Copilot w firmie: co musi być gotowe, zanim włączysz licencje

Jak Copilot korzysta z danych firmy

Microsoft 365 Copilot nie dostaje osobnych uprawnień. Korzysta z danych dostępnych dla zalogowanego użytkownika: poczty, kalendarza, czatów i spotkań w Teams oraz plików w OneDrive i SharePoint. Odpowiedź budowana jest wyłącznie z treści, które ta osoba mogłaby otworzyć samodzielnie.

Brzmi to bezpiecznie, ale w większości środowisk Microsoft 365 uprawnienia są szersze, niż ktokolwiek zakładał. Witryny udostępnione całej firmie, linki dla wszystkich w organizacji wysłane kiedyś w wiadomości, zespoły z dawno nieaktualnym członkostwem. Do tej pory chroniła je trudność wyszukiwania, bo mało kto wiedział, gdzie szukać. Asystent tę barierę usuwa, dlatego porządek w dostępie trzeba zrobić przed przypisaniem licencji, a nie po pierwszym incydencie.

Copilot nie tworzy nowych luk w uprawnieniach. Pokazuje te, które już są.

Uprawnienia i nadmierne udostępnianie

Przegląd uprawnień zaczynamy od danych, a nie od ankiet wśród kierowników. Centrum administracyjne SharePoint, a w szerszym zakresie SharePoint Advanced Management, udostępnia raporty pokazujące witryny z dużą liczbą udostępnień, linkami dla całej organizacji czy dostępem dla gości. Na ich podstawie powstaje lista do przejścia z właścicielami treści, bo to oni wiedzą, kto naprawdę powinien widzieć dane dokumenty.

• Lista witryn SharePoint i zespołów Teams udostępnionych grupom obejmującym całą organizację, na przykład „Wszyscy z wyjątkiem użytkowników zewnętrznych”
• Przegląd linków udostępniania typu „Osoby w organizacji” w bibliotekach z danymi kadrowymi, finansowymi i zarządczymi
• Lista witryn i zespołów bez aktywnego właściciela, z decyzją: nowy właściciel, archiwizacja albo usunięcie
• Przegląd kont gości i użytkowników zewnętrznych z dostępem do witryn z danymi wrażliwymi
• Domyślny typ linku udostępniania ustawiony na „Określone osoby” zamiast całej organizacji
• Decyzja, czy na czas porządków wybrane witryny wyłączyć z odnajdywania przez Copilota i wyszukiwanie w organizacji

Klasyfikacja i ochrona danych

Uprawnienia odpowiadają na pytanie, kto ma dostęp. Klasyfikacja mówi, jak cenna jest dana informacja i co wolno z nią robić. Microsoft Purview pozwala oznaczać dokumenty etykietami poufności, a Copilot uwzględnia je przy tworzeniu odpowiedzi, łącznie z ochroną wynikającą z szyfrowania i uprawnień zapisanych w etykiecie.

Nie trzeba oznaczyć wszystkich dokumentów przed startem. Wystarczy, że etykiety obejmą obszary najbardziej wrażliwe, a dla nowych treści zadziałają ustawienia domyślne. Resztę można uzupełniać stopniowo, także z pomocą automatycznego oznaczania na podstawie typów informacji poufnych, takich jak numery PESEL czy rachunków bankowych, jeśli pozwala na to posiadana licencja.

• Krótki schemat etykiet, na przykład publiczne, wewnętrzne, poufne i ściśle poufne, zrozumiały dla pracowników bez szkolenia prawnego
• Etykiety domyślne dla bibliotek z danymi wrażliwymi, żeby ochrona nie zależała wyłącznie od decyzji użytkownika
• Reguły ochrony przed utratą danych (DLP) dla danych osobowych, finansowych i handlowych
• Zasady przechowywania i usuwania dla treści, które nie powinny żyć latami
• Sprawdzenie na próbce, czy dokumenty tworzone z pomocą Copilota otrzymują etykietę zgodną z dokumentami źródłowymi

Właściciel procesu i przypadki użycia

Licencje przypisane wszystkim po trochu zwykle kończą się tym, że po kilku tygodniach mało kto z nich korzysta. Lepiej wskazać obszary, w których asystent ma rzeczywiście skrócić pracę, oraz osoby, które odpowiadają za ten efekt.

• Właściciel wdrożenia po stronie biznesu, a nie wyłącznie administrator IT
• Trzy do pięciu przypadków użycia z opisem pracy przed wdrożeniem i po nim, na przykład podsumowanie spotkania, pierwsza wersja oferty czy analiza długiego wątku wiadomości
• Miary sukcesu ustalone przed startem: oszczędzony czas, liczba aktywnych użytkowników, ocena jakości odpowiedzi
• Zasady korzystania z AI zatwierdzone przez dział prawny i bezpieczeństwa
• Kanał zgłaszania problemów, błędnych odpowiedzi i nieoczekiwanie znalezionych dokumentów

Miary sukcesu warto opierać na danych, które już istnieją. Raporty użycia w centrum administracyjnym Microsoft 365 pokazują, kto i w jakich aplikacjach korzysta z Copilota, a krótka ankieta po kilku tygodniach uzupełnia je o ocenę przydatności. Połączenie obu źródeł pozwala odróżnić licencje używane od tych, które tylko są przypisane.

Przygotowanie użytkowników

Nawet przy uporządkowanych uprawnieniach o jakości efektów decydują ludzie. Asystent przygotowuje pierwszą wersję, ale odpowiedzialność za treść wysłaną klientowi albo przedstawioną zarządowi zostaje po stronie pracownika. Warto to powiedzieć wprost na szkoleniu, zanim pierwsza nieprzeczytana odpowiedź trafi do obiegu.

• Krótkie szkolenie z formułowania poleceń na przykładach z codziennej pracy, a nie na ogólnych demonstracjach
• Zasada weryfikacji: liczby, nazwiska, daty i zobowiązania sprawdzane w źródle przed użyciem
• Jasna informacja, jakich danych nie wolno wklejać do narzędzi AI spoza firmowego środowiska
• Wskazanie osób, które w każdym dziale pomagają innym i zbierają dobre przykłady

Pilotaż przed zakupem dla całej firmy

Zanim licencje trafią do wszystkich, warto przeprowadzić pilotaż w grupie kilkunastu albo kilkudziesięciu osób z różnych działów. Pilotaż ma dwa cele: sprawdzić, czy przypadki użycia działają na prawdziwych danych, i wyłapać nadmierne udostępnienia, których nie wykrył przegląd. Uczestnik, który zobaczy w odpowiedzi dokument, do którego nie powinien mieć dostępu, jest najlepszym źródłem informacji o lukach, pod warunkiem że wie, jak to zgłosić.

• Porządek w uprawnieniach dla obszarów wysokiego ryzyka zakończony i potwierdzony przez właścicieli danych
• Etykiety poufności opublikowane i domyślnie stosowane w kluczowych bibliotekach
• Grupa pilotażowa wybrana i przeszkolona z formułowania poleceń oraz weryfikowania odpowiedzi
• Miary sukcesu i sposób ich zbierania ustalone przed startem pilotażu
• Decyzja o rozszerzeniu wdrożenia podejmowana na podstawie wyników pilotażu, a nie terminu w umowie

Przygotowujecie się do wdrożenia Copilota?

Sprawdzimy uprawnienia, klasyfikację danych i gotowość organizacji, żeby asystent od pierwszego dnia pracował na właściwych treściach.

Porozmawiaj z ekspertem