Copilot ser allt era medarbetare har åtkomst till – vet ni vad det är?

När företag inför Microsoft 365 Copilot handlar diskussionen ofta om produktivitet, licenskostnader och vilka avdelningar som ska börja. En fråga hamnar ofta längre ner på listan, fast den borde stå först: vad kan Copilot faktiskt komma åt?

Svaret är enkelt. Copilot kan komma åt allt som användaren redan har behörighet till. Inte mer, men inte heller mindre.

Problemet är inte AI – det är behörigheterna

Copilot följer de behörigheter som redan finns i SharePoint, OneDrive, Teams och Exchange. Det låter tryggt, och tekniskt sett är det korrekt. Problemet är att de flesta organisationer har byggt upp år av behörigheter som ingen riktigt har överblick över.

Det handlar sällan om något dramatiskt. Det är vardagliga saker som:

• Filer som delats med "Alla i organisationen" för att det gick snabbast
• Teams-ytor från gamla projekt som fortfarande är öppna för många
• Delningslänkar som skapades för en extern partner och aldrig togs bort
• Medarbetare som bytt roll men behållit åtkomst från sin tidigare tjänst
• Mappar med löneunderlag, avtal eller personaldata som hamnat på fel ställe

Tidigare skyddades mycket av det här av att ingen visste var det låg. Ingen letade igenom tusentals SharePoint-ytor efter ett gammalt lönedokument. Med en AI-assistent räcker det att ställa en fråga.

Det gäller inte bara Copilot

Samma logik gäller för andra AI-verktyg som kopplas mot er data, till exempel Gemini i Google Workspace eller AI-assistenter som anslutits till era system. Dessutom använder många medarbetare AI-tjänster som IT inte känner till, och klistrar in kunddata, avtal eller kod för att få hjälp. Det kallas ofta shadow AI, och i många organisationer är det redan vardag.

Frågan är alltså inte om ni använder AI. Frågan är vilken data AI kan nå, och om ni vet det.

Kopplingen till NIS2

För verksamheter som omfattas av NIS2, i Sverige genom cybersäkerhetslagen, är åtkomstkontroll och riskhantering inte längre bara god praxis. Ni förväntas kunna visa att ni har kontroll över vem som kommer åt vilken information, och att ni hanterar risker när ni inför nya verktyg. Att införa AI ovanpå behörigheter man inte har överblick över är svårt att försvara.

Fem saker ni kan göra redan nu

1. Kartlägg innan ni skalar upp. Ta reda på var känslig information ligger och vem som har åtkomst till den innan AI rullas ut brett.
2. Städa bland breda delningar. Börja med "Alla i organisationen" och anonyma länkar. Det är där de största riskerna brukar finnas.
3. Se över gamla Teams och SharePoint-ytor. Arkivera eller stäng det som inte används.
4. Klassificera känslig data. Det som är märkt som känsligt kan skyddas och följas upp på ett helt annat sätt.
5. Ta reda på vilka AI-tjänster som faktiskt används. Det är svårt att sätta riktlinjer för något man inte vet om.

Börja med en nulägesbild

Det viktigaste första steget är att få en ärlig bild av läget. Många blir förvånade när de ser hur mycket som faktiskt är delat, och hur lite av det som är medvetet.

AI kommer att bli en självklar del av arbetsdagen. Med rätt förberedelser blir det en fördel, inte en risk.