Copilot ziet wat jij kan zien. Niet meer, niet minder. Het haalt zijn grounding uit Microsoft Graph. Volgens Microsoft toont het enkel organisatiedata waarvoor je minstens leesrechten hebt. Het gebruikt dezelfde toegangscontroles als SharePoint, OneDrive, Outlook en Teams, en gaat er dus nooit overheen.
Het addertje zit in het woordje "kan". Oude, ruim gedeelde mappen waarvan niemand nog weet wie er toegang toe gaf? Die liggen ook binnen bereik, en een brede vraag kan ze weer bovenhalen. Copilot heeft dat risico niet gemaakt. Het heeft wel de drempel weggehaald die het onschuldig hield. Daarom hoort een regelmatige blik op wat er in je tenant gedeeld staat voor deze track bij verantwoord Copilot-gebruik. Dat is de praktische kant van de AI-geletterdheidsplicht uit Artikel 4 van de EU AI Act.