Copilot kan visa det medarbetaren har behörighet till

Behörigheterna i Microsoft 365 avgör vad Copilot kan visa en medarbetare. Det är rimligt att räkna med att säkerheten redan finns i miljön, men då behöver behörigheterna också vara rätt satta. Copilot ger ingen medarbetare åtkomst till något hen inte redan har. Däremot kan en fråga hitta sådant som hen har behörighet till men aldrig letat upp.

Copilot följer de behörigheter som redan finns

Microsofts dokumentation om Copilot beskriver principen. Copilot visar bara organisationens data om den enskilda användaren har minst läsbehörighet till den. Microsoft påpekar att bolaget självt behöver använda behörighetsmodellerna, till exempel i SharePoint, för att rätt personer och grupper ska ha rätt åtkomst till rätt innehåll. Behörigheter som getts till personer utanför bolaget, till exempel i delade kanaler i Teams, räknas med.

Skyddet ligger alltså i behörigheterna. Copilot bygger på dem och ersätter dem inte.

Gamla delningar blir lätta att hitta

Det här är vår bedömning och inte något Microsoft skriver. I en miljö som vuxit under flera år kan det finnas mappar som delades med hela bolaget för ett projekt som sedan avslutades. Behörigheterna ligger kvar. Innehållet har till stor del skyddats av att ingen visste var det låg.

Den som ställer en fråga till Copilot behöver inte veta var något ligger. Frågan styr vad som kommer upp, och behörigheterna styr vad som får göra det.

Microsoft kallar problemet oversharing, som kan översättas med överdelning. I en utbildningsmodul om att styra SharePoint och OneDrive inför Copilot beskrivs rapporter som ger en baslinje för befintlig överdelning. Modulen förklarar att behörigheter och delningsinställningar tillsammans avgör vad Copilot kan nå. Bolagets inställningar för delning utåt sätter ett tak som enskilda webbplatser kan skärpa men aldrig överskrida.

Så kan ledningen hantera behörigheterna

Frågan hör hemma hos ledningen, eftersom den gäller vilken information som ska vara öppen för vem. Det är ett affärsbeslut innan det blir en teknikfråga.

Be IT-ansvarig eller IT-leverantören visa vilka webbplatser och mappar som är öppna för hela bolaget, och vem som äger vardera. Fråga om någon har gått igenom delningarna sedan miljön sattes upp. Bestäm sedan vilka områden, till exempel personalärenden och lön, som aldrig ska kunna nås av alla, och be att det kontrolleras innan fler får Copilot.

Microsoft beskriver också funktionen Restricted Content Discovery, som tar en webbplats ur sökningen i hela organisationen och ur Copilots breda sökning utan att några behörigheter ändras. Enligt modulen är den tänkt som en tillfällig åtgärd medan den underliggande delningen rättas till. Den ersätter inte rättningen, och Copilot kan fortfarande visa innehåll som användaren själv äger eller nyligen har använt, även på en dold webbplats. Vilka funktioner som finns beror på bolagets licenser, och det svarar IT-leverantören på.

Vilken information som får läggas in i AI-verktyg tas upp i artikeln om företagshemligheter och AI. Om ni inte vet vilka verktyg som redan används hjälper artikeln om att hitta alla AI-initiativ som redan pågår.

Fråga er vilka dokument ni inte vill att en nyanställd ska få se i ett svar från Copilot. Be sedan IT-leverantören visa vem som i dag har åtkomst till dem.