Whitepaper · oktober 2026
Rechten, data en beheer: wat er geregeld moet zijn voordat de licentie iets oplevert. Met een checklist van tien vragen voor de go-live.
Een Copilot-licentie is in een paar minuten toegewezen. Het organisatorische werk eromheen kost weken: rechten opruimen, inhoud ordenen, afspraken maken en beheer inrichten. Copilot zoekt, leest en vat samen binnen alles waar een medewerker toegang toe heeft. Microsoft schrijft het zelf zo op: Copilot toont alleen organisatiedata waarvoor de gebruiker ten minste leesrechten heeft. Die zin klinkt geruststellend en is het voor een deel ook. Hij betekent ook dat een te ruim gedeelde map, een vergeten Teams-site of een document dat met "iedereen in de organisatie" is gedeeld, in een antwoord kan opduiken zodra iemand er in gewone taal naar vraagt.
Deze whitepaper beschrijft wat er geregeld moet zijn voordat Copilot in productie gaat, en hoe u daarna vasthoudt wat u hebt ingericht. Wij ordenen dat in vier lagen: toegang, inhoud, gebruik en beheer. Toegang en inhoud bepalen wat Copilot kan vinden; gebruik en beheer bepalen of het iets oplevert en of dat zo blijft.
Vier bevindingen lopen door het stuk heen.
Achterin staat een checklist van tien punten en de manier waarop wij een implementatie voor 50 tot 200 medewerkers in zes tot twaalf weken inrichten. Dat zijn richtlijnen uit onze projecten met ruimte voor maatwerk, geen garantie.
Microsoft heeft de naam onlangs vereenvoudigd: Microsoft 365 Copilot heet nu Microsoft Copilot, en Copilot Chat heet Microsoft Copilot Chat. In licenties en beheerschermen komen de oude namen nog voor. In deze whitepaper gaat het steeds over de betaalde Copilot die werkt met de gegevens in uw eigen Microsoft 365-omgeving.
Die Copilot combineert drie dingen: een taalmodel, de inhoud in Microsoft Graph (mail, chats, agenda's, documenten in SharePoint en OneDrive) en de apps waarin u werkt. Bij elke vraag haalt Copilot relevante stukken uit Graph op, voegt de context van het moment toe en laat het taalmodel daar een antwoord van maken. De gegevens worden volgens Microsoft niet gebruikt om de onderliggende modellen te trainen, en Copilot valt onder de EU Data Boundary. Daarop bestaan twee uitzonderingen die een beheerder moet kennen. Met flex routing mag de verwerking door het taalmodel bij piekbelasting uitwijken naar de Verenigde Staten, Canada of Australië; voor tenants die na 25 maart 2026 zijn aangemaakt staat dat standaard aan, en beheerders kunnen het in het Microsoft 365-beheercentrum uitzetten. Daarnaast vallen modellen van Anthropic, die beheerders als extra optie kunnen inschakelen, op dit moment buiten de EU Data Boundary.
De beslissende zin voor iedere implementatie staat in Microsofts eigen documentatie: Copilot toont alleen organisatiedata waarvoor de individuele gebruiker ten minste leesrechten heeft, en het is belangrijk dat u de rechtenmodellen in Microsoft 365 gebruikt om ervoor te zorgen dat de juiste mensen bij de juiste inhoud kunnen.
Daarin zitten twee boodschappen: Copilot werkt binnen de toegang die er al is, en het verlaagt de drempel om die toegang te benutten. Een salarisoverzicht dat ooit in een te breed gedeelde map is beland, was ook vroeger via de zoekfunctie te vinden, maar alleen voor wie wist waar of hoe hij moest zoeken. Met Copilot kan een vraag als "wat verdienen de teamleiders bij ons?" volstaan om het in een antwoord te krijgen.
Daarom begint een Copilot-implementatie bij de vraag welke documenten Copilot mag zien.
Wij gebruiken vier lagen. In de praktijk lopen ze deels tegelijk op, omdat de beoogde toepassingen mede bepalen welke toegang en inhoud het eerst aandacht krijgen. De volgorde geeft aan wat er vóór de uitrol op orde moet zijn: een fout in toegang of inhoud is met training en beheer niet te compenseren.
| Laag | De vraag | Waar het op vastloopt |
|---|---|---|
| 1. Toegang | Kan iedereen alleen bij wat hij hoort te zien? | Sites en mappen die met de hele organisatie gedeeld zijn, deellinks zonder einddatum, gastaccounts die nooit zijn opgeruimd |
| 2. Inhoud | Is wat Copilot vindt ook waar en actueel? | Vijf versies van hetzelfde beleid, verouderde prijslijsten, concepten naast definitieve stukken |
| 3. Gebruik | Weten medewerkers waarvoor zij Copilot inzetten en waar het misgaat? | Een licentie zonder concrete taken, geen afspraken over controle van uitkomsten |
| 4. Beheer | Wie bewaakt rechten, kosten en agents nadat het project klaar is? | Niemand eigenaar, agents die zich vermenigvuldigen, verbruik dat niemand ziet |
Veel organisaties beginnen bij laag drie, omdat die het meest zichtbaar is: trainingen, voorbeeldprompts, een kick-off. Dat is begrijpelijk en levert in de eerste weken enthousiasme op. Zonder laag een en twee komt de tegenvaller daarna: een antwoord dat op een verouderd document leunt, of een medewerker die iets ziet wat niet voor hem bedoeld was. Zulke voorvallen kosten vertrouwen in het hele traject, en dat vertrouwen is nodig om de uitrol daarna verder te brengen.
Microsoft noemt het probleem oversharing en heeft er een eigen implementatieblauwdruk voor gepubliceerd, tegenwoordig te vinden onder de titel Secure and govern Microsoft Copilot: foundational deployment guidance. Die blauwdruk heeft drie pijlers: oversharing herstellen, vangrails instellen en aan regelgeving voldoen. Bij de Copilot-licentie hoort SharePoint Advanced Management; welke functies van Microsoft Purview u kunt inzetten, hangt af van uw basislicentie.
In de praktijk volgen wij vier stappen.
Stap 1: meten waar het te ruim openstaat. De rapportages voor databeheer in SharePoint Advanced Management laten zien welke sites gedeeld zijn met "iedereen behalve externe gebruikers", welke sites veel deellinks hebben en waar gevoelige labels op staan. Prioriteer op de gevoeligheid van de inhoud en de breedte van de rechten: een weinig bezochte HR-site kan meer risico dragen dan een druk bezocht intranet.
Stap 2: tijdelijk afschermen wat nog niet is opgeruimd. Met Restricted Content Discovery haalt u een site uit de organisatiebrede zoekresultaten en uit de antwoorden van Copilot, terwijl de leden van die site er gewoon bij blijven. Microsoft positioneert dit als maatregel voor de periode waarin u de rechten herziet; de onderliggende rechten blijven ongewijzigd. De oudere variant, Restricted SharePoint Search, waarbij u een lijst van maximaal honderd toegestane sites bijhoudt, kan sinds 31 juli 2026 niet meer nieuw worden ingeschakeld. Bestaande inrichtingen op die oude functie verdienen dus een plan.
Stap 3: de rechten herstellen. Per site een eigenaar, toegangsreviews waarin die eigenaar bevestigt wie erbij mag, deellinks met een vervaldatum, en gastaccounts die verlopen. Dit is het arbeidsintensieve deel, en het is ook het deel dat blijft werken nadat het project is afgerond.
Stap 4: vangrails voor wat gevoelig blijft. Gevoeligheidslabels in Purview zorgen ervoor dat versleutelde documenten alleen gebruikt worden door wie de rechten heeft; Copilot respecteert die gebruiksrechten. Met regels tegen gegevensverlies kunt u daarnaast beperken welke gelabelde inhoud Copilot mag verwerken. Labels werken alleen als ze ook worden toegepast, dus begin met een klein aantal dat iedereen begrijpt.
Weeg rechten en labels daarom samen af. Een label met versleuteling beschermt ook bij te ruime rechten; een label zonder versleuteling of beleid erachter is vooral een markering.
Over de opbrengst van Copilot circuleren veel cijfers. De meeste komen van leveranciers. De zorgvuldigste openbare metingen komen van de Britse overheid, die Copilot breed heeft getest en de uitkomsten heeft gepubliceerd.
De proef over de hele overheid. De Government Digital Service gaf van eind september tot eind december 2024 ruim 20.000 medewerkers in twaalf organisaties toegang tot Copilot. De deelnemers schatten dat zij gemiddeld 26 minuten per dag bespaarden. Het rapport zegt er zelf bij dat het om eigen schattingen gaat, dat niet is bijgehouden waaraan de vrijgekomen tijd werd besteed, en dat Copilot moeite had met informatie die veel context en menselijk oordeel vraagt.
De evaluatie bij één ministerie. Het Department for Business and Trade evalueerde een proef met 1.000 licenties over dezelfde periode, met dagboeken, gebruiksdata, interviews en een controlegroep. Copilot bespaarde tijd bij het opstellen van documenten, het samenvatten van onderzoek, het uitwerken van vergaderingen en het zoeken naar informatie. Voor het maken van afbeeldingen, het plannen van afspraken en het maken van presentaties vond deze proef geen tijdwinst. Van de respondenten in het dagboekonderzoek was 72 procent tevreden. De evaluatie vond geen robuust bewijs dat de tijdwinst tot hogere productiviteit leidde, met de kanttekening dat dit geen hoofddoel van het onderzoek was. 22 procent van de respondenten zag tijdens de proef een hallucinatie, een overtuigend gebracht maar onjuist antwoord.
Voor een organisatie die een businesscase moet maken, volgen daar drie lessen uit.
AVG. De Rijksoverheid liet in 2024 via Strategisch Leveranciersmanagement Microsoft (SLM) een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren op Microsoft 365 Copilot. Die vond vier hoge risico's. Na aanpassingen door Microsoft volgde in september 2025 een herziening door SLM en SURF, waarin de vier hoge risico's werden teruggebracht naar twee middelgrote. In de tweede update van 27 mei 2026 blijven twee middelgrote risico's staan: het filter dat moet voorkomen dat Copilot op basis van werkcommunicatie oordelen over medewerkers geeft, is onvoldoende transparant en gebruikers hebben er geen invloed op, en Microsoft bewaart diagnostische gegevens tot achttien maanden zonder voldoende onderbouwing. Flex routing is daarbij als nieuw, laag risico benoemd. Het advies blijft oranje: verantwoord gebruik is mogelijk als de organisatie een AI-gebruiksbeleid heeft, toegestane toepassingen en kwaliteitscontrole vastlegt, het rechtenbeheer zorgvuldig inricht en een eigen aanvullende DPIA doet. SURF adviseert onderwijsinstellingen daarbij voorzichtig te blijven en de risico's per toepassing te beoordelen.
Die voorwaarden gelden in de kern ook buiten de overheid. Een eigen DPIA is niet voor elke organisatie verplicht, maar wie Copilot breed inzet op mail en documenten met persoonsgegevens, komt al snel in de situatie waarin de AVG er een vraagt. De DPIA van de Rijksoverheid is openbaar en is een goed vertrekpunt.
AI-verordening. Artikel 4 van de Europese AI-verordening, over AI-geletterdheid, geldt sinds 2 februari 2025 voor iedere organisatie die AI-systemen inzet. Met de Digital Omnibus, Verordening (EU) 2026/1744, die op 27 juli 2026 in werking trad, is het artikel herschreven. De plicht is nu om maatregelen te nemen die de ontwikkeling van AI-geletterdheid ondersteunen, en de tekst zegt uitdrukkelijk dat geen bepaald niveau per persoon gegarandeerd hoeft te worden. Voor een Copilot-uitrol betekent dat: zorg dat medewerkers weten wat Copilot doet, waar het fouten maakt en wanneer zij een uitkomst moeten controleren, en leg vast welke maatregelen u daarvoor neemt. Een korte e-learning is een begin; afspraken per taak, met voorbeelden uit het eigen werk, werken beter.
De licentieprijs staat op de site van Microsoft; het werk eromheen hangt af van uw eigen omgeving. Een implementatie voor 50 tot 200 medewerkers duurt bij ons zes tot twaalf weken, inclusief rechtenopschoning en een beheerafspraak. Dat is een richtlijn uit onze projecten: de omvang hangt vooral af van de staat van de rechten en de hoeveelheid inhoud, en die verschilt sterk per organisatie.
Daarnaast verandert het afrekenmodel. Microsoft maakte in oktober 2026 bekend dat afrekenen op verbruik vanaf 1 december 2026 standaard aanstaat bij nieuwe Microsoft 365 Copilot Business-licenties die via CSP-partners worden gekocht. Daarmee worden onderdelen als Copilot Cowork en de Work IQ API's direct bruikbaar, afgerekend in Copilot Credits. De standaardlimiet is 4.000 credits per gebruiker per maand, door beheerders aan te passen. Bestaande abonnementen veranderen niet. Bij de start is deze standaardinstelling niet beschikbaar in onder meer Nederland, België en Duitsland; Microsoft kondigt uitbreiding later aan.
Voor Nederlandse organisaties geeft dat tijd om het goed te regelen voordat het standaard wordt.
Naast de assistent zelf groeit het aantal agents: kleine toepassingen die Copilot een taak of een bron geven, gebouwd in Copilot Studio of geleverd door derden. Via connectors kunnen ze ook bij gegevens buiten Microsoft 365. Let daarbij op hoe een agent zich aanmeldt: in Copilot Studio kan een maker een koppeling met zijn eigen inloggegevens instellen, en dan werkt iedere gebruiker van die agent met de rechten van de maker. Standaard is die mogelijkheid toegestaan; beheerders kunnen in het Power Platform-beheercentrum afdwingen dat agents altijd met de rechten van de gebruiker werken. Beheerders bepalen in het Microsoft 365-beheercentrum welke agents in de organisatie zijn toegestaan en kunnen per agent zien welke rechten en gegevens die vraagt.
Agents maken Copilot specifieker en waardevoller, en vergroten tegelijk het beheer. Wat wij aanraden:
Dat is dezelfde discipline als bij rechten op sites, toegepast op een nieuw soort object.
Voor een organisatie van 50 tot 200 medewerkers werken wij doorgaans in vier fasen.
| Fase | Wat er gebeurt | Wat er klaar is |
|---|---|---|
| 1. Nulmeting | Rapportages over rechten en deellinks, inventaris van gevoelige plekken, keuze van tien taken met een tijdmeting | Een risicokaart en een meetplan |
| 2. Opruimen | Afschermen wat nog niet klaar is, rechten herstellen op de belangrijkste sites, eigenaren benoemen, een eerste set labels | Toegang die u kunt uitleggen |
| 3. Proef | Een pilotgroep per afdeling, afspraken over controle van uitkomsten, korte training op de eigen taken, wekelijkse meting | Cijfers per taak en een besluit over uitbreiding |
| 4. Overdracht | Uitrol naar de rest van de organisatie, beheerafspraak over rechten, agents en verbruik | Een eigenaar en een ritme dat blijft |
Het verschil tussen zes en twaalf weken hangt vooral af van fase 2. Een organisatie die haar sites de afgelopen jaren al met eigenaren en reviews heeft beheerd, is snel klaar. Een organisatie met tien jaar gegroeide Teams-sites heeft meer werk, en dat werk loont ook buiten Copilot.
Een antwoord telt pas als het aantoonbaar is: een rapport, een besluit, een naam. Staan er vragen open, beslis dan per vraag of het restrisico aanvaardbaar is en wie dat accepteert. Eén onbeheerst privacyrisico weegt zwaarder dan meerdere administratieve open punten.
Deze whitepaper beschrijft wat wij in Copilot-implementaties tegenkomen en wat openbare bronnen erover zeggen. Twentynext verkoopt geen licenties; die koopt u bij Microsoft of een licentiepartner. Wij doen de implementatie, de inrichting van rechten en data, en de begeleiding daarna.
De passages over de AVG en de AI-verordening vatten openbare bronnen samen en zijn geen juridisch advies; laat de toepassing op uw organisatie beoordelen door uw functionaris gegevensbescherming of jurist. Ook de bedragen en doorlooptijden zijn richtlijnen uit onze projecten met ruimte voor maatwerk, geen garantie.
Hoe wij een implementatie aanpakken, leest u op onze pagina over Copilot-implementatie; voor AI-vraagstukken buiten Copilot is er AI-consultancy. Wilt u weten hoe uw eigen omgeving ervoor staat, dan kijken wij in een eerste gesprek van een half uur met u naar de checklist hierboven.
Martijn van Grieken is oprichter van Twentynext. Hij werkt sinds 2014 aan data- en AI-oplossingen voor organisaties in zorg, industrie en de publieke sector, van eerste vraagstelling tot werkende software die in productie draait en beheerd wordt.
Twentynext is een data- en AI-bureau in Eindhoven. Wij adviseren, bouwen en beheren: van de vraag van de organisatie tot software in productie, en het beheer daarna. Bij Copilot betekent dat: de datakant eerst, en een beheerafspraak die doorloopt nadat het project is afgerond.
De vier lagen, de werkwijze in hoofdstuk 8 en de checklist zijn ons eigen advies; feiten uit openbare bronnen staan met hun bron vermeld. De doorlooptijd van zes tot twaalf weken is een richtlijn uit onze projecten, geen gemeten gemiddelde. Alle feiten over Microsoft Copilot, de Britse evaluaties, de DPIA van de Rijksoverheid en de AI-verordening komen uit de bronnen hieronder en zijn in oktober 2026 nagelezen. Microsoft past functies, namen en licentievoorwaarden regelmatig aan; controleer bij een besluit de actuele stand.
Deze whitepaper bevat geen klantcases. Cijfers over onze eigen praktijk noemen wij alleen als ze in ons bewijsregister zijn vastgelegd.
Zo maken we dit. Deze whitepaper is met behulp van AI tot stand gekomen en door Twentynext gecontroleerd en goedgekeurd. We controleren feiten en bronnen zorgvuldig, maar kunnen juistheid en volledigheid niet garanderen. Zie onze disclaimer.
Hoe staat uw omgeving ervoor?
In een eerste gesprek van een half uur kijken wij met u naar de tien vragen uit deze whitepaper: waar uw omgeving staat, wat het eerst moet en wat een implementatie bij u vraagt.
Samenwerken
De mensen die het bouwen, beheren het daarna. Sinds 2014 in Eindhoven.
Wij gebruiken Google Tag Manager om bezoek te meten en Leadinfo om te herkennen welk bedrijf onze site bezoekt. Beide laden alleen als u daarmee instemt. Kiest u voor alleen noodzakelijk, dan werkt de site gewoon en meten wij niets. Cookieverklaring · Privacyverklaring
'/%3E%3C/svg%3E){kind=small}
