Je SharePoint Copilot-klaar maken: eerst de rechten, dan de dubbele versies

Op de dag dat je Microsoft Copilot aanzet, verandert er niets aan je rechten. Dat is precies het probleem. De map die ooit "even open" ging voor een project, de deellink die iemand in 2023 naar een leverancier stuurde, de teamsite van een overname die nooit is opgeruimd: dat stond er gisteren allemaal ook al. Alleen vond niemand het. Vanaf vandaag typt een collega een vraag in gewone taal en krijgt hij een antwoord, met een klikbare bronvermelding eronder.

Deze gids is voor de ondernemer of beheerder die Copilot wil aanzetten op een SharePoint-omgeving die in tien jaar organisch is gegroeid. Hij loopt de opruimklus af in de volgorde waarin het in de praktijk misgaat, met de twee faalmodi strikt uit elkaar gehouden.

De twee manieren waarop het misgaat

Je SharePoint Copilot-klaar maken betekent twee dingen op orde brengen voordat je de assistent aanzet: wie wát mag zien, en welke versie van een document de waarheid is. Copilot voegt zelf geen toegang toe en beoordeelt zelf niet of iets nog actueel is. Hij maakt in seconden vindbaar en citeerbaar wat er al stond.

Faalmodus 1 is hij ziet te veel. Microsoft is daar kort over: Copilot toont alleen organisatiedata waarop de individuele gebruiker minstens leesrechten heeft. Dat klinkt geruststellend tot je narekent hoeveel een gemiddelde medewerker technisch al mág openen zonder het ooit gevonden te hebben. Het salarisbestand in een oude teamsite, de due-diligencemap van een overname, een verzuimdossier in de OneDrive van een vertrokken leidinggevende: allemaal binnen bereik van iemand die de juiste vraag stelt.

Faalmodus 2 is hij antwoordt uit de verkeerde versie. Copilot beoordeelt niet of een document nog geldt: staat het nog in de index en heeft de gebruiker er rechten op, dan kan het gewoon als bron dienen, hoe verouderd het ook is. Een prijslijst uit 2022 leest voor het model precies zo gezaghebbend als die van deze maand, en drie bijna identieke offertesjablonen leveren drie verschillende "juiste" antwoorden op. Dit is geen beveiligingsprobleem maar een vertrouwensprobleem, en het is het probleem dat je uitrol stilletjes doodt.

In de Gartner-enquête onder 186 organisaties (veldwerk maart tot mei 2026) noemde 51 procent oversharing en dataverlies de grootste barrière voor een geslaagde Copilot-uitrol, zoals beveiligingsleverancier Opsin uit dat onderzoek citeert. Het rapport zelf zit achter Gartner; wat je hier leest is dus een citaat uit een blogpost van een leverancier die zelf oplossingen voor oversharing verkoopt. Dat is geen technisch mankement van Copilot. Het is een rekening die al jaren openstond.

Waarom de rechten vóór de inhoud gaan

De volgorde is geen detail. Hij bepaalt of je opruimwerk het probleem oplost of het alleen netter maakt.

Wie eerst gaat ontdubbelen terwijl de map nog voor de hele organisatie openstaat, ruimt de verkeerde puinhoop op. Erger nog: je maakt de rommel netter. Van drie half-vindbare kopieën van hetzelfde overnamedossier maak je één schone, goed benoemde bron met heldere kopjes, precies de vorm die een taalmodel het lekkerst leest, en hij staat nog steeds open voor iedereen. Je hebt de vindbaarheid verbeterd zonder de blootstelling te veranderen.

Er is ook een praktische reden. De machtigingsrapporten die je in stap 1 draait, leveren meteen je opschoonlijst voor deel 2. De sites met de breedste toegang zijn bijna altijd dezelfde sites waar het oudste materiaal ligt. Eén meting, twee opbrengsten.

Wat je nodig hebt

Dit is geen project van een middag, maar de vereisten zijn beperkt. Zorg dat je deze zes dingen klaar hebt staan voordat je begint.

• De rol SharePoint-beheerder of SharePoint Advanced Management-beheerder in Microsoft Entra. Die tweede rol mag ook machtigingen op schaal verwijderen; die eerste niet overal.
• Minstens één toegewezen Copilot-licentie in je tenant. Dat is de sleutel die de beheertools ontsluit, ook als je nog niemand anders een licentie geeft.
• SharePoint Online Management Shell. Een paar stappen hieronder kunnen alleen met PowerShell, niet via het beheercentrum.
• Een naam per site. Geen "IT" maar een mens die kan beslissen of een map open mag blijven.
• Een besluit over de bronlocatie per onderwerp. Waar staat vanaf nu het enige geldige prijsblad, het enige personeelshandboek?
• Drie weken doorlooptijd. Rapporten hebben tijd nodig, site-eigenaren ook, en een indexwijziging kan bij grote sites meer dan een week doorwerken.

Deel 1: hij ziet te veel

Stap 1 - Meet de blootstelling voordat je iets aanraakt

Ga in het SharePoint-beheercentrum naar Rapporten en dan Data access governance. Daar staan twee soorten rapporten, en je hebt ze allebei nodig.

De momentopnames geven je de stand van zaken. Het rapport Site permissions across your organization toont de machtigingsstructuur over al je SharePoint- en OneDrive-sites en zet de sites met de breedste toegang bovenaan. Het rapport Site permissions for users beantwoordt de vraag die je bestuurder als eerste stelt: wat kan deze ene medewerker eigenlijk allemaal openen? En het rapport over inhoud gedeeld via speciale SharePoint-groepen laat precies zien welke bestanden effectief openbaar zijn en langs welke weg die toegang is verleend, zodat je met scripts kunt opruimen in plaats van te wachten op site-eigenaren.

De activiteitenrapporten kijken 28 dagen terug: welke sites kregen de meeste nieuwe deellinks, en waar is inhoud met de hele organisatie gedeeld. Momentopname zegt hoe erg het is, activiteit zegt of het nog steeds gebeurt.

Draai daarnaast eenmalig de Content management assessment (in het beheercentrum onder Advanced Management, knop Start assessment). Die bundelt de losse rapporten tot een lijst met aanbevelingen en helpt je bepalen hoe Copilot-gereed je organisatie is. Herhaal hem elke 30 dagen, dan zie je of je vooruit gaat of alleen bezig bent.

Stap 2 - Ruim de vaste bronnen van oversharing op

In vrijwel elke gegroeide Microsoft 365-omgeving komt brede toegang steeds uit dezelfde hoeken.

De teamsite die ooit openging. Iemand voegde de groep Iedereen behalve externe gebruikers toe om snel iets te delen, en die groep bleef staan. Dat is geen zeldzaam ongeluk: het is de standaardmanier waarop een interne map per ongeluk bedrijfsbreed wordt. Het detailrapport uit stap 1 geeft je het item-niveau, inclusief de map of bibliotheek waar de machtiging is gezet. Verwijder de machtiging op het niveau waar hij is verleend. Haal je hem alleen bij een onderliggende map weg, dan erft de rest van de site hem gewoon door.

Deellinks die nooit verlopen. SharePoint zet de deelinstellingen standaard op de meest ruime optie. Ga naar Beleid en dan Delen, zet het standaard-linktype op Specifieke personen, en geef "Iedereen"-links een vervaldatum. Bestaande links veranderen daar niet van, dus loop het rapport over deellinks daarna nog een keer af.

Gasten die er allang niet meer werken. Het machtigingsrapport markeert externe gasten per site. Een gastaccount dat twee jaar niet heeft ingelogd hoort weg, en dat is één van de zeven uitgiftekanalen waarlangs toegang je bedrijf verlaat: een account uitzetten trekt maar één ding in, terwijl OAuth-toestemmingen, API-tokens en service-accounts gewoon blijven werken.

En de apps die ooit toestemming kregen. Een agent of koppeling die jaren geleden leesrechten op SharePoint kreeg, houdt die tot iemand ze intrekt. Onder Advanced Management staat Enterprise app insights, dat per geregistreerde applicatie laat zien hoe die je SharePoint-inhoud benadert. Het intrekken zelf kent een addertje: tenantbrede toestemmingen haal je in Entra weg via het tabblad Admin consent, maar wat gebruikers zelf toestonden kun je alleen via Microsoft Graph PowerShell intrekken.

En dan de OneDrive van de vertrokkene. Die is bijzonder, want het is de enige plek waar het opruimen een klok heeft. Verwijder je het account, dan heb je standaard 30 dagen om nog bij de OneDrive-gegevens te komen voordat de inhoud wordt verwijderd; die termijn is instelbaar tot 3.650 dagen. Verplaats wat het bedrijf nodig heeft naar een echte teamsite, en let op: bij verplaatsen of kopiëren vanuit die beheerdersroute gaat alleen de meest recente versie mee.

Stap 3 - Zet dicht wat je niet op tijd af krijgt

Je gaat niet elke site vóór de startdatum nakijken. Voor de rest heeft Microsoft twee knoppen, en ze doen iets heel verschillends.

Restricted Access Control (RAC) is de echte grens: je koppelt een site aan een beveiligingsgroep en wie daar niet in zit, komt er niet in, ook niet met een oude link. Gebruik dit voor dossiers die sowieso niet breed hadden mogen staan.

Restricted Content Discovery (RCD) is de tijdelijke: de site blijft toegankelijk voor wie er rechten op heeft, maar duikt niet op in organisatiebrede zoekresultaten en Copilot-antwoorden, en de AI-knoppen op die site verdwijnen. Aanzetten kan per site via Sites > Actieve sites > tabblad Instellingen > Restrict content from Microsoft Copilot, of met PowerShell: Set-SPOSite -Identity <site-url> -RestrictContentOrgWideSearch $true.

Twee dingen om nuchter over te zijn. RCD verandert geen enkele machtiging, dus wie de map al kon openen, kan dat nog steeds. En het werkt niet meteen: bij sites met meer dan 500.000 items kan het meer dan een week duren voordat de wijziging in zoekresultaten en Copilot doorwerkt. Zet RCD dus aan voordat je de licenties uitdeelt, niet erna.

Stap 4 - Geef het werk terug aan de site-eigenaren

Jij weet welke sites overshared zijn. Je weet niet welk document er mag staan. Gebruik daarom Site access review: vanuit een rapport stuur je de bevinding naar de eigenaar van de site, die zelf de machtigingen nakijkt en aanpast. Ondersteun dat met een site ownership policy (sites zonder eigenaar worden gesignaleerd) en een site attestation policy (eigenaren bevestigen periodiek dat de site, de leden en de deelinstellingen nog kloppen).

Dit is de stap die het verschil maakt tussen een schoonmaakactie en beheer. Zonder eigenaar staat je omgeving over acht maanden weer precies zo open.

De licentiegrens: wat mag je met welk abonnement

Hier zit een misverstand dat veel opruimplannen laat stranden. De meeste gereedschappen hierboven zitten in SharePoint Advanced Management (SAM), en SAM is geen los product dat je per se moet kopen: zodra minstens één gebruiker in je tenant een Copilot-licentie heeft, krijgen je SharePoint-beheerders de SAM-mogelijkheden die bij een Copilot-uitrol horen. Restricted Content Discovery, de machtigingsrapporten, site access review, de inactieve-sites-policy en Restricted Access Control zitten in dat pakket.

Zonder Copilot-licentie kom je met E5 dus wel aan de activiteitenrapporten, maar niet aan de momentopnames en niet aan de herstelacties, en de activiteitenrapporten stoppen bij 10.000 sites. (Stand augustus 2026; Microsoft schuift regelmatig met deze grenzen.) Wat het budget betreft: de Copilot-licentie zelf is de vaste kant van de rekening, en het verbruik van agents en Copilot Credits is de variabele helft die je apart moet begroten.

Wat je met geen enkele licentie koopt, is de volgorde. En één instrument uit de oude adviezen kun je definitief schrappen: Restricted SharePoint Search (de witte lijst van maximaal 100 sites) is aan het uitfaseren. Sinds 31 juli 2026 kun je het niet meer nieuw aanzetten, het stopt definitief met werken op 31 januari 2027 en Microsoft zet bestaande configuraties niet automatisch om naar RCD. De PowerShell-commando’s verdwijnen een maand later. Wie er nu nog op leunt, moet vóór die datum overstappen, anders wordt de afgeschermde inhoud vanzelf weer vindbaar.

Microsoft noemde die witte lijst altijd al uitdrukkelijk geen beveiligingsgrens. Op de CIAOPS-blog valt het oordeel scherper: het is geen beveiligingsmaatregel maar een manier om tijd te rekken. Datzelfde geldt voor RCD, alleen dan met een net iets langere houdbaarheid.

Deel 2: hij antwoordt uit de verkeerde versie

Nu de rechten kloppen, mag het mes in de inhoud. Het generieke opruimwerk (inventariseren, snoeien, structureren) hoort thuis in het bredere stappenplan om verspreide bestanden tot bruikbare AI-input om te vormen. Hieronder staat wat dáár niet in past: de knoppen die alleen in Microsoft 365 bestaan.

Stap 5 - Kies per onderwerp één bronlocatie

Begin bij de tien onderwerpen waar de meeste vragen over komen: prijzen, algemene voorwaarden, personeelshandboek, offertesjablonen, veiligheidsinstructies. Wijs per onderwerp één bibliotheek aan als de waarheid. Verplaats de rest daarheen met Verplaatsen naar, of gooi hem weg. Wat je niet doet, is een kopie laten staan "voor de zekerheid": dat is exact het bestand dat over drie maanden in een antwoord opduikt.

Stap 6 - Haal het archief uit de index

Voor alles wat je niet mag weggooien maar ook niet wilt laten meepraten, zijn er drie niveaus. Zoekresultaten worden hoe dan ook op machtigingen getrimd; de zoekinstellingen bepalen alleen wat er in de index terechtkomt, niet wie waar bij mag.

Archiveren is voor oude projecten de nette optie, want gearchiveerde inhoud wordt niet door Microsoft Copilot gebruikt en de versiegeschiedenis blijft volledig intact bij heractivering. De heractiveringskosten zijn per 31 maart 2025 vervallen, al mag je een teruggehaalde site vier maanden lang niet opnieuw archiveren. Wil je dit niet handmatig bijhouden, dan verplaatst een inactieve-sites-policy sites automatisch die kant op, en die policy zit in het pakket bij je Copilot-licentie.

Stap 7 - Laat versiebeheer de gepubliceerde versie afdwingen

In bibliotheken waar mensen aan concepten werken, zet je hoofd- en subversies aan met concept-item-beveiliging. Wie alleen leesrechten heeft, kan de subversie dan niet zien: pas als iemand publiceert, wordt het de versie die de rest van het bedrijf ziet. Voeg inhoudsgoedkeuring toe voor documenten waar een fout geld kost, zoals prijsbladen en contractsjablonen.

Zet daarnaast versiegeschiedenislimieten op Automatisch, op organisatieniveau. Dat scheelt opslag en houdt de geschiedenis hanteerbaar. Twee dingen om te weten: versies die door zo’n limiet sneuvelen gaan langs de prullenbak heen en zijn definitief weg, en items onder een bewaarbeleid of eDiscovery-hold zijn uitgezonderd van de limiet.

Wees hier eerlijk over de reikwijdte. Versielimieten bepalen niet welke versie Copilot citeert; ze gaan over opslag en over hoeveel geschiedenis je bewaart. Wat je met versiebeheer wint, is dat er per bestand maar één versie is die als gepubliceerd geldt. Wat bepaalt of Copilot dat bestand überhaupt aanhaalt, zijn stap 5 en stap 6.

Stap 8 - Schrijf de actualiteit in het document zelf

De laatste is de goedkoopste en wordt het vaakst overgeslagen. Copilot leest de tekst in je bestand, niet je mappenstructuur en niet je gevoel bij een bestandsnaam. Zet dus bovenaan elk beleidsstuk, prijsblad en sjabloon één regel: geldig vanaf, versienummer, en bij een vervallen document de opvolger erbij, bijvoorbeeld "vervallen per 1 maart 2026, vervangen door Prijslijst 2026". Die regel reist mee met elk stuk tekst dat het model ophaalt.

Leer je collega’s tegelijk de bronvermelding gebruiken. Microsoft bewaart bij elke interactie de verwijzingen naar de informatie waarop het antwoord is gebaseerd, dus één klik laat zien uit welk bestand het antwoord komt. Een team dat dat gewoon doet, vindt jouw resterende rommel sneller dan welk rapport ook.

Valkuilen

• Ontdubbelen vóór het inperken van rechten. Je maakt de verkeerde rommel netter en levert het model een schone, goed vindbare bron aan die nog steeds voor iedereen openstaat. Meet eerst, perk in, ruim daarna op.
• RCD gebruiken als vervanging voor opruimen. Microsoft waarschuwt zelf dat te ruim gebruik zoveel inhoud buiten beeld houdt dat de antwoorden onvolledig en minder relevant worden. Zet er een einddatum bij, en zet de knop na de review weer uit.
• Nog op Restricted SharePoint Search bouwen. Nieuwe inschakeling is sinds 31 juli 2026 geblokkeerd en de functie stopt op 31 januari 2027, zonder automatische omzetting. Wie hem heeft aanstaan, moet nu een RCD-lijst opbouwen.
• De teamsite opruimen en de OneDrives vergeten. Persoonlijke schijven van vertrokken medewerkers zijn de meest onderschatte bron van gevoelige documenten, en RCD werkt daar niet: het is alleen voor SharePoint-sites, niet voor OneDrive.
• Aannemen dat een E5-abonnement genoeg is. Zonder een toegewezen Copilot-licentie krijg je geen momentopnames en geen herstelacties, en houden de activiteitenrapporten op bij 10.000 sites.
• Denken dat je klaar bent. Een omgeving zonder eigenaars en zonder attestatie loopt binnen een jaar weer vol. Zet de assessment op een terugkerende afspraak van 30 dagen en de attestatie op een half jaar.

Beslis-kader: zelf doen, smal beginnen of laten inrichten

Het aantal sites bepaalt minder dan je denkt. Wat telt is of je iemand hebt die dit ononderbroken kan oppakken, en of er dossiers in staan waar een fout duur is.

Zelf, in het beheercentrum. Onder ongeveer vijftig actieve sites, één beheerder met tijd, geen bijzondere persoonsgegevens. Je komt met de rapporten en de deelinstellingen een heel eind, en je leert je eigen omgeving kennen. Reken op twee tot drie weken doorlooptijd naast je gewone werk.

Zelf, maar met PowerShell. Vanaf ongeveer vijftig sites, of zodra het detailrapport laat zien dat de brede toegang op itemniveau is gezet. Handmatig klikken is dan geen optie meer; je hebt scripts nodig om machtigingen in bulk te verwijderen. Rol de SharePoint Advanced Management-beheerdersrol uit, want een gewone SharePoint-beheerder mag dat niet overal.

Smal beginnen. Je wilt Copilot volgende maand live hebben en de hele tenant krijg je niet op tijd na. Kies één afdeling, ruim daar écht op, en zet RCD op de rest tot je toekomt aan de review. Dit is een houdbare route, mits je de einddatum vastlegt.

Laten inrichten. Meerdere tenants of een migratiehistorie, bijzondere persoonsgegevens waarvoor je een verwerkingsgrondslag en soms een DPIA moet kunnen aantonen, of het plan om bovenop deze inhoud een eigen kennisbank of agent te zetten. Dan is de opruimklus geen eenmalige actie maar de fundering van een systeem, en dan wil je de inrichting en de bouw in één hand.

Uitgewerkt voorbeeld: een ingenieursbureau van 68 mensen

Stel, een ingenieursbureau met 68 medewerkers en 140 SharePoint-sites wil Copilot in oktober uitrollen. Zo zien die drie weken eruit.

Week 1, meten. De assessment draait in een nacht. Het machtigingsrapport zet negen sites bovenaan met toegang voor de hele organisatie; het detailrapport laat zien dat het bij zeven daarvan om één map gaat waarop ooit Iedereen behalve externe gebruikers is gezet. Het activiteitenrapport over deellinks toont twee sites waar de afgelopen maand nieuwe "Iedereen"-links zijn gemaakt. Het rapport over gebruikers, gedraaid op de directiesecretaresse, geeft de onaangename verrassing: zij kan bij het volledige archief van een overnametraject uit 2023.

Week 2, inperken. De zeven mappen worden losgetrokken van de organisatiegroep, met de site-eigenaren erbij zodat er niets breekt. Het standaard-linktype gaat naar Specifieke personen, "Iedereen"-links krijgen een vervaldatum van 30 dagen. Elf gastaccounts zonder aanmelding in het afgelopen jaar gaan eruit. Het overnamearchief en twee HR-sites krijgen Restricted Access Control met een beveiligingsgroep van vier mensen. Drie sites die nog niemand heeft nagekeken, krijgen RCD aan, met 15 oktober in de agenda als reviewdatum.

Week 3, inhoud. Prijsbladen, veiligheidsinstructies en contractsjablonen krijgen elk één bibliotheek als bron; 340 kopieën verdwijnen. Zeventien projectsites uit 2019 tot 2022 gaan naar Microsoft 365 Archive, waarmee ze buiten Copilot vallen en de opslag terugloopt. In de drie sjabloonbibliotheken gaan hoofd- en subversies aan met concept-item-beveiliging, zodat een half afgemaakte offerte niet meer als bron kan dienen. Boven elk vervallen document komt één regel met de vervangende versie.

Op 1 oktober krijgen twaalf mensen een licentie in plaats van 68. Twee weken later loopt de eerste bredere groep mee, met de assessment als terugkerende maandelijkse check.

De volgorde is het advies

Het verleidelijke aan dit onderwerp is dat er knoppen voor bestaan. Restricted Content Discovery, gevoeligheidslabels, een archiefbeleid: allemaal echt, allemaal nuttig, en geen ervan lost op wat er werkelijk aan de hand is. Je omgeving is niet stuk. Hij is precies zo rommelig als tien jaar samenwerken hem gemaakt heeft, en zolang niemand die rommel kon doorzoeken viel dat niet op.

Copilot is in die zin geen risico maar een spiegel. Wie hem aanzet zonder eerst te meten, ontdekt zijn eigen archief via de vragen van collega’s. Wie eerst de rechten inperkt en daarna de inhoud opruimt, krijgt iets terug wat veel meer waard is dan een AI-assistent: een omgeving waarin je weet wie wat kan zien, en welk document de waarheid is. Dat had je sowieso al moeten weten.