Copilot uitrollen? Ruim eerst je rechten op

Copilot is in tien minuten aangezet. Dat is precies het probleem: hij vindt onmiddellijk alles waar een medewerker formeel bij mag, inclusief de mappen waarvan iedereen was vergeten dat ze open stonden.

Wat Copilot wel en niet ziet

Copilot werkt binnen de rechten van de ingelogde gebruiker. Hij omzeilt niets en hij lekt niets naar buiten. Maar hij zoekt wél effectiever dan een mens: waar iemand vroeger moest weten dat een document bestond, is een vraag stellen nu genoeg.

Daarmee wordt zichtbaar wat jarenlang onzichtbaar bleef. Een salarisoverzicht in een projectmap, een oud reorganisatiedocument op een teamsite waar de hele organisatie lid van is, notulen die per ongeluk in een gedeelde map staan.

Wat we voor een uitrol controleren

Voordat we licenties uitdelen, lopen we deze punten door:

• Teamsites en SharePoint-sites met te ruime groepen, zoals "iedereen behalve externe gebruikers".
• Mappen en documenten met individuele machtigingen die niemand meer kan verklaren.
• Gedeelde links zonder einddatum, inclusief links die buiten de organisatie werken.
• Gastaccounts die nog toegang hebben tot afgeronde projecten.
• Vertrouwelijke informatie zonder classificatielabel of bewaartermijn.

Labels en bewaartermijnen

Rechten alleen is niet genoeg. Met classificatielabels bepaal je welke stukken vertrouwelijk zijn, en met bewaartermijnen voorkom je dat documenten uit 2014 nog meewegen in een antwoord. Dat maakt Copilot ook nuttiger: minder ruis, betere antwoorden.

Dan pas uitrollen, en per afdeling

Licenties voor iedereen tegelijk is de snelste manier om het gebruik te laten doodbloeden. Wat werkt: één afdeling, twee of drie concrete toepassingen, een korte training per rol en een keyuser die vragen opvangt. Daarna de volgende afdeling.

Vergaderingsamenvattingen, eerste versies van documenten en het samenvatten van lange mailwisselingen zijn de toepassingen waar mensen zelf om terugkomen.

Wat dit oplevert buiten Copilot

Het opruimen van rechten is werk dat je toch al had moeten doen. Het levert direct iets op voor toegangsbeheer onder ISO 27001 en de NIS2-zorgplicht, en het maakt latere AI-agents mogelijk, want die zien net als Copilot precies wat de gebruiker mag zien.