Pubblicato il
Copilot è comodo, ma dove finiscono i dati che gli affidi? In questa guida vediamo quali versioni vanno bene per il lavoro, come Microsoft protegge i dati e quali sono le zone grigie che fanno la differenza.
Trovi il video, le schermate delle pagine ufficiali, una lista di controllo in cinque punti e la dispensa in PDF da scaricare.
Scarica la dispensaVersione PDF stampabile di questa lezione, con esercitazione e glossario.
Scarica la dispensa in PDFObiettivo
Capire quali versioni di Copilot sono adatte ai dati aziendali, che cosa garantisce Microsoft e quali controlli fare prima di usarlo in azienda.
Che cosa saprai fare alla fine
- Riconoscere una versione personale da una versione di lavoro di Copilot.
- Spiegare le quattro protezioni principali delle versioni di lavoro.
- Individuare le eccezioni: ricerche sul web, flex routing e modelli Claude.
- Riconoscere il rischio di oversharing e sapere quando serve una valutazione d'impatto.
- Applicare in azienda una lista di controllo in cinque punti.
Indice
1. Dove finiscono quei dati?
Copilot è sicuro per i dati della tua azienda? Sì, ma solo se è la versione giusta, se è configurato bene e se le persone sanno usarlo.
Immagina questa scena. È lunedì mattina e una tua collega deve preparare un'offerta in fretta. Apre Copilot, incolla il listino prezzi, il contratto del cliente, magari anche qualche dato personale. Dieci secondi, e l'offerta è pronta. Comodo. Ma dove sono finiti quei dati?
La risposta è: dipende. Dipende da quale Copilot ha usato e da come è configurato. Questa dispensa segue il video in tre tappe: quali versioni vanno bene per i dati aziendali, come Microsoft li protegge e quali sono le zone grigie, cioè i dettagli che fanno la differenza tra un uso tranquillo e un brutto pasticcio.
Copilot non crea i rischi dal nulla: eredita le regole, e i disordini, che trova in azienda.
2. Non esiste un solo Copilot
«Copilot» è un nome solo, ma dietro ci sono prodotti diversi. Un po' come la parola «auto»: l'utilitaria con cui vai a fare la spesa e il furgone aziendale con l'assicurazione per le merci si chiamano allo stesso modo, ma non sono fatti per lo stesso lavoro.
| Versione | Come ci entri | Dati dell'azienda |
|---|---|---|
| Copilot gratuito (Windows, browser) | Account personale Microsoft | No: mancano le garanzie contrattuali per le aziende |
| Copilot in Microsoft 365 Personal e Family | Account personale con abbonamento | No: è pensato per privati e famiglie |
| Copilot Chat con account di lavoro | Account aziendale Microsoft 365 | Sì, con protezione dei dati aziendali. Senza licenza aggiuntiva lavora sui dati web |
| Microsoft 365 Copilot (a pagamento) | Account aziendale con licenza | Sì, e può leggere documenti ed email a cui hai accesso: va configurato con attenzione |
2.1 Il trucco dei due secondi: lo scudo verde
Quando usi Copilot Chat con l'account di lavoro, compare uno scudo verde: è il segnale che la chat è protetta. Se lo scudo c'è, sei nella versione aziendale. Se non c'è, fermati: probabilmente stai usando una versione personale, quindi controlla con quale account sei entrato.
L'aspetto e la posizione dello scudo possono cambiare con gli aggiornamenti. In caso di dubbio guarda l'account in uso e chiedi a chi gestisce l'informatica dell'azienda.
2.2 Microsoft 365 Copilot
È la versione a pagamento per le aziende. Lavora direttamente dentro Word, Excel, Outlook e Teams e può leggere i documenti e le email dell'azienda a cui hai accesso. Proprio per questo va configurata con attenzione.
Microsoft sta rinominando i prodotti: nelle pagine più recenti Microsoft 365 Copilot compare come «Microsoft Copilot» e Microsoft 365 Copilot Chat come «Microsoft Copilot Chat». Se trovi nomi diversi da quelli di questa dispensa, controlla la tabella delle licenze sulla documentazione ufficiale.
3. Come Microsoft protegge i dati
Nelle versioni di lavoro Microsoft garantisce quattro cose. Sono impegni scritti nella documentazione e nel contratto: vale la pena leggerli direttamente.
3.1 I tuoi dati non vanno a scuola
Quello che scrivi, i documenti che Copilot legge tramite Microsoft Graph e le risposte che ti dà non vengono usati per addestrare i modelli di base, cioè i programmi che generano le risposte. Il contratto del tuo cliente non diventa materiale di studio per l'intelligenza artificiale.
3.2 Copilot vede solo quello che vedi tu
Pensa a un collega appena assunto a cui dai le tue chiavi: può aprire i cassetti a cui hai accesso tu, non quelli del direttore. Copilot mostra solo i dati per cui hai almeno il permesso di visualizzazione. Se un file non è condiviso con te, Copilot non te lo mostra.
3.3 Etichette di riservatezza e regole di conservazione
Copilot eredita le etichette di riservatezza, i bollini che dicono quanto è riservato un documento, e applica i criteri di conservazione, che stabiliscono per quanto tempo tenere i dati. Vale se l'azienda li ha impostati, e i controlli disponibili dipendono dall'abbonamento.
3.4 Contratto, GDPR e Data Boundary
L'uso di Copilot da parte delle organizzazioni è coperto dall'Addendum sulla protezione dei dati di Microsoft, con Microsoft come responsabile del trattamento. Gli impegni comprendono il supporto al GDPR, il regolamento europeo sulla privacy, e al Data Boundary europeo, l'impegno a trattare i dati dei clienti europei all'interno dell'Unione Europea.
Ma il diavolo si nasconde nei dettagli: il prossimo capitolo parla delle eccezioni a questi impegni.
4. Le zone grigie
Non lo dico per spaventarti: per usare bene uno strumento bisogna sapere come funziona davvero. Ecco quattro dettagli, più un adempimento che spesso si dimentica.
4.1 Le ricerche sul web
Quando serve un'informazione da internet, Copilot usa Bing, il motore di ricerca di Microsoft. Dalla tua richiesta ricava poche parole e le invia come ricerca. Queste ricerche non rientrano nell'impegno a restare in Europa e nemmeno nel contratto sulla protezione dei dati: seguono impegni separati, indicati nelle Condizioni del prodotto.
In pratica, se scrivi «cerca online notizie sulla Rossi Srl, che ci deve cinquantamila euro», quei dati possono uscire dal recinto. Microsoft spiega che l'identità dell'utente viene tolta dalla ricerca, ma viene inviato l'indirizzo IP per localizzare i risultati. La regola è semplice: niente dati riservati nelle ricerche.
L'amministratore, cioè chi gestisce l'informatica dell'azienda, può disattivare le ricerche sul web per tutti o per alcuni gruppi con il criterio «Consenti ricerca Web in Copilot». Anche ogni utente di Microsoft 365 Copilot può spegnerle con l'interruttore «Contenuto Web», quando l'amministratore le lascia disponibili.
4.2 L'ora di punta: il flex routing
Quando i server europei sono molto carichi, una parte dell'elaborazione può avvenire fuori dall'Unione Europea: secondo Microsoft, negli Stati Uniti, in Canada o in Australia. È come il corriere sotto Natale, che fa passare il tuo pacco da un magazzino più lontano perché quello vicino è pieno.
Si chiama flex routing, cioè percorso flessibile. I dati archiviati restano in Europa, salvo una quantità limitata di dati pseudonimizzati conservati per motivi di sicurezza e operativi: a spostarsi è l'elaborazione della risposta.
Microsoft indica che il routing flessibile è attivo in partenza per le aziende idonee create dopo il 25 marzo 2026. L'amministratore lo trova nell'interfaccia di amministrazione di Microsoft 365, in Copilot, Impostazioni, Visualizza tutto, e può scegliere di non consentirlo.
4.3 I modelli di intelligenza artificiale
Copilot non ha un cervello suo: oggi può usare sia i modelli di OpenAI, la società di ChatGPT, sia i modelli Claude di Anthropic. I modelli Claude sono esclusi dall'impegno europeo sui dati, ed è per questo che nell'Unione Europea, nell'EFTA e nel Regno Unito sono disattivati in partenza.
Non vuol dire che siano insicuri: di norma il contratto sulla protezione dei dati continua a valere e Anthropic opera come sub-responsabile di Microsoft. Cambiano le garanzie su dove vengono trattati i dati, quindi l'amministratore che li attiva deve farlo sapendolo.
Alcuni modelli avanzati indicati come «modelli Anthropic con conservazione dei dati» seguono condizioni separate di Anthropic, non il contratto di Microsoft, e vanno abilitati a parte. Prima di attivarli serve una valutazione specifica.
4.4 L'oversharing: il rischio più importante
Oversharing significa condivisione eccessiva. Ricordi il collega nuovo che apre solo i cassetti a cui hai accesso tu? Ora immagina che negli anni, in azienda, qualcuno abbia lasciato aperti troppi cassetti: la cartella con gli stipendi condivisa con tutti per errore, il contratto riservato finito nella cartella comune.
Finché bisognava cercarli a mano, quasi nessuno li trovava. Con Microsoft 365 Copilot basta una domanda innocente, tipo «riassumimi i documenti sul personale», e quei dati possono saltare fuori nella risposta. Copilot non crea il disordine: lo rende visibile. Non è un difetto del prodotto: rispetta i permessi, ma i permessi erano sbagliati.
4.5 La valutazione d'impatto
Introdurre Copilot in azienda spesso richiede una valutazione d'impatto sulla protezione dei dati, la cosiddetta DPIA: un'analisi scritta dei rischi per le persone, da fare prima di partire. È prevista dall'articolo 35 del GDPR per i trattamenti che possono presentare un rischio elevato. Coinvolgi chi si occupa di privacy in azienda.
5. La lista di controllo
Cinque punti, da appendere vicino alla macchinetta del caffè.
- Usa solo le versioni con l'account di lavoro e cerca sempre lo scudo verde.
- Metti ordine nei cassetti prima di attivare Copilot: controlla i permessi delle cartelle condivise, cioè chi può aprire cosa.
- Decidi in modo consapevole se attivare i modelli Claude e se lasciare attivi le ricerche sul web e il flex routing, sapendo cosa cambia per i dati.
- Scrivi regole interne chiare: cosa si può chiedere a Copilot e cosa no.
- Forma le persone, il punto più importante: lo strumento più sicuro del mondo diventa rischioso in mano a chi non sa come funziona.
Copilot è sicuro per la tua azienda? Sì, ma solo se è configurato bene e se le persone sanno usarlo.
Se vuoi capire se Copilot è lo strumento giusto per voi, oppure vuoi un corso per i tuoi colleghi su come usarlo bene e in sicurezza, faccio consulenza e formazione per aziende e professionisti, in presenza in Piemonte oppure online, senza legami con nessun fornitore. La prima chiacchierata conoscitiva è gratuita: trovi i contatti su gianlu.it.
Il controllo in venti minuti
Prova a fare questo controllo sul tuo ambiente di lavoro. Non servono dati riservati: se non hai i permessi per un punto, segnalo a chi gestisce l'informatica.
- Apri Copilot e controlla con quale account sei entrato. Se usi quello di lavoro, cerca lo scudo verde.
- Sfoglia le cartelle condivise a cui hai accesso e annota quelle che contengono documenti che non dovresti vedere. Non aprirli e segnalali al responsabile.
- Chiedi all'amministratore tre risposte: le ricerche sul web sono attive? Il flex routing è consentito? I modelli Claude sono attivi?
- Scrivi una richiesta di ricerca sul web su un tuo cliente immaginario, poi riscrivila togliendo nomi, importi e altri dati riservati.
- Scrivi tre regole per i tuoi colleghi: una su che cosa si può chiedere, una su che cosa non si può incollare, una su a chi rivolgersi in caso di dubbio.
Sai dire quale versione di Copilot usi e con quale account.
Hai un elenco delle cartelle da far controllare.
Conosci le tre impostazioni della tua azienda, o sai chi può dirtele.
Le tue tre regole stanno in poche righe e le capirebbe anche un collega appena assunto.
Le domande che arrivano in aula
Posso usare il Copilot gratuito per un documento di lavoro?
Per i dati dell'azienda no: le versioni personali non hanno le garanzie contrattuali pensate per le aziende. Usa la versione di lavoro con l'account aziendale.
Microsoft usa i miei documenti per addestrare l'intelligenza artificiale?
Nelle versioni di lavoro no: richieste, risposte e dati letti tramite Microsoft Graph non addestrano i modelli di base, secondo la documentazione di Microsoft.
I dati restano sempre in Europa?
Non sempre. Sono previste eccezioni per le ricerche web generate, per il flex routing se è consentito e per i modelli Claude se vengono attivati. Per questo vanno controllate le impostazioni.
Copilot può mostrarmi file che non dovrei vedere?
Mostra solo ciò per cui hai almeno il permesso di visualizzazione. Il problema nasce quando quel permesso è stato dato per errore: è l'oversharing.
La valutazione d'impatto è sempre obbligatoria?
L'articolo 35 del GDPR la richiede quando un trattamento può presentare un rischio elevato per le persone. Con Copilot succede spesso, ma la valutazione va fatta caso per caso con chi si occupa di privacy.
Glossario
| Termine | Che cosa significa |
|---|---|
| Addendum sulla protezione dei dati (DPA) | La parte del contratto Microsoft che regola il trattamento dei dati dei clienti. |
| Copilot Chat | L'assistente a chat di Microsoft; con l'account di lavoro ha la protezione dei dati aziendali. |
| DPIA | Valutazione d'impatto sulla protezione dei dati: un'analisi dei rischi per le persone, prevista dall'articolo 35 del GDPR. |
| Etichetta di riservatezza | Il bollino che indica quanto è riservato un documento e quali regole si applicano. |
| EU Data Boundary | L'impegno di Microsoft a trattare i dati dei clienti europei all'interno dell'Unione Europea, con le eccezioni indicate. |
| Flex routing | Percorso flessibile: nei picchi di carico consente di elaborare le risposte fuori dall'Unione Europea. |
| GDPR | Il regolamento europeo sulla protezione dei dati personali. |
| Microsoft 365 Copilot | La versione a pagamento per le aziende, integrata nelle app e in grado di usare i dati di lavoro. Microsoft la sta rinominando Microsoft Copilot. |
| Microsoft Graph | Il sistema con cui Copilot raggiunge documenti, email e altri dati di lavoro a cui l'utente ha accesso. |
| Oversharing | Condivisione eccessiva: file e cartelle accessibili a più persone del necessario. |
Per approfondire
- Microsoft Learn: Protezione dei dati aziendali in Microsoft Copilot e Microsoft Copilot Chat — https://learn.microsoft.com/it-it/copilot/plan/enterprise-data-protection
- Microsoft Learn: Dati, privacy e sicurezza per Microsoft Copilot — https://learn.microsoft.com/it-it/copilot/plan/microsoft-365-copilot-privacy
- Microsoft Learn: Dati, privacy e sicurezza per la ricerca sul Web — https://learn.microsoft.com/it-it/copilot/plan/manage-public-web-access
- Microsoft Learn: Routing flessibile (UE e EFTA) — https://learn.microsoft.com/it-it/copilot/manage/copilot-flex-routing
- Microsoft Learn: Modelli Claude di Anthropic nei Microsoft Online Services — https://learn.microsoft.com/it-it/copilot/implement/connect-to-ai-subprocessor
- Microsoft Learn: Panoramica di Microsoft Copilot — https://learn.microsoft.com/it-it/copilot/plan/copilot-overview
- Microsoft Learn: Proteggere e gestire Microsoft Copilot, linee guida di base — https://learn.microsoft.com/it-it/copilot/plan/secure-govern-copilot-foundational-deployment-guidance
- Garante per la protezione dei dati personali: Valutazione d'impatto della protezione dei dati (DPIA) — https://www.garanteprivacy.it/valutazione-d-impatto-della-protezione-dei-dati-dpia-
- Trinity College Dublin: guida a Copilot Chat e allo scudo verde — https://www.tcd.ie/itservices/our-services/microsoft-365-apps/copilot/copilot-chat/
- Ramsac: lo scudo verde di Copilot spiegato — https://www.ramsac.com/blog/microsoft-copilot-green-shield-explained-a-simple-guide-for-uk-organisations/
Dati verificati il 6 novembre 2026 sulla documentazione ufficiale, in parte tradotta automaticamente da Microsoft. Condizioni, nomi e impostazioni cambiano spesso: ricontrolla le fonti prima di decidere. Le informazioni hanno scopo formativo e non sostituiscono una consulenza legale.
Scarica la dispensaVersione PDF stampabile di questa lezione, con esercitazione e glossario.
Scarica la dispensa in PDF