Che cosa protegge la enterprise data protection

La domanda arriva sempre per prima: se chiedo a Copilot di riassumere il thread sul rinnovo del contratto, quel testo dove finisce? Quando sei autenticato con il tuo account di lavoro o scuola entra in gioco la enterprise data protection, cioè gli impegni contrattuali che Microsoft applica già alla posta in Exchange e ai file in SharePoint, estesi a prompt e risposte. La pagina di supporto lo dice così: “Your prompts, including any work content you add to the prompt, and Copilot’s responses aren’t used to train foundation models.”

Tre precisazioni. Primo, la tutela non dipende dalla licenza: Microsoft 365 Copilot (con licenza) e Copilot Chat (senza licenza aggiuntiva) offrono la stessa enterprise data protection. Cambia il perimetro dei dati su cui la risposta si ancora: senza licenza il grounding è limitato ai file che carichi tu nella conversazione, con la licenza si estende a posta, riunioni, chat e documenti. Secondo, la ricerca web è un canale separato, con regole proprie: Copilot genera una query di poche parole e la invia al servizio Bing, e la documentazione precisa che “They’re sent via a secure connection with user and tenant identifiers removed.” Terzo, i tuoi scambi restano registrati come Copilot activity history e puoi cancellarli tu dal portale My Account, sotto Data and Privacy e Data options.

Copilot eredita i permessi, non li allarga

Questo è il concetto da portarsi a casa. Copilot non scavalca le regole di accesso: si muove dentro di esse. La documentazione è esplicita — “Microsoft Copilot only surfaces organizational data to which individual users have at least view permissions” — e la pagina utente lo ripete in prima persona: “Copilot can only reference internal organizational data that you have access to.”

Il recupero si appoggia al semantic index costruito su Microsoft Graph, e anche lì il confine è l’identità: un risultato compare solo se chi chiede ha già accesso al contenuto, perché “indexing data doesn’t change access permissions to content”. Se un collega non è membro del sito SharePoint delle Risorse Umane, quel sito non comparirà nelle sue risposte, per quanto bene sia scritto il prompt.

Ne discende una conseguenza che sorprende molti: due persone che fanno la stessa domanda possono ottenere risposte diverse. Se in Outlook chiedi di prepararti per la riunione di lunedì, il riepilogo nasce dal materiale correlato che tu puoi vedere; un altro partecipante, con accessi diversi, ne riceve uno diverso. Non è un’incoerenza del prodotto: è il modello dei permessi che si riflette nella risposta.

Va detto il rovescio: se un documento riservato è condiviso troppo largamente, Copilot lo troverà e lo citerà, perché formalmente hai il diritto di leggerlo. Il problema non è Copilot ma la condivisione di quel file. Riconoscere il sintomo è compito tuo, sistemare i permessi no.

Il contesto decide la risposta

Copilot mescola tre ingredienti dichiarati: i tuoi dati di lavoro, cioè “the emails, files, chats, meetings, people, projects, accounts, and opportunities you already work with across Microsoft 365”; il web come informazione pubblica aggiornata; e il contenuto che alleghi al prompt. Il quarto è implicito: l’app in cui ti trovi. La chat di Copilot in Word ragiona sul documento aperto e cita i punti da cui ha attinto; in Excel lavora sui dati del foglio, in PowerPoint sulla presentazione, in Teams su chat, canali e riunioni. Sono capacità diverse, non la stessa funzione replicata ovunque.

Attenzione a un confine sottile: se la risposta non è nel tuo documento, Copilot in Word non si ferma. La documentazione avverte che “Copilot will generate content for you using the underlying large language models”. Ottimo per un brainstorming, insidioso se credevi di avere una sintesi ancorata al file. Per questo esistono controlli espliciti: il pulsante Add and manage sources e la voce Change data sources accendono o spengono le sorgenti prima dell’invio, mentre l’interruttore Work IQ governa se Copilot può riferirsi ai contenuti di lavoro. Puoi puntare il prompt su un oggetto preciso digitando la barra “/” e scegliendo file, persona, riunione o messaggio, con un limite documentato di dieci file o pagine dentro un singolo sito SharePoint. A risposta ottenuta, le citazioni in linea e il pulsante Sources dicono da dove viene ogni affermazione.

Che cosa verifica l’esame

L’esame non chiede procedure amministrative: chiede di distinguere enunciati veri da enunciati soltanto plausibili. Le confusioni ricorrenti sono tre.

La prima è tra “non addestra i modelli” e “nessuno può vederlo”: i prompt non alimentano i modelli di base, ma la cronologia resta contenuto aziendale, soggetto alle policy di conservazione e alle capacità di audit dell’organizzazione. Protetto dal modello non significa invisibile all’azienda.

La seconda è tra Copilot e i permessi: nessuna risposta concede un accesso nuovo, e nessun prompt aggira un permesso mancante.

La terza è tra fabbricazione, prompt injection e over-reliance. La fabbricazione è un’affermazione plausibile e falsa prodotta dal modello, e la documentazione ricorda che “The responses that generative AI produces aren’t guaranteed to be 100% factual.” La prompt injection è un’istruzione ostile nascosta in un contenuto che Copilot legge, e contro di essa il servizio applica classificatori dedicati. L’over-reliance non è un difetto del sistema: è il tuo comportamento quando accetti l’output senza rileggerlo. Solo la terza dipende interamente da te.

Un’ultima nota. La documentazione avvisa che i nomi dei prodotti sono in transizione e che alcune esperienze e licenze possono ancora riportare le diciture precedenti: davanti a due etichette diverse, guarda alla capacità descritta, non al nome.