Een medewerker van marketing vraagt Copilot om een overzicht van “alles over het nieuwe beloningsbeleid”. Het antwoord is verrassend volledig. Inclusief de salarisschalen per functie, uit een Excel-bestand dat drie jaar geleden in een Teams-kanaal is gedeeld met “iedereen in de organisatie”.
Copilot heeft niets gehackt. Het heeft alleen gevonden wat al openstond.
Dit soort situaties zien we bij vrijwel elke organisatie waar we een Copilot-traject starten. Niet omdat mensen slordig zijn, maar omdat Microsoft 365 is gegroeid zonder dat iemand bijhield wie wat kon zien. Deellinks blijven bestaan. Teams-sites raken hun eigenaar kwijt als iemand vertrekt. Zolang niemand die bestanden zocht, bleef het risico onzichtbaar. AI maakt het in één klap zichtbaar.
Wat is data governance eigenlijk?
Data governance klinkt groot, maar komt neer op vier vragen. Welke data hebben we? Hoe gevoelig is die? Wie mag erbij? En hoe zorgen we dat dat zo blijft?
Het is geen project met een einddatum, maar een manier van werken. Net als een boekhouding: je richt het één keer goed in en houdt het daarna bij. Het verschil tussen organisaties die grip hebben en organisaties die het niet hebben, zit zelden in de tooling. Het zit in eigenaarschap en ritme.
In de Microsoft-omgeving is Microsoft Purview het centrale platform hiervoor. Daarmee classificeer je data, bescherm je gevoelige bestanden en zie je hoe data wordt gebruikt, ook door AI.
Stap 1: Inventariseer wat er openstaat
Begin niet met beleid, maar met zicht. Met Data Security Posture Management (DSPM) in Purview en SharePoint Advanced Management breng je in kaart:
- Welke SharePoint-sites en Teams te breed zijn gedeeld
- Waar gevoelige gegevens staan, zoals BSN-nummers, IBAN’s of medische informatie
- Welke sites geen eigenaar meer hebben of al lang niet zijn gebruikt
- Welke deellinks nog actief zijn naar mensen buiten de organisatie
Dit levert vaak meer op dan verwacht. Wij zien regelmatig honderden sites waar “iedereen” toegang heeft, terwijl slechts een handvol mensen het nodig heeft.
Stap 2: Classificeer met maximaal drie of vier labels
We schreven het al eerder in onze blog over databeleid en AI-tools: houd het simpel. Drie labels zijn genoeg om te beginnen:
- Openbaar: mag naar buiten
- Intern: blijft binnen de organisatie
- Vertrouwelijk: versleuteld en alleen toegankelijk voor wie het nodig heeft
Gebruik Purview om labels automatisch voor te stellen op basis van inhoud, en laat medewerkers ze bevestigen. Onze toets: kan een collega die twee weken in dienst is vertellen in welke categorie een klantcontract valt? Zo niet, dan is je indeling te ingewikkeld.
Stap 3: Bescherm wat gevoelig is
Labels zijn pas waardevol als er iets aan hangt. Koppel ze aan concrete maatregelen:
- Versleuteling voor vertrouwelijke bestanden, zodat ze ook buiten de organisatie beschermd blijven
- Data loss prevention (DLP) die voorkomt dat vertrouwelijke documenten naar privémail of niet-goedgekeurde apps gaan
- DLP voor Copilot, zodat bestanden met een bepaald label niet worden gebruikt in Copilot-antwoorden
- Toegang opschonen op de sites uit stap 1: brede rechten weg, eigenaar aanwijzen
Heb je Copilot al uitgerold en wil je snel risico verkleinen? Met Restricted Content Discovery in SharePoint sluit je gevoelige sites tijdelijk uit van Copilot, terwijl je de rechten opruimt.
Stap 4: Houd het bij
Hier gaat het meestal mis. Een eenmalige opschoonactie is na een jaar alweer achterhaald. Wat werkt:
- Elke site en elk team heeft een eigenaar die twee keer per jaar de toegang bevestigt
- Inactieve sites worden automatisch gesignaleerd en gearchiveerd
- Eén keer per kwartaal bekijk je de rapportages uit Purview: nieuwe risico’s, labelgebruik, DLP-meldingen
- Nieuwe medewerkers krijgen in hun onboarding vijf minuten uitleg over de labels
Dat is het hele geheim: kleine, vaste momenten in plaats van grote projecten.
Wat het oplevert
Organisaties die deze stappen doorlopen merken drie dingen. Copilot geeft betere antwoorden, omdat het werkt met actuele en juiste data in plaats van oude kopieën. Vragen van klanten en toezichthouders over dataveiligheid zijn sneller te beantwoorden. En het gesprek over AI gaat niet meer over “mag dit wel”, maar over “wat levert het op”.
Data governance is geen rem op innovatie. Het is wat innovatie veilig schaalbaar maakt. Wie nu grip krijgt op zijn data, is altijd in control, ook als de volgende AI-toepassing zich aandient.
Wil je weten hoe jouw data ervoor staat voordat je Copilot breed uitrolt? Plan een adviesgesprek.
Veelgestelde vragen over data governance in Microsoft 365
Is Copilot een risico voor mijn bedrijfsdata?
Copilot toont alleen informatie waar een medewerker al toegang toe heeft. Het risico zit dus niet in Copilot zelf, maar in te breed gedeelde bestanden en sites. Door rechten op te schonen en gevoelige data te labelen, beperk je dat risico.
Wat is Microsoft Purview?
Microsoft Purview is het platform van Microsoft voor databeveiliging, governance en compliance. Je gebruikt het onder meer om data te classificeren met gevoeligheidslabels, datalekken te voorkomen met DLP-regels en inzicht te krijgen in hoe data wordt gebruikt, ook door AI-toepassingen.
Hoeveel gevoeligheidslabels heb ik nodig?
Begin met drie of vier, bijvoorbeeld openbaar, intern en vertrouwelijk. Meer labels maken het voor medewerkers lastiger om de juiste keuze te maken. Je kunt later altijd uitbreiden als daar een duidelijke reden voor is.
