Når en Copilot-udrulning går i stå, er det næsten aldrig modellen, der er problemet. Det er alt det, modellen kan se, og alt det, den ikke kan finde noget fornuftigt i. Begge dele er et spørgsmål om governance og ikke om AI.
Copilot fejler ikke på teknikken
Copilot får ikke mere adgang, end brugeren selv har. Det er den sætning, mange trøster sig med, inden de ruller ud. Problemet er, at den ikke er betryggende, men en diagnose. For de fleste organisationer har brugerne adgang til langt mere, end nogen har overblik over: SharePoint-sites delt med "alle i organisationen", gamle projektrum ingen har lukket, gæstebrugere der aldrig blev fjernet, og dokumenter uden en label der fortæller, hvor følsomme de er.
Så længe indhold skulle findes manuelt, var det til at leve med. Ingen snublede over HR-mappen ved et tilfælde, fordi ingen gad lede efter den. Det ændrer Copilot: den gør eksisterende adgang synlig og brugbar på sekunder. Stiller nogen det rigtige spørgsmål, dukker det følsomme op, ikke fordi Copilot bryder en regel, men fordi der aldrig var en regel at bryde.
Den anden halvdel af problemet er den modsatte: Copilot giver ubrugelige svar, fordi datagrundlaget er rodet. Forældet indhold, dubletter, tre sider der hedder næsten det samme, og ingen metadata der fortæller, hvad der er gældende. En AI, der grounder på et rod, svarer med et rod. Teknikken virker fint i begge tilfælde. Fundamentet er problemet.
Hvad "fundament" faktisk betyder
Fundament lyder som et abstrakt ord, så lad os gøre det konkret. Microsoft har selv skrevet forudsætningen ned i vejledningen "Apply Zero Trust principles to Microsoft 365 Copilot": en række beskyttelseslag, der bør være på plads, før Copilot-licenser tildeles. Det er ikke en konsulents anbefaling, men Microsofts egen rubrik. Og de lag, der i praksis blokerer en udrulning, er de samme hver gang.
- Data og labels. Sensitivity labels og DLP, så følsomt indhold er mærket og håndteret. Det er her, Copilot enten finder det rigtige eller det forkerte.
- Adgange. Hvem har adgang til hvad, oprydning i oversharing og regelmæssige access reviews. Least privilege er ikke en sikkerhedsluksus, men det, der afgør, hvad Copilot kan nå.
- Livscyklus. Hvad sker der med et samarbejdsrum, når projektet er slut? Hvem ejer det, og hvornår bliver det lukket? Uden svar vokser der et landskab af rum, ingen styrer, og det er i det landskab, Copilot søger.
Det er kedeligt arbejde, og det er hjemmebane for enhver, der har lavet M365-governance længe nok - hos os siden 2010, længe før nogen kaldte det Copilot Readiness. Man behøver ikke sætte alt på pause, til hvert hjørne er ryddet, men de tre lag ovenfor skal være på plads, før man ruller Copilot bredt ud. Ellers rykker man bare problemet fra "svært at finde" til "nemt at finde".
EU AI Act gør fundamentet til et dokumentationskrav
Der er kommet en ekstra grund til at få fundamentet på plads, og den er ikke til forhandling. EU's AI Act fik sine transparenskrav den 2. august 2026, og de skærpede krav til højrisiko-anvendelser under Annex III følger den 2. december 2027. For danske, ofte regulerede organisationer betyder det, at det ikke længere er nok, at styringen er i orden - man skal kunne dokumentere, at den er det.
Det er her governance og AI holder op med at være to adskilte emner. Hvor flyder data hen, når en agent svarer? Hvilke kilder grounder den på? Hvem besluttede, at den måtte tages i brug, og hvornår bliver den taget ud af drift igen? Det er governance-spørgsmål, men det er samtidig præcis den dokumentation, AI Act beder om. Har man styr på det første, er det andet næsten gratis. Mangler det, bliver AI Act endnu en deadline oven i en udrulning, der i forvejen stod på løs grund.
Derfor er governance den primære ydelse
Vores ydelse er det fundament, Copilot ikke virker uden. Det er et bevidst valg, og det er også en afgrænsning: vi lover ikke AI-magi, og vi kommer ikke med en greenfield-AI-strategi som overskrift. Vi bygger gerne agenter og connectors oven på et fundament, der er på plads - men vi blander ikke udviklingsiveren sammen med governance-rådgivningen. Hvis de to smelter sammen, mister governance sin troværdighed, og det er governance, der afgør, om det, man bygger, overhovedet er forsvarligt at rulle ud.
Governance er heller ikke en projektfase, man afslutter. Det er en styringsmodel, man sætter op og vedligeholder: et regelsæt for adgange og deling, en livscyklus for samarbejdsrum, og en kadence for at gennemgå det, der ændrer sig. Træffer man ikke de beslutninger bevidst, bliver de truffet alligevel, bare ved at man lader stå til, og det falder sjældent heldigt ud. Rækkefølgen afgør det meste: få styr på data, adgange og styring først, så bliver AI en gevinst i stedet for en risiko.
Overvejer I Copilot - eller er I allerede i gang og mærker, at fundamentet ikke følger med? Book et sparringsmøde - 30 min, hvor vi ser på, hvor jeres M365-fundament står i forhold til en forsvarlig Copilot-udrulning. Book et sparringsmøde.