PvdD - AI en de geüpdatete DPIA Microsoft 365 Copilot

Artikel 45-vragen van de Partij voor de Dieren over AI en de geüpdatete DPIA Microsoft 365 Copilot

Aanleiding

Op 27 mei 2026 is de tweede update van de overheidsbrede DPIA (Data Protection Impact Assessment) op Microsoft 365 Copilot gepubliceerd. Uit deze beoordeling blijkt dat twee privacyrisico's nog altijd als 'medium' worden gekwalificeerd: onjuiste persoonsgegevens in de door Copilot gegenereerde teksten, en de bewaartermijn voor diagnostische gegevens. [1]

Daarnaast introduceerde Microsoft in april 2026 'flex routing' voor Copilot. Hierbij kan de AI-verwerking tijdens piekmomenten buiten de Europese Unie plaatsvinden, wat niet in lijn is met de Europese privacywetgeving. De instelling stond aanvankelijk voor een deel van de organisaties standaard aan en moest actief worden uitgeschakeld; voor sommige organisatietypes was dit een opt-in. [2]

Verder lijkt sinds het voorjaar van 2026 een bredere verschuiving zichtbaar, waarbij veel aanbieders van generatieve AI hun prijzen verhogen. Microsoft verhoogt per 1 juli 2026 de prijzen van vrijwel alle commerciële Microsoft 365-licenties, mede vanwege toegevoegde AI-functionaliteit. [3]

Ook introduceerde Microsoft op 2 juni 2026 de tool 'Scout': een AI-tool die continu actief is en meeleest met onder meer de mailbox, chats en bestanden van gebruikers, zoals ambtenaren. Doordat de tool ook handelt zonder dat de gebruiker daar een opdracht toe geeft, is toezicht complexer en is het de vraag of er zicht blijft op welke gegevens naar Microsoft worden gestuurd. Ook kan AI, die 24 uur per dag aan staat, meer energie en water vergen dan traditionele, chat-gebaseerde generatieve AI. [4]

Tot slot verscheen afgelopen maandag een artikel van Nieuwsuur: “Waarschuwing voor personeel dat met AI aan de slag gaat: ‘kans op datalek groot’”. In dit artikel beschrijft Nieuwsuur de casus van gemeente Eindhoven. Daar bleek uit een steekproef dat ambtenaren in een maand tijd meer dan duizend documenten hebben geüpload naar AI-tools zoals ChatGPT. Dit betroffen documenten met privégegevens, zoals BSNnummers, WMO-gegevens, verslavingsgevoeligheid en financieel gevoelige data. De gemeente heeft dit als datalek moeten melden bij de Autoriteit Persoonsgegevens en ze heeft een verwijderverzoek ingediend, maar het verwijderen van gegevens is niet bevestigd door OpenAI. [5]

1 [https://open.overheid.nl/details/df789dd8-a669-4893-a455-fb04e0274cda](https://open.overheid.nl/details/df789dd8-a669-4893-a455-fb04e0274cda) 2 [https://tweakers.net/nieuws/246504/microsoft-wijzigt-copilot-voor-365-dataverwerking-kan-ineens-buiten-eu-gebeuren.html](https://tweakers.net/nieuws/246504/microsoft-wijzigt-copilot-voor-365-dataverwerking-kan-ineens-buiten-eu-gebeuren.html) 3 [https://tweakers.net/nieuws/242268/microsoft-verhoogt-in-2026-wereldwijd-prijzen-van-microsoft-365-voor-ondernemers.html](https://tweakers.net/nieuws/242268/microsoft-verhoogt-in-2026-wereldwijd-prijzen-van-microsoft-365-voor-ondernemers.html) 4 [https://www.microsoft.com/en-us/microsoft-365/blog/2026/06/02/introducing-microsoft-scout-your-always-on-personal-agent/](https://www.microsoft.com/en-us/microsoft-365/blog/2026/06/02/introducing-microsoft-scout-your-always-on-personal-agent/) 5 [https://nos.nl/nieuwsuur/artikel/2617591-waarschuwing-voor-personeel-dat-met-ai-aan-de-slag-gaat-kans-op-datalek-groot](https://nos.nl/nieuwsuur/artikel/2617591-waarschuwing-voor-personeel-dat-met-ai-aan-de-slag-gaat-kans-op-datalek-groot)