Czy wolno wkleić do Copilota umowę z klientem?
Na koncie firmowym (Entra ID) z ochroną danych zwykle tak, o ile umowa i NDA z klientem tego nie wykluczają. Prywatne konto Copilota odpada.
Dla: compliance, dział prawny, IT, sprzedaż · Autor: Karol Krawczyk
Materiał informacyjny, nie porada prawna. Opracowany na podstawie tekstu przepisów i oficjalnych dokumentów, bez opinii prawnika. Przy decyzji w konkretnej sprawie skonsultuj się z prawnikiem. Widzisz błąd? Napisz.
Wyjaśnienie
Trzeba osobno sprawdzić dwie kwestie. Pierwsza to dane osobowe w umowie: imiona i nazwiska reprezentantów, osoby do kontaktu, czasem dane pracowników klienta. Druga to poufność samej treści: ceny, warunki handlowe, informacje techniczne klienta, które umowa albo osobne NDA każe chronić.
Rozstrzyga konto, na którym pracownik jest zalogowany. Microsoft 365 Copilot (na nowszych stronach Microsoftu: Microsoft Copilot) i Copilot Chat po zalogowaniu kontem służbowym Microsoft Entra ID są objęte enterprise data protection: obowiązują Data Protection Addendum i Product Terms, Microsoft działa jako podmiot przetwarzający, a prompty, odpowiedzi i dane z Microsoft Graph nie są używane do trenowania modeli bazowych. Taka sesja ma zieloną tarczę u góry okna. Copilot na prywatnym koncie Microsoft (MSA) to wersja konsumencka i tej ochrony nie ma.
Z punktu widzenia RODO firma jest administratorem danych z umowy, a art. 28 pozwala jej korzystać tylko z podmiotów przetwarzających, które dają wystarczające gwarancje i są związane umową. W Microsoft 365 tę rolę pełni DPA przyjęte razem z licencją. Nadal obowiązuje art. 5 ust. 1 lit. c, czyli minimalizacja: jeśli zadaniem jest porównanie klauzul albo streszczenie warunków, dane osób można przed wklejeniem usunąć. Dla użytkowników z UE przetwarzanie pozostaje w EU Data Boundary, ale Microsoft wyłącza z niej zapytania do wyszukiwarki Bing (wyszukiwanie w sieci) oraz modele Anthropic.
Druga kwestia to tajemnica przedsiębiorstwa. Według art. 11 ust. 4 ustawy o zwalczaniu nieuczciwej konkurencji wykorzystanie lub ujawnienie takiej informacji bez zgody uprawnionego stanowi czyn nieuczciwej konkurencji między innymi wtedy, gdy narusza obowiązek wynikający z czynności prawnej, na przykład z NDA. Dlatego trzeba przeczytać klauzulę poufności w konkretnej umowie: czy pozwala przekazywać informacje dostawcom usług IT, czy wymaga zgody klienta, czy zastrzega przetwarzanie w określonym miejscu. Jeśli klauzula milczy albo zakazuje, decyzję podejmuje prawnik, nie użytkownik.
Umowę klienta można więc przetwarzać tylko w Copilocie na koncie firmowym, po sprawdzeniu klauzuli poufności i bez danych osobowych, których zadanie nie wymaga. Administrator może dodatkowo wyłączyć wyszukiwanie w sieci, jeśli firma nie chce, aby fragmenty promptów trafiały do Bing jako zapytania.
Podstawa prawna
| Akt | Przepis | Od kiedy |
|---|---|---|
| RODO (rozporządzenie (UE) 2016/679) | art. 28 | 25.05.2018 |
| RODO (rozporządzenie (UE) 2016/679) | art. 5 ust. 1 lit. c | 25.05.2018 |
| Ustawa o zwalczaniu nieuczciwej konkurencji (Dz.U. 2026 poz. 85) | art. 11 ust. 2 i 4 | - |
| Dokumentacja Microsoft | Enterprise data protection w Copilot i Copilot Chat | - |
Co zrobić w firmie
- Dopuść do umów klientów tylko Copilota na koncie służbowym Entra ID (zielona tarcza)
- Sprawdź w umowie i NDA, czy wolno przekazać treść dostawcy usług IT
- Usuń z treści dane osób, jeśli zadanie ich nie wymaga
- Zdecyduj, czy wyłączyć wyszukiwanie w sieci (zapytania do Bing poza DPA i EUDB)
- Zapisz te zasady w polityce AI i pokaż je działom sprzedaży i prawnemu
Źródła
- Microsoft Learn: Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat
- Microsoft Learn: Data, Privacy, and Security for Microsoft Copilot
- Microsoft Learn: Microsoft Copilot Chat Privacy and Protections
- Microsoft Learn: Frequently asked questions about Microsoft Copilot Chat
- Microsoft Products and Services Data Protection Addendum (DPA)
- RODO, tekst polski, EUR-Lex
- Ustawa o zwalczaniu nieuczciwej konkurencji, tekst jednolity Dz.U. 2026 poz. 85
Materiał informacyjny, nie porada prawna.
Chcesz przełożyć to na swój zespół?
Szkolimy zespoły z pracy z Copilotem, Claude Code i Codexem na ich własnych zadaniach.