Copilot‑interaktioner i Microsoft 365 som datakilde

Forside › Microsoft 365 og Entra ID: logkilderne · Gennemgået oktober 2026 · Af John Nielsen

Når en bruger arbejder med Copilot i Microsoft 365, gemmes brugerens spørgsmål (prompts) og Copilots svar som skjulte elementer i brugerens postkasse, på samme måde som Teams-chats. De kan derfor bevares med hold og opbevaringspolitikker og findes med Purview eDiscovery. Samtidig registrerer auditloggen en hændelse for hver interaktion med oplysninger om, hvilken app der blev brugt, og hvilke filer, mails eller andre ressourcer Copilot hentede for at svare. Tilsammen kan de vise, hvad en bruger spurgte om, hvad svaret var, og hvilke data svaret byggede på.

Hvad Copilot betyder for rettigheder og ledelsens beslutninger, står på bevissikring-digitalt.dk i Copilot i Microsoft 365: hvad kan den finde, og hvad gemmes?. Her går vi i dybden med datakilden.

Hvor interaktionerne ligger

Prompts og svar fra Copilot i Office-apps, Teams, Outlook og Copilot Chat med arbejdskonto gemmes som elementer i brugerens postkasse i en skjult mappe. De har egne elementklasser, der begynder med IPM.SkypeTeams.Message.Copilot, så de kan skelnes fra mail og Teams-beskeder i søgninger og eksporter. Mappen er ikke beregnet til direkte adgang; den søges via eDiscovery. Det betyder:

Hold og opbevaringspolitikker på postkassen kan omfatte interaktionerne. Microsoft har en særskilt placering for Copilot-interaktioner i opbevaringspolitikkerne. Se Purview-opbevaringspolitikker og etiketter.
Sletning af brugerens konto fjerner interaktionerne sammen med postkassen, medmindre postkassen er bevaret som inaktiv.
Brugeren kan slette sin historik i Copilot-brugerfladen. Elementerne fjernes så fra den skjulte mappe, men er postkassen omfattet af hold eller en opbevaringspolitik, bevares de i mappen SubstrateHolds, indtil bevaringen ophører.

Filer, som Copilot opretter eller redigerer, fx et dokument i Word, ligger som almindelige filer i OneDrive eller SharePoint med versionshistorik.

Hvad auditloggen viser

Hver interaktion giver en hændelse af typen CopilotInteraction i auditloggen. Ud over konto, tidspunkt og klient-IP indeholder den typisk:

Appen, hvor interaktionen skete, fx Word, Teams, Outlook eller Copilot Chat.
Konteksten, fx det dokument eller det møde, der var åbent.
De ressourcer, Copilot tilgik, med adresse eller id og eventuel følsomhedsetiket.

Revisionshændelsen indeholder normalt ikke selve teksten i prompt og svar. Den findes i postkassen og hentes via eDiscovery. Auditloggens opbygning og opbevaring er beskrevet i Unified Audit Log i Microsoft 365.

Listen over tilgåede ressourcer er ofte det mest interessante. Den kan vise, at Copilot hentede en bestemt fil med lønoplysninger eller et bestemt kontraktudkast for at svare på et spørgsmål. Det viser, at brugeren havde adgang til filen, og at indholdet indgik i grundlaget for svaret.

Webopslag og eksterne kilder

Copilot kan i nogle opsætninger supplere organisationens data med søgninger på internettet. Når det sker, sendes en afledt søgeforespørgsel til en søgetjeneste, og svaret kan bygge på offentlige websider. Om webopslag er slået til, afgøres af administratorens politikker og eventuelt af brugeren. Hvordan et webopslag fremgår af revisionshændelsen og den gemte interaktion, har ændret sig over tid, så det skal kontrolleres i de konkrete data og ikke forudsættes. Notér indstillingen for perioden, fordi den har betydning for, om et svar bygger på interne eller eksterne kilder.

Copilot kan også være udvidet med agenter og tilslutninger til andre systemer, fx et CRM- eller sagssystem. Så kan de ressourcer, svaret bygger på, ligge uden for Microsoft 365. Revisionshændelsen kan pege på dem, men indholdet skal sikres i det pågældende system.

Overblik i Purview

Purview har oversigter over brug af AI-tjenester i organisationen, som kan vise omfanget af interaktioner, følsomme oplysninger i prompts og brug af andre AI-tjenester fra administrerede enheder, afhængigt af licens og opsætning. Funktionen hedder Data Security Posture Management (DSPM) for AI, men navn og placering i portalen ændres jævnligt. Oversigterne er nyttige til at afgrænse en undersøgelse, men de er aggregerede visninger. Selve beviset er de enkelte interaktioner og revisionshændelser, som skal eksporteres og dokumenteres.

Sådan sikres Copilot-data

Sæt hold på brugerens postkasse og OneDrive, og kontrollér, at opbevaringspolitikkerne omfatter Copilot-interaktioner.
Eksportér auditloggen for CopilotInteraction-hændelser i perioden, med det fulde AuditData-felt.
Søg i eDiscovery efter Copilot-interaktioner for brugeren og perioden, afgrænset med elementtype frem for søgeord, så intet falder fra på grund af formuleringer.
Eksportér med samtalekontekst, så prompts og svar holdes sammen.
Sikr de ressourcer, auditloggen peger på, med versioner fra det relevante tidspunkt.
Hash alle eksportfiler.

Den generelle fremgangsmåde for søgning og eksport er beskrevet i Microsoft Purview eDiscovery.

Fejlkilder i fortolkningen

Svar kan ikke genskabes. Et nyt spørgsmål med samme ordlyd kan give et andet svar, fordi modellen, data og rettigheder har ændret sig. Det gemte svar er kilden, ikke en gentagelse.
Tilgået er ikke læst. At Copilot hentede en fil, betyder ikke, at brugeren åbnede den eller så hele indholdet. Svaret kan have brugt en lille del.
Automatiske funktioner. Opsummeringer i Teams-møder og forslag i Outlook kan give interaktioner, som brugeren kun i begrænset grad har styret. Appen og konteksten i revisionshændelsen viser forskellen.
Rettigheder på tidspunktet. En fil, Copilot fandt, kan senere have fået snævrere rettigheder. Rekonstruér rettighederne på interaktionstidspunktet ud fra delings- og rettighedshændelser.
Tidszoner. Postkasseelementer og revisionshændelser bruger UTC, mens brugerfladen viser lokal tid.
Andre AI-tjenester. Brugen af AI-tjenester uden for tenanten, fx private konti, findes ikke i Purview. Eksport fra de enkelte tjenester er beskrevet i ChatGPT, Claude og Gemini: historik og workspace-eksport. Auditloggen og andre logs kan højst vise trafik eller adgang til tjenesten.

Persondata og afgrænsning

Prompts kan indeholde meget personlige oplysninger, også om andre end brugeren. Søgningen bør derfor afgrænses på periode og formål, og gennemgangen bør ske efter samme principper som ved mail. Hvad der må undersøges, er et spørgsmål om grundlag og formål, ikke kun om teknisk adgang. Overvej at lade en uvildig part foretage udvælgelsen, hvis interaktionerne blander arbejdsrelaterede og private forhold.

Copilot og dokumentets tilblivelse

I tvister om, hvordan et dokument blev til, kan Copilot-data sammenholdes med dokumentets versionshistorik: Hvilken version blev oprettet lige efter en interaktion i Word, og hvor meget af teksten svarer til Copilots svar? Rettede brugeren bagefter? Den analyse kræver både interaktionen, versionerne og deres tidspunkter. Se SharePoint og OneDrive: versionshistorik og delingslinks.

Verifikation

Før Copilot-data bruges, bør tre forhold kontrolleres. Passer antallet af interaktioner i eDiscovery med antallet af CopilotInteraction-hændelser for samme konto og periode? Afvigelser kan skyldes sletning, manglende bevaring eller forskelle i, hvilke apps der registreres. Findes de ressourcer, auditloggen peger på, stadig, og i hvilken version? Og stemmer tidspunkterne med andre spor, fx loginloggen og dokumentets versioner? Afvigelser skal beskrives, ikke udjævnes.

Hvad Copilot-data kan og ikke kan bevise

De kan vise, at en konto stillede et bestemt spørgsmål, fik et bestemt svar og hvilke ressourcer svaret byggede på, på et bestemt tidspunkt og i en bestemt app. De viser ikke, hvem der sad ved kontoen, hvad personen gjorde med svaret, eller om svaret var korrekt. Spørgsmålet om at kræve modpartens AI-historik fremlagt er beskrevet fra den juridiske side i Edition af modpartens ChatGPT- og Copilot-historik.

Dokumentation til rapporten

Angiv hold og politikker med tidspunkter, søgekriterier og elementtyper, antal interaktioner, revisionshændelser med ressourcelister, eksportformat og hashværdier. Gengiv prompts og svar fuldt ud for de interaktioner, der indgår i konklusionen, med tidspunkt i UTC og app.

Kilder og versioner

Senest gennemgået: oktober 2026.

Næste skridt

Del af: Microsoft 365 og Entra ID: logkilderne

Læs også: Defender XDR og Defender for Office 365 som datakilde · Tredjepartsbackup af Microsoft 365 som kilde

→ Microsoft 365-forensik · Haster det? Forensisk sikring (hastesager koster ekstra) · For IT-afdelingen · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT

Skrevet af John Nielsen, IT‑sagkyndig og indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Har været IT‑sagkyndig i danske retskredse og ved Den Fælles Europæiske Patentdomstol (UPC). Om John Nielsen · LinkedIn · Redaktionel politik