De gemeente Haarlemmermeer moet extra maatregelen nemen om gebruik te kunnen maken van Microsoft 365 Copilot, zo laat de Autoriteit Persoonsgegevens (AP) in een adviesdocument op de eigen website weten (pdf). Volgens de privacytoezichthouder is de manier waarop de gemeente Copilot zou willen gebruiken in strijd met de AVG. Haarlemmermeer had de AP vorig jaar advies gevraagd over het gebruik van Copilot.

In de aanvraag wijst de gemeente ook naar vier hoge risico's die bij het gebruik van Copilot komen kijken en eerder al zijn vastgesteld. Zo kunnen gebruikers hun rechten niet uitoefenen, kan het gebruik van onjuiste persoonsgegevens die Copilot genereert negatieve gevolgen hebben, is er een gebrek aan transparantie over de gegevens die Microsoft verwerkt en is als laatste risico heridentificatie van gepseudonimiseerde gegevens mogelijk.

"De vier risico’s hebben te maken met de beperkte openheid van Microsoft over hoe Copilot werkt. Een gebrek aan transparantie vanuit Microsoft ontslaat de Gemeente echter niet van de verplichting om de AVG na te leven. De Gemeente zal dus aanvullende maatregelen moeten nemen", aldus de Autoriteit Persoonsgegevens. Het gaat onder andere om het investeren in bewustwording over onjuiste persoonsgegevens die Copilot kan genereren, gebruikers helpen bij het uitoefenen van hun rechten en niet starten met de uitrol van Copilot voordat er voldoende transparantie is.

"Het niet voldoen aan de hiervoor genoemde maatregelen brengt met zich mee dat de voorgenomen verwerking (de inzet van Microsoft Copilot), op basis van de aangeleverde stukken, waarschijnlijk als onrechtmatig zal kwalificeren", aldus de AP. Die eindigt het adviesdocument met een kort en duidelijk advies: "Niet starten met de voorgenomen verwerking dan nadat de bovengenoemde maatregelen zijn genomen." De toezichthouder publiceerde naast het document ook een hulpmiddel dat beschrijft waar organisaties die AI willen gebruiken rekening mee moeten houden.