Copilot komt naar Microsoft 365: moet u uw gedeelde bestanden opruimen voordat u het activeert?

Het scenario in het kort

Voorbeeld, verzonnen ter illustratie. Een fictieve kmo met vijfentwintig medewerkers activeert Copilot in Microsoft 365 om tijd te winnen bij verslagen en mails. In de tweede week vraagt een verkoper aan Copilot: ‘Wat zijn de loonvorken bij ons?’ Copilot antwoordt, met cijfers erbij, en vermeldt zijn bron: een Excel-bestand met de lonen in de map ‘Directie’.

Niemand heeft iets gehackt. In 2022 werd die map gedeeld via een link die gold voor ‘alle personen in de organisatie’, zolang een stagiair hielp met de loonadministratie. De link werd nooit ingetrokken. Vóór Copilot moest u precies naar dat bestand zoeken of die map kennen om erop te stuiten. Met Copilot volstaat de juiste vraag.

Copilot bespaart echt tijd, maar het legt in enkele seconden de te ruime deelrechten bloot die zich in de loop der jaren hebben opgestapeld. Het juiste moment om ze op te ruimen is vóór de activering.

Copilot hackt niets: het vindt terug wat al openstond

Copilot in Microsoft 365 (Microsoft hernoemt het geleidelijk tot ‘Microsoft Copilot’) is een AI-assistent die ingebouwd is in Outlook, Teams, Word, Excel en de bestandsruimtes van uw bedrijf (SharePoint en OneDrive). Het beantwoordt vragen door te zoeken in uw mails, vergaderingen en documenten.

Microsoft schrijft het zwart op wit: Copilot toont alleen organisatiegegevens die een gebruiker minstens mag inzien. Het geeft geen enkele nieuwe toegang. Anders gezegd: het opent geen enkele deur, maar doet het licht aan in alle kamers waarvan de deur al openstond, ook die u vergeten was. Een oude, vergeten deellink die niemand stoorde, komt nu naar boven bij de eerste vraag in gewone taal, met een link naar het document.

Basisversie of betaalde licentie: wat Copilot kan lezen

Niet iedereen ziet dezelfde Copilot. Volgens de documentatie van Microsoft antwoordt de basisversie, die inbegrepen is in de daarvoor in aanmerking komende Microsoft 365-abonnementen, vooral op basis van het internet en de documenten die u zelf aanreikt. De betaalde licentie zoekt in al uw Microsoft 365-gegevens.

Microsoft geeft in elk geval aan dat Copilot de bestaande machtigingen respecteert. Opruimen in de gedeelde bestanden is dus vandaag al nuttig, en wordt onmisbaar op de dag dat u betaalde licenties koopt.

De deuren die overal blijven openstaan

In zijn handleiding om Copilot voor te bereiden vraagt Microsoft om eerst de sites op te sporen die te ruim gedeeld zijn, geen eigenaar hebben, inactief zijn of gevoelige gegevens bevatten. In de praktijk gaat het in een kmo of een praktijk bijna altijd om dezelfde situaties:

• De links ‘Iedereen met de koppeling’: wie de link ontvangen heeft, opent het document zonder zich aan te melden. Microsoft wijst erop dat u dan niet kunt nagaan wie er toegang heeft.
• De links ‘Personen in uw organisatie’: wordt de link doorgestuurd, dan werkt hij voor elke collega. Handig voor een teamdocument, riskant voor lonen of patiëntendossiers.
• De groep ‘Iedereen behalve externe gebruikers’: toegevoegd aan een site of een map geeft hij alle accounts van het bedrijf toegang. Microsoft raadt aan hem van gevoelige sites te verwijderen.
• Sites zonder eigenaar of verlaten sites: een oud project, een vroegere vennoot, een map uit 2018. Niemand houdt ze in het oog, maar Copilot leest ze voor iedereen die er toegang toe heeft.
• Uitzonderingen per map: een map waarvan de rechten met de hand gewijzigd zijn, volgt de regels van de site waarin hij staat niet meer. Microsoft spreekt van ‘verbroken overname’ van machtigingen: daar zitten vaak de verrassingen.

Ook externe gasten tellen mee: een boekhouder, een vroegere dienstverlener of een labo dat ooit als gast werd toegevoegd, behoudt zijn toegang zolang niemand die intrekt. Microsoft vermeldt zelfs dat gasten hun toegang terugkrijgen als u extern delen uitschakelt en daarna weer inschakelt.

Zorgpraktijk: een dossier gezien door de verkeerde persoon is een datalek

Voor een huisartsen-, tandartsen- of kinesitherapiepraktijk gaat het om meer dan intern ongemak. De AVG, zoals de Gegevensbeschermingsautoriteit eraan herinnert, definieert een inbreuk in verband met persoonsgegevens als een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot onder meer de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot gegevens.

• Wat telt als een lek: toegang door iemand die het document niet had mogen zien, ook zonder kwade bedoelingen. Bijvoorbeeld een consultatieverslag dat een onthaalmedewerker via Copilot ontdekt.
• De termijn: de Gegevensbeschermingsautoriteit zonder onnodige vertraging verwittigen, zo mogelijk binnen 72 uur.
• De uitzondering: geen melding als het lek waarschijnlijk geen enkel risico inhoudt voor de patiënten.

In haar brochure over AI en de AVG noemt de Autoriteit voor gezondheidsgegevens trouwens een strikte toegangscontrole die beperkt wie patiëntgegevens mag inzien en wijzigen. Precies dat moet u nakijken voordat u Copilot activeert.

Het plan in vier weken vóór de activering

U hoeft niet alles te blokkeren of alles in één keer door te lichten. Hier is een realistisch stappenplan voor een organisatie van 5 tot 50 mensen. Uw IT-partner doet het technische deel; de directie beslist wie wat moet zien.

De instelling van de standaardlink weegt zwaar door: Microsoft beschrijft de optie ‘Specifieke personen’ als de meest beperkende. Links ‘Iedereen’ kunnen ook beperkt worden tot alleen-lezen en verplicht vervallen na een gekozen aantal dagen, volgens de deelinstellingen die Microsoft beschrijft.

Als Copilot al geactiveerd is

Geen paniek, en u hoeft niet alles uit te schakelen. De handleiding van Microsoft voorziet in tijdelijke beschermingen: u verbergt gevoelige sites tijdelijk voor de zoekopdrachten van Copilot, zolang hun rechten worden rechtgezet, en heft die bescherming daarna weer op. Volgens Microsoft is een deel van die hulpmiddelen (het geavanceerde beheer van SharePoint) inbegrepen bij de Copilot-licentie; andere hangen af van uw Microsoft 365-abonnement. Daarna volgt u hetzelfde plan als hierboven.

Wat u maandagochtend kunt doen

1. Noteer de vijf mappen die niemand anders dan u zou mogen zien: lonen, contracten, geschillen, boekhouding, patiëntendossiers.
2. Open ze een voor een in SharePoint of OneDrive, klik op ‘Toegang beheren’ en kijk wie erin staat. Een ‘Iedereen’ of een link die voor de hele organisatie openstaat, moet weg.
3. Vraag uw IT-partner om de lijst van nog actieve links ‘Iedereen met de koppeling’ en die van de externe gasten.
4. Duid voor elke gedeelde ruimte een verantwoordelijke aan: die zegt twee keer per jaar of de toegangen nog kloppen.
5. Plan een proefproject: twee of drie mensen testen Copilot met vragen als ‘toon me de lonen’ of ‘welke patiënten hebben morgen een afspraak’, om na te gaan wat er bovenkomt.

De spelregels voor het team

Technisch opruimen volstaat niet: het team moet weten wat er van hem verwacht wordt. Sinds 2 februari 2025 vraagt de Europese AI-verordening aan bedrijven die een AI-systeem gebruiken om maatregelen te nemen zodat hun personeel de werking en de risico's ervan begrijpt. De Europese Commissie verduidelijkt dat er geen certificaat vereist is: met een korte interne opleiding die u documenteert, toont u aan dat u het nodige gedaan hebt.

Drie eenvoudige boodschappen om over te brengen:

• Copilot ziet wat u ziet. Toont een antwoord een document dat u niet zou mogen zien, verspreid het dan niet: meld het aan de directie of de IT-partner, het is een deur die dicht moet.
• Copilot kan zich vergissen. Microsoft herinnert eraan dat zijn antwoorden niet gegarandeerd voor 100 % juist zijn: lees na voordat u iets verstuurt.
• U deelt met personen, niet met ‘iedereen’. Voor een gevoelig document is de link ‘Specifieke personen’ de juiste reflex.

Wat de vertrouwelijkheid betreft, geeft Microsoft aan dat vragen, antwoorden en geraadpleegde gegevens niet dienen om zijn AI-modellen te trainen. De echte vraag is dus niet ‘Leest Microsoft onze gegevens?’, maar ‘Kunnen onze collega's gegevens lezen die hen niet aanbelangen?’.

Goed voorbereid bespaart Copilot tijd bij mails, verslagen en het zoeken naar documenten. Enkele weken opruimen volstaan om er zonder onaangename verrassingen van te genieten.

De komst van Copilot voorbereiden→