Copilot a bezpieczeństwo danych firmy. Jak przygotować pliki i uprawnienia przed wdrożeniem AI

Zobacz także:

1 stycznia, 2020

Dynamics 365 Bridge to Cloud 3: migracja ERP do chmury na promocyjnych warunkach do końca 2027

12 sierpnia, 2026

Zachwiane zaufanie – Błąd 5 – Wdrożenia ERP D365

9 stycznia, 2023

Copilot nie omija zabezpieczeń Microsoft 365. Pokazuje tylko te dane, do których pracownik ma już dostęp. Problem zaczyna się wtedy, gdy uprawnienia do plików w SharePoint i OneDrive są ustawione zbyt szeroko: AI w kilka sekund znajdzie dokument, którego nikt by ręcznie nie szukał. Dlatego przed wdrożeniem Copilota warto uporządkować uprawnienia i oznaczyć wrażliwe dane etykietami poufności, a w większej firmie rozważyć Microsoft Purview.

Czy Copilot jest bezpieczny? Jak AI korzysta z danych firmy

Microsoft 365 Copilot działa w obrębie Twojej dzierżawy Microsoft 365. Według dokumentacji Microsoftu Copilot pokazuje tylko te dane organizacji, do których dany użytkownik ma co najmniej uprawnienia do wyświetlania. Nie widzi więcej niż pracownik, który z niego korzysta.

Microsoft deklaruje też, że prompty, odpowiedzi i dane pobierane przez Copilota z Microsoft Graph nie służą do trenowania modeli językowych, także tych, z których korzysta sam Copilot. Jeśli plik jest zaszyfrowany etykietą poufności, Copilot respektuje prawa użytkownika do tego pliku.

Bezpieczeństwo Copilota zależy więc głównie od tego, jak w firmie są ustawione uprawnienia. To one decydują, co AI może znaleźć.

Oversharing: największe ryzyko przy wdrożeniu Copilota

Oversharing to nadmierne udostępnianie danych: pliki dostępne dla całej firmy, choć powinny je widzieć dwie osoby, foldery z linkiem „każdy w organizacji”, stare witryny SharePoint z uprawnieniami nadanymi lata temu. Bez AI takie pliki zwykle leżą niezauważone, bo nikt nie wie, gdzie ich szukać.

Prosty przykład. Kiedyś ktoś z działu kadr udostępnił całej firmie arkusz z wynagrodzeniami, żeby szybko przesłać go księgowej. Plik został na SharePoint. Po wdrożeniu Copilota pracownik pyta: „Ile zarabiają osoby na moim stanowisku?”. Copilot nie łamie żadnej blokady, po prostu znajduje plik, do którego ten pracownik ma dostęp, i podaje odpowiedź.

Podobnie jest z danymi z systemu ERP. Zestawienia finansowe, raporty sprzedaży czy dane kadrowe z Business Central lub Dynamics AX często trafiają do Excela i na SharePoint. Jeśli folder jest udostępniony zbyt szeroko, Copilot je znajdzie. Microsoft sam zwraca uwagę, że generatywna AI zwiększa ryzyko nadmiernego udostępniania, bo bardzo szybko wyszukuje treści.

Shadow AI: gdy pracownicy korzystają z AI poza kontrolą firmy

Drugie ryzyko leży poza Microsoft 365. Pracownicy często wklejają firmowe dane do publicznych narzędzi AI, na przykład ChatGPT, Google Gemini czy konsumenckiej wersji Copilota. Robią to w dobrej wierze, żeby szybciej napisać ofertę albo przeanalizować tabelę. Firma zwykle nie wie, jakie dane w ten sposób wychodzą.

Wdrożenie Copilota w firmowej wersji często zmniejsza to ryzyko, bo pracownicy dostają narzędzie AI, które działa w środowisku firmy. Warto jednak wiedzieć, z jakich innych aplikacji AI korzystają, i móc zablokować przesyłanie do nich danych wrażliwych.

Sprawdzimy, co Copilot zobaczy w Twojej firmie, zanim go włączysz:

Wyrażam zgodę na przekazywanie mi przez INLOGICA Sp. z o.o. Sp. k. informacji handlowych za pośrednictwem: wiadomości elektronicznych (e-mail), telekomunikacyjnych urządzeń końcowych (telefonicznie lub sms/mms). Administratorem danych osobowych jest INLOGICA Sp. z o.o. Sp. k. z siedzibą w Poznaniu (61-132), przy ul. Wołkowyskiej 17, z którym można skontaktować się listownie pod wskazanym powyżej adresem lub elektronicznie za pośrednictwem skrzynki: office@INLOGICA.com. Znana jest mi polityka prywatności

Co masz w Business Premium, a co daje Microsoft Purview Suite

Microsoft 365 Business Premium ma już podstawowe narzędzia ochrony informacji: etykiety poufności dla poczty, plików i spotkań w Teams oraz zasady zapobiegania utracie danych (DLP) w aplikacjach Microsoft 365 i poczcie. Dla wielu małych firm to dobry punkt startu.

Pakiet Microsoft Purview dla planu Microsoft 365 Business Premium (Microsoft Purview Suite for Business Premium) to dodatek, który rozszerza te funkcje i dodaje narzędzia do kontroli AI. Microsoft wprost łączy go z wdrożeniem Copilota: według producenta etykiety poufności i uprawnienia zapobiegają nadmiernemu udostępnianiu, ryzykownym promptom i niezamierzonemu ujawnieniu danych w Microsoft 365, Copilocie i innych narzędziach AI.

Funkcja	Co robi	Jaki problem rozwiązuje
Information Protection	wykrywa, klasyfikuje i automatycznie oznacza dane wrażliwe etykietami	poufne pliki bez żadnego oznaczenia
Ochrona przed utratą danych (DLP)	blokuje lub ostrzega przy udostępnianiu danych wrażliwych w aplikacjach, przeglądarkach, na urządzeniach i w chmurze	dane wysyłane tam, gdzie nie powinny trafić
Zarządzanie stanem zabezpieczeń danych	pokazuje ryzyka, w tym nadmierne udostępnianie, i skuteczność zasad	brak wiedzy, gdzie leżą zbyt szeroko udostępnione dane
Kontrola AI i interakcji z Copilotem	zasady dla Copilota i innych narzędzi AI, widoczność aplikacji AI używanych w firmie	oversharing przez AI i shadow AI
Zarządzanie ryzykiem wewnętrznym	wykrywa ryzykowne zachowania użytkowników z poszanowaniem prywatności	wyciek danych od wewnątrz, np. przed odejściem pracownika
Inspekcja i eDiscovery	rejestruje działania użytkowników i administratorów, pozwala wyszukać i zabezpieczyć dane do sprawy	brak śladu, kto i kiedy korzystał z danych

Pakiet zawiera też m.in. zarządzanie cyklem życia danych, Menedżera zgodności, zgodność w komunikacji, szyfrowanie wiadomości i bariery informacyjne.

Etykiety poufności i DLP

Etykieta poufności to oznaczenie pliku lub maila, np. „Wewnętrzne” albo „Poufne”, które może też włączyć szyfrowanie. Gdy Copilot tworzy nowy dokument na podstawie oznaczonych plików, nowy dokument dziedziczy etykietę. Poufne dane nie tracą więc ochrony tylko dlatego, że AI przepisała je do innego pliku. Zasady DLP mogą dodatkowo zablokować Copilotowi podsumowywanie plików z określoną etykietą. Copilot może wtedy podać link do takiego pliku, ale nie streści jego treści.

Kontrola nad Copilotem i innymi narzędziami AI

Purview pokazuje, z jakich aplikacji AI korzystają pracownicy, także z tych, których firma nie zatwierdziła. Na komputerach z Windows włączonych do Purview zasady DLP mogą ostrzegać przed wklejeniem danych wrażliwych do zewnętrznych narzędzi AI w przeglądarce albo całkowicie to blokować.

Ryzyko wewnętrzne, inspekcja i eDiscovery

Te funkcje przydają się, gdy coś już się wydarzy. Inspekcja pozwala sprawdzić, kto i kiedy otwierał dane, także przez Copilota. eDiscovery pomaga wyszukać i zabezpieczyć dokumenty na potrzeby wyjaśnienia sprawy. Purview pomaga w ten sposób kontrolować dostęp do danych i go dokumentować, co przydaje się przy wewnętrznych audytach bezpieczeństwa.

Jak przygotować firmę przed wdrożeniem Copilota

Przejrzyj uprawnienia. Sprawdź, które witryny SharePoint, zespoły w Teams i foldery OneDrive są udostępnione całej firmie lub przez linki „każdy w organizacji”.
Uporządkuj SharePoint. Zamknij lub zarchiwizuj stare witryny, usuń nieaktualne udostępnienia i przenieś dane kadrowe oraz finansowe do miejsc z ograniczonym dostępem.
Wprowadź etykiety poufności. Zacznij od kilku prostych poziomów, np. „Publiczne”, „Wewnętrzne”, „Poufne”, i oznacz nimi najważniejsze dokumenty.
Ustaw zasady DLP. Określ, jakich danych nie wolno udostępniać na zewnątrz ani wklejać do narzędzi AI.
Przeszkól zespół. Pokaż, czym jest etykieta, jak bezpiecznie korzystać z Copilota i dlaczego nie wklejać danych firmy do publicznych narzędzi AI.

Dobrą kolejnością jest test, potem porządek, potem pełne wdrożenie. Copilota można przetestować na 25 osobach przez 30 dni w programie Copilot in 30. Test pokaże, z jakich danych zespół korzysta najczęściej, a przed włączeniem Copilota dla całej firmy warto uporządkować uprawnienia i etykiety. Pamiętaj też o agentach AI, bo one również działają na danych firmy. Więcej piszemy o tym w artykule o licencjach Microsoft Agent 365.

Jako partner Microsoft INLOGICA przygotowuje środowisko przed wdrożeniem Copilota: przegląda uprawnienia w SharePoint i OneDrive, projektuje etykiety poufności i zasady DLP. Więcej o samym Copilocie znajdziesz na stronie Microsoft Copilot dla firm.

Ile kosztuje Microsoft Purview Suite i jakie są warunki

Według polskiej strony Microsoftu (stan na 27 października 2026) Pakiet Microsoft Purview dla planu Microsoft 365 Business Premium kosztuje 8,70 € netto za użytkownika miesięcznie przy subskrypcji rocznej. Warunki:

wymaga subskrypcji Microsoft 365 Business Premium,
obejmuje maksymalnie 300 użytkowników,
subskrypcja jest roczna i odnawia się automatycznie,
można skorzystać z miesięcznej bezpłatnej wersji próbnej, która po zakończeniu przechodzi w płatną subskrypcję, jeśli jej nie anulujesz.

Dla firm, które kupują Microsoft 365 Copilot, Microsoft przygotował promocyjne warunki na Purview Suite dostępne przez partnerów Microsoft, np. INLOGICA, do 31 grudnia 2026. Ile kosztuje sam Copilot, opisaliśmy w artykule o cenie Microsoft 365 Copilot.

Najczęściej zadawane pytania o bezpieczeństwo danych w Copilocie

Czy Copilot widzi wszystkie pliki w firmie? Nie. Copilot pokazuje tylko dane, do których dany użytkownik ma co najmniej uprawnienia do wyświetlania. Jeśli jednak pliki są udostępnione zbyt szeroko, Copilot znajdzie je szybciej niż pracownik szukający ręcznie.

Czy dane firmy trafiają do trenowania AI Microsoftu? Według dokumentacji Microsoftu prompty, odpowiedzi i dane pobierane przez Copilota z Microsoft Graph nie są używane do trenowania podstawowych modeli językowych, także tych, z których korzysta Microsoft 365 Copilot.

Co to jest Microsoft Purview? To rodzina narzędzi Microsoftu do ochrony danych i zgodności: etykiety poufności, zapobieganie utracie danych, zarządzanie ryzykiem wewnętrznym, inspekcja i eDiscovery. Dla małych i średnich firm Microsoft oferuje Pakiet Microsoft Purview dla planu Microsoft 365 Business Premium.

Czy Purview Suite działa z Business Standard? Nie. Pakiet Microsoft Purview dla planu Microsoft 365 Business Premium wymaga subskrypcji Microsoft 365 Business Premium.

Jak sprawdzić, kto ma dostęp do plików w firmie? Zacznij od uprawnień witryn SharePoint, zespołów w Teams i linków udostępniania w OneDrive. W Purview Suite zarządzanie stanem zabezpieczeń danych pokazuje ryzyko nadmiernego udostępniania w jednym miejscu. Przy większej liczbie witryn warto zlecić przegląd uprawnień partnerowi.

Źródła

Nasi eksperci odpowiedzą na wszystkie Twoje pytania.