Microsoft 365 Copilot is een krachtige assistent. Hij vat vergaderingen samen, schrijft mailconcepten, analyseert Excel-spreadsheets en doorzoekt SharePoint sneller dan welke medewerker dan ook. Maar hij is ook genadeloos eerlijk: alles waar uw mensen rechten op hebben, kan Copilot voor ze terugvinden.
En dáár zit het probleem.
In bijna iedere MKB-tenant die wij overnemen, vinden we mappen waar "iedereen in de organisatie" toegang toe heeft die nooit zo bedoeld waren — salarisinformatie, contracten met klanten, een mapje "directieoverleg". Zolang niemand er actief naar zocht, viel het niet op. Met Copilot wel. Iemand vraagt "wat staat er in de contracten met onze grootste klanten" en de assistent levert braaf het antwoord.
Dit artikel geeft de praktische checklist die wij volgen om Copilot veilig uit te rollen in een MKB-werkplek — zonder dat de productiviteitswinst betaald wordt met een datalek.
Hoe werkt Copilot eigenlijk?
Korte uitleg, want de misverstanden zijn groot.
Wat Copilot wél doet:
- Doorzoekt uw eigen Microsoft 365-tenant op basis van de rechten van de gebruiker
- Combineert die data met het algemene taalmodel van OpenAI (GPT-4 en opvolgers, gehost in Microsoft Azure)
- Genereert antwoorden die in de context van uw bedrijf zijn
Wat Copilot níet doet:
- Uw bedrijfsdata gebruiken om het taalmodel verder te trainen
- Data delen met andere tenants of met OpenAI
- Toegang verlenen tot data waar de gebruiker zelf geen toegang toe heeft
Het laatste punt is cruciaal en tegelijk de bron van het risico. Copilot respecteert exact de toegangsrechten van de gebruiker. Niets meer, niets minder. Als de rechten in uw tenant rommelig zijn, zal Copilot dat aan het licht brengen.
De checklist — tien stappen voor een veilige uitrol
1. Doe eerst een data readiness scan
Voor we ook maar één Copilot-licentie activeren, brengen we in kaart hoe het toegangsmodel in uw tenant er werkelijk uitziet. Concreet:
- Welke SharePoint-sites hebben "Iedereen behalve externe gebruikers" als lid?
- Welke Teams hebben open lidmaatschap?
- Welke OneDrive-bestanden zijn buiten de eigenaar gedeeld?
- Welke bestanden hebben sensitiviteitslabels en welke niet?
Microsoft levert hier de SharePoint Advanced Management add-on voor, die met "Data Access Governance"-rapporten precies dit in beeld brengt. Voor wie die niet wil aanschaffen: PowerShell-scripts kunnen vrijwel hetzelfde doen, met meer handwerk.
2. Ruim "iedereen" toegangsrechten op
Iedere site, lijst, library of map waar "Iedereen" of "Alle medewerkers" lid is, gaat door een review. De vraag is simpel: hoort dit echt zo? In 80% van de gevallen is het antwoord nee — het is per ongeluk zo geworden, of het was ooit nodig en niet meer aangepast.
Vervang brede groepen door specifieke teams. Geen "Alle medewerkers heeft toegang tot HR" maar "HR-team + management". Het kost een dag werk per 100 sites, en die dag verdient u terug bij de eerste keer dat een medewerker iets over salarisschalen vraagt aan Copilot.
3. Activeer sensitiviteitslabels
Microsoft Purview Information Protection biedt sensitiviteitslabels die zowel een classificatie aangeven (bv. "Vertrouwelijk", "Strikt vertrouwelijk") als bijbehorend gedrag (encryptie, watermerk, beperkingen op delen).
Voor het MKB volstaat een eenvoudig schema:
- Openbaar — geschikt voor externe publicatie
- Intern — alleen voor eigen medewerkers
- Vertrouwelijk — beperkt tot specifieke functies
- Strikt vertrouwelijk — alleen genoemde personen, met encryptie
Copilot respecteert deze labels. Een vertrouwelijk document komt alleen in een Copilot-antwoord als de vragende gebruiker zelf rechten heeft. Voor "Strikt vertrouwelijk" kunt u Copilot zelfs blokkeren.
4. Activeer Data Loss Prevention voor Copilot
Standaard DLP-policies (die voorkomen dat creditcardnummers per ongeluk in een externe e-mail belanden) gelden ook voor Copilot. Activeer minimaal:
- Persoonsgegevens — BSN, paspoortnummers, IBAN-rekeningnummers
- Financiële data — creditcardnummers, omzetcijfers volgens bedrijfsdefinitie
- Wachtwoorden en sleutels — patronen die op API-keys of wachtwoorden lijken
Voor specifieke sectoren (zorg, juridisch, financieel) zijn er kant-en-klare templates beschikbaar in Microsoft Purview.
5. Stel een verantwoord-gebruik-beleid op
Niet alles is een technische maatregel. Mensen moeten weten wat ze met Copilot wel en niet mogen. Een beleid van twee A4'tjes is voldoende, mits het de volgende vragen beantwoordt:
- Welke data mag wel en niet in een Copilot-prompt?
- Wie is verantwoordelijk voor de output (correctheid blijft uw verantwoordelijkheid, niet die van Microsoft)?
- Wat doen we met externe deelnemers in Teams-meetings die door Copilot worden samengevat?
- Welke bronnen mag Copilot raadplegen voor vergaderverslagen — alle mail, alleen interne mail, niets?
6. Bepaal wie Copilot krijgt en wie niet
Microsoft 365 Copilot is een per-gebruiker licentie. U hoeft het niet aan iedereen te geven. Voor een MKB-organisatie van 60 medewerkers is een veelgebruikt patroon:
- Eerste 10-15 licenties — directie, sales, marketing, en een paar early adopters per afdeling
- Eerste evaluatie na 6 weken — wie gebruikt het echt, wie niet?
- Tweede golf — uitbreiden naar gebruikers met aantoonbare use case
- Optioneel: blijvend selectief — er is geen wet die zegt dat iedereen Copilot moet hebben
7. Train de eerste gebruikers
Mensen die nog nooit met een AI-assistent hebben gewerkt, weten niet hoe ze er goed mee praten. Een training van 60 tot 90 minuten over prompt-techniek, contextgeven, en kritisch lezen van Copilot-output betaalt zich snel terug.
Belangrijk: behandel Copilot als een stagiair die de stof kent maar uw bedrijf niet. Output wordt gebruikt na controle, niet zonder.
8. Monitor het gebruik
In het Microsoft 365 Admin Center vindt u Copilot-gebruiksrapporten. Kijk wekelijks naar:
- Wie heeft Copilot in de laatste 7 dagen actief gebruikt?
- In welke apps (Teams, Outlook, Word, Excel)?
- Zijn er vragen die verdacht klinken (bv. veel zoekopdrachten op gevoelige termen door iemand die daar niet bij zou moeten)?
In Microsoft Purview ziet u de Copilot interaction reports — handig om bij een audit te kunnen aantonen dat u weet wat er gebeurt.
9. Pas governance maandelijks aan
In de eerste drie maanden zult u dingen tegenkomen die niet zijn voorzien. Een team dat een gevoelig document standaard met "Iedereen" deelt. Een Copilot-antwoord dat data uit een verlaten SharePoint-site haalt. Iemand die Copilot vraagt om HR-data uit een mailbox die had gearchiveerd moeten zijn.
Behandel governance als een doorlopend proces, niet als eenmalig project. Maandelijks 30 minuten kijken naar nieuwe sites, nieuwe externe deeluitnodigingen, nieuwe rapporten — dat houdt het kruit droog.
10. Vergeet de Copilot Studio agents niet
Naast Microsoft 365 Copilot kunt u eigen Copilot Studio-agents bouwen die specifieke taken doen — bijvoorbeeld een agent die alleen kennisbank-artikelen beantwoordt, of een agent die offerte-templates invult. Die agents hebben hun eigen toegangsmodel, eigen connectoren en eigen risico's.
Stel vooraf een policy op: wie mag Copilot Studio agents bouwen, welke connectoren mogen wel/niet, en hoe worden agents gepubliceerd? Anders ontstaat een schaduw-IT-probleem dat we tien jaar geleden ook al hadden met losse SaaS-tools.
De grootste valkuilen
"We doen wel licenties eerst, governance later." Dit is de meest voorkomende — en gevaarlijkste — fout. Eenmaal in productie is governance achteraf invoeren tien keer meer werk dan vooraf. Bovendien heeft u dan al een datalek voordat u het door heeft.
"Onze tenant is klein, het komt wel goed." Onafhankelijk van organisatiegrootte: 200 SharePoint-sites zijn 200 plekken waar rechten verkeerd kunnen staan. Klein is geen vrijbrief om de basis over te slaan.
"Copilot deelt onze data met OpenAI." Dit klopt niet. Microsoft 365 Copilot draait binnen de Microsoft-tenantgrens. Uw prompts en antwoorden gaan via Azure naar het taalmodel, maar zijn niet beschikbaar voor andere klanten en worden niet gebruikt voor training. Dit is contractueel vastgelegd in de Microsoft 365-voorwaarden.
"We laten elke gebruiker zijn eigen prompts uitvinden." Dat werkt voor een handjevol enthousiastelingen. Voor brede adoptie is een prompt-bibliotheek per afdeling (5 tot 10 voorbeelden van veel-voorkomende taken) een snelle versneller.
Wat doet eMotivz hierin?
Wij begeleiden Copilot-uitrol in drie fases:
- Readiness-scan — twee weken inventarisatie van data-toegang, sensitiviteitslabels en governance
- Pilot — vier tot zes weken met 10 tot 15 licenties, training en evaluatie
- Uitrol — uitbreiding op basis van use cases, met aanvullende governance en doorlopende monitoring
Voor MKB-organisaties die Microsoft 365 Business Premium hebben, sluit Copilot vrijwel naadloos aan op het bestaande beveiligingsfundament — mits dat fundament er is.
Wilt u weten waar uw organisatie staat ten opzichte van Copilot-readiness? Plan een vrijblijvend kennismakingsgesprek of bekijk onze Microsoft Copilot AI oplossing voor onze volledige aanpak.