Risiko Keamanan Data Copilot: Melindungi Lingkungan Microsoft 365 Anda

By Mirko Peters · 2026-02-25 · Updated 2026-03-24

Risiko Keamanan Data Copilot: Melindungi Lingkungan Microsoft 365 Anda. Pahami risiko keamanan saat Microsoft Copilot mengakses data bisnis yang sensitif. Pastikan perlindungan data di lingkungan Microsof

Automatically translated with AI from the original post. Read the English original

Microsoft Copilot mengubah cara organisasi bekerja, tetapi kekuatan AI yang besar juga menuntut keamanan yang kokoh dan segera. Saat Copilot menelusuri dokumen, email, dan obrolan perusahaan Anda untuk menghasilkan ringkasan dan draf yang bermanfaat, muncul kekhawatiran baru tentang paparan data. Data bisnis yang sensitif, seperti catatan keuangan, informasi klien, dan paten, berpotensi berisiko jika keamanan Copilot tidak dikunci dengan rapat.

Persoalannya bukan hanya soal peretas. Terkadang, pihak yang sudah Anda percaya, seperti kontraktor, pengguna dengan izin berlebihan, atau bahkan kesalahan konfigurasi, dapat membuat pintu brankas terbuka lebar sehingga Copilot mengambil dan menampilkan berkas yang keliru. Keamanan Copilot berkaitan dengan kontrol akses, tetapi juga dengan "hal-hal tak terduga" dari AI generatif, integrasi berisiko, dan regulasi yang terus berubah. Jika Anda berada di bidang kesehatan, keuangan, atau pemerintahan, regulator memperhatikan bagaimana Anda menangani alur data yang digerakkan AI. Karena itu, memahami risiko keamanan data Copilot bukan sekadar praktik terbaik, melainkan hal yang esensial untuk kepatuhan, kelangsungan operasional, dan menjaga reputasi Anda tetap bersih.

Panduan ini membahas risiko keamanan inti yang terkait dengan Copilot, serta cara praktis untuk mengelolanya: mulai dari pengaturan izin yang tepat, kesiapan regulasi, pencegahan kehilangan data, batasan plugin, shadow IT, jebakan regulasi, hingga strategi tata kelola yang terbukti efektif. Anda juga akan mempelajari bagaimana kesalahan manusia, cacat desain, dan celah pemantauan dapat mengubah alat yang "pintar" menjadi sumber kebocoran data, serta apa yang perlu dilakukan dengan cepat. Mari kita mulai, dan jadikan Copilot bekerja untuk Anda, bukan melawan Anda.

1. Retensi prompt oleh model: Sistem bergaya Copilot dapat menyimpan prompt pengguna dan menggunakannya untuk memperbarui atau menyempurnakan model, sehingga data sensitif yang pernah dikirimkan dapat memengaruhi keluaran di masa depan.
2. Kebocoran data tersembunyi melalui saran: Saran autocomplete dapat secara tidak sengaja mengungkap cuplikan kode proprietary, kunci API, atau logika bisnis ketika data semacam itu digunakan untuk pelatihan atau terpapar padanya.
3. Paparan jendela konteks: Konteks percakapan atau kode yang panjang memperbesar kemungkinan konten sensitif sebelumnya tetap berada dalam jendela konteks aktif dan dapat muncul kembali nanti.
4. Risiko plugin pihak ketiga: Integrasi dan plugin yang digunakan bersama Copilot dapat menambah permukaan serangan dan risiko rantai pasok yang melewati kontrol platform asli.
5. Re-identifikasi oleh orang dalam: Telemetri agregat atau log penggunaan yang dimaksudkan untuk perbaikan dapat dianalisis untuk mengidentifikasi kembali pengguna atau proyek tertentu jika tidak dianonimkan dengan benar.
6. Kontaminasi lintas penyewa: Dalam lingkungan multi-penyewa, kesalahan konfigurasi pelatihan model atau caching dapat menyebabkan data satu pelanggan memengaruhi keluaran untuk pelanggan lain.
7. Eksfiltrasi melalui konten yang dihasilkan: Pelaku jahat dapat menyusun prompt yang membujuk model untuk menulis ulang atau mengekstrak pola sensitif dari masukan sebelumnya, sehingga data tereksfiltrasi melalui keluaran yang tampak tidak berbahaya.
8. Titik buta kepatuhan dan audit: Alat DLP, SIEM, dan audit tradisional sering kali tidak memantau bagian dalam model atau alur generasi, sehingga menciptakan titik buta untuk kepatuhan regulasi terkait residensi data, retensi, dan batasan tujuan penggunaan.

Ikhtisar Keamanan Microsoft Copilot

Microsoft Copilot berada di persimpangan antara produktivitas dan keamanan di lingkungan Microsoft 365 Anda. Copilot bukan sekadar add-on biasa; ia berinteraksi secara mendalam dengan data bisnis yang sensitif, sehingga postur keamanannya menjadi bagian integral dari kepercayaan organisasi. Anda tidak bisa membiarkan kelemahan sekecil apa pun, karena di level AI, celah akan membesar dalam skala besar. Untungnya, Microsoft telah menempatkan Copilot di dalam ekosistem keamanan perusahaan yang sudah ada, sehingga pengguna mendapatkan fondasi yang familiar dengan beberapa elemen baru.

Keamanan Copilot tidak hanya soal apa yang sudah disiapkan Microsoft. Arsitekturnya bergantung pada kontrol yang sudah teruji di Microsoft 365, seperti kontrol akses berbasis peran, manajemen identitas, dan alat tata kelola data yang komprehensif. Artinya, Copilot tidak menciptakan ulang sistem keamanan Anda, tetapi membawanya ke jalur cepat. Karena itu, penting untuk memahami seberapa baik setiap komponen mencengkeram jalan. Dengan memahami cara kerja komponen-komponen ini secara bersama-sama, Anda dapat mengantisipasi risiko, menemukan celah, dan mengizinkan Copilot dengan percaya diri tanpa membuka kotak Pandora. Selanjutnya, kita akan membahas bagaimana Copilot terhubung langsung ke tumpukan keamanan Microsoft 365 dan menyoroti beberapa perlindungan khusus AI yang diterapkan Microsoft.

Cara Microsoft Copilot Terintegrasi dengan Keamanan Microsoft 365

Microsoft Copilot dirancang selaras dengan kerangka keamanan Microsoft 365 yang sudah ada, dengan memanfaatkan alat seperti Microsoft Entra untuk identitas dan kontrol akses, serta Microsoft Purview untuk tata kelola data dan audit. Copilot menghormati model hak akses minimum (least-privilege) dan grup peran di organisasi Anda, artinya Copilot hanya dapat melihat data yang memang sudah boleh diakses oleh pengguna atau layanan tersebut.

Aliran data melalui Copilot diatur oleh kontrol keamanan tingkat perusahaan, termasuk kebijakan dari Purview dan pemantauan melalui log audit. Untuk pengawasan berkelanjutan dan remediasi yang cepat, organisasi dapat memperluas DLP dan label sensitivitas ke konten yang dihasilkan Copilot, serta memanfaatkan pemantauan real-time melalui alat seperti Purview Audit dan Sentinel. Anda dapat menemukan detail lebih lanjut tentang strategi tata kelola tingkat lanjut di sumber seperti panduan mendalam ini dan praktik terbaik tata kelola lanjutan.

Fitur Keamanan Copilot Utama dan Pengaman AI

• Penegakan Akses Kontekstual: Copilot tidak pernah memberikan akses khusus kepada dirinya sendiri. Data yang diambilnya selalu sesuai dengan izin dan batas data yang Anda tetapkan di Microsoft 365.
• Isolasi Penyewa: Instans Copilot Anda terisolasi di dalam penyewa Anda, sehingga data tidak pernah melintasi batas organisasi atau tercampur dengan data organisasi lain.
• Rekayasa Prompt yang Aman: Microsoft menerapkan penyaringan dan filter prompt untuk memblokir serangan yang sudah dikenal, seperti injeksi prompt, agar tidak memengaruhi hasil Copilot.
• Pelabelan Sensitivitas & DLP: Dukungan bawaan untuk label sensitivitas Purview dan kebijakan Data Loss Prevention (DLP), yang juga berlaku untuk konten yang dihasilkan Copilot.
• Pemantauan Model Berkelanjutan: Analitik dan audit real-time memberi tahu admin tentang aktivitas berbasis AI yang mencurigakan serta memungkinkan investigasi dan remediasi yang cepat.

Risiko dan Kerentanan Keamanan Data Copilot

Seperti sistem AI lain yang tertanam di jantung bisnis, Microsoft Copilot menghadirkan risiko keamanan baru yang terkait langsung dengan cara ia berinteraksi dengan data paling sensitif Anda. Masalahnya bukan hanya apakah pihak luar dapat menerobos masuk, melainkan juga dampak berantai dari izin yang salah diterapkan, pembagian yang tidak disadari, serta serangan baru yang memanfaatkan cara Copilot mengonsumsi dan menghasilkan file.

Yang khas pada Copilot dan alat AI generatif lainnya adalah risiko paparan data melalui proses otomatis serta potensi kerentanan dalam cara Copilot berkomunikasi dengan aplikasi lain. Anda mungkin sudah mengunci perimeter, tetapi sistem AI dengan izin internal yang keliru atau titik integrasi yang tidak terlindungi dapat secara tidak sengaja menjadi mata rantai terlemah. Dampaknya semakin besar di lingkungan Microsoft 365 yang kompleks, tempat berbagi file, Teams, atau API yang terhubung memperbanyak permukaan serangan sekaligus peluang terjadinya kesalahan.

Pada bagian berikut, kita akan mengulas kategori risiko utama, termasuk bagaimana Copilot dapat secara tidak sengaja membocorkan informasi sensitif, jebakan keamanan pada koneksi plugin pihak ketiga, serta realitas teknis ancaman injeksi prompt. Kita juga akan membahas strategi mitigasi praktis dan skenario umum agar Anda tahu apa yang harus diwaspadai dan bagaimana bertindak sebelum masalah menjadi tidak terkendali.

Memahami Risiko Keamanan Copilot dan Paparan Data

1. Izin yang Tidak Tepat dan Pembagian Berlebihan: Ketika Copilot beroperasi di atas Microsoft 365, ia mencerminkan izin apa pun yang dimiliki pengguna. Jika kontrol akses terlalu longgar, Copilot dapat mengambil dan merangkum file sensitif untuk pengguna yang seharusnya tidak berhak melihatnya, bahkan terkadang menampilkan data melalui cuplikan atau ringkasan yang dihasilkan AI.
2. Kesalahan Konfigurasi: Kesalahan kecil dalam pengaturan penyewa atau pelabelan DLP dapat membuka akses ke data rahasia dalam jumlah besar. Misalnya, jika log audit tidak ditinjau dan kebijakan tidak ditegakkan, Copilot bisa menghubungkan informasi dari berbagai dokumen dan membocorkan data yang tidak pernah dimaksudkan untuk dibagikan oleh bisnis Anda.
3. Shadow IT dan Integrasi yang Tidak Diverifikasi: Aplikasi tanpa persetujuan atau agen AI yang terhubung ke Microsoft 365 dapat menimbulkan risiko data yang serius. Token akses yang tidak sah atau plugin eksternal dapat melewati tata kelola sepenuhnya, sehingga menciptakan alur data yang tidak terlihat dan masalah kepatuhan. Untuk pembahasan mendalam, lihat panduan tata kelola Shadow IT ini.
4. Perilaku Pengguna dan Kebocoran Tidak Disengaja: Karyawan dapat secara tidak sengaja membocorkan data sensitif dengan meminta Copilot merangkum kumpulan dokumen atau riwayat obrolan yang bisa mereka akses, tetapi seharusnya tidak. Perintah yang tidak disengaja ini—kadang disebut "AI echo leaks"—sulit dikenali sampai kerusakan sudah terjadi.
5. Kurangnya Tata Kelola Real-Time: Banyak penerapan agen AI hanya berfokus pada pencatatan log, bukan pada penegakan tata kelola pada saat tindakan dilakukan. Hal ini menyebabkan kegagalan senyap dan memperbesar celah kebijakan kecil menjadi kebocoran data berskala besar, sebagaimana dijelaskan dalam podcast praktik terbaik ini.

Risiko-risiko ini menunjukkan bahwa tinjauan akses secara berkala, manajemen persetujuan aplikasi, dan strategi DLP yang terstruktur bukan sekadar "sebaiknya ada", melainkan pertahanan dasar yang sangat penting.

Kerentanan Integrasi Copilot dan Serangan Prompt Injection

1. Serangan Prompt Injection: Pelaku kejahatan dapat memanipulasi perintah yang diberikan kepada Copilot, sehingga membuatnya mengungkapkan informasi sensitif atau menjalankan tindakan yang tidak diinginkan. Prompt injection ini dapat berasal dari pengguna, sumber yang telah disusupi, atau bahkan skenario "cross-prompt", yaitu ketika data dari satu konteks bocor ke konteks lain.
2. Serangan Model Inversion: Penyerang dapat mengeksploitasi model AI Copilot untuk merekonstruksi atau menyimpulkan data pelatihan yang bersifat rahasia, terutama jika kontrol untuk membatasi keluaran model pada file proprietary atau percakapan internal tidak diatur dengan benar.
3. Kelemahan Integrasi: Koneksi Copilot ke aplikasi dan API lain dapat membuka celah untuk serangan eskalasi hak akses, terutama jika persetujuan OAuth terlalu permisif. Penyerang dapat memanfaatkan izin Graph yang luas, sebagaimana dijelaskan secara mendalam dalam panduan seperti analisis serangan persetujuan OAuth ini, sehingga menghasilkan akses tidak sah yang bertahan bahkan setelah kredensial diubah.
4. Risiko Plugin Pihak Ketiga: Kerangka kerja plugin baru untuk Copilot dapat memperkenalkan pembagian data yang tidak disetujui ke layanan eksternal jika batas data-nya tidak dikontrol secara ketat. Karena itu, penilaian plugin dan audit berkelanjutan wajib dilakukan.
5. Silent Data Cross-Pollination: Tanpa klasifikasi dan isolasi yang kuat di tingkat connector atau lingkungan, Copilot dapat "mencemari silang" data bisnis dan non-bisnis, terutama saat bekerja di seluruh Power Platform, Teams, dan SharePoint.

Permukaan serangan ini berarti para pembela harus berfokus pada persetujuan identitas, persetujuan plugin, pemantauan audit, dan menjaga akses model AI tetap dalam pengawasan ketat setiap saat.

Kontrol Akses dan Manajemen Izin untuk Copilot

Kontrol akses yang kuat adalah lini pertahanan terakhir Anda, dan terkadang satu-satunya, terhadap kebocoran data yang disengaja maupun tidak disengaja melalui Copilot. Karena AI bertindak sebagai asisten yang memanfaatkan izin Microsoft 365 Anda, setiap celah atau peran dengan hak berlebih dapat mengubah fitur yang membantu menjadi sumber masalah regulasi yang serius. Visibilitas dan pengelolaan "siapa dapat melihat apa" menjadi hal yang sangat penting.

Penyewa Microsoft 365 berskala perusahaan membuat izin menjadi sasaran yang terus bergerak, terutama dengan tim yang dinamis, akun tamu, dan file yang berpindah antar departemen. Untuk mengatur kebijakan akses Copilot dengan benar, diperlukan kendali yang ketat atas keanggotaan grup, akses berbasis peran, kebijakan bersyarat, serta tinjauan berkelanjutan. Ini berarti tidak cukup hanya mengatur sekali lalu dilupakan; Anda harus meninjau dan mengaudit aturan-aturan ini secara berkala.

Berikutnya, kita akan membahas langkah-langkah praktis untuk mengonfigurasi batasan akses Copilot serta menggali tantangan seputar Teams, berbagi file, dan interaksi lintas grup. Untuk informasi lebih lanjut tentang mengurangi celah keamanan tak terlihat melalui kebijakan yang lebih baik, silakan lihat sumber seperti praktik terbaik Conditional Access dan saran pengelolaan siklus hidup akun tamu.

Mengonfigurasi Kebijakan Kontrol Akses Copilot yang Terperinci

• Akses Berbasis Grup: Berikan hak penggunaan Copilot hanya kepada pengguna atau departemen yang benar-benar membutuhkan fitur berbantuan AI, dengan menggunakan grup peran Entra dan kontrol native Microsoft 365.
• Kebijakan Conditional Access: Manfaatkan Conditional Access untuk mengaitkan penggunaan Copilot dengan perangkat yang aman, lokasi yang patuh, dan tingkat risiko yang disetujui demi keamanan yang adaptif.
• Segmentasi Hak Istimewa: Terapkan kontrol akses berbasis peran (RBAC) untuk memberikan izin dengan hak istimewa minimum, memastikan Copilot tidak pernah mendapatkan akses yang lebih luas daripada penggunanya.
• Tinjauan Akses Berkala: Jadwalkan dan otomatiskan peninjauan izin secara berkala untuk mencegah "permission creep" dari file lama atau pengguna yang sudah keluar.
• Prinsip Zero Trust: Terapkan verifikasi berkelanjutan dan elevasi just-in-time untuk tindakan Copilot yang sensitif—pelajari pendekatan Zero Trust terpadu di Zero Trust by Design.

Izin Copilot di Seluruh Teams dan File Bersama

1. Tata Kelola Saluran Teams: Copilot menghormati izin yang ditetapkan di tingkat tim atau saluran. Namun, struktur Teams yang tidak terawat atau hierarki akses yang datar dapat membuat pengguna (dan dengan demikian Copilot) menjangkau percakapan atau dokumen rahasia yang seharusnya tidak pernah mereka lihat.
2. Akses SharePoint dan File: Copilot mematuhi izin akses di SharePoint dan OneDrive. Meski demikian, ketika file dibagikan secara berlebihan atau disimpan di pustaka dokumen yang tidak terkontrol, risiko Copilot meringkas atau membuka file penting bisnis kepada audiens yang lebih luas akan meningkat. Untuk panduan lebih lanjut, lihat panduan Purview dan SharePoint ini.
3. Akses Tamu dan Eksternal: Akun tamu yang terlupakan dan kolaborator eksternal yang tidak dikelola dapat memperluas jangkauan Copilot jauh melampaui batas yang dimaksudkan, sehingga meningkatkan risiko data sensitif keluar ke lingkungan mitra atau pihak ketiga.
4. Manajemen Siklus Hidup: Penggunaan Teams yang aman bergantung pada manajemen siklus hidup otomatis—meminta, menyetujui, memperpanjang, dan mengarsipkan tim—untuk mencegah tim yang tidak terpakai menjadi beban keamanan, seperti yang dibahas di daftar periksa tata kelola Teams Anda.

Audit situs Teams dan SharePoint Anda secara rutin. Beri tag pada data sensitif dan terapkan perlindungan pada file sumber untuk mencegah Copilot menjadi jalur kebocoran data antar tim, departemen, atau pihak eksternal.

Persyaratan Kepatuhan dan Regulasi dalam Penerapan Copilot

Bukan rahasia lagi bahwa standar regulasi terus meningkat, dan kemampuan Copilot untuk menampilkan, menganalisis, dan menghasilkan data sensitif menempatkan kepatuhan di garis depan bagi setiap sektor, terutama layanan kesehatan, keuangan, dan institusi publik. Memenuhi persyaratan industri bukan sekadar mencentang daftar; hal ini memastikan Anda terhindar dari denda besar dan bencana kepercayaan publik.

Dalam penerapan Copilot, kepatuhan berarti memetakan aktivitas AI terhadap HIPAA, FINRA, GDPR, dan aturan lain terkait residensi dan retensi data. Wilayah yang berbeda, mulai dari Uni Eropa hingga negara bagian AS, menuntut tingkat pemisahan data dan pelaporan yang beragam. Jika data Anda keluar dari batas yang disetujui, atau log Copilot tidak dapat diaudit, Anda berada dalam posisi berisiko.

Bagian-bagian berikutnya akan membahas taktik kepatuhan dan nuansa regulasi, misalnya bagaimana Copilot mempertahankan kontrol untuk industri yang diatur dan memenuhi hukum residensi data regional. Strategi ini akan membantu petugas kepatuhan membenarkan adopsi Copilot, lolos audit, dan membangun tata kelola proaktif. Untuk informasi lebih lanjut, lihat panduan otomatisasi kepatuhan Defender for Cloud tentang cara mengikuti perubahan regulasi.

Memastikan Kepatuhan Copilot di Layanan Kesehatan dan Keuangan

• Perlindungan HIPAA dan PHI: Copilot harus beroperasi dalam batasan yang melindungi informasi kesehatan pribadi, dengan jejak audit dan tinjauan akses untuk setiap interaksi.
• Kontrol FINRA, GLBA, dan SOX: Kepatuhan bawaan terhadap regulasi sektor keuangan berarti konten dan log yang dihasilkan Copilot dicatat, disimpan, dan dapat diaudit sewaktu-waktu. Lihat catatan kepatuhan yang lebih mendalam di podcast drift kepatuhan ini.
• EU AI Act dan Penggunaan yang Bertanggung Jawab: Dewan Tata Kelola mengawasi penggunaan AI yang bertanggung jawab, memetakan persyaratan dari EU AI Act, dan menjaga pagar pengaman untuk keadilan dan transparansi, sebagaimana dibahas dalam praktik terbaik Dewan Tata Kelola.
• Auditabilitas dan Pelaporan: Copilot memanfaatkan Microsoft Purview untuk pencatatan log yang terperinci, menyediakan bukti yang mudah bagi regulator dan mengurangi tekanan dalam tinjauan kepatuhan.

Residensi Data Copilot dan Perbedaan Keamanan Regional

1. Batasan Pemrosesan Data: Copilot menyimpan dan memproses data penyewa dalam batas regional yang telah ditetapkan (UE, Amerika Utara, dan lainnya), sesuai dengan kontrol regulasi terkait lokasi data. Ketidaksesuaian dapat melanggar GDPR atau undang-undang kedaulatan data lainnya.
2. Kebijakan Keamanan Regional: Fitur keamanan dan persyaratan audit berbeda menurut wilayah, sehingga diperlukan konfigurasi yang disesuaikan agar sesuai dengan ekspektasi lokal—misalnya enkripsi atau kebijakan retensi yang lebih ketat untuk beban kerja di UE. Untuk informasi lebih lanjut tentang tata kelola data terpadu di berbagai platform, lihat Microsoft Fabric as a data governance hub.
3. Pergerakan Data Lintas Batas: Waspadai fitur atau konektor lama di Copilot yang berpotensi mentransfer atau menyimpan sementara cuplikan data sensitif ke luar wilayah yang disetujui, sehingga menimbulkan pelanggaran regulasi.
4. Undang-Undang Negara Bagian dan Federal AS: Penerapan Copilot di AS harus memperhitungkan berbagai undang-undang privasi negara bagian (seperti CCPA, NY SHIELD, dan lainnya), yang terkadang memerlukan konfigurasi lanjutan di tingkat penyewa dan layanan.

Memantau Copilot untuk Insiden Keamanan dan Pelanggaran

Pemantauan berkelanjutan bukan sekadar slogan dengan Copilot, melainkan kebutuhan, mengingat skala dan kecepatan AI dalam menampilkan atau menyebarkan informasi sensitif. Anda perlu tahu tidak hanya siapa yang mengakses apa, tetapi juga siapa yang mungkin sempat melihat sekilas data paling rahasia Anda melalui Copilot, dan kapan.

Lingkungan Microsoft 365 modern memberikan wawasan lebih dari sebelumnya, tetapi Copilot menghadirkan tantangan baru dengan log yang dihasilkan AI, interaksi yang tidak dapat diprediksi, dan potensi insiden yang terjadi dengan sangat cepat. Karena itu, alat deteksi yang andal, remediasi otomatis, dan peringatan proaktif sangat penting. Tanpa itu, Anda bisa melewatkan segala hal mulai dari ringkasan data berukuran besar hingga upaya eksfiltrasi halus yang tersembunyi dalam log obrolan.

Selanjutnya, kami akan membahas seluk-beluk mendeteksi, memberi peringatan, dan merespons insiden khusus Copilot, serta bagaimana pengujian keamanan rutin dan penilaian vendor menjaga pertahanan Anda tetap tangguh. Untuk bacaan lebih lanjut, panduan di praktik terbaik audit Purview dan rantai serangan M365 yang dijelaskan membahas secara mendalam deteksi ancaman dan pendekatan respons insiden berlapis.

Mendeteksi Insiden Keamanan Copilot dan Merespons dengan Cepat

• Pencatatan Audit Real-Time: Gunakan log Microsoft Purview Audit untuk melacak prompt pengguna, respons, dan pengambilan data oleh Copilot secara hampir real time untuk visibilitas yang cepat.
• Peringatan Keamanan Otomatis: Manfaatkan Microsoft Sentinel atau Defender untuk menandai aktivitas Copilot yang menyimpang dari pola normal (misalnya lonjakan tiba-tiba dalam peringkasan file sensitif) dan atur peringatan instan.
• Alur Kerja Remediasi Segera: Integrasikan otomatisasi respons insiden yang mengunci akses, mencabut sesi, dan memberi tahu pemangku kepentingan atas peristiwa Copilot yang mencurigakan.
• Tuning Kebijakan Berkelanjutan: Tinjau pola insiden dan perbaiki kebijakan DLP, akses, serta persetujuan aplikasi agar AI tidak mengulangi kesalahan yang sama dua kali. Untuk detail lebih lanjut tentang otomatisasi kepatuhan, lihat pemantauan berkelanjutan dengan Defender for Cloud.

Pengujian Keamanan dan Penilaian Kerentanan Copilot

Keamanan tidak berakhir saat Copilot diaktifkan. Ini adalah proses yang hidup dan memerlukan pemeriksaan rutin serta validasi independen. Microsoft dan pihak ketiga melakukan uji penetrasi, latihan red teaming, dan pemindaian kerentanan berkelanjutan untuk mengidentifikasi kelemahan dalam pemrosesan data Copilot, integrasi plugin, dan model AI.

Program bug bounty yang kuat memberikan insentif kepada peneliti keamanan untuk menemukan dan melaporkan celah langsung kepada Microsoft, sehingga mengurangi risiko eksploitasi zero-day di lingkungan produksi. Tinjauan internal yang berkelanjutan, dipadukan dengan kerangka praktis seperti yang dijelaskan dalam episode tata kelola shadow AI ini, membantu Anda menemukan kesalahan konfigurasi dan aktivitas shadow IT, terutama untuk agen otonom dan plugin tingkat lanjut.

Praktik Terbaik dan Rekomendasi untuk Keamanan Copilot

Dengan mempertimbangkan risiko dan kompleksitas Copilot, strategi keamanan terbaik adalah memulai dengan serangkaian praktik yang jelas dan tetap konsisten, bahkan ketika penerapan Anda berkembang. Bagian ini menyusun langkah-langkah keamanan yang dapat ditindaklanjuti, baik dasar maupun lanjutan, yang dapat langsung digunakan oleh setiap organisasi. Ini bukan soal tebak-tebakan; ini soal taktik yang telah terbukti, kebijakan yang didukung Microsoft, serta pengalaman praktis dari organisasi yang sudah terjun langsung di lapangan.

Kami akan mengurutkan tindakan esensial berdasarkan tahap siklus hidup, mulai dari menyiapkan penyewa, menegakkan DLP dan sensitivitas, hingga pelatihan karyawan dan admin. Yang terpenting, strategi di sini ditujukan untuk mengurangi kemungkinan insiden sebelum terjadi, sekaligus menurunkan risiko pelanggaran dan kepatuhan secara keseluruhan.

Jika Anda bertanya-tanya bagaimana mematangkan adopsi Copilot tanpa mengorbankan kecepatan, atau bagaimana membangun tata kelola berkelanjutan yang tidak menghambat produktivitas, bagian-bagian berikutnya akan membahasnya. Ingin lebih banyak? Lihat panduan kebijakan tata kelola Copilot ini dan tips tentang pusat pelatihan Copilot yang efektif untuk panduan lebih lanjut.

Praktik Terbaik dan Rekomendasi Keamanan Copilot

1. Terapkan DLP dan Label Sensitivitas: Terapkan dan perbarui kebijakan DLP serta pelabelan sensitivitas secara rutin di seluruh lingkungan Microsoft 365 Anda untuk melindungi konten yang dihasilkan dan diringkas Copilot. Untuk informasi lebih lanjut, lihat wawasan kebijakan DLP untuk pengembang.
2. Siapkan Pelatihan Berkelanjutan: Latih karyawan untuk mengenali prompt berisiko, perilaku mencurigakan, dan dasar-dasar interaksi Copilot yang aman. Pelatihan tradisional sering kali gagal, jadi pusatkan dan selalu perbarui konten seperti yang disoroti dalam praktik terbaik Pusat Pembelajaran Copilot.
3. Segmentasi Akses AI: Bangun model akses berbasis grup dan peran sehingga Copilot tidak pernah menjangkau melampaui apa yang dibutuhkan setiap pengguna. Gunakan Entra atau Purview untuk pembatasan yang presisi, dengan membatasi paparan data bersensitivitas tinggi hanya kepada mereka yang memiliki justifikasi bisnis.
4. Otomatisasi Pemantauan dan Kepatuhan: Gunakan Microsoft Sentinel, Defender, dan Purview Audit untuk menerapkan pemantauan otomatis dengan peringatan real-time serta remediasi berbasis kebijakan.
5. Pertahankan Tata Kelola yang Kuat: Pisahkan lapisan pengalaman dari bidang kontrol, terapkan kebijakan deterministik untuk mengevaluasi prompt, mencatat maksud, dan menjamin kepatuhan kebijakan pada titik tindakan. Lihat strategi tata kelola AI yang aman untuk penjelasan lebih lanjut tentang prinsip ini.

Penilaian Risiko dan Strategi Tata Kelola Data Copilot

• Klasifikasi Sensitivitas: Klasifikasikan konten kritis bisnis sejak dini, terutama di SharePoint dan Teams, serta terapkan batasan akses dan label sensitivitas menggunakan Purview.
• DLP dan Tinjauan Akses: Jadwalkan tinjauan kebijakan DLP dan penilaian akses secara rutin untuk menemukan izin yang sudah usang atau tidak tercatat dalam jangkauan Copilot. Butuh panduan awal? Coba daftar periksa dari podcast tata kelola praktis.
• Kontrol Siklus Hidup Konten: Pantau dan terapkan siklus hidup dokumen dari pembuatan hingga pengarsipan, meminimalkan ancaman dari dalam dan mencegah "kekacauan dokumen"—lihat panduan kontrol konten Purview untuk detailnya.

Kebijakan dan Kekhawatiran Legislatif terkait Copilot

Seiring Copilot menjadi arus utama, pembuat undang-undang di Amerika Serikat dan seluruh dunia bergerak cepat menyampaikan pandangan mereka, dengan dampak langsung pada strategi adopsi dan risiko keamanan. Langkah kebijakan—terutama di sektor publik—menunjukkan di mana regulator melihat bahaya terbesar, dan di mana perusahaan swasta mungkin perlu menyesuaikan arah.

Bagian ini merangkum dampak dari larangan terbaru, seperti pelarangan Copilot oleh Kongres AS, dan menganalisis efek lanjutan terhadap kedaulatan data, tuntutan kepatuhan, dan perencanaan risiko strategis. Untuk perspektif tata kelola yang lebih mendalam, lihat kerangka kerja seperti kontrol tata kelola agen AI yang membantu bisnis memenuhi persyaratan hukum yang muncul dan menjaga kelangsungan operasional.

Larangan Kongres AS terhadap Copilot dan Implikasi Keamanannya

Kongres AS baru-baru ini melarang Microsoft Copilot di perangkat House, dengan alasan masih adanya kekhawatiran yang belum terselesaikan tentang keamanan data, privasi AI, dan risiko aliran informasi yang tidak diatur. Larangan ini mencerminkan sentimen sektor publik yang lebih luas, di mana skeptisisme terhadap AI generatif yang menangani data pemerintah yang sensitif berada pada titik tertinggi. Sebuah survei dari Center for Data Innovation menunjukkan bahwa 61% instansi pemerintah memandang kekhawatiran privasi data sebagai hambatan utama adopsi AI.

Studi pakar berpendapat bahwa sistem AI seperti Copilot dapat secara tidak sengaja mengagregasi dan membuka informasi, sehingga manajemen akses yang terperinci dan audit prompt menjadi keharusan bagi entitas dengan keamanan tinggi. Pengamat industri, seperti yang tampil dalam episode tata kelola agen ini, memperingatkan bahwa "inkonsistensi manusia yang diskalakan"—bukan agen liar yang terisolasi—adalah risiko mendasar yang sebenarnya di organisasi besar. Izin yang salah konfigurasi, tata kelola siklus hidup yang lemah, dan integrasi plug-and-play semuanya diperbesar oleh alat AI, sehingga taruhannya untuk pengawasan yang efektif semakin tinggi.

Apa poin pentingnya bagi perusahaan? Larangan pemerintah menjadi pertanda kemungkinan regulasi sektor swasta terkait akses data, transparansi, dan persetujuan untuk teknologi AI. Organisasi sebaiknya mengantisipasi persyaratan audit yang lebih ketat, kontrol respons cepat, dan kerangka kerja yang lebih jelas untuk akuntabilitas agen. Tetap selangkah di depan tren ini berarti membangun arsitektur tata kelola yang ketat sekarang—sebelum aturan menjadi kewajiban dan audit datang mengetuk pintu.

Integrasi Data Loss Prevention (DLP) dengan Copilot

Data Loss Prevention (DLP) adalah tulang punggung keamanan informasi di ruang kerja cloud modern mana pun, dan perannya tidak pernah lebih penting daripada saat hadirnya alat AI generatif seperti Microsoft Copilot. Ketika Copilot menghasilkan dokumen, email, dan respons obrolan secara otomatis, Anda memerlukan kebijakan yang mencegah data pribadi yang dapat diidentifikasi serta data bisnis rahasia bocor—baik disengaja maupun tidak.

Namun, mengintegrasikan DLP dengan Copilot lebih dari sekadar menekan sebuah tombol. Organisasi harus merancang kontrol real-time yang memindai konten yang dibuat Copilot, memblokir keluaran yang berisiko, dan memicu peringatan segera setelah potensi kebocoran terdeteksi. Hal ini sangat penting karena sebagian besar kebocoran data bukan hanya akibat tidak adanya aturan DLP—melainkan dari lingkungan yang tidak diatur, tempat Copilot mungkin meringkas, mengemas ulang, atau tanpa sengaja membagikan informasi sensitif. Untuk tips praktis, lihat strategi DLP untuk Power Platform dan pengaturan DLP di M365.

Bagian berikut menguraikan cara kerja DLP dengan konten yang dihasilkan Copilot, serta cara menerapkan pemantauan DLP real-time yang berkelanjutan agar produktivitas berbasis AI tidak mengorbankan keamanan data.

Cara Kebijakan DLP Berlaku untuk Konten yang Dihasilkan Copilot

Kebijakan DLP di Microsoft 365 secara aktif memindai, menandai, dan dapat memblokir konten yang dihasilkan Copilot, baik berupa dokumen, email, ringkasan obrolan, maupun cuplikan yang dibagikan. Aturan ini memeriksa informasi sensitif seperti nomor SSN, data keuangan, atau catatan klien yang bersifat rahasia pada setiap konten yang dibuat atau diringkas Copilot sebelum konten tersebut dikirim ke pengguna atau dibagikan ke luar perusahaan.

Admin dapat menyiapkan skenario penggunaan di mana output Copilot diperiksa secara otomatis untuk kepatuhan. Misalnya, seorang pengguna mencoba membagikan ringkasan hasil AI dari spreadsheet keuangan melalui Teams. DLP dapat mencegat, memblokir, dan memberi peringatan jika mendeteksi nomor kartu kredit atau istilah rahasia. Pengembang sebaiknya memperlakukan DLP sebagai batasan desain, bukan sebagai pemikiran belakangan. Praktik terbaik selengkapnya tersedia di panduan kebijakan DLP untuk pengembang Power Platform ini.

Pemantauan DLP Real-Time untuk Interaksi Copilot

1. Audit Prompt dan Respons: Pemantauan DLP real-time memeriksa prompt pengguna maupun respons yang dihasilkan AI Copilot, lalu menandai dan memblokir setiap kemunculan data sensitif yang muncul dalam alur kerja.
2. Peringatan Insiden dan Remediasi Otomatis: Admin keamanan menerima peringatan segera atas potensi kebocoran data, dan alur kerja otomatis dapat memblokir pembagian, mengkarantina file, atau mewajibkan persetujuan manajer untuk konten yang ditandai.
3. Integrasi dengan Alat Pelaporan: Hubungkan log DLP ke Power BI atau sistem SIEM agar Anda dapat menganalisis pola, merekomendasikan perubahan kebijakan, dan melaporkan insiden kepada pimpinan secara efisien.
4. Tata Kelola Lingkungan Terpadu: Terapkan strategi DLP yang menyeluruh di seluruh lingkungan dan konektor, bukan mengandalkan aturan yang terisolasi. Jika tidak, Copilot dapat meloloskan informasi melalui saluran yang tidak terlindungi. Untuk panduan praktis, simak podcast DLP Power Platform ini.

Mengamankan Aplikasi Pihak Ketiga dan Plugin Copilot

Salah satu pendorong nilai terbesar Copilot sekaligus pengganda risiko terbesarnya adalah kemampuannya untuk diperluas dan terhubung ke plugin pihak ketiga, API, dan aplikasi Copilot Connect. Hal ini memungkinkan Anda mengotomatiskan alur kerja dan memperoleh wawasan baru, tetapi juga menciptakan permukaan serangan baru yang luas jika tidak dikelola dengan cermat.

Ancamannya tidak selalu berupa plugin berbahaya. Yang sering terjadi adalah perluasan jangkauan Copilot secara tidak sengaja, misalnya plugin yang mengakses lebih banyak data daripada yang dibutuhkan, atau vendor yang diberi izin file kritis bisnis tanpa seleksi yang ketat. Risiko eksfiltrasi data, serangan rantai pasok, dan hilangnya kendali meningkat seiring kode dan API pihak ketiga menyentuh file dan percakapan Anda.

Mengamankan integrasi plugin membutuhkan proses onboarding, pemberian izin, dan pemantauan berkelanjutan yang ketat, dengan menyeimbangkan inovasi dan produktivitas bersama prinsip zero trust. Bagian berikutnya menguraikan kerangka kerja untuk penilaian dan pengawasan plugin, serta langkah teknis untuk menegakkan batas data yang ketat. Untuk informasi lebih lanjut, lihat praktik terbaik Zero Trust vs. Kebebasan Pengguna tentang cara meminimalkan gangguan tanpa mengorbankan keamanan.

Menilai Keamanan Plugin Copilot dan Manajemen Risiko

• Uji Tuntas Plugin: Evaluasi plugin dari sisi riwayat keamanan, reputasi vendor, dan sertifikasi kepatuhan sebelum menghubungkannya ke Copilot.
• Tinjauan Risiko Internal: Tetapkan kerangka kerja yang sistematis bagi tim TI dan keamanan untuk menilai dan menyetujui setiap plugin, termasuk pemodelan ancaman dan analisis dampak.
• Minimisasi Hak Akses dan Data: Batasi plugin hanya pada data dan tindakan yang diperlukan untuk fungsi bisnis, dengan menerapkan akses hak minimum sebagai bagian dari kebijakan.
• Audit Berkala: Jadwalkan audit rutin atas akses pihak ketiga, pola penggunaan, dan perilaku plugin untuk mendeteksi anomali atau pelanggaran sebelum meningkat menjadi masalah yang lebih serius.

Mengendalikan Batas Akses Data dalam Penggunaan Plugin Copilot

Organisasi dapat menerapkan langkah teknis untuk membatasi secara ketat data yang terpapar ke plugin Copilot pihak ketiga, dengan menggunakan izin API dan cakupan akses yang terperinci. Setiap plugin wajib disetujui melalui proses siklus hidup yang terdefinisi, mencakup tinjauan TI/keamanan, justifikasi yang terdokumentasi, dan validasi ulang secara berkala.

Memantau aktivitas plugin secara real time sangat penting, termasuk melacak sumber data mana yang diakses dan tindakan apa yang dilakukan. Prinsip hak akses minimum (least privilege) berarti plugin hanya boleh menyentuh apa yang dibutuhkan, tidak lebih dan tidak kurang. Pengawasan berkelanjutan sebaiknya dipadukan dengan alur kerja deteksi otomatis untuk mengenali permintaan atau keluaran yang tidak biasa, serta segera memicu peninjauan atau memblokir akses jika batas dilanggar.

Program Pelatihan Keamanan Copilot dan Kesadaran Pengguna

Meski secara teknis keamanan Copilot sudah kuat, faktor manusia sering menjadi titik lemah. Pengguna bisa tanpa sengaja membocorkan data lewat prompt yang ceroboh, atau tertipu phishing cerdik yang dibungkus dalam respons yang dihasilkan AI. Karena itu, pelatihan dan kesadaran pengguna yang bermakna bukanlah pilihan, melainkan inti dari penerapan Copilot yang aman.

Program ini sebaiknya tidak hanya mengajarkan cara menggunakan Copilot, tetapi juga cara menggunakannya secara aman, yaitu mengenali aktivitas mencurigakan, memahami bahaya pertanyaan yang terlalu luas, dan mengenali kapan interaksi berbasis AI bersifat manipulatif. Bagian berikutnya membahas taktik rekayasa sosial yang menargetkan Copilot, serta praktik terbaik rekayasa prompt untuk menjaga data agar tidak jatuh ke tangan yang salah. Untuk meningkatkan adopsi dan mengurangi risiko, rujuk pendekatan pembelajaran Copilot terpusat dalam panduan pusat pembelajaran Copilot ini.

Melatih Pengguna Mengenali Rekayasa Sosial Berbasis AI

1. Prompt Mencurigakan: Ajarkan pengguna untuk berhenti sejenak sebelum memasukkan prompt yang terlihat tidak biasa, meminta informasi berlebihan, atau berasal dari seseorang yang tidak mereka kenal. AI dapat dimanipulasi untuk melakukan phishing bahkan terhadap pengguna tepercaya.
2. Permintaan Data yang Tidak Terduga: Copilot seharusnya tidak pernah meminta kredensial sensitif atau detail rahasia untuk menyelesaikan tugas standar. Jika itu terjadi, hal tersebut merupakan tanda bahaya akan kemungkinan manipulasi prompt.
3. Respons yang Terlalu Membantu: Jika Copilot menawarkan informasi atau saran di luar peran atau izin pengguna yang sebenarnya, pengguna perlu dilatih untuk melaporkannya dan tidak mengunduh atau membagikan keluarannya begitu saja.
4. Phishing melalui Ringkasan AI: Waspadai pesan atau ringkasan berbasis AI yang dikirim lewat Teams, email, atau obrolan yang mendesak tindakan cepat atau pelepasan data yang tidak biasa, karena pesan tersebut bisa saja dirancang untuk rekayasa sosial. Untuk informasi lebih lanjut tentang tata kelola berlapis, lihat kejelasan kontrol tata kelola.

Memberdayakan Rekayasa Prompt yang Aman dengan Copilot

• Dorong Prompt yang Spesifik: Latih pengguna agar permintaannya terarah, dan hindari pertanyaan luas seperti "semua proyek perusahaan". Cara ini membatasi cakupan paparan data.
• Dorong Anonimisasi: Jika memungkinkan, instruksikan pengguna untuk membersihkan prompt dari nama, angka, atau konteks sensitif sebelum mengirimkannya ke Copilot.
• Perkuat Batas Akses: Gunakan prompt yang tidak mengambil atau menampilkan konten di luar tim atau unit bisnis pengguna.
• Selalu Tinjau Keluaran: Anjurkan pengguna untuk memeriksa ulang respons Copilot agar tidak ada data yang tercantum secara tidak sengaja sebelum membagikan atau meneruskan hasilnya.
• Manfaatkan Sumber Pembelajaran Terpusat: Gunakan Copilot Learning Center yang terkelola dan selalu diperbarui, sebagaimana dijelaskan di sini, untuk menjaga kesadaran keamanan prompt tetap segar dan selaras dengan kebijakan organisasi.

keamanan microsoft copilot: keamanan dan privasi untuk data perusahaan

kegunaan microsoft 365 copilot, data organisasi, dan batas data uni eropa

Apa saja masalah keamanan microsoft copilot utama untuk data perusahaan?

Kekhawatiran utama berpusat pada akses data yang tidak sah, paparan tidak sengaja terhadap data sensitif, dan titik integrasi seperti microsoft graph api serta layanan microsoft 365 lainnya. Organisasi khawatir copilot dapat menampilkan data perusahaan di berbagai aplikasi microsoft 365 (misalnya aplikasi microsoft 365 seperti Word dan Outlook) dengan cara yang melanggar perlindungan data atau kebijakan internal. Tim keamanan sebaiknya menilai alur data dalam ekosistem microsoft 365, meninjau ketentuan produk dan rincian pemrosesan data Microsoft, serta menggunakan kontrol privasi seperti microsoft purview information protection untuk mengurangi risiko.

Bagaimana microsoft 365 copilot menggunakan data organisasi dan data mana yang diproses?

Microsoft 365 Copilot memproses data organisasi yang berasal dari layanan Microsoft 365, termasuk konten yang diindeks melalui Microsoft Graph dan data yang disimpan dalam batas layanan Microsoft 365. Data yang diproses dapat mencakup data pengguna, dokumen, email, dan metadata yang digunakan untuk menghasilkan respons. Microsoft menyediakan dokumentasi tentang data apa yang diproses dan bagaimana data tersebut digunakan. Administrator dapat mengonfigurasi pengaturan untuk membatasi akses Copilot ke sumber tertentu dan menerapkan klasifikasi data Microsoft Purview untuk melindungi data sensitif.

Dapatkah Copilot mengekspos data sensitif, dan bagaimana kami dapat mencegah kebocoran data?

Ya, Copilot dapat menampilkan data sensitif jika memiliki akses ke sumber tersebut. Untuk mencegah kebocoran data, aktifkan kontrol privasi, terapkan label perlindungan informasi Microsoft Purview, batasi cakupan Copilot melalui konfigurasi penyewa, dan terapkan opsi batas layanan Microsoft 365 serta batas data UE jika tersedia. Pantau log aktivitas Copilot secara berkala dan terapkan akses hak minimum (least-privilege) ke sistem yang memasok data ke Copilot.

Apa saja risiko keamanan Microsoft Copilot yang perlu dipahami oleh tim privasi dan kepatuhan?

Risikonya meliputi pengungkapan informasi yang diatur secara tidak sengaja, inferensi lintas penyewa atas data yang tidak berwenang, dan potensi vektor serangan baru melalui fitur yang didukung AI. Tim kepatuhan sebaiknya memetakan alur data Copilot terhadap persyaratan regulasi seperti General Data Protection Regulation, memastikan pengaturan residensi data seperti batas data UE bila diperlukan, mendokumentasikan pemrosesan berdasarkan Ketentuan Produk dan Data Microsoft, serta menggunakan alat keamanan dan kepatuhan di seluruh Microsoft 365 untuk menegakkan kebijakan retensi, akses, dan audit.

Bagaimana tim keamanan dapat mengamankan Microsoft Copilot sambil tetap memungkinkan pengguna memanfaatkannya?

Tim keamanan sebaiknya menggabungkan kontrol teknis dan tata kelola: konfigurasikan kebijakan akses Copilot, integrasikan perlindungan informasi Microsoft Purview dan label sensitivitas, terapkan akses bersyarat dan kontrol identitas, serta audit data yang diakses melalui Microsoft Graph. Berikan pelatihan bagi pengguna akhir tentang kekhawatiran keamanan Copilot, terapkan kebijakan pencegahan kehilangan data (DLP) di Microsoft 365, dan uji coba fitur di lingkungan terkontrol sebelum diaktifkan secara luas untuk menyeimbangkan produktivitas dan perlindungan.

Apakah penggunaan Microsoft 365 Copilot meningkatkan kerentanan di Microsoft 365 Copilot atau menimbulkan permukaan serangan baru?

Memperkenalkan alat AI apa pun menciptakan permukaan serangan baru dan tantangan keamanan: prompt otomatis dapat mengungkap konteks, integrasi plugin dapat memperluas akses, dan penyerang mungkin mencoba prompt injection atau eksfiltrasi melalui keluaran yang dihasilkan. Mitigasinya meliputi pengerasan integrasi, pemantauan telemetri Copilot, penerapan praktik pengembangan dan konfigurasi yang aman, serta penggunaan langkah keamanan seperti DLP, kontrol akses, dan deteksi ancaman di seluruh Microsoft 365 untuk mengurangi paparan.

Apa peran Microsoft Graph dalam keamanan Copilot, dan bagaimana organisasi sebaiknya mengelolanya?

Microsoft Graph adalah saluran utama tempat Copilot mengakses data organisasi (email, file, kalender, dan lainnya). Mengendalikan izin ke Microsoft Graph sangat penting: terapkan izin API hak minimum, tinjau persetujuan aplikasi, gunakan tata kelola aplikasi, serta audit token dan kueri. Batasi cakupan Copilot hanya pada sumber data yang diperlukan dan manfaatkan konfigurasi Microsoft Purview serta batas layanan Microsoft 365 untuk menjaga perlindungan data dan mengurangi akses data yang tidak sah.

Bagaimana kontrol privasi serta fitur keamanan dan privasi dapat mengurangi kekhawatiran keamanan Copilot untuk data yang diatur?

Kontrol privasi seperti label sensitivitas, enkripsi, kebijakan retensi, dan tata kelola akses membantu memastikan Copilot tidak memproses atau mengekspos informasi yang diatur. Gunakan Microsoft Purview untuk perlindungan informasi, pencegahan kehilangan data di seluruh Microsoft 365, dan konfigurasikan pembatasan Copilot di tingkat penyewa. Kombinasikan langkah-langkah ini dengan tinjauan hukum dan kontrak terhadap Ketentuan Produk dan Data Microsoft serta pemrosesan data, dan pilih batas seperti batas data UE bila diperlukan untuk memenuhi kewajiban perlindungan data regional.