Copilot uitrollen? Ruim eerst je rechten in Microsoft 365 op

Copilot verzint geen toegang. Hij gebruikt de rechten die je medewerkers al hebben. Dat klinkt geruststellend, en het is ook precies waarom Copilot uitrollen misgaat bij bedrijven die het gewoon aanzetten.

Want de vraag is niet of Copilot te ver gaat. De vraag is of de rechten in je omgeving nog kloppen. En in de meeste tenants is dat niet zo, omdat toegang zich jarenlang opstapelt: projecten die aflopen, mensen die van rol wisselen, mappen die “even” gedeeld worden. Niemand ruimt op, want niemand merkt er iets van. Tot iemand een vraag stelt aan een assistent die alles doorzoekt wat die persoon mag zien.

Dit artikel gaat over de opruimactie die vóór je proefperiode hoort. Wat Copilot met rechten doet, waar te ruime toegang meestal vandaan komt, wat er dan naar boven kan komen, en welke vier stappen je zet voordat je een licentie activeert. Wil je eerst weten wat Copilot überhaupt is? Lees dan Microsoft 365 Copilot uitgelegd.

Hoe Copilot bij je gegevens komt

Microsoft 365 Copilot beantwoordt vragen door informatie op te halen via Microsoft Graph, de laag die je Microsoft 365-diensten aan elkaar knoopt. Stelt een medewerker een vraag, dan wordt er gezocht in e-mail, agenda, SharePoint-documenten, OneDrive-bestanden, Teams-berichten en vergadertranscripties — voor zover die persoon daar toegang toe heeft.

Microsoft is daar helder over: Copilot kan alleen samenvatten of aanhalen wat de ingelogde gebruiker mag inzien. Die zin klopt. En daar zit het risico, want hij verplaatst de vraag: klopt het rechtenplaatje van elke medewerker nog met wat jij denkt dat het is?

Het verschil met de situatie ervoor is de vindbaarheid. Iemand met toegang tot een oude projectmap zou daar in de praktijk nooit gaan graven. Copilot doorzoekt hem wel, in één zin, zonder dat iemand hoefde te weten dat die map bestond.

Waarom rechten bijna altijd ruimer zijn dan gedacht

Het ontstaat nooit in één keer. “Geef haar even toegang voor dat ene dossier” is hoe het begint. Het dossier sluit, de toegang blijft, en anderhalf jaar later heeft die persoon leesrechten op een map waar ze niets meer te zoeken heeft.

Vermenigvuldig dat met vijf jaar personeelswisselingen, projectkanalen in Teams die groter werden dan bedoeld, deellinks naar buiten die nooit verliepen en mappen die iemand deelde om één bestand te laten meelezen. Het resultaat is een rechtenlandschap dat niemand meer overziet.

Voor een productiebedrijf of installateur zijn de gevolgen vaak beperkt: de meeste gegevens zijn operationeel, en het is vervelend maar niet fataal als de verkeerde collega een werkbon leest. Bij een accountants-, advies- of advocatenkantoor ligt dat anders. Daar zijn de dossiers het product. Cliëntgegevens, tarieven, schikkingsbedragen, personeelsdossiers. Die staan in dezelfde omgeving, met dezelfde geschiedenis van tijdelijke toegang.

Microsoft erkent dit inmiddels openlijk en publiceert een uitrolaanpak waarin het opruimen van te ruime toegang de eerste pijler is — vóór het instellen van kaders en vóór de AI-regelgeving. Niet omdat het het leukste onderdeel is, maar omdat de rest zonder die stap weinig oplevert.

Wat er dan naar boven kan komen

Vier voorbeelden van wat een vraag aan Copilot kan opleveren in een omgeving die nooit is nagelopen.

“Wat verdient iedereen?” Levert het salarisoverzicht op dat HR anderhalf jaar geleden deelde met een leidinggevende tijdens een sollicitatieronde. Die leidinggevende kreeg later een andere rol; het bestand bleef gedeeld.

“Vat het dossier van klant X samen.” Haalt informatie op uit een SharePoint-site van een ander team, waar iemand tijdens een eenmalig project aan werd toegevoegd en nooit is verwijderd.

“Welke overnames of grote trajecten lopen er?” Combineert een gedeelde map uit een traject dat nooit netjes is afgesloten, een pijplijnoverzicht in iemands persoonlijke OneDrive dat ooit voor één vergadering is gedeeld, en een Teams-kanaal dat groeide. De uitkomst is één compleet overzicht.

“Zoek alles over [ex-medewerker].” Brengt de vaststellingsovereenkomst, de berekening, het laatste beoordelingsgesprek en de mailwisseling erover in één antwoord samen. Materiaal dat nooit bedoeld was om vindbaar te zijn.

De vraag wie zoiets zou intypen is een andere vraag dan wat er teruggegeven kán worden. Zeker als je bedenkt dat een deel van deze gegevens onder de AVG bijzondere zorg vraagt: bij een onbedoelde inzage door de verkeerde collega ben je al snel aan het beoordelen of je met een datalek te maken hebt.

Waarom een “kleine pilot” minder veilig is dan hij klinkt

Beginnen met drie of vier gebruikers voelt als de voorzichtige route. In de praktijk is het vaak de meest risicovolle variant, en dat komt door wie er wordt uitgekozen.

De pilotgebruikers zijn bijna altijd senior. Directie, partners, teamleiders. Precies de mensen met de breedste toegang van iedereen. Een pilot met drie directieleden geeft dus een breder zoekbereik dan een pilot met drie junioren.

Daarbij verschuiven pilots. Een licentie die niet gebruikt wordt, gaat naar wie er als laatste om vroeg — en dat is zelden degene met het meest passende toegangsprofiel. Achteraf zie je in de logboeken wat er is gevraagd, maar een antwoord dat eenmaal op het scherm stond, haal je niet terug.

De opruiming vóór je op ‘proefperiode starten’ klikt

Vier stukken werk maken het verschil tussen een nuttige test en een vervelende ontdekking.

1. Een deelcontrole in SharePoint. Kijk welke sites breder gedeeld staan dan bedoeld en welke sites al jaren stilliggen. Is je omgeving nooit nagekeken, begin dan hier. Loop in dezelfde beweging de oude instellingen in je tenant na, want het standaardtype deellink is vaak de bron van het probleem.

2. Externe deellinks nalopen. Bestanden die ooit naar een klant of leverancier zijn gestuurd en nooit zijn ingetrokken. Vooral bij kantoren die stukken ter beoordeling opsturen, loopt dit hoog op.

3. Teams-lidmaatschappen opschonen. Controleer of de leden van elk kanaal nog kloppen met wie er bij de bestanden hoort te kunnen. Kanalen die tijdens een druk project zijn uitgedijd, zijn een klassieke bron van onbedoelde toegang. Zie ook je gedeelde cloudopslag organiseren.

4. Gevoeligheidslabels op vertrouwelijk materiaal. Labels in Microsoft Purview vertellen je omgeving welke gevoelige informatie er staat en wát vertrouwelijk is. Daarmee kun je gelabelde stukken uitsluiten van verwerking door Copilot, of via versleuteling voorkomen dat de inhoud überhaupt gelezen wordt. Zonder labels kan Copilot een cliëntdossier niet onderscheiden van een cateringfactuur.

Voor een organisatie tussen de 25 en 100 medewerkers kost dit doorgaans vier tot acht weken. Het technische deel kan je IT-partner doen. Het inhoudelijke deel — welke soorten documenten welk label verdienen — hoort bij de mensen die de inhoud kennen. Denk in dezelfde beweging aan bewaartermijnen: veel te ruime toegang gaat over materiaal dat er al niet meer had hoeven staan.

Een praktijkscenario

Een advieskantoor met 42 medewerkers wilde Copilot uitproberen. Ze begonnen niet met licenties maar met de deelcontrole, en dat leverde in twee weken drie dingen op.

Er stonden 17 SharePoint-sites die breder gedeeld waren dan bedoeld, waarvan vier met dossiermateriaal. In het personeelskanaal zaten twee mensen die er drie jaar geleden tijdelijk aan waren toegevoegd. En het salarisoverzicht bleek nog gedeeld met een leidinggevende die inmiddels een andere afdeling deed.

Ze hebben het opgeruimd, labels toegepast op de personeels- en dossiermappen, en zijn daarna gestart met vijf pilotgebruikers — bewust drie junioren en twee senioren, zodat ze het verschil in zoekbereik konden zien. De uitrol duurde daardoor zes weken langer. Er kwam geen enkel ongemakkelijk antwoord uit.

De vraag die je vandaag kunt stellen

Wil je in één mail weten hoe je ervoor staat, stuur dan dit naar wie je Microsoft 365-omgeving beheert:

“Kun je me een overzicht sturen van alle bestanden in onze omgeving die voor meer dan tien mensen toegankelijk zijn, en daarin markeren welke klantnamen, salarisgegevens of financiële cijfers bevatten?”

Komt daar binnen een paar dagen iets bruikbaars uit, dan is je omgeving actief beheerd. Dat overzicht is geen volledige audit, maar het laat de vorm van het probleem zien. Is het antwoord “daar moeten we eerst wat voor aanzetten”, dan wist je het al: de rapportages zijn nooit gedraaid en je rechten zijn nooit bekeken. Dat is meteen het antwoord op je vraag of je klaar bent voor Copilot.

Regel daarnaast vóór de start hoe je met de uitkomsten omgaat. Wat mag er wel en niet in, wie mag wat, en wat doe je als er iets naar boven komt dat er niet hoort. Dat leg je vast in een paar heldere AI-regels voor je team.

Veelgestelde vragen

Heeft Copilot standaard toegang tot al onze bestanden?

Nee. Copilot komt als AI-assistent niet verder dan wat de ingelogde gebruiker zelf mag zien, begrensd door de bestaande rechten in SharePoint, OneDrive en Exchange. Het punt is dat die rechten in de praktijk vaak ruimer zijn dan gedacht.

Kunnen gevoeligheidslabels Copilot tegenhouden?

Ja. Labels met versleuteling kunnen voorkomen dat de inhoud wordt gelezen, en met beleid voor gegevensverlies (data loss prevention) kun je gelabeld materiaal uitsluiten van verwerking. Zonder labels heeft je omgeving geen manier om vertrouwelijk van gewoon te onderscheiden.

Hoe lang duurt de voorbereiding?

Voor een organisatie met een paar jaar aan opgebouwde inhoud meestal vier tot acht weken: deelcontrole, externe links nalopen, Teams-lidmaatschappen opschonen en labels toepassen. Het technische deel gaat sneller dan het inhoudelijke deel.

Waar begin je als je Copilot wilt uitrollen zonder gevoelige data bloot te leggen?

Begin bij de gevoelige informatie: waar staan de personeels-, cliënt- en financiële documenten, en wie kan daar nu bij? Bij Copilot uitrollen zit de winst in de volgorde — eerst de deelcontrole, de externe deellinks, de Teams-lidmaatschappen en de labels in Microsoft Purview, dan pas de eerste licentie. Copilot voegt zelf geen rechten toe; het maakt automatisch vindbaar wat iemand toch al mocht zien in je Microsoft 365-omgeving. Daarom is de opruiming vóór de uitrol geen extra werk, maar het werk zelf.

Kunnen we niet gewoon klein beginnen en gaandeweg opruimen?

Dat kan, maar kies dan bewust pilotgebruikers met een beperkt toegangsprofiel en spreek af dat licenties niet zomaar doorgeschoven worden. De valkuil is een pilot met alleen senioren: dat is juist de breedste variant. Voor Teams-specifieke functies en agents is deze uitleg een goed vervolg.

Overweeg je Copilot en wil je weten wat er in jouw omgeving zou opduiken? We draaien de deelcontrole, laten zien welke bestanden en gevoelige data te breed openstaan en helpen met labels en opruimen vóór de eerste licentie aangaat. Bel 030-7115791 of mail info@okayict.nl.