Copilot vede ciò che vede l’utente

Se di tutto il dominio sulla protezione dei dati dovessi portare all’esame una sola frase, sarebbe questa: Microsoft 365 Copilot opera con l’identità dell’utente che ha scritto il prompt. La documentazione non lascia margini: Copilot accede solo ai dati che quel singolo utente è autorizzato ad aprire, sulla base dei controlli di accesso già in vigore in Microsoft 365, e non accede ai dati per cui l’utente non ha i permessi. La pagina su dati, privacy e sicurezza è ancora più precisa: Copilot espone solo i dati dell’organizzazione per cui l’utente ha almeno permessi di visualizzazione, “at least view permissions”.

Il tenant vive dentro il Microsoft 365 service boundary, il confine di servizio entro cui Copilot può raggiungere i dati dell’organizzazione. Ma stare dentro quel confine non significa vedere tutto il tenant: l’accesso ai dati è sempre limitato ai permessi dell’utente autenticato. Sono due idee diverse e l’esame le tiene separate: il confine dice dove restano i dati, i permessi dicono quanto ne vede quella persona.

Da qui seguono tre conseguenze che vale la pena riconoscere. Primo: a Copilot non si assegna nessun ruolo di amministratore, perché non ha un’identità propria con cui leggere il tenant. Secondo: Copilot rispetta anche le policy di Conditional Access e la multifactor authentication (MFA) configurate nel tenant, quindi le stesse condizioni che governano l’accesso agli altri servizi Microsoft 365 governano anche l’accesso a Copilot. Terzo: quando un contenuto è cifrato da Microsoft Purview Information Protection, tramite una sensitivity label o tramite Information Rights Management (IRM), Copilot rispetta i diritti d’uso concessi a quell’utente.

Microsoft Graph: la porta d’accesso ai dati e ai segnali

Microsoft Graph è descritto dalla sua pagina di panoramica come “the gateway to data and intelligence” nei servizi cloud Microsoft come Microsoft Entra e Microsoft 365: un unico punto di accesso, l’endpoint https://graph.microsoft.com, a dati e segnali centrati sulle persone. Per Copilot, Graph è il canale che porta nel prompt il contesto di lavoro dell’utente: email, chat, documenti, calendario, riunioni, contatti, e le relazioni fra contenuti e persone.

Sopra Graph lavora il semantic index for Microsoft 365 Copilot, un indice lessicale e semantico generato dai contenuti presenti in Microsoft Graph, che serve a recuperare l’informazione giusta anche quando il prompt non contiene le parole esatte del documento. È il pezzo che la doc lega esplicitamente ai permessi: l’indice “honors the user identity-based access boundary”, cioè il processo di grounding accede solo a contenuti che l’utente corrente è autorizzato a vedere. Due dettagli fattuali utili: l’indicizzazione è abilitata automaticamente da Microsoft e non richiede intervento amministrativo, e non può essere disattivata.

I dati esterni a Microsoft 365 entrano invece tramite i Microsoft 365 Copilot connectors (prima chiamati Microsoft Graph connectors), che portano contenuti di terze parti dentro Graph dove vengono indicizzati; anche quei risultati compaiono in una risposta solo se l’utente ha il permesso di accedervi.

Attenzione a una confusione ricorrente: Microsoft Graph non è un portale né un report da consultare, e non è una voce da configurare nel Microsoft 365 admin center. È il livello di dati e API. Quando una domanda chiede dove si governa qualcosa, la risposta è un portale; quando chiede da dove Copilot prende i dati, la risposta è Microsoft Graph.

Il percorso di un prompt, e cosa non lascia il confine

Il flusso che la doc descrive è semplice e conviene saperlo raccontare a grandi linee. L’utente scrive un prompt in Copilot dentro un’app Microsoft 365. Copilot fa una pre-elaborazione con il grounding, accedendo a Microsoft Graph e al semantic index nel tenant dell’utente, per arricchire il prompt con il contesto pertinente. Il prompt così ancorato va al modello linguistico di grandi dimensioni, che genera la risposta. Copilot esegue una post-elaborazione, di nuovo su Graph e sull’indice, e restituisce la risposta all’app e all’utente, con le citazioni delle fonti usate. I dati usati per generare la risposta sono cifrati in transito.

È qui che si capisce la differenza fra un modello che risponde solo con ciò che ha appreso in addestramento e una risposta ancorata: il grounding è ciò che rende la risposta specifica sui documenti, sulle riunioni e sulle conversazioni di quell’organizzazione. E su questo la doc mette un punto fermo da ricordare: prompt, risposte e dati acceduti tramite Microsoft Graph non vengono usati per addestrare i foundation LLM, compresi quelli usati da Microsoft 365 Copilot. L’interazione viene invece conservata nella Copilot activity history dell’utente, che può cancellarla dal My Account portal, mentre l’amministratore la governa con Microsoft Purview.

Il corollario che l’esame ama: l’oversharing diventa visibile

Se Copilot mostra solo ciò a cui l’utente ha già accesso, allora Copilot non crea un problema di permessi: lo rende evidente. La documentazione di Microsoft Purview Data Security Posture Management (DSPM) lo dice in modo diretto, spiegando che per potenza e velocità l’AI può portare a galla contenuti obsoleti o con permessi eccessivi, e che “generative AI amplifies the problem of oversharing data”. La cartella HR condivisa con tutta l’azienda tre anni fa era già un rischio: prima nessuno la cercava, ora una domanda in linguaggio naturale la trova.

Che cosa verifica l’esame su questo punto. Primo, che tu escluda le risposte del tipo “Copilot legge tutto il tenant” o “Copilot aggira i permessi di SharePoint”: sono sbagliate per costruzione. Secondo, che davanti allo scenario “un utente ha visto in una risposta un file che non doveva vedere” tu punti sui permessi all’origine, non su un’impostazione di Copilot. Terzo, non confondere i tre strumenti che si somigliano solo di nome: una sensitivity label classifica e protegge il contenuto, una policy di Data Loss Prevention (DLP) impedisce un’azione (per Copilot, escludere dal grounding contenuti con determinate etichette), e la retention decide per quanto tempo qualcosa si conserva. Sono risposte diverse a domande diverse.