Microsoft 365 Copilot'a hazırlık listesi

Copilot verilerinize nasıl erişir ve neden izinler kritik?

Microsoft 365 Copilot, bir dil modelini Microsoft Graph üzerinden kurumsal verinizle birleştiren bir yapay zeka asistanıdır. E-postalar, takvim, Teams sohbetleri, SharePoint ve OneDrive dosyaları cevapların dayanağıdır. Microsoft bu ürünün adını Microsoft Copilot olarak değiştirdi; geçiş döneminde iki ad birlikte görülüyor.

Microsoft’un dokümantasyonuna göre Copilot, yalnız kullanıcının en az görüntüleme yetkisi olan içeriği kullanır. Bu bir güvence gibi görünür ama asıl riski de anlatır. Yıllar içinde “kuruluştaki herkes” ile paylaşılmış bir maaş tablosu, daha önce kimse aramadığı için fark edilmezdi. Copilot’a “bütçe dosyalarını özetle” dendiğinde bu dosya cevabın içine girebilir.

Bu mimari, RAG yaklaşımının bir uygulamasıdır: model önce ilgili içeriği bulur, sonra cevap üretir. Bulunan içeriğin doğru kişiye açık olup olmadığı tamamen izin modelinize bağlıdır.

Aşırı paylaşım (oversharing) nasıl tespit edilir ve düzeltilir?

Microsoft’un temel dağıtım rehberi, hazırlığı üç ana başlıkta topluyor: aşırı paylaşımı gidermek, koruma önlemlerini kurmak ve düzenlemelere uymak. En çok emeği ilki ister.

Tespit için iki ana araç var. SharePoint Advanced Management, Microsoft’a göre Copilot lisansıyla birlikte gelir ve SharePoint ile OneDrive’da paylaşım ve erişimi yönetmeye yarar. Erişim raporlarıyla geniş paylaşılmış siteleri ve dosyaları bulabilirsiniz. Microsoft Purview’daki yapay zeka için veri güvenliği duruş yönetimi (DSPM for AI) ise yapay zeka etkileşimlerinde hassas veri risklerini raporlar.

Düzeltme genellikle şu sırayla ilerler:

1. Herkese açık veya “kuruluştaki herkes” ile paylaşılmış siteleri listeleyin.
2. Her sitenin bir sahibini belirleyin; sahipsiz siteler en büyük risktir.
3. Hassas siteleri temizlik bitene kadar geçici olarak Copilot aramasının dışında tutun.
4. Site sahiplerinden üyelik ve paylaşım bağlantılarını gözden geçirmelerini isteyin.
5. Yeni sitelerin varsayılan paylaşım ayarlarını daraltın.

Bu iş teknik olduğu kadar organizasyoneldir. Site sahipleri sürece katılmazsa temizlik bir kez yapılır ve altı ay sonra eski haline döner.

Lisans ve teknik ön koşullar nelerdir?

Microsoft’un gereksinim sayfası temel koşulları şöyle sıralıyor:

• Lisans: Uygun bir Microsoft 365 temel aboneliği ve Microsoft Copilot lisansı (300 kullanıcıya kadar Business planlarında Microsoft Copilot Business). Microsoft 365 Apps for enterprise’ın cihaz tabanlı lisanslamasında Copilot sunulmuyor.
• Kimlik: Her kullanıcının Microsoft Entra ID’de iş hesabı olmalı. Yönetim için Global Administrator yerine AI Administrator rolü kullanılabiliyor.
• Posta kutusu: E-posta ve takvime dayanan deneyimler için Exchange Online posta kutusu gerekiyor.
• Uygulamalar: Microsoft 365 Apps, OneDrive hesabı, Teams toplantılarında transkripsiyon veya kayıt.
• Ağ: *.cloud.microsoft alan adının ve WebSocket bağlantılarının engellenmemesi.

Avrupa’daki kullanıcılarınız varsa, Microsoft’un AB Veri Sınırı (EU Data Boundary) açıklamasını da okuyun. Dokümantasyona göre Anthropic modelleri şu anda bu sınırın dışında tutuluyor; yöneticiler bu modellerin kullanılıp kullanılmayacağına karar verebiliyor. Kimlik, ağ ve bölge kararları bulut altyapı tarafıyla birlikte ele alınmalıdır.

Duyarlılık etiketleri ve Purview ne işe yarar?

Duyarlılık etiketleri, bir belgenin ne kadar hassas olduğunu işaretleyen ve gerekirse şifreleme uygulayan Microsoft Purview özelliğidir. Etiket şifreleme uyguluyorsa, Copilot’un içeriği kullanıcıya döndürebilmesi için kullanıcının görüntüleme ve ayıklama (EXTRACT) haklarına sahip olması gerekir. Böylece izin hatası olsa bile şifreli içerik ikinci bir katmanla korunur.

Purview’un Copilot için sunduğu diğer araçlar şunlardır: hassas verinin üçüncü taraf yapay zeka sitelerine yapıştırılmasını uyaran veya engelleyen veri kaybı önleme (DLP), istem ve cevapları kaydeden denetim günlüğü, bu kayıtları belirli süre tutan veya silen saklama ilkeleri ve eDiscovery. Hangi kaydın ne kadar tutulacağı bir yapay zeka yönetişimi kararıdır ve KVKK değerlendirmenizle birlikte verilmelidir.

Aşağıdaki tablo hazırlık listesini tek yerde topluyor:

Alan	Kontrol	Araç	Sorumlu rol
Kimlik ve lisans	Hesaplar Entra ID’de, lisanslar pilot grubuna atanmış	Microsoft 365 yönetim merkezi	BT yöneticisi
SharePoint ve OneDrive izinleri	Geniş paylaşılmış siteler bulunmuş, sahipler atanmış	SharePoint Advanced Management	Site sahipleri, BT
Etiketleme	Hassas içerik etiketli, SharePoint ve OneDrive’da etiketler etkin	Microsoft Purview Information Protection	Bilgi güvenliği
Saklama ve denetim	Copilot etkileşimleri için saklama ilkesi ve denetim kaydı açık	Purview Data Lifecycle Management, Audit	Uyum ekibi
Eğitim	Kullanım politikası yayımlanmış, pilot kullanıcılar eğitilmiş	İç eğitim programı	İK, iş birimleri
Ölçüm	Pilot metrikleri ve geri bildirim kanalı tanımlı	Kullanım raporları, anket	Proje sahibi

Pilot grubu nasıl seçilir ve başarı nasıl ölçülür?

İyi bir pilot grubu, farklı iş türlerini temsil eder: yoğun e-posta yazanlar, toplantı ağırlıklı çalışanlar, doküman hazırlayanlar, analiz yapanlar. Yalnız gönüllülerden veya yalnız BT ekibinden oluşan bir grup, şirketin geri kalanını temsil etmez.

Başarıyı ölçmek için pilotu başlatmadan önce metriği tanımlayın. Kullanışlı metrik türleri şunlardır:

• Haftalık aktif kullanım ve hangi uygulamada kullanıldığı.
• Belirli bir görev için harcanan süre (örneğin toplantı notu hazırlama), pilot öncesi ve sonrası aynı yöntemle ölçülmüş.
• Kullanıcı memnuniyeti ve “yanlış veya eksik cevap” bildirimleri.
• Pilot sırasında ortaya çıkan izin veya aşırı paylaşım olaylarının sayısı.

Bu metrikler genişletme kararının dayanağı olur. Pilot sırasında öne çıkan senaryolar, örneğin uzun sözleşmelerin özetlenmesi veya tekrarlayan metinlerin hazırlanması, doküman analizi veya içerik otomasyonu gibi daha derin çözümlere de işaret edebilir.

Çalışan eğitimi ve kullanım politikası nasıl kurulur?

Copilot’un değeri, çalışanların ona ne sorduğuna bağlıdır. Kısa ve role özel bir eğitim, genel bir tanıtımdan daha etkilidir. Eğitimde üç konu yer almalıdır: iyi istem yazma (prompt mühendisliği temelleri), çıktıyı doğrulama alışkanlığı ve hangi verinin Copilot’a uygun olmadığı.

Kullanım politikası kısa olmalıdır: Copilot çıktısının müşteriye gitmeden önce okunması, kaynak gösterilen belgelerin kontrol edilmesi ve yanlışlıkla görülen hassas içeriğin bildirilmesi. Bildirim kanalı, aşırı paylaşımı bulmanın en ucuz yoludur.

Nereden başlamalısınız?

Önce izin ve paylaşım durumunu görün, sonra lisans planlayın. Bu sıra, özellikle hassas müşteri verisi tutan finans ve sigorta kuruluşları ve çok sayıda proje sitesi biriktirmiş teknoloji ve yazılım şirketleri için önemlidir.

Corrplus olarak Microsoft Copilot danışmanlığı kapsamında bu listeyi sizinle birlikte yürütüyoruz: keşifte izin ve paylaşım durumunu çıkarıyor, tasarımda etiketleme, saklama ve pilot planını yazılı hale getiriyor, kurulumda pilotu başlatıyoruz. Etiketleme ve kayıt kararlarını KVKK ve yapay zeka uyum yönetişimi ile, çalışan eğitimini kurumsal yapay zeka eğitimi ile destekleriz. Hukuki yorum gerektiren konuları hukuk danışmanınızla birlikte ele alırız.