Copilot til virksomheder: sådan tager I Microsoft 365 Copilot i brug med styr på data

I artiklen 10 afsnit

1. Copilot Chat eller Microsoft 365 Copilot: hvad er forskellen?
2. Copilot kan finde alt, brugeren allerede har adgang til
3. Hvad sker der, hvis I ikke rydder op før Copilot?
4. Microsoft 365 Copilot og GDPR: det, I selv har ansvaret for
5. Copilot til virksomheder: planen før udrulning
6. Hvad skal I måle i piloten?
7. Hvilke faldgruber skal I undgå?
8. Hvad kan I gøre nu?
9. Kan I gøre det selv?
10. Ofte stillede spørgsmål

Denne artikel handler om Microsoft 365 Copilot: hvilke rettigheder og hvilke data I skal have styr på, før I udruller den. Til regler og tjekliste for ChatGPT, se ChatGPT og GDPR: hvad I skal tjekke. Til forskellen på AI-brug med og uden aftale, se hvad skygge-AI er, og hvad risikoen er, og til overblikket over reglerne hvad AI-forordningen og GDPR betyder for jeres brug.

Copilot Chat eller Microsoft 365 Copilot: hvad er forskellen?

Den afgørende forskel er, om Copilot automatisk kan søge i jeres arbejdsdata. Microsoft beskriver i sin dokumentation tre niveauer (tjekket 3. oktober 2026, Microsoft, 2026):

• Copilot Chat følger med de Microsoft 365-erhvervslicenser, der giver adgang til den, uden tilkøb. Svarene bygger på data fra internettet. Arbejdsdata indgår kun, når medarbejderen selv giver dem med, fx ved at uploade en fil eller bruge Copilot Chat på en mail, der er åben i Outlook eller Teams.
• Copilot i Word, Excel, PowerPoint og OneNote uden tilkøbslicens (Microsoft kalder det "Microsoft 365 Copilot (Basic)") giver en mere begrænset adgang til Copilot i programmerne. Heller ikke her søger Copilot selv i jeres arbejdsdata via Microsoft Graph.
• Microsoft 365 Copilot med tilkøbslicens ("Premium") bruger både internettet og jeres arbejdsdata via Microsoft Graph (den tjeneste, der binder mails, filer, chats og kalendere sammen). Copilot henter selv oplysninger fra de steder, brugeren har adgang til, uden at nogen uploader noget.

Microsoft skifter løbende navne og licensniveauer. I Microsofts dokumentation hedder Microsoft 365 Copilot nu Microsoft Copilot, og Microsoft 365 Copilot Chat hedder Microsoft Copilot Chat (oktober 2026). Tjek derfor Microsofts egen side for, hvad jeres licenser giver, før I beslutter noget. Bemærk også, at agenter (små assistenter bygget oven på Copilot) kan få adgang til arbejdsdata uden tilkøbslicens, med betaling pr. brug, hvis I slår det til.

Det er især tilkøbslicensen, der gør rettighederne til et spørgsmål, fordi Copilot her selv går på opdagelse i alt det, brugeren kan åbne.

Copilot kan finde alt, brugeren allerede har adgang til

Copilot viser kun data, som brugeren i forvejen har mindst læseadgang til (Microsoft, 2026). Det lyder beroligende, og det er det også. Men det betyder, at Copilots sikkerhed aldrig er bedre end jeres delingsrettigheder.

I mange virksomheder ligger de fælles filer i SharePoint (Microsofts system til fælles mapper og intranet), i Teams og i medarbejdernes OneDrive. Adgangen til dem er vokset i årevis. En mappe blev delt med alle for at gøre det nemt. Et team blev oprettet som offentligt. En medarbejder skiftede afdeling og beholdt sin gamle adgang. Før Copilot var det sjældent et problem i praksis, fordi ingen fandt filerne uden at lede efter dem. Med Copilot er det nok at stille det rigtige spørgsmål.

Microsoft skriver selv, at I skal bruge rettighederne i SharePoint og Teams til at sikre, at de rigtige personer har adgang til det rigtige indhold, også når I deler med personer uden for organisationen (Microsoft, 2026). Det er altså jeres opgave, ikke Microsofts.

Typiske steder at kigge:

• SharePoint-sites og mapper delt med "Alle undtagen eksterne brugere" eller tilsvarende grupper, der rummer hele organisationen.
• Offentlige teams i Teams, hvor alle i organisationen kan finde og åbne filerne.
• Delingslinks, der giver adgang til alle med linket eller alle i organisationen.
• OneDrive-mapper, som medarbejdere har delt bredt for at samarbejde og aldrig lukket igen.
• Gamle sites uden ejer, som ingen længere holder øje med.

Hvad sker der, hvis I ikke rydder op før Copilot?

Udruller I Copilot uden at se på rettighederne først, sker der sjældent noget dramatisk den første dag. Konsekvenserne kommer snigende:

• Medarbejdere ser ting, de ikke burde se. Lønsedler, personalesager, kontrakter og ledelsesnotater dukker op i svar, fordi de ligger i et område, der er delt for bredt. Indeholder fundet persondata, skal I vurdere, om det er et brud på persondatasikkerheden (se hvad I gør, når AI laver en fejl).
• I opdager problemerne ét ad gangen. Hvert fund bliver en hastesag, i stedet for at I rydder op i de mest åbne områder på én gang.
• Tilliden til Copilot falder. Efter et par ubehagelige fund bliver nogle medarbejdere forsigtige med at bruge Copilot, og så får I ikke den tidsbesparelse, licenserne skulle give.
• Ingen kan svare, når nogen spørger. Spørger en medarbejder, en kunde eller ledelsen, hvad Copilot kan se hos jer, og hvem der har besluttet det, findes svaret ingen steder.

Venter I omvendt med Copilot uden at sige noget, bruger mange medarbejdere i stedet Copilot Chat eller private AI-værktøjer på egen hånd. Det kaldes skygge-AI. Problemet med rettighederne forsvinder heller ikke af at vente. Det bliver bare opdaget senere.

Microsoft 365 Copilot og GDPR: det, I selv har ansvaret for

Om jeres brug af Microsoft 365 Copilot lever op til GDPR, afhænger af, hvordan I sætter Copilot op, og hvad I bruger den til. Microsoft kan ikke afgøre det for jer. Når medarbejderne er logget ind med deres arbejdskonto, oplyser Microsoft, at de er databehandler for prompts og svar, dvs. at Microsoft behandler oplysningerne på jeres vegne og efter jeres instruks, under den samme databehandleraftale som for jeres mails og filer (Microsoft, 2026). Formålet med brugen, adgangen til data og reglerne for medarbejderne er jeres eget ansvar.

Microsoft oplyser, at prompts, svar og data fra Microsoft Graph ikke bruges til at træne de underliggende sprogmodeller, og at trafik fra brugere i EU bliver inden for EU's datagrænse (EU Data Boundary) (Microsoft, 2026). Der er dog undtagelser, som I bør kende:

• Websøgning: Når Copilot søger på internettet, sendes en søgeforespørgsel uden bruger- og organisations-id til Bing. Her gælder Microsofts databehandleraftale og EU's datagrænse ikke, og Microsoft er selv dataansvarlig for forespørgslen (Microsoft, 2026). Administratorer kan slå websøgning fra centralt.
• Andre sprogmodeller: Modeller fra Anthropic, som Microsoft bruger som underdatabehandler, er undtaget fra EU's datagrænse og er som udgangspunkt slået fra for kunder i EU, EFTA og Storbritannien (tjekket 3. oktober 2026, Microsoft, 2026). Tjek, hvad der er slået til i jeres administration, og beslut det bevidst, før nogen ændrer det.

Økonomistyrelsen og Statens It har lavet en konsekvensanalyse af Microsoft 365 Copilot til statslige myndigheder. Den konkluderer, at myndighedernes brug inden for tre beskrevne anvendelser kan ske inden for databeskyttelsesreglerne, men at hver myndighed skal supplere analysen, blandt andet med, hvordan adgangen til persondata begrænses til dem med et arbejdsbetinget behov, og hvilke data Copilot ikke skal have adgang til (version 2.0, februar 2026, Statens It, 2026). Analysen er lavet til staten, ikke til jer, og kan ikke overføres direkte. Men spørgsmålene er de samme for en privat virksomhed.

Skal Copilot bruges på persondata i større omfang, fx i HR eller kundesager, så overvej en konsekvensanalyse (også kaldet DPIA). En konsekvensanalyse er en skriftlig vurdering af risikoen for de personer, data handler om, og af hvad I gør for at begrænse den. Datatilsynet har en skabelon, der er lavet til AI-løsninger (Datatilsynet, 2024).

Copilot til virksomheder: planen før udrulning

En god udrulning af Copilot sker i fem trin, hvor oprydning og pilot kommer før brede licenser. Tabellen giver overblikket. Trinene er beskrevet nedenfor.

1. Ryd op i rettighederne

Start med de områder, der er åbne for alle i organisationen, fordi det er dem, Copilot oftest vil hente fra. Bed ejerne af de vigtigste sites og teams om at bekræfte, hvem der skal have adgang. Et område uden ejer skal enten have én eller arkiveres.

Microsoft anbefaler at fjerne overdreven adgang som organisationsbrede grupper og links til alle, før Copilot rulles ud (Microsoft, 2026). Ifølge Microsoft følger SharePoint Advanced Management med Copilot-tilkøbslicensen. Den kan blandt andet finde sites med for brede delinger eller uden ejer, og funktionen Restricted Content Discovery kan holde bestemte sites ude af Copilots svar, mens I rydder op (Microsoft, 2026). Hvad I konkret har adgang til, afhænger af jeres licenser, så spørg jeres it-leverandør.

2. Brug følsomhedsmærkater, hvis I har dem

Følsomhedsmærkater er etiketter som "Fortrolig", der kan kryptere et dokument og styre, hvem der må åbne det. Er et dokument krypteret, respekterer Copilot de rettigheder, mærkaten giver brugeren (Microsoft, 2026). Har I ikke mærkater i dag, så lad være med at gøre det til en forudsætning for piloten. Start med de få områder, hvor det giver mest mening, fx løn, personalesager og kontrakter.

3. Vælg en pilotgruppe

En pilotgruppe er en lille gruppe medarbejdere, der bruger Copilot i en afgrænset periode, før resten får adgang. Start med opgaverne, ikke med Copilots funktioner: Hvilke opgaver tager tid i dag, og hvor ville et udkast eller en opsummering faktisk hjælpe? Vælg folk fra forskellige funktioner, så I tester forskellige typer data og opgaver. Giv dem konkrete opgaver at prøve, fx mødereferater, opsummering af lange mailtråde og udkast til tilbud. Bed dem melde det, hvis Copilot viser noget, de ikke burde kunne se.

4. Skriv retningslinjer for brugen

Retningslinjerne skal være korte og konkrete, ellers bliver de ikke læst. Beskriv, hvad Copilot er godt til, at svarene altid skal tjekkes, hvilke data der kræver ekstra forsigtighed, og hvem man kontakter ved fejl. Tag stilling til, om websøgning skal være slået til, og hvem der må bygge og dele agenter. Har I en AI-politik, hører Copilot ind under den. Uddannelse af brugerne hænger også sammen med kravene om AI-færdigheder i AI-forordningen.

5. Følg op, før flere får adgang

Afslut piloten med en gennemgang: Hvad virkede, hvad skal rettes, og hvem skal have adgang nu? Ret de datafund, piloten har givet, før flere får licenser. Aftal også, hvordan Copilot kommer med i jeres overblik over AI-brug, så den bliver fulgt op som alle andre anvendelser. Notér også de beslutninger, I har truffet undervejs, fx om websøgning, andre sprogmodeller og agenter: hvem der besluttede, hvornår, og hvem der ejer beslutningen. Microsoft ændrer løbende licenser, navne og underleverandører, og så skal I kunne se, hvad I besluttede, og hvorfor. Til én pilot rækker et regneark. Skal beslutningerne om Copilot samles med jeres øvrige systemer, leverandører og AI-værktøjer, er det den del, SPOR er bygget til. Administratorer kan desuden sætte regler i Microsoft Purview (Microsofts værktøjer til at styre og opbevare data) for, hvor længe Copilot-samtaler gemmes (Microsoft, 2026).

Hvad skal I måle i piloten?

I kan måle fire ting i piloten: brug, tid, kvalitet og datafund. Brug kommer fra systemet, resten kommer fra pilotgruppen selv.

• Brug: Microsoft 365-administrationen har rapporter over Copilot-brug, fx aktive brugere og gennemsnitligt antal prompts pr. bruger (Microsoft, 2026). Lav brug er et signal om, at opgaverne ikke passer, eller at folk mangler hjælp.
• Tid: Vælg 3 til 5 faste opgaver, og bed deltagerne vurdere tidsforbruget før og efter. Det er ikke præcist, men det er nok til at se en retning.
• Kvalitet: Hvor ofte skal svaret rettes væsentligt, før det kan bruges? Og hvor ofte er der faktuelle fejl?
• Datafund: Hvor mange gange har Copilot vist noget, en deltager ikke burde kunne se? Hvert fund er en rettighed, der skal rettes, og en gevinst for jeres sikkerhed.

Beslut på forhånd, hvad der skal til for at gå videre. Fx at der ikke er uløste datafund, og at deltagerne kan pege på konkrete opgaver, hvor Copilot sparer tid. Så bliver beslutningen efter piloten lettere.

Hvilke faldgruber skal I undgå?

• At købe licenser til alle på én gang: Så finder hele organisationen de forkert delte filer på samme tid, og I har ikke lært noget først.
• At vente på perfekt orden: I bliver aldrig færdige med at rydde op. Start med de mest åbne og mest følsomme områder, og lad piloten vise resten.
• At glemme Copilot Chat: Mange har allerede Copilot Chat. Medarbejderne kan uploade filer til den, så retningslinjerne gælder også her.
• At lade agenter vokse frit: Agenter kan få adgang til arbejdsdata. Beslut, hvem der må lave dem, og hvem der må dele dem.

Hvad kan I gøre nu?

I kan komme i gang uden at købe en eneste ny licens. Fire spørgsmål giver et godt udgangspunkt:

1. Hvem har Copilot i dag? Find ud af, hvem der har Copilot Chat, og om nogen allerede har en tilkøbslicens.
2. Hvilke områder er delt med alle? Bed jeres it-ansvarlige eller it-leverandør om en liste over de sites, teams og links, som hele organisationen kan åbne.
3. Hvilke opgaver skal Copilot hjælpe med? Vælg 3 til 5 konkrete opgaver, der tager tid i dag.
4. Hvem ejer beslutningen? Udpeg én person, der driver piloten og samler beslutningerne.

Vil I have data i orden, før I bruger Copilot, så læs: Datakvalitet før automatisering og AI: fem tjek, I kan lave i dag.

Er arbejdsgangen ikke kortlagt, så kortlæg den først. Copilot løser ikke en dårlig proces.

Kort sagt: Copilot er kun så sikker som jeres delingsrettigheder. Ryd op i de mest åbne områder, test med en lille gruppe, og beslut på baggrund af det, piloten viser.

Kan I gøre det selv?

Ja, de fleste virksomheder kan selv lave planen og køre piloten, især hvis I har en it-ansvarlig eller en it-leverandør, der kender jeres Microsoft 365. Rettighedsoprydningen er mest et spørgsmål om tid og om at få ejerne af de enkelte områder til at tage stilling.

Hjælp udefra kan give mening, hvis I har mange sites og teams uden klare ejere, hvis Copilot skal bruges på persondata i HR eller kundesager, hvis I er i tvivl om, hvilke krav der gælder, eller hvis ingen internt har tid til at drive det. Det kan også give mening, hvis Copilot ikke passer til en bestemt opgave, og I overvejer noget, der passer bedre. En system- og AI-gennemgang samler Copilot med jeres øvrige AI-brug, data og ansvar.

Er I i tvivl om, hvor I skal starte, er den mest konkrete vej at beskrive jeres udgangspunkt: hvor mange der bruger Microsoft 365, hvilke Copilot-licenser I har, og hvad I ved om delingen i dag.

Ofte stillede spørgsmål

Er Microsoft 365 Copilot GDPR-compliant?

Et værktøj kan ikke i sig selv gøre jeres brug lovlig. Microsoft oplyser, at de er databehandler for prompts og svar, når medarbejderne bruger deres arbejdskonto, og at data fra brugere i EU bliver inden for EU's datagrænse, med undtagelser som websøgning. Adgangsrettigheder, formål og retningslinjer er jeres eget ansvar.

Kan Copilot se alt i vores SharePoint?

Nej, Copilot kan kun se det, den enkelte bruger i forvejen har adgang til. Men hvis en mappe eller et site er delt med hele organisationen, kan alle brugere med Copilot finde indholdet. Derfor er oprydning i rettigheder det vigtigste forarbejde.

Bruger Microsoft vores data til at træne Copilot?

Ifølge Microsoft bruges prompts, svar og data fra Microsoft Graph ikke til at træne de sprogmodeller, Copilot bygger på. Det gælder, når medarbejderne er logget ind med deres arbejdskonto (Microsoft, 2026). Sørg for, at de ikke bruger Copilot med en privat Microsoft-konto til arbejdsopgaver. Gælder spørgsmålet ChatGPT og andre værktøjer uden for Microsoft, se ChatGPT og GDPR.

Er Copilot Chat gratis for virksomheder?

Copilot Chat følger med de Microsoft 365-erhvervslicenser, der giver adgang til den, uden tilkøb. Den fulde Microsoft 365 Copilot, der selv søger i jeres arbejdsdata, kræver en tilkøbslicens. Licensniveauer og navne ændrer sig, så tjek Microsofts egen side for jeres licenser.

Hvor lang tid skal en Copilot-pilot vare?

Der er ingen fast længde. En Copilot-pilot skal vare længe nok til, at deltagerne har brugt Copilot i deres almindelige arbejde og ikke kun prøvet den af. Aftal en fast slutdato og en gennemgang på forhånd, så piloten ikke bare glider over i fuld brug.

Artiklen er generel vejledning og ikke juridisk rådgivning. Udgivet 26. september 2026. Opdateret 5. oktober 2026.