Posso usare Copilot con i dati dei clienti?
Pubblicata il
In breve: sì, con Microsoft 365 Copilot (o Copilot Chat) usato con l’account di lavoro dell’organizzazione. In questo caso Microsoft tratta i dati per conto tuo, con un accordo sul trattamento dei dati (DPA) già compreso nel contratto, e non usa le tue conversazioni per addestrare i modelli.
No, con Copilot personale, cioè quello a cui accedi con un account Microsoft privato (anche se hai un abbonamento Microsoft 365 Personal o Family). Lì Microsoft decide in proprio come usare i dati e non c’è un accordo sul trattamento con te.
Prima di usare Copilot di lavoro con i dati personali dei clienti, chi amministra l’account deve controllare due impostazioni che possono portare l’elaborazione fuori dall’Unione europea: i modelli Anthropic e il flex routing.
Condizioni del fornitore verificate il 5 ottobre 2026.
Come si confrontano le versioni di Copilot per i dati dei clienti?
Copilot personale e Microsoft 365 Copilot / Copilot Chat con account di lavoro cambiano per accordo sul trattamento (DPA), ruolo di Microsoft per il GDPR, addestramento dei modelli e uso con i dati dei clienti.
| Copilot personale | Microsoft 365 Copilot / Copilot Chat con account di lavoro | |
|---|---|---|
| Come si accede | Account Microsoft personale (copilot.com, app, Windows) | Account di lavoro o della scuola (Microsoft Entra ID) |
| Accordo sul trattamento (DPA) | No | Sì, il DPA dei prodotti e servizi Microsoft |
| Ruolo di Microsoft per il GDPR | Titolare: decide lei come usare i dati | Responsabile: tratta i dati per conto tuo |
| Addestramento dei modelli | Regolato dalle impostazioni personali | Le conversazioni non servono ad addestrare i modelli |
| Dove sono trattati i dati | Secondo l’informativa generale di Microsoft | Nell’UE (EU Data Boundary), con le due eccezioni qui sotto |
| Dati dei clienti | No | Sì, dopo aver controllato le impostazioni |
Cosa dice il GDPR sull’uso di Copilot con i dati dei clienti?
Quando inserisci in Copilot i dati di un cliente (un nome, un contratto, una cartella, una busta paga), stai affidando un trattamento a un fornitore esterno. Il GDPR chiede che quel fornitore lavori come tuo responsabile del trattamento, con un contratto scritto che dica cosa può fare con i dati (art. 28), e che garantisca misure di sicurezza adeguate (art. 32).
Con Microsoft 365 Copilot questo contratto c’è: è il DPA dei prodotti e servizi Microsoft, che vale anche per Copilot. Con Copilot personale no: Microsoft tratta i dati come titolare, secondo la propria informativa sulla privacy, e tu non hai nessuno strumento contrattuale per controllare cosa succede ai dati del tuo cliente.
C’è poi il tema del trasferimento fuori dall’Unione (artt. 44 e 46). Per i clienti europei Microsoft si impegna a conservare e trattare i dati nell’UE (EU Data Boundary), ma con due eccezioni che riguardano proprio Copilot.
Modelli Anthropic. Microsoft 365 Copilot può usare anche i modelli Claude di Anthropic, per esempio in Researcher, in Copilot Studio e negli agenti di Word, Excel e PowerPoint. Microsoft dichiara che questi modelli sono esclusi dall’EU Data Boundary. Per i clienti dell’UE sono disattivati di default, ma un amministratore può attivarli.
Flex routing. Microsoft prevede un’impostazione che, nei momenti di picco, permette di elaborare le richieste a Copilot fuori dall’EU Data Boundary (Stati Uniti, Canada o Australia). È attiva di default per gli account di lavoro creati dopo il 25 marzo 2026; per quelli già esistenti Microsoft invita gli amministratori a controllarla. I dati archiviati restano nell’UE, salvo una quantità limitata di dati pseudonimizzati. L’impostazione si può disattivare.
Se vuoi che i dati dei clienti restino trattati nell’Unione, i modelli Anthropic devono restare spenti e il flex routing va disattivato.
Cosa dicono l’AI Act e la legge italiana sull’uso di Copilot nel lavoro?
Per l’AI Act, chi usa Copilot nel proprio lavoro è un «deployer di AI», cioè un utilizzatore del sistema (art. 3, punto 4). Usare un assistente per scrivere, riassumere o tradurre non rientra negli usi ad alto rischio.
Se sei un professionista intellettuale (avvocato, commercialista, consulente del lavoro, medico, ingegnere e così via), la legge italiana sull’intelligenza artificiale aggiunge un obbligo preciso: devi informare il cliente dei sistemi di AI che usi nel lavoro che fai per lui, con un linguaggio chiaro, semplice ed esaustivo (L. 132/2025, art. 13). L’AI può solo supportare il tuo lavoro, non sostituirlo.
Cosa devo fare per usare Copilot con i dati dei clienti?
Usa Copilot con i dati dei clienti solo con l’account di lavoro dell’organizzazione, mai con un account personale.
Chiedi a chi amministra Microsoft 365 di controllare, nell’interfaccia di amministrazione (Copilot → Impostazioni), che i modelli Anthropic siano disattivati e che il flex routing sia impostato su «non consentire».
Conserva una copia del DPA Microsoft nella documentazione privacy dello studio e indica Microsoft fra i responsabili del trattamento.
Aggiorna l’informativa o il mandato professionale per dire ai clienti che usi strumenti di AI, quali e per cosa.
Se in studio qualcuno usa Copilot personale, stabilisci per iscritto che non ci si inseriscono dati dei clienti.
Domande frequenti
Copilot Chat gratuito va bene per i dati dei clienti?
Dipende da come accedi. Se usi Copilot Chat con l’account di lavoro (Microsoft Entra ID), valgono le protezioni dei dati aziendali di Microsoft. Se lo usi con un account Microsoft personale, è Copilot personale.
Ho Microsoft 365 Personal o Family: è la versione di lavoro?
No. Sono abbonamenti per uso privato: Copilot incluso in questi piani resta un servizio per consumatori, senza un accordo sul trattamento dei dati con te.
Lavoro da solo: posso avere Microsoft 365 Copilot?
Sì. I piani Microsoft 365 per le aziende (Business) si possono attivare anche per una sola persona, con il proprio dominio. Così hai l’account di lavoro, il DPA e i controlli di amministrazione.
Se nel mio account di lavoro i modelli Anthropic sono attivi, cosa succede?
Le richieste che passano da quei modelli vengono elaborate fuori dall’EU Data Boundary. Per i dati dei clienti è un trasferimento extra UE da valutare e documentare. Se non serve, la scelta più semplice è tenerli spenti.
Microsoft usa le mie conversazioni per addestrare i modelli?
Con l’account di lavoro, no. Con Copilot personale dipende dalle impostazioni e dal paese: Microsoft ha dichiarato di non addestrare i modelli con i dati dei consumatori dello Spazio economico europeo fino a nuovo avviso. Ma il punto, per i dati dei clienti, non è solo l’addestramento: manca comunque il contratto sul trattamento.
Fonti ufficiali
Microsoft Learn, Anthropic models in Microsoft Online Services (modelli Anthropic esclusi dall’EU Data Boundary): https://learn.microsoft.com/en-us/microsoft-365/copilot/connect-to-ai-subprocessor
Microsoft Learn, Flex routing (EU and EFTA) (elaborazione fuori dall’EU Data Boundary nei momenti di picco): https://learn.microsoft.com/en-us/microsoft-365/copilot/copilot-flex-routing
Microsoft, Products and Services Data Protection Addendum (DPA): https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA
Microsoft Support, Microsoft Copilot privacy controls (Copilot con account personale): https://support.microsoft.com/en-us/microsoft-copilot/microsoft-copilot-privacy-controls
Microsoft, Transparency and Control in Consumer Data Use (16 agosto 2024: niente addestramento sui dati dei consumatori dello SEE fino a nuovo avviso): https://www.microsoft.com/en-us/microsoft-copilot/blog/2024/08/16/transparency-and-control-in-consumer-data-use/
Regolamento (UE) 2016/679 (GDPR), artt. 28, 32, 44, 46.
Regolamento (UE) 2024/1689 (AI Act), art. 3, punto 4.
Legge 23 settembre 2025, n. 132, art. 13.
Le altre guide della serie
Posso usare GLM con i dati dei clienti?