Copilot vede quello che vedi tu: il rischio lo aggiungi tu

Il punto di partenza va capito bene, perché tutto ne discende. Microsoft 365 Copilot non allarga i permessi di nessuno: se il sito SharePoint di un altro team non è accessibile al tuo account, Copilot non lo userà per rispondere. Lo stesso vale per gli agenti: se tu non hai accesso a una knowledge source, l’agente non può includerne il contenuto nella risposta.

Ne segue il cuore di questa unità: il rischio sui dati sensibili quasi mai nasce da Copilot che va a prendere qualcosa che non dovrebbe. Nasce da un gesto tuo, che sposta contenuto da un contenitore protetto a uno meno protetto. I gesti da sorvegliare sono tre: che cosa alleghi al prompt, che cosa ci incolli dentro, e a chi mandi il risultato.

Sul primo conviene distinguere. In Copilot Chat la casella di composizione offre Add work content per selezionare contenuto di lavoro, Upload images and files per caricare file dal dispositivo e Attach cloud files per pescare dal selettore di OneDrive, inclusi i file condivisi con te e quelli condivisi in una riunione di Teams. Non sono equivalenti: riferirsi a un file già in OneDrive o SharePoint lo lascia dov’è con i suoi permessi; caricare una copia dal disco locale porta in chat un contenuto che l’organizzazione magari non aveva mai classificato. Prima di caricare il PDF di un contratto scaricato sul desktop, chiediti se quel file esiste già in un posto governato.

Che cosa non conviene incollare in un prompt

Prompt e risposte non evaporano. Vengono conservati come Copilot activity history, sono cifrati e non alimentano l’addestramento dei modelli di base, ma restano contenuto della tua organizzazione: soggetti alle policy di conservazione e verificabili da chi ha ruoli di audit. Puoi cancellare la tua cronologia dal portale My Account, in Data and Privacy e poi Data options. Attenzione a una confusione tipica: cancellarla non toglie il contenuto che Copilot ti ha aiutato a produrre e che hai già salvato in un file. La slide resta nella presentazione.

C’è poi un percorso che esce davvero dal perimetro: la ricerca web. Quando è attiva, Copilot genera una query di poche parole dal tuo prompt, o da un file che hai caricato, e la manda al servizio di ricerca Bing, che ha pratiche di trattamento dei dati diverse da Microsoft 365. Le query partono senza identificatori di utente e tenant, ma il testo della query è testo che esce. Morale: numeri di un bilancio non pubblicato, nomi di clienti, dati personali di colleghi e credenziali non si incollano in un prompt, tanto meno in uno che cerca sul web. Il pulsante Add and manage sources permette di aprire Change data sources e spegnere le origini con gli interruttori; l’interruttore Web search vive nelle impostazioni della chat, e la disponibilità dipende dall’organizzazione.

Regola pratica: se stai riassumendo un thread in Outlook o preparando una riunione, lascia che sia Copilot a leggere il thread e il calendario invece di incollargli il testo. Stesso risultato, un rischio in meno.

Le sensitivity label viaggiano con il file

Una sensitivity label è un’etichetta di Microsoft Purview che classifica un elemento e, se configurata così, applica protezioni: cifratura, oppure marcature come intestazioni, piè di pagina e filigrane. La proprietà che conta è la persistenza: l’etichetta è scritta nei metadati e resta attaccata al file ovunque tu lo salvi. La applichi con il pulsante Sensitivity nella scheda Home o dalla barra accanto al nome del file. Se non vedi né l’uno né l’altra, l’amministratore non ti ha pubblicato etichette.

Copilot e gli agenti riconoscono queste etichette. In una conversazione che attinge a elementi diversi vedi l’etichetta con la priorità più alta, tipicamente la più restrittiva; e dove l’ereditarietà è supportata, il contenuto generato prende a sua volta l’etichetta più alta. Se l’etichetta applica cifratura, Copilot verifica i tuoi diritti d’uso e restituisce contenuto solo se ti è concesso quello di copia. Da qui il comportamento corretto: se estrai un riassunto da un documento Highly Confidential e lo trasferisci a mano in un altro file o in un’email, tocca a te assicurarti che la destinazione porti l’etichetta giusta. Ospiti e utenti di altre organizzazioni, poi, non vedono le tue etichette nelle app.

Condividere il risultato, e i tre rischi da non confondere

Condividere è un gesto separato dal generare. Una Copilot page condivisa via link dà accesso a quella singola pagina e si apre in Loop: chi riceve il link legge il testo che c’è dentro, magari il riassunto di un documento riservato. Un notebook e una chat sono contenitori diversi, con gesti di condivisione propri. Condividere un agente, invece, non regala l’accesso alle sue fonti: chi lo riceve non può modificarlo e resta vincolato ai propri permessi sulle knowledge source.

L’esame verifica soprattutto che tu sappia distinguere tre rischi che a parole si somigliano. La fabbricazione è Copilot che produce un dettaglio plausibile ma falso: si contrasta verificando le citazioni con il pulsante Sources. La prompt injection è un’istruzione nascosta dentro un contenuto che Copilot legge, una pagina web o un documento ricevuto, che tenta di dirottarne il comportamento: Microsoft la filtra con classificatori dedicati, e a te tocca insospettirti se un riassunto contiene ordini o inviti a inoltrare qualcosa. L’over-reliance è usare l’output senza controllarlo. Nessuna delle tre è un problema di permessi, ed è qui l’errore da evitare: credere che, siccome Copilot rispetta i permessi, qualunque cosa esca da Copilot sia sicura da inoltrare.