot Coworkia? Kirjataan päätökset ja perustelut.
-
Ylijakamisen korjaus.
Laajat jakolinkit ja koko organisaation ryhmät pois herkiltä sivustoilta. Herkimmät sivustot (palkat, HR, hallitus) rajataan pois Copilotin hauista (Restricted Content Discovery), kunnes oikeudet on korjattu.
-
Tietojen suojaus.
Luottamuksellisuusluokat (sensitivity labels) ja DLP-säännöt, joilla luokitellut tiedostot ja sähköpostit jäävät Copilotin vastausten ulkopuolelle ja esimerkiksi henkilötunnukset estetään kehotteissa.
-
Sovellusluvat kuntoon.
Käyttäjät voivat hyväksyä vain vahvistettujen julkaisijoiden (verified publishers) sovelluksia. Muut menevät pyyntönä ylläpidolle (admin consent workflow). Olemassa olevat luvat käydään läpi.
-
Pilotti ensin.
Copilot ja Anthropic-mallit pienelle ryhmälle, käyttöohje ja kokemukset ennen koko yritystä.
-
Seuranta.
Microsoft muuttaa tekoälyasetuksia ja oletuksia usein. Seuraamme muutoksia ja kerromme, kun jokin koskee teitä.
Käytämme itse sekä Copilotia että Claudea, joten samat päätökset on tehty myös omassa ympäristössämme.
Kasvurauha-asiakkaille
Kasvurauhassa tietoturva ei ole erillinen projekti vaan osa jatkuvaa ylläpitoa, samalla tavalla kuin päivitykset ja tunnistautuminen.
Rehellisesti
Tarvitseeko 20 hengen yritys tätä kaikkea?
Ei aina. Pienessä yrityksessä oikeudet ovat usein selkeämmät. Silti flex routing, Anthropic-asetukset ja sovellusluvat kannattaa tarkistaa jokaisessa yrityksessä, koska ne eivät riipu koosta.
Saako kaikki tarkistuslistan ominaisuudet jokaisella lisenssillä?
Ei. Osa työkaluista (esimerkiksi DLP-säännöt Copilotille ja SharePointin edistyneet hallintatyökalut, SharePoint Advanced Management) riippuu lisensseistä. Kartoituksessa kerromme, mitä teillä jo on ja mitä ei tarvitse ostaa.
Copilot-valmiuden tarkistuslista: 15 kohtaa ennen kuin tekoäly pääsee yrityksenne dataan
Esimerkkilista. Se perustuu Microsoftin ohjeisiin ja omiin käyttöönottoihimme, mutta jokainen ympäristö on erilainen: muokatkaa listaa omien lisenssienne, järjestelmienne ja vaatimustenne mukaan.
Usein kysyttyä
Käyttääkö Microsoft dataamme tekoälymallien kouluttamiseen?
Ei. Copilotin kehotteita, vastauksia eikä Microsoft Graphin kautta haettua dataa käytetä perusmallien koulutukseen. Sama koskee Anthropicin malleja, kun niitä käytetään Microsoftin kautta Microsoftin ehdoilla. Poikkeus ovat erikseen merkityt mallit, joihin liittyy tietojen säilytys: niihin sovelletaan Anthropicin omia ehtoja.
Meneekö datamme EU:n ulkopuolelle?
Voi mennä, jos flex routing on sallittu tai Anthropic-mallit on otettu käyttöön. Molemmat ovat ylläpidon päätettävissä Microsoft 365 -hallintakeskuksessa (Microsoft 365 admin center).
Näkeekö Copilot palkkatiedot?
Jos käyttäjällä on pääsy palkkatiedostoon, Copilot voi löytää sen hänelle. Siksi oikeudet korjataan ennen laajaa käyttöönottoa.
Mitä eroa on Copilot Chatilla, Copilotilla ja Copilot Coworkilla?
Copilot Chat sisältyy Microsoft 365 -lisensseihin ja vastaa verkon sekä käyttäjän avaamien tiedostojen pohjalta. Copilot (käyttäjäkohtainen lisenssi) hakee organisaation dataa käyttäjän oikeuksilla. Copilot Cowork tekee monivaiheisia tehtäviä ja maksetaan käytön mukaan.
Kannattaako Claude ottaa käyttöön suoraan Anthropicilta vai Microsoftin kautta?
Useimmille Microsoftin kautta: Clauden kattaa silloin sama Microsoftin tietojenkäsittelysopimus kuin muun Microsoft 365:n. Suoraan Anthropicilta se kannattaa rajatulle joukolle, jolle Clauden omista työkaluista on selvä hyöty.