Oversharing: het grootste risico bij een Copilot-uitrol (en hoe je het oplost)

Bij vrijwel elke Copilot-readiness-scan die we uitvoeren vinden we hetzelfde: documenten die voor de hele organisatie toegankelijk staan terwijl dat nooit de bedoeling was. Conceptbegrotingen, reorganisatieplannen, een map met cv's. Niemand vond ze, dus niemand had het door. Tot Copilot kwam — want Copilot víndt ze wel. Laten we duidelijk zijn over wat hier gebeurt: Copilot lekt geen data en omzeilt geen rechten. Het beantwoordt vragen binnen de toegang die de gebruiker al hééft. Het probleem is dat die toegang in veel organisaties veel te breed staat.

Hoe oversharing ontstaat

Oversharing is zelden kwade wil. Het is de teamsite die bij oprichting op "iedereen behalve externe gebruikers" werd gezet omdat dat makkelijk was. De deellink die op "iedereen in de organisatie" stond. De projectmap waar na afloop nooit meer naar is omgekeken. Jarenlang was de praktische beveiliging dat niemand het kon vínden — security by obscurity. Een AI-assistent die semantisch door alles zoekt waar je toegang toe hebt, maakt daar definitief een einde aan.

Het stappenplan: van inzicht naar opgeschoond

Microsoft heeft hiervoor een duidelijke werkwijze, en die volgen wij in aangescherpte vorm. Stap één: breng de honderd meest gebruikte SharePoint-sites in kaart en beoordeel per site of de toegang klopt. Stap twee: draai de permissierapportages van SharePoint Advanced Management en leg ze naast de oversharing-signalen uit Microsoft Purview. Stap drie: schakel organisatiebrede deelgroepen zoals "iedereen behalve externe gebruikers" uit als standaard. Stap vier: laat site-eigenaren via access reviews zelf bevestigen wie er werkelijk toegang nodig heeft — IT kan dat niet voor ze beslissen. Stap vijf: bescherm de echt gevoelige content met sensitivity labels en beperk waar nodig de toegang op site-niveau.

Voor organisaties die snel willen starten zonder eerst maanden op te schonen, bestaat er een tussenoplossing: Restricted SharePoint Search. Daarmee beperk je Copilot tijdelijk tot een goedgekeurde lijst sites, terwijl je de rest van de omgeving op orde brengt. Zie het als een noodverband — nuttig, maar geen vervanging voor echte opschoning.

Gevoelige sites buiten Copilot houden

Sommige content wil je überhaupt niet in AI-antwoorden zien, ook niet bij mensen die er toegang toe hebben — denk aan salarisadministratie of lopende juridische dossiers. Dat kan: met DLP-beleid in Purview op basis van labels, of door een SharePoint-site uit de zoekindex te halen. Realiseer je daarbij dat die laatste optie de site ook uit de gewone zoekfunctie haalt; het is een bewuste afweging tussen vindbaarheid en gevoeligheid.

Wat dit oplevert — ook zonder Copilot

Het eerlijke verhaal: deze opschoning had elke organisatie sowieso moeten doen. Te brede toegang is ook zonder AI een risico — voor datalekken, voor compliance, voor de AVG. Copilot is vooral de aanleiding die het probleem urgent maakt en het budget vrijspeelt. Organisaties die de rechtenstructuur op orde brengen, plukken daar dus dubbel de vruchten van: een veilige Copilot-uitrol én een aantoonbaar betere informatiehuishouding.

En er is een geruststelling voor wie nu denkt dat dit maanden vertraging betekent: in de praktijk is een gerichte aanpak — eerst de meest gebruikte sites, de rest gefaseerd — in enkele weken zover dat een pilotgroep veilig kan starten.

Weten waar jouw omgeving staat?

Onze Copilot Readiness Scan brengt oversharing, rechtenstructuur en datakwaliteit in kaart en levert een concreet stappenplan op — inclusief wat er vóór de livegang moet en wat gefaseerd kan. Plan een vrijblijvende kennismaking en we vertellen je precies hoe de scan werkt.