27 oktober 2026 · GDPR · 4 min läsning · Tor Ganslandt, grundare av VAKTA

Stannar personuppgifterna i EU när ni använder Microsoft 365 Copilot?

Inte alltid. Med Anthropics modeller eller flex routing kan hela frågan och dokumentet behandlas utanför EU. Webbsökning skickar bara några ord till Bing. Kontrollera inställningarna själva.

Inte alltid. Microsoft har åtagit sig att behandla kunddata inom EU, men dokumenterar själv tre funktioner i Copilot som ligger utanför åtagandet. Med Anthropics modeller eller så kallad flex routing kan hela frågan, och det dokument Copilot läser, behandlas utanför EU. Webbsökning skickar bara några ord till Bing. Kontrollera själva vilka inställningar som gäller hos er.

Ett tänkt exempel

En HR-chef ber Copilot i Word sammanfatta en rehabiliteringsutredning om en anställd. Utredningen innehåller namn och hälsouppgifter. Var den texten behandlas beror på inställningar som många företag aldrig har öppnat.

Varför är frågan aktuell nu?

Integritetsskyddsmyndigheten (IMY) tar fram en vägledning om molntjänster i offentlig sektor och har frågat 19 kommuner, regioner och statliga myndigheter om informationsklassning, molnleverantörer i tredje land och strategier för att kunna byta leverantör. Frågorna gäller också företag. Den som är personuppgiftsansvarig ska enligt artikel 30.1 e i dataskyddsförordningen kunna redovisa sina överföringar till tredje land, och det kräver att man vet var personuppgifterna behandlas.

Vad omfattar Microsofts EU-åtagande?

EU Data Boundary är Microsofts åtagande att lagra och behandla kunddata och personuppgifter för bland annat Microsoft 365 i datacenter inom EU och EFTA. Åtagandet har undantag som Microsoft själv redovisar. Tre av dem berör Copilot direkt, och det kan finnas fler.

Vilka funktioner kan föra personuppgifter utanför EU?

Anthropics modeller. Microsoft skriver att Anthropics modeller i Copilot för närvarande är undantagna från EU Data Boundary. En sådan modell behandlar hela frågan och det Copilot har hämtat, även personuppgifter i dokument. Enligt Microsofts dokumentation är modellerna avstängda som standard för kunder i EU. Ett meddelande till administratörer från april 2026, återgivet av tredje part, uppger däremot att en separat inställning för Copilot i Word, Excel och PowerPoint är påslagen som standard från 4 maj 2026. Uppgifterna går isär, så kontrollera inställningen själva.

Flex routing. Vid hög belastning kan AI-modellens bearbetning av frågan ske i USA, Kanada eller Australien. Lagrad data stannar enligt Microsoft inom EU. Flex routing är påslaget som standard för organisationer vars Microsoft-miljö skapades efter 25 mars 2026.

Webbsökning. När Copilot söker på webben skickas en genererad sökfråga till Bing: några ord, inte hela frågan och inte dokumentet. Ett namn kan ändå hamna i sökfrågan. Enligt Microsoft gäller varken biträdesavtalet eller EU Data Boundary för sökfrågorna, och Microsoft är själv personuppgiftsansvarig för dem. Webbsökning är påslagen om ingen har stängt av den.

Är det olagligt att använda Copilot på personuppgifter?

Nej, inte i sig. Överföringar till amerikanska företag som är anslutna till EU:s och USA:s dataskyddsram stöds av kommissionens beslut om adekvat skyddsnivå, som per oktober 2026 gäller medan ett överklagande prövas av EU-domstolen. Hälsouppgifter hör däremot till de särskilda kategorierna i artikel 9, där behandling bara är tillåten under vissa villkor. Ett företag som aldrig öppnat inställningarna har inte fattat något beslut om var sådana uppgifter behandlas, utan fått ett.

Vad kan man göra utöver inställningarna?

Ett annat sätt än inställningarna är att personuppgifterna inte finns i frågan när den lämnar organisationen. VAKTA, en AI-plattform som maskerar personuppgifter i er egen miljö, ersätter namn och andra personuppgifter med platshållare innan frågan når AI-modellen och sätter tillbaka dem i svaret lokalt. Frågan går fortfarande till en modell utanför er miljö, men utan personuppgifterna. Varje fråga och svar sparas i en krypterad logg hos er, och personuppgifter kan raderas genom att nyckeln förstörs medan loggen finns kvar. Maskering löser inte allt, vilket vi skrivit om i Räcker det att maska personuppgifter innan AI-modellen får frågan?

Rådet gäller oavsett verktyg. Anthropics modeller och flex routing finns under Copilot i Microsoft 365 administrationscenter. Webbsökning styrs av principen "Allow web search in Copilot" i Cloud Policy-tjänsten. Gå igenom alla tre och dokumentera vad ni valt.

Det här är en allmän beskrivning, inte juridisk rådgivning i ett enskilt fall.

Källor

Vill ni se hur det fungerar i praktiken?

Vi visar gärna hur VAKTA hanterar era frågor, med er egen dokumentation och era egna regler.

Boka ett samtal