Microsoft stimuleert Copilot-adoptie: hoe reageer je als organisatie verstandig op die druk?

De druk om Copilot in te voeren kan van meerdere kanten komen. Microsoft en zijn partners bieden adoptietrajecten aan, uw bestuur wil weten wat de organisatie “met AI doet”, en u weet mogelijk niet of medewerkers al AI-hulpmiddelen gebruiken buiten uw zicht. Wie in die situatie snel ja zegt, koopt vooral een verplichting. Wie nee zegt, riskeert grip te verliezen op wat er misschien toch al gebeurt.

Dit stuk zet drie reacties naast elkaar (breed uitrollen, afhouden of gecontroleerd starten) en beschrijft welke randvoorwaarden u op orde moet hebben voordat een licentie iets kan opleveren. Zonder cijfers over andermans successen, want die zeggen weinig over uw organisatie.

Waar de druk vandaan komt

Eerst een afbakening. Dit stuk gaat over Microsoft 365 Copilot: de assistent in het kantoorpakket. Welke licentie u daarvoor precies nodig heeft en hoe die zich verhoudt tot uw bestaande abonnement, controleert u in de actuele productvoorwaarden van Microsoft zelf. Licentiemodellen veranderen, en een blog of framework is daarvoor geen betrouwbare bron.

Microsoft heeft er belang bij dat Microsoft 365 Copilot breed wordt gebruikt en biedt daarvoor zelf informatie over het verhogen van adoptie, inclusief een overzicht van adoptiepartners. Ook IT-dienstverleners bieden adoptie- en verandertrajecten aan, zoals Cegeka. Dat is een legitiem aanbod, maar het bestaan van een aanbod zegt niets over de vraag of uw organisatie er nu klaar voor is.

Daarnaast kan er interne druk zijn: bestuurders die niet willen achterblijven bij collega-organisaties, of medewerkers die privé met een taalmodel werken en dat op kantoor ook verwachten. Hoe sterk die verwachting in uw organisatie leeft, weet u pas als u het navraagt.

Houd de twee soorten druk uit elkaar. Het externe aanbod kunt u parkeren met een duidelijke planning. Een interne verwachting, als die er is, vraagt om een antwoord dat u zelf formuleert.

Drie reacties naast elkaar

Als denkkader zetten we drie routes naast elkaar. In uw situatie zijn mengvormen denkbaar, maar elke route heeft een prijs die pas later zichtbaar wordt.

Reactie	Wat u wint	Wat u riskeert
Breed uitrollen	Snelheid, zichtbaar besluit, één lijn voor iedereen	Kans dat licenties ongebruikt blijven; informatie waarvoor rechten te ruim staan kan gemakkelijker opduiken; geen basis om resultaat te meten
Afhouden of blokkeren	Tijd, uitstel van licentiekosten, geen nieuw risico op papier	Mogelijk schaduwgebruik van externe AI-tools met bedrijfsdata; mogelijk verlies van geloofwaardigheid bij medewerkers
Gecontroleerd starten	Leren op beperkte schaal, meetbaar effect, aantoonbare zorgvuldigheid	Trager, vraagt eigenaarschap en discipline, kan verzanden in een eeuwige pilot

De eerste route ligt onder druk voor de hand: één besluit en klaar. Het risico zit in de vraag die daarna komt: wie doet hier morgen wat anders? Blijft die vraag onbeantwoord, dan blijven licenties liggen en heeft u geen vertrekpunt om iets te meten.

De tweede route voelt veilig, maar dat is ze vooral op papier. Als de interne verwachting er is, bestaat het risico dat medewerkers zonder goedgekeurd hulpmiddel zelf een ander kiezen. Hoe groot dat risico in uw organisatie is, hangt af van wat u technisch blokkeert en welke afspraken u maakt. Gebeurt het buiten uw beheeromgeving, dan is het lastiger om zicht te houden op welke data naar buiten gaat en om er afspraken over te maken.

De derde route is bewerkelijker. Ze werkt alleen als iemand in de lijn de pilot bezit, een einddatum heeft en de bevoegdheid om na afloop te zeggen: dit stoppen we, dit schalen we op. Microsoft zelf adviseert in zijn onboardinggids voor IT-beheerders om vóór de uitrol een gereedheidsbeoordeling te doen en uw data voor te bereiden, en pas op basis van die uitkomst het vervolg te bepalen.

Wat u op orde moet hebben voordat u een licentie aanzet

Hoe Microsoft 365 Copilot met toegangsrechten en dataverwerking omgaat, beschrijft de leverancier in zijn officiële productdocumentatie. Lees die, en laat uw informatiebeveiliger meelezen. Controleer in het bijzonder hoe de assistent omgaat met de rechten die de gebruiker al heeft, welke gegevensbronnen worden geïndexeerd en doorzocht, en welke beveiligings- en zoekinstellingen u daarbij zelf beheert.

Microsoft wijst er in zijn eigen gids op dat u uw data moet voorbereiden vóór uitrol, onder meer met de functies in uw Microsoft 365-abonnement en met SharePoint Advanced Management, en verwijst daarvoor naar het inrichten van een beveiligde en beheerde datafundering. Dat advies bestaat niet voor niets: de staat van uw rechten en informatiehuishouding bepaalt wat er straks in antwoorden kan opduiken.

Aanbieders die met Copilot-implementaties werken beschrijven dat risico concreter. Epiq spreekt over “overexposed data”, informatie die breder toegankelijk is dan bedoeld, en adviseert die in fasen aan te pakken, te beginnen bij de bestanden met gevoelige inhoud. Hands on ICT formuleert het zo: Copilot werkt op basis van de data, rechten, documenten en processen die al binnen uw Microsoft 365-omgeving aanwezig zijn.

Denk aan een map die ooit voor een projectgroep is opengezet en nooit is dichtgezet. Of zo’n map in een antwoord kan terugkomen, hangt af van de rechten, de indexering en de instellingen die u beheert. Precies daarom controleert u vooraf wie toegang heeft tot wat, en verifieert u in de productdocumentatie hoe uw omgeving is ingericht.

Hoeveel werk die opschoning is, hangt af van hoe lang uw informatiehuishouding organisch is gegroeid. Plan het als een eigen werkstroom met een eigenaar en een einddatum, anders schuift het door.

Betrek uw privacy officer vroeg. Bepaal eerst per verwerking welke rol uw organisatie onder de AVG heeft, want daar hangt af wie waarvoor verantwoordelijk is. Laat vervolgens beoordelen of voor de concrete verwerking die u voor ogen heeft een gegevensbeschermingseffectbeoordeling (DPIA) nodig is; uw privacy officer of functionaris gegevensbescherming kan daarover adviseren op basis van de actuele wettekst en de richtsnoeren van de toezichthouder. Baseer die beoordeling op wat u zelf gaat verwerken; leveranciersdocumentatie is daarbij input, geen conclusie.

Betrek ook informatiebeveiliging, IT-beheer en de ondernemingsraad. Beveiliging en beheer willen weten wie instellingen beheert, wat wordt gelogd en wie na oplevering het beheer voert. Of de ondernemingsraad een rol heeft, hangt af van wat u precies invoert; laat juridisch of HR toetsen welke bepalingen uit de Wet op de ondernemingsraden aan de orde kunnen zijn, bijvoorbeeld wanneer u een regeling treft rond personeelsgegevens of rond een systeem dat gebruik of gedrag van medewerkers kan registreren. Leg die vraag vroeg neer, niet achteraf.

Maak tot slot afspraken over invoer en gebruik. Welke informatie mogen medewerkers in een prompt zetten? Wat doen ze met een antwoord dat overtuigend klinkt maar niet klopt? De AI-verordening (artikel 4) vraagt daarnaast om maatregelen die de AI-geletterdheid ondersteunen van de mensen die namens u met AI-systemen werken; sinds de wijziging van juli 2026 schrijft zij geen specifiek niveau per persoon voor. Laat uw jurist de actuele wettekst en de daarin genoemde factoren nalopen en vertalen naar wat dat voor uw inzet betekent. Ga er niet van uit dat een standaard trainingspakket die vraag beantwoordt. Zonder werkafspraken en basisuitleg heeft u een tool, geen werkwijze.

Microsoft 365 Copilot of iets anders: de afweging

De vraag “Microsoft 365 Copilot of niet” is eigenlijk de vraag “welke AI-toepassing hoort bij welk werk”. Daar zijn grofweg drie categorieën.

Een generieke assistent in het kantoorpakket richt zich op werk dat individuen en teams binnen hun bestaande applicaties doen. Microsoft plaatst Microsoft 365 Copilot in zijn Cloud Adoption Framework onder het doel “Enhance individual efficiency” (de efficiëntie van individuele medewerkers verhogen), met voorbeelden als schrijven, onderzoek en vergadervoorbereiding. Of dat in uw geval verantwoord is, hangt mede af van het risico en de soort gegevens die in dat werk voorkomen. Of het per saldo tijd oplevert, hangt af van hoe vaak die taken in uw organisatie voorkomen en hoeveel correctie de uitkomst nodig heeft. Meet daarom per taak; een organisatiebreed effect laat zich moeilijk losmaken van andere veranderingen.

Een gerichte toepassing op één proces, bijvoorbeeld het classificeren van binnenkomende aanvragen of het doorzoeken van een specifieke kennisbank, vraagt doorgaans eigen inrichting: een afgebakende dataset, koppelingen, beheer. Microsoft rekent dit type in hetzelfde framework tot “Automate business functionality” (bedrijfsfuncties automatiseren) en merkt op dat meer maatwerk doorgaans meer gespecialiseerde vaardigheden en meer operationeel eigenaarschap vraagt. Hoeveel bouwwerk dat is, hangt af van de gekozen oplossing en de integratie. Het effect van zo’n toepassing is beter af te bakenen tot één proces en daarmee doorgaans beter te meten, al blijft toerekening aan alleen de toepassing een aanname die u moet toetsen.

Minder leveranciersafhankelijkheid krijgt u daarmee niet automatisch. Dat vraagt bewuste keuzes in de architectuur (kunt u model of leverancier vervangen zonder de toepassing opnieuw te bouwen?) en in het contract (wie is eigenaar van data, prompts en configuratie?).

Een combinatie is goed denkbaar: een generieke assistent voor de werkplek, plus enkele gerichte toepassingen waar het echt om gaat. Beoordeel elke keuze op dezelfde criteria: waar zit het werk dat tijd kost, welke data heeft de toepassing nodig, wie beheert het na oplevering, en hoe meet u of het iets oplevert?

Laat u niet leiden door de bundelvraag van de leverancier. Dat iets binnen uw licentie kan, is geen argument dat het in uw proces thuishoort.

Hoe u weet of het werkt

Een meetfout die u wilt voorkomen: tevredenheid verwarren met resultaat. Dat medewerkers een assistent prettig vinden, zegt nog niet dat hun werk er beter of sneller van wordt. Dat is een andere vraag.

Kies daarom per pilot twee of drie concrete taken waarvan u vooraf vastlegt hoe ze nu verlopen. Hoeveel tijd kost een gemiddelde afhandeling, hoe vaak gaat het mis, wie moet het controleren? Zonder die nulmeting wordt vergelijken achteraf aanzienlijk zwakker: u leunt dan vooral op indrukken.

Ook Microsoft adviseert in zijn adoptiemateriaal om vooraf succesmaatstaven te definiëren voor bedrijfsresultaat, operationele verbetering, adoptie en kwaliteit. Dat is een zinnig uitgangspunt, mits u die maatstaven aan uw eigen werk koppelt en niet aan gebruikscijfers alleen.

Meet ook de keerzijde. Hoeveel output moet worden gecorrigeerd? Wie doet dat en hoeveel tijd kost het? Als de correctietijd de bespaarde tijd opeet, of de kwaliteit niet beter wordt, verplaatst een assistent werk in plaats van het te verminderen.

Leg vast wie de uitkomst beoordeelt en welke uitkomst tot welke beslissing leidt. Een pilot zonder vooraf afgesproken stopcriterium loopt het risico door te sudderen zonder dat er ooit een besluit valt.

Realistische doorlooptijd en wat het van u vraagt

Als voorzichtige planningsvuistregel, een ervaringsinschatting en geen meting, rekenen wij voor een gecontroleerde start eerder in maanden dan in weken. Dat botst met de indruk die adoptiemateriaal soms wekt. Het verschil zit in wat u meetelt.

Het opschonen van toegangsrechten, de privacybeoordeling, het formuleren van werkafspraken en een pilot met echte meting kosten elk tijd. Microsoft plaatst de gereedheidsbeoordeling en het voorbereiden van data expliciet vóór de uitrol, in zijn onboardinggids voor IT-beheerders. Hoe lang het totaal duurt, hangt af van de staat van uw informatiehuishouding en van de beschikbaarheid van de mensen die het moeten dragen.

Benader het als een proces in de lijn in plaats van als de lancering van een IT-project. Die observatie doet ook Innvolve op basis van zijn ervaringen met Copilot-adoptie, met het advies om te beginnen bij het gesprek over het werk in plaats van bij de tool.

Een mogelijke rolverdeling, als voorbeeld en niet als voorschrift: één proceseigenaar die de pilot draagt, een informatiemanager die data en rechten bewaakt, IT-beheer of servicemanagement dat instellingen, logging en beheer na oplevering belegt, en een bestuurder die het leveranciersaanbod parkeert zolang het traject loopt. Welke verdeling bij u past, hangt af van hoe uw organisatie is ingericht.

Het vraagt ook de bereidheid om na een pilot te concluderen dat het voor bepaald werk niets oplevert. Dat is precies de informatie waarvoor u de pilot deed.

Uw eerste stap

Plan een gesprek van een uur met uw informatiemanager, uw privacy officer en één proceseigenaar die zelf wil beginnen. Zodra rechten, logging of gevoelige gegevens aan de orde zijn, en dat is bij Microsoft 365 Copilot al snel het geval, zitten ook uw informatiebeveiliger en IT-beheer aan tafel. Beantwoord samen drie vragen: welke twee taken in dat proces kosten aantoonbaar tijd, welke informatie heeft een assistent daarvoor nodig, en wie kan die informatie nu al zien die dat niet zou moeten?

Met de antwoorden heeft u een concrete boodschap voor uw leverancier en uw bestuur: hier starten we, dit moet eerst geregeld zijn, en op deze datum beslissen we of we doorgaan. Dat is een antwoord op de druk dat u zelf in de hand houdt.

Zo maken we dit. AI schrijft de eerste versie, een tweede AI controleert, en een mens van Twentynext leest en keurt elk artikel goed voordat het live gaat. We controleren feiten en bronnen zorgvuldig, maar kunnen juistheid en volledigheid niet garanderen. Zie onze disclaimer.