Een accountmanager bouwt op vrijdagmiddag in een uur een agent in Copilot Studio. Hij koppelt de SharePoint-site met klantdossiers, uploadt een paar prijslijsten en deelt de agent met “iedereen”. Maandag gebruiken veertig collega’s hem. Handig. Totdat iemand van marketing vraagt welke korting de grootste klant krijgt, en een precies antwoord krijgt.
Niemand heeft iets fout bedoeld. Maar de prijslijsten zijn nu onderdeel van de agent, los van de map waar ze ooit stonden. En niemand bij IT weet dat de agent bestaat.
Dit is de volgende stap na Copilot. Bij Copilot ging het om de vraag wat er openstond in Microsoft 365. Bij agents gaat het om een nieuwe vraag: wie bouwt er wat, met welke data, en voor wie?
Waarom agents een eigen aanpak vragen
Microsoft 365 Copilot werkt met de rechten van de gebruiker. Een zelfgebouwde agent kan meer. Een paar verschillen die we in de praktijk tegenkomen:
- Geüploade bestanden worden kennis van de agent zelf. Wie de agent mag gebruiken, krijgt antwoorden uit die bestanden.
- Koppelingen en acties kunnen zo zijn ingesteld dat ze met de rechten van de bouwer werken in plaats van die van de gebruiker.
- Kanalen bepalen wie erbij kan. Een agent op een openbare website of zonder inlog is iets heel anders dan een agent in Teams.
- Autonome agents reageren op triggers en doen dingen zonder dat er iemand meekijkt.
Agents bouwen is bewust makkelijk gemaakt. Dat is goed nieuws voor productiviteit, en precies de reden dat governance vooraf geregeld moet zijn.
Stap 1: Weet welke agents er zijn
Je kunt niet beheren wat je niet ziet. In het Microsoft 365-beheercentrum vind je onder Agents > All agents het overzicht van agents in je organisatie. Microsoft brengt dit samen in Agent 365, één register voor alle agents, ook die van andere leveranciers. Voor alleen bekijken is geen aparte licentie nodig, wel de juiste rol (AI Reader).
Begin daar. Wij zien bij een eerste inventarisatie vrijwel altijd agents waarvan niemand meer weet wie ze heeft gemaakt.
Stap 2: Richt bouwomgevingen in
Niet elke agent hoeft meteen in productie. Werk met aparte Power Platform-omgevingen:
- Persoonlijke ontwikkelomgeving: strenge regels, geen anonieme agents, de meeste kanalen en koppelingen dicht
- Ontwikkel- en testomgeving per team: ruimere regels voor de koppelingen die het team echt nodig heeft
- Productie: alleen agents die zijn beoordeeld en een eigenaar hebben
Met environment routing komen nieuwe bouwers automatisch in een veilige omgeving terecht. Een welkomstbericht kan ze direct wijzen op de spelregels.
Stap 3: Leg vast wat agents mogen met data policies
In het Power Platform-beheercentrum stel je data policies in. Daarmee bepaal je per omgeving wat bouwers kunnen gebruiken. Onze standaard bij klanten:
- Inloggen met Microsoft Entra ID verplicht, geen anonieme agents
- Alleen goedgekeurde kennisbronnen, met filtering op specifieke SharePoint-sites en websites
- Losse HTTP-verzoeken en onbekende koppelingen geblokkeerd
- Publiceren alleen naar Teams en Microsoft 365, niet naar openbare kanalen
Copilot Studio handhaaft deze regels direct. Een bouwer ziet meteen waarom iets niet mag, en de publicatieknop werkt pas als de agent voldoet.
Stap 4: Bescherm de kennisbronnen
Alles uit onze blog over data governance in Microsoft 365 geldt hier dubbel. Een agent is zo goed en zo veilig als de data waar hij uit put.
- Gevoeligheidslabels worden gerespecteerd. Een agent toont bij elk antwoord het hoogste label van de gebruikte bronnen.
- DLP voor Copilot voorkomt dat agents bestanden met een bepaald label verwerken, zoals “Vertrouwelijk”. Test zo’n regel eerst in simulatiemodus.
- Bewaarbeleid ruimt verouderde documenten op. Dat verkleint het risico én maakt antwoorden betrouwbaarder.
- Geen gevoelige bestanden uploaden als kennis. Verwijs liever naar een SharePoint-site met de juiste rechten.
Stap 5: Elke agent een eigenaar
Een agent zonder eigenaar is een risico dat blijft draaien. Leg per agent vast wie verantwoordelijk is, waarvoor hij dient en wanneer hij wordt herzien. Met Microsoft Entra Agent ID krijgen agents een eigen identiteit, met een eigenaar en een sponsor, net als een medewerker. Toegang verloopt als hij niet meer nodig is.
Vergeet de monitoring niet. Activiteiten van agents komen in de auditlogs van Purview en kunnen naar Microsoft Sentinel. Zo ziet je SOC ook wat agents doen, niet alleen wat mensen doen.
Wat het oplevert
Organisaties die dit vooraf regelen, hoeven agents niet tegen te houden. Ze kunnen juist sneller ja zeggen, omdat de randvoorwaarden er al staan. Bouwers weten wat mag, IT weet wat er draait, en het bestuur kan uitleggen hoe AI veilig wordt ingezet.
Agents worden de komende jaren net zo gewoon als Teams. Wie nu de spelregels vastlegt, blijft altijd in control, hoeveel agents er ook bijkomen.
Wil je agents bouwen zonder grip op je data te verliezen? Plan een adviesgesprek.
Veelgestelde vragen over Copilot-agents en data governance
Kan een Copilot-agent informatie tonen waar een gebruiker geen toegang toe heeft?
Bij kennis uit SharePoint en OneDrive gelden de rechten van de gebruiker. Maar bestanden die rechtstreeks in een agent zijn geüpload, of koppelingen die met de rechten van de bouwer werken, kunnen wel informatie beschikbaar maken voor iedereen die de agent gebruikt. Daarom zijn data policies en duidelijke bouwregels belangrijk.
Hoe zie ik welke agents er in mijn organisatie zijn?
In het Microsoft 365-beheercentrum onder Agents > All agents. Dit overzicht maakt deel uit van Microsoft Agent 365 en toont agents van verschillende platforms. Je hebt minimaal de rol AI Reader nodig.
Wat zijn data policies in Copilot Studio?
Data policies zijn regels in het Power Platform-beheercentrum die bepalen welke kennisbronnen, koppelingen en kanalen agentbouwers mogen gebruiken. Copilot Studio handhaaft ze direct: een agent die de regels overtreedt, kan niet worden gepubliceerd.
