Copilot och EU: tre inställningar som avgör var er data behandlas

Varför det här blev aktuellt nu

Under 2026 har Microsoft öppnat Copilot för fler modeller än sina egna. Anthropics och OpenAI:s modeller kan numera köras genom Copilot. Vid hög belastning kan beräkningen dessutom ske i ett annat land. Flera av inställningarna som styr det slås på utan att någon hos er gjort något.

Det behöver inte vara fel. Men det är ert beslut att fatta, inte en slump. Här är de tre inställningarna, var de sitter och vad som gäller som standard.

1. Flex routing: modellen får lämna EU vid hög belastning

Flex routing låter kunder i EU och EFTA tillåta att språkmodellen körs utanför EU:s datagräns när trycket är högt, för att svaren ska komma lika snabbt som vanligt. Microsoft skriver att beräkningen då kan ske i USA, Kanada eller Australien.

Det som flyttar är prompten, svaret och det underlag Copilot hämtat för att svara. Lagrad data stannar innanför EU:s datagräns, med undantag för begränsad pseudonymiserad data som Microsoft sparar för säkerhet och drift.

2. Modeller från Anthropic och OpenAI

Copilot kan använda modeller där Anthropic eller OpenAI är underleverantör till Microsoft. Skillnaden mellan dem spelar roll för er:

• Anthropics modeller ligger utanför EU:s datagräns. Därför är de avstängda som standard för kunder i EU, EFTA och Storbritannien.
• OpenAI:s modeller ingår i EU:s datagräns, med undantag för ett pseudonymiserat användar-id som lagras i USA för felsökning. De är påslagna för alla användare sedan 24 juli 2026, om ingen administratör stängt av dem.

Här finns undantaget som förvånar flest: det finns en separat inställning för Copilot i Word, Excel och PowerPoint som gör Anthropics modeller till standardval i de apparna. Den är påslagen som standard för miljöer i EU, EFTA och Storbritannien som skapades efter 25 mars 2026. Är er miljö äldre hänvisar Microsoft till Message center för att se vad som gäller hos just er.

Modeller som sparar era prompter i 30 dagar

En särskild kategori heter Anthropic models with Data Retention. De är avstängda som standard överallt, även där andra Anthropic-modeller är påslagna. De kräver att en administratör aktivt godkänner Anthropics egna villkor.

Slår ni på dem gäller inte längre Microsofts avtal för den delen. Anthropic sparar då de flesta in- och utdata i upp till 30 dagar. Flaggas innehållet av deras kontroller kan det sparas i upp till två år. Klassificeringspoäng kan sparas i upp till sju år. Anthropic använder inte det sparade materialet för att träna modeller utan ert uttryckliga tillstånd.

En nyans värd att känna till: alla avancerade modeller kräver inte lagring. Microsoft beskriver att vissa organisationer får tillgång till nyare modeller med Anthropic som underleverantör, där Microsofts villkor gäller och ingen kunddata sparas hos Anthropic.

3. Copilot Studio: connectorerna är den öppna dörren

Bygger någon hos er agenter i Copilot Studio blir connectorerna den viktigaste inställningen. En connector är agentens koppling till ett annat system, till exempel SharePoint, Outlook, Salesforce eller en tjänst på internet. Det är där data kan lämna huset.

I Power Platform admincenter styr ni det med datapolicys. Connectorerna delas in i tre grupper:

• Business, för känsliga data.
• Non-business, för annat. Connectorer ni inte tagit ställning till hamnar här som standard.
• Blocked, som inte får användas alls där policyn gäller.

Regeln är enkel: en connector i en grupp kan inte dela data med en connector i en annan grupp. Lägger ni SharePoint i Business kan alltså ingen bygga något som skickar samma data vidare via en tjänst i Non-business.

Sedan maj 2026 får varje ny agent i Copilot Studio dessutom en egen identitet i Entra. Agentens connectorer syns då som behörigheter på den identiteten, så att ni kan se vad en agent får göra utan att öppna Power Platform. De behörigheterna går även att träffa med villkorsstyrd åtkomst, till exempel krav på nätverksplats eller att enheten är godkänd.

Vad vi rekommenderar att ni gör

1. Bestäm en hållning till EU-frågan. Ska data stanna innanför EU:s datagräns även vid hög belastning? Då stänger ni av flex routing. Är snabbhet viktigare tar ni ett medvetet beslut åt andra hållet.
2. Titta på era tre leverantörsinställningar. Anthropic globalt, Anthropic i Word, Excel och PowerPoint, samt OpenAI. Kontrollera vad som faktiskt står i er miljö i stället för att lita på vad som borde stå.
3. Rör inte modeller med datalagring om ni inte vet varför ni behöver dem. Behöver ni dem, dokumentera beslutet.
4. Sätt en datapolicy för connectorer innan någon bygger sin första agent, inte efter.
5. Skriv ned besluten. Det är den delen som efterfrågas vid upphandling, revision eller av ett försäkringsbolag. Ett skärmklipp räcker långt.

En ärlig avgränsning

EU:s datagräns är ett åtagande från Microsoft om var data behandlas och lagras. Det är inte samma sak som ett juridiskt svar på vad just er organisation får göra enligt GDPR eller er egen dataskyddspolicy. Vi beskriver här vad inställningarna gör. Bedömningen av vad ni bör välja gör ni, gärna tillsammans med den som ansvarar för dataskydd hos er.