I løbet af sommeren 2026 gennemfører Microsoft en række ændringer i SharePoint, der, set hver for sig, ligner rutinemæssig administrativ vedligeholdelse: et nyt flag her, en udfaset godkendelsesmetode der, en justering af, hvordan klassificering interagerer med Copilot. Hver for sig vil ingen af dem skabe opsigt, men samlet set tegner de et billede af en samlet, bevidst ændring i, hvordan Microsoft forventer, at organisationer skal forvalte deres indholdsmiljø.

Skiftet består i, at lifecycle, tilladelser og klassificering bliver forudsætningerne for at kunne anvende kunstig intelligens, snarere end valgfri finjusteringer, der kan håndteres senere. For enhver organisation, der planlægger en implementering af Microsoft 365 Copilot i anden halvdel af året, er det vigtigt at vide, at de ændringer, vi vil gennemgå i denne artikel, ikke er underordnede detaljer, men derimod de nye grundregler. Disse ændringer peger alle i samme retning.

At grundlægge Copilot i pålidelige kilder

Den mest iøjnefaldende af de nye funktioner er Authoritative Sites. Den giver en administrator mulighed for at udpege bestemte SharePoint-websteder som pålidelige, så Microsoft 365 Copilot prioriterer indholdet herfra, når det besvarer spørgsmål i Copilot Chat og Copilot Search. Indstillingen gælder for hvert enkelt websted, kræver en Copilot-licens og er som standard deaktiveret.

Intentionen er god. I en stor tenant skal Copilot basere sine svar på noget, og ikke alt indhold fortjener samme vægt. Den politik, der blev offentliggjort i sidste uge, og det forkastede udkast fra for flere år siden bør ikke have samme autoritet, og Authoritative Sites giver en organisation mulighed for at foretrække de kilder, der har opnået tillid.

Det, som denne funktion ikke gør, er at opbygge tillid på dine vegne. At markere et websted som autoritativt er kun en fordel, hvis webstedet rent faktisk er opdateret, præcist og velforvaltet. Hvis du leder Copilot hen til et websted fyldt med forældet, duplikeret eller forkert mærket materiale, vil det, som man kunne forvente, resultere i en assistent, der mangler pålidelige oplysninger. Det er en assistent, der gentager dit dårligste indhold med fornyet selvtillid, nu med dit eget autoritetsstempel. Funktionen forudsætter, at organisationen allerede ved, hvilke af dens websteder der er troværdige. Det gør de fleste ikke, og den antagelse er den røde tråd, der går igennem alt andet.

Ekstern deling bliver som standard underlagt styring

I årevis har deling af indhold med personer uden for organisationen været baseret på en engangskode, der blev sendt via e-mail. Denne mekanisme udfases nu. Fra juli 2026 begynder udfasningen af SharePoints autentificering med engangskoder, og ekstern deling

overgår fuldstændigt til Microsoft Entra B2B, hvilket forventes gennemført inden udgangen af august. Nye eksterne invitationer er allerede tidligere på året overgået til denne model.

I praksis bliver alle eksterne modtagere nu en administreret Entra B2B-gæst i stedet for indehaver af en midlertidig kode. Dette er en klar forbedring af styringen, da ekstern adgang dermed falder ind under de samme kontrolmekanismer som alt andet: betinget adgang, identitetsbeskyttelse og centraliseret gæstestyring. Det er også en deadline. Eksterne brugere, der har benyttet den gamle metode, kan miste adgangen til tidligere delt indhold, og den administrative indstilling, der tidligere styrede denne adfærd, fjernes.

Implikationen er enkel. Det gæsteområde, som mange organisationer aldrig formelt har revideret, er ved at blive et reguleret område, uanset om de er forberedte på det eller ej. Det er tid, der er godt brugt, at gennemgå, hvem der har ekstern adgang, inden overgangen er afsluttet.

Klassificering bliver en grænse, ikke et forslag

Tilladelser beskriver, hvad en bruger har lov til at åbne. De har aldrig i sig selv beskrevet, hvad et AI-system bør undlade at røre ved. Den skelnen trækkes nu.

Gennem Microsoft Purview kan følsomhedsmærker udelukke indhold fra Copilots grundlag, og håndhævelsen vil være fuldt implementeret inden udgangen af juli. Et dokument, der er klassificeret på et begrænset niveau, kan holdes uden for Copilots rækkevidde, selv for brugere, der har tilladelse til at åbne det direkte. Klassificering er ikke længere blot vejledende metadata, men bliver en håndhævelig grænse, der forhindrer Copilot i at få adgang blot fordi »brugeren havde adgang«, som det var den utilstrækkelige begrundelse før opdateringen.

For regulerede brancher er dette ikke blot en bekvemmelighed; det er forskellen mellem en Copilot-implementering, der kan forsvares, og en, der afslører kontrollerede oplysninger i et genereret svar, fordi tilladelserne tilfældigvis tillod det. Ligesom med autoritative websteder fungerer beskyttelsen kun, hvor mærkningerne allerede findes. En grænse opretholdes kun, hvor nogen har fastlagt den.

Governance bliver en disciplin, man kan se

Det mere underliggende tema bag disse ændringer er, at governance i sig selv behandles som en operationel disciplin snarere end en årlig oprydning. Microsoft samler aktiviteterne i forbindelse med gennemgang af websteder, inaktivitet, ejerskab og attestering i mere overskuelige grænseflader for de ansvarlige, og forbedrer rapporteringen, så administratorer kan identificere overdreven deling og risici ved tilladelser, så man ikke længere behøver at gætte sig frem.

Governance får sine egne arbejdsredskaber, hvilket betyder, at den kan måles, tildeles og håndteres som et løbende arbejde.

Den fælles forudsætning: Styring er adgangsbilletten

Ser man bort fra de enkelte funktioner, er den fælles forudsætning umulig at overse. Hver enkelt funktion læser oplysninger, som forventes allerede at findes på webstedet, og handler

ud fra dem. Autoritative websteder er afhængige af at vide, hvilke websteder der er troværdige. Purviews beskyttelse bygger på, at der er tildelt mærker. Kontrol af ejerskab og attestering forudsætter, at der findes en gyldig ejer, der kan kontaktes. Ingen af disse kontrolmekanismer skaber de underliggende oplysninger; de bruger dem alle sammen.

Hvilket rejser spørgsmålet: hvor kommer disse oplysninger fra?

Den side af livscyklussen, som ingen styrer

Microsoft styrer midten af et websteds levetid og dets afslutning. Registrering af inaktivitet, ejerskabsgennemgange, attestering og arkivering er alle kontroller, der finder sted under normal drift og ved udløb af levetiden. De forudsætter, at et websted allerede eksisterer, allerede har en ejer, allerede har en klassificering og en fornuftig tilladelsesmodel. De bygger på metadata, som nogen på et tidligere tidspunkt forventedes at have indført.

Der er næsten ingen styring af begyndelsen, og det er netop i begyndelsen, at resultatet afgøres. Et websted, der oprettes uden en klar ejer, efterlader attesteringspolitikken uden nogen at underrette. Et websted, der oprettes uden en følsomhedsmærkning, giver Purview-grænsen intet at håndhæve. Et websted, der oprettes med brede, arvede tilladelser, bliver præcis det, som rapporten om overdreven deling senere vil omtale. Den kostbare afhjælpning, der udgør hovedparten af de fleste styringsprogrammer, er næsten udelukkende den akkumulerede pris for websteder, der aldrig blev oprettet korrekt fra starten.Det er netop dette hul, som Strators eksperter er trænet til at lukke.

Microsofts værktøjer er kun så pålidelige som de oplysninger, der allerede er registreret på webstedet. Arbejdet med at sikre, at disse oplysninger findes fra første øjeblik, og at reparere dem, hvor de mangler, er en separat disciplin i forhold til de kontroller, der senere afhænger af dem.

To halvdele af den samme livscyklus

Strators tilgang og Microsofts indbyggede livscyklusstyring er ikke alternativer til hinanden. De regulerer forskellige halvdele af den samme livscyklus, og den del, der omhandler klargøring, er en forudsætning for, at den del, der omhandler stabil drift, kan fungere.

Forholdet er direkte på alle punkter. »Authoritative Sites« bliver troværdigt, når webstederne allerede er klassificeret efter niveau, fordi denne klassificering udgør den naturlige udvælgelse af kilder, der har opnået Copilot-prioritet. Purviews klassificeringsgrænse bliver legitim, når mærkater tildeles ved oprettelsen i stedet for at blive eftermonteret under pres.

Ejerskabs- og attestationsgennemgange bliver meningsfulde, når der fra starten findes gyldige ejere, så der ikke er nogen forsømte websteder, der kan forsinke gennemgangen. Og rapporter om overdreven deling har mindre at finde, når webstederne som standard tildeles adgang med mindst mulig privilegier. I alle fald arver den indbyggede kontrol et fundament, som den ikke selv har skullet opbygge.

Hvor en Copilot-implementering egentlig begynder

Erfaringerne fra sommerens ændringer viser, at en Copilot-implementering ikke starter med en licens. Den starter i det underliggende indholdsmiljø, i den ikke særlig glamourøse disciplin omkring ejerskab, livscyklus og klassificering, som hver eneste af disse nye funktioner i al stilhed er afhængig af. De organisationer, der vil indføre Copilot med tillid, er dem, der først har udført dette arbejde og betragtet det som et fundament snarere end en oprydning.

Microsoft styrer midten og slutningen af et websteds levetid. Strator styrer begyndelsen. Og det er begyndelsen, der afgør, om man kan stole på alt det, der følger efter.