Hoe voorkom je datalekken bij Microsoft Copilot gebruik?

Microsoft Copilot is een krachtig hulpmiddel dat de productiviteit van medewerkers flink kan verhogen. Maar die kracht brengt ook risico’s met zich mee. Copilot zoekt via Microsoft WorkIQ (Graph) door alle informatie waar een gebruiker toegang toe heeft: e-mails, documenten, Teams-chats, SharePoint-bestanden en OneDrive-content. Als permissies niet goed op orde zijn, kan gevoelige informatie onbedoeld bij de verkeerde persoon terechtkomen. Niet door een hack, niet door kwade opzet, maar simpelweg doordat Copilot doet waarvoor het ontworpen is: relevante informatie ophalen. In dit blog laat ik je zien welke tools en maatregelen je als organisatie kunt inzetten om datalekken te voorkomen, grip te houden op wat Copilot wel en niet mag gebruiken, en tegelijkertijd te voldoen aan de AVG.

Het grootste risico: oversharing

Stel je voor dat een medewerker aan Copilot vraagt om te helpen bij een functioneringsgesprek. Copilot doorzoekt de omgeving en vindt vertrouwelijke HR-documenten, salarisoverzichten of conceptontslagbrieven, niet omdat er iets gehackt is, maar omdat die bestanden ooit breed gedeeld zijn op een SharePoint-site waar niemand meer naar omkijkt. Copilot versterkt het probleem van oversharing: het maakt vindbaar wat eerder verborgen bleef. De meeste organisaties hebben jarenlang permissies opgebouwd zonder die structureel op te schonen. Denk aan SharePoint-sites die openstaan voor de hele organisatie, standaard deellinks die op “iedereen in jouw organisatie” of nog erger “iedereen (ter wereld)” staan, of gebroken permissie-overerving. Copilot ruimt dit niet voor je op, het maakt het zichtbaar.

Hoe voorkom je datalekken bij gebruik van Copilot?

Stap 1: Inzicht in je omgeving met SharePoint Advanced Management

Voordat je Copilot breed uitrolt, moet je weten hoe je omgeving ervoor staat. SharePoint Advanced Management (SAM) is hiervoor het startpunt. SAM is sinds begin 2025 inbegrepen bij de Microsoft 365 Copilot-licentie en biedt beheerders de tools om content sprawl, oversharing en de levenscyclus van content in kaart te brengen. Wat kun je doen met SAM?

• Content Management Assessment: Een geautomatiseerde evaluatie van je SharePoint-omgeving die misconfiguraties, inactieve sites, permissieproblemen en risico’s in kaart brengt. Dit rapport vormt je baseline voor governance.
• Oversharing Baseline Report en Permissioned User Report: Deze rapporten tonen per site hoeveel gebruikers toegang hebben tot content, waar breed gedeeld is met “Iedereen behalve externe gebruikers” (EEEU), en waar gastgebruikers rechten hebben. Hiermee identificeer je precies waar de grootste risico’s zitten.
• Site Lifecycle Management: Automatisch inactieve of eigenaarloze sites opsporen en actie ondernemen, zoals archiveren, read-only zetten of eigenaren vragen om de site te onderhouden. Verouderde content die Copilot kan ophalen leidt tot onbetrouwbare antwoorden.
• Site Access Reviews: Delegeer het beoordelen van permissies aan site-eigenaren. Zo maak je governance schaalbaar zonder dat IT alles zelf hoeft te controleren.

Stap 2: Data uitsluiten van Copilot

Soms wil je dat bepaalde content simpelweg niet door Copilot gevonden kan worden. Er zijn drie manieren om dat te bereiken.

• Restricted Content Discovery (RCD): Met Restricted Content Discovery kun je per SharePoint-site instellen dat de content niet verschijnt in de organisatiebrede zoekopdrachten en Copilot Business Chat. Gebruikers die eerder met bestanden op die site hebben gewerkt, kunnen ze nog wel vinden. RCD is een site-niveau instelling die je inschakelt via het SharePoint Admin Center (onder Active sites > Settings) of via PowerShell. Let op: overmatig gebruik van RCD kan de kwaliteit van zoekresultaten en Copilot-antwoorden negatief beïnvloeden. Gebruik het gericht voor sites met het hoogste risico.
• Zoekindex uitschakelen op library-niveau: Wil je niet een hele site uitsluiten maar alleen specifieke documentbibliotheken? Dan kun je per library de zoekindexering uitschakelen via Library Settings > Advanced Settings. Bestanden die niet geïndexeerd zijn, kunnen niet door Copilot gevonden worden.
• Restricted SharePoint Search: Dit is een meer rigoureuze, tijdelijke maatregel waarbij je een allowlist opstelt van maximaal 100 SharePoint-sites die wél doorzoekbaar zijn voor Copilot. Alles wat niet op de lijst staat is onzichtbaar. Microsoft positioneert dit expliciet als korte-termijnoplossing om tijd te winnen voor het opschonen van permissies.

Stap 3: Dataclassificatie met sensitivity labels

Dataclassificatie met sensitivity labels uit Microsoft Purview Information Protection vormen de ruggengraat van je databeveiliging. In plaats van hele sites te blokkeren, bescherm je op documentniveau. Een sensitivity label bepaalt wie een bestand mag openen, bewerken en delen. Copilot respecteert deze labels: als een gebruiker geen toegang heeft tot een gelabeld document, kan Copilot het ook niet ophalen. Bovendien, als Copilot een document met een sensitivity label als bron gebruikt, krijgt de output datzelfde label mee. Zo reist de bescherming mee met de informatie. Hoe begin je? Start met het classificeren van je meest gevoelige informatie. Denk aan HR-dossiers, financiële rapportages, strategische plannen en persoonsgegevens. Stel automatische labeling in zodat documenten met bepaalde patronen (zoals BSN-nummers, IBAN-nummers of medische termen) automatisch een passend label krijgen. Combineer dit met verplichte labeling, zodat medewerkers bij het aanmaken van nieuwe documenten altijd een classificatie moeten kiezen.

Stap 4: Data Loss Prevention (DLP) met Microsoft Purview

DLP-policies voorkomen dat gevoelige informatie de organisatie verlaat of bij verkeerde personen terechtkomt. Met Microsoft Purview DLP kun je regels instellen die automatisch ingrijpen wanneer medewerkers gevoelige data delen via Copilot, Teams, e-mail of andere kanalen. Concreet kun je bijvoorbeeld instellen dat:

• Medewerkers een waarschuwing krijgen wanneer ze gevoelige informatie plakken in een AI-prompt
• Gebruikers met een verhoogd risicoprofiel (via Adaptive Protection) geblokkeerd worden bij het uploaden van gevoelige data naar AI-apps
• Het delen van documenten met bepaalde sensitivity labels buiten de organisatie automatisch wordt geblokkeerd

DLP werkt samen met sensitivity labels en de classificatie-engine: hoe beter je data geclassificeerd is, hoe effectiever je DLP-policies.

Stap 5: AI-gebruik monitoren met Purview DSPM for AI

Microsoft Purview Data Security Posture Management for AI (DSPM for AI) is het centrale dashboard voor het beveiligen en monitoren van AI-gebruik binnen je organisatie. Het ondersteunt niet alleen Microsoft 365 Copilot, maar ook third-party AI-tools zoals ChatGPT en Google Gemini. Wat biedt DSPM for AI?

• Inzicht in AI-interacties: Bekijk hoeveel interacties er plaatsvinden met Copilot en andere AI-apps, welke gevoelige informatie daarbij betrokken is en welke gebruikers het meest actief zijn.
• One-click policies: Snel kant-en-klare beveiligingsbeleiden activeren, zoals het detecteren van gevoelige informatie in AI-prompts, het vastleggen van prompts en responses voor compliance-doeleinden, of het blokkeren van risicovolle uploads naar AI-sites.
• Data Risk Assessments: Laat DSPM je SharePoint-omgeving scannen op oversharing-risico’s. Het rapport toont welke sites gevoelige content bevatten die breed toegankelijk is en geeft aanbevelingen voor herstelacties. Bij item-level scanning kun je zelfs op bestandsniveau zien waar de risico’s zitten. Site-eigenaren kunnen via het portaal direct actie ondernemen.
• Apps en agents monitoring: Bekijk welke AI-apps en agents in je organisatie worden gebruikt, welke gevoelige data ze benaderen en of ze beschermd worden door Purview-policies. Dit is essentieel nu AI-agents steeds vaker worden ingezet.
• Goedkeuring voor organisatierisico’s: DSPM signaleert wanneer AI-gebruik leidt tot compliance-risico’s en biedt gerichte aanbevelingen die direct doorlinken naar de juiste Purview-module, of dat nu DLP, Information Protection of Data Lifecycle Management is.

Stap 6: eDiscovery voor AI-interacties

Met Microsoft Purview eDiscovery kun je prompts en responses van Copilot doorzoeken, bekijken en exporteren. Dit is cruciaal voor juridische onderzoeken, interne audits en compliance-vereisten. Stel dat er een vermoeden is van ongeoorloofd gebruik van Copilot, bijvoorbeeld een medewerker die via Copilot toegang krijgt tot vertrouwelijke informatie. Met eDiscovery kun je exact achterhalen welke prompts zijn ingevoerd, welke bronbestanden Copilot heeft gebruikt en wat de gegenereerde antwoorden waren. Ook voor AVG-verzoeken (recht op inzage, recht op verwijdering) is eDiscovery waardevol, je kunt precies achterhalen welke persoonsgegevens via Copilot zijn verwerkt.

Stap 7: Adoptie en impact meten met het Copilot Dashboard

Het Copilot Dashboard in Viva Insights geeft leidinggevenden en IT-beheerders inzicht in hoe Copilot wordt gebruikt en welke impact het heeft. Het dashboard is beschikbaar voor elke organisatie met een Microsoft 365-abonnement, je hebt geen apart Viva Insights-licentie nodig. Wat zie je in het dashboard?

• Adoptie-metrics: Hoeveel gebruikers zijn actief met Copilot, hoe groeit het gebruik over tijd, en welke apps worden het meest gebruikt?
• Gebruikspatronen: Wanneer en hoe gebruiken medewerkers Copilot? Hoeveel prompts worden er per dag ingediend?
• Productiviteitsimpact: Wat is het effect van Copilot op vergadertijd, e-mailverwerking en documentcreatie?
• ROI-indicatoren: Datapunten die helpen bij het beoordelen van de return on investment.
• Power users identificeren: Sinds begin 2026 kun je via het adoptie-rapport in Power BI onderscheid maken tussen power users, gewone gebruikers en niet-actieve gebruikers. Dit helpt bij het gericht inzetten van training en enablement.

Het dashboard laat ook zien hoe Copilot Chat (zonder licentie) wordt gebruikt naast gelicenseerd M365 Copilot-gebruik, zodat je een compleet beeld hebt van AI-adoptie in je organisatie.

Wat deel je wel en wat niet met Copilot?

Een veel gestelde vraag is: wat mag een medewerker eigenlijk wel en niet aan Copilot vragen? Hier is een praktisch kader. Wat kan veilig

• Vragen om hulp bij het schrijven van e-mails, presentaties of documenten op basis van je eigen bestanden
• Samenvattingen maken van meetings waar je zelf aan deelnam
• Informatie opzoeken in documenten waar je toegang toe hebt
• Brainstormen, concepten uitwerken of teksten verbeteren
• Data analyseren in Excel-bestanden die je zelf beheert

Waar moet je voorzichtig mee zijn

• Gevoelige persoonsgegevens invoeren in prompts
• Copilot vragen om informatie te combineren uit bronnen met verschillende vertrouwelijkheidsniveaus
• Copilot-output zonder controle doorsturen naar externen
• Copilot gebruiken voor persoonlijke doeleinden met bedrijfsaccount
• Aannames doen dat Copilot-output altijd correct en volledig is

Wat moet je nooit doen

• Wachtwoorden, API-sleutels of andere credentials in prompts invoeren
• Bijzondere persoonsgegevens of extra gevoelige gegevens zoals BSN-nummers, medische gegevens
• Copilot vragen om toegang te zoeken tot informatie waar je niet bij hoort te kunnen
• Copilot-antwoorden als feitelijk correct behandelen zonder verificatie bij gevoelige beslissingen
• Output met vertrouwelijke informatie opslaan op onbeveiligde locaties

Een integrale aanpak: technologie, proces en mensen

Veilig werken met Copilot vraagt om meer dan alleen technische maatregelen. Het gaat om een integrale aanpak waarin technologie, processen en mensen samenkomen.

• Technologie: Zet SharePoint Advanced Management in voor inzicht en opschoning, configureer sensitivity labels en DLP-policies, activeer DSPM for AI voor monitoring en gebruik eDiscovery voor compliance.
• Proces: Voer een permissie-audit uit vóór de Copilot-uitrol, stel duidelijke AI-gebruiksrichtlijnen op, plan een gefaseerde rollout en evalueer regelmatig via het Copilot Dashboard.
• Mensen: Train medewerkers in veilig en verantwoord AI-gebruik. Leer ze hoe ze gevoelige informatie herkennen in Copilot-responses, wanneer ze extra voorzichtig moeten zijn en hoe ze prompts veilig formuleren.

AVG-compliance: wat moet je regelen?

De AVG vereist dat je een Data Protection Impact Assessment (DPIA) uitvoert voordat je Copilot inzet voor het verwerken van persoonsgegevens. Microsoft Copilot voldoet aan de EU Data Boundary-vereisten, waarbij data binnen Europese datacenters blijft. Toch moet je als organisatie zelf beoordelen welke juridische grondslag je hanteert voor AI-verwerking van persoonsgegevens en hoe je medewerkers hierover informeert. Gebruik privacy-by-design principes: start met restrictieve instellingen, log alle AI-interacties via Purview Audit, en stel retention policies in zodat verouderde of gevoelige gegevens niet onnodig lang beschikbaar blijven.

Aan de slag

De combinatie van SharePoint Advanced Management, Microsoft Purview (sensitivity labels, DLP, DSPM for AI, eDiscovery) en het Copilot Dashboard geeft je alle instrumenten om Copilot veilig en verantwoord in te zetten. Begin met inzicht, bouw beveiliging op in lagen en investeer in training van je medewerkers. Wil je meer weten over het veilig implementeren van Microsoft Copilot? AVK Training & Coaching helpt organisaties bij alle aspecten van AI-adoptie, van technische configuratie en governance tot gebruikerstraining en change management. Neem gerust contact met ons op voor een vrijblijvend gesprek. Wij helpen je graag verder!