Microsoft 365 Copilot Nedir?

Microsoft Graph grounding, yanıtı kullanıcının izinli çalışma bağlamıyla ilişkilendirir

Copilot isteği doğrudan yalnız bir dil modeline göndermek yerine kullanıcı kimliği, uygulama bağlamı ve ilgili kurumsal içerikle ön işler. Microsoft Graph; kullanıcının yetkili olduğu e-posta, takvim, toplantı, sohbet, kişi ve belge ilişkilerini bağlama taşıyabilir. Grounding, genel bir yanıtı kurum içindeki gerçek görev ve kaynaklarla daha ilgili hale getirir. Model yanıtı üretildikten sonra hizmet, güvenlik, sorumlu yapay zeka ve ürün deneyimine bağlı son işlemler uygular. Kullanıcı yine kaynağı, tarihi ve doğruluğu değerlendirmelidir. Copilot olasılıksal metin üretir; finansal onay, hukuki görüş, sağlık kararı, üretim komutu veya ayrıcalıklı sistem değişikliği gibi yüksek etkili işlemler insan onayı ve kaynak doğrulaması olmadan otomatikleştirilmemelidir.

Yetki sınırı kullanıcının mevcut erişimidir. Bir çalışan SharePoint sitesine, Teams kanalına veya paylaşılan dosyaya erişebiliyorsa Copilot ilgili olduğunda bu içeriği bulabilir; erişimi yoksa Copilot yeni izin oluşturmaz. Bu davranış “Copilot veri sızdırdı” ile “mevcut izin gereğinden genişti” durumlarını ayırmayı gerektirir. Restricted SharePoint Search veya SharePoint Advanced Management gibi araçlar lisans ve senaryoya göre keşfi sınırlamaya veya yönetişimi güçlendirmeye yardımcı olabilir; kalıcı çözüm doğru sahiplik ve izin modelidir. Dış web içeriği, eklenti, connector veya agent kullanılıyorsa veri sınırı ve hizmet koşulları ayrıca incelenir. Her Copilot deneyiminin aynı veri kaynağı ve koruma davranışına sahip olduğu varsayılmamalıdır.

Prompt

Kullanıcının görevi, bağlamı, kapsamı ve beklenen çıktı biçimini belirten istektir.

Grounding

Yanıtın ilgili ve izinli kurumsal kaynaklarla bağlama oturtulması sürecidir.

Microsoft Graph

Kullanıcının Microsoft 365 içindeki izinli çalışma verisi ve ilişkilerine erişim katmanıdır.

Permission trimming

Sonuçların yalnız kullanıcının erişebildiği içerikle sınırlandırılmasıdır.

Human review

Üretilen içeriğin kaynak, doğruluk, risk ve iş kararı açısından insan tarafından değerlendirilmesidir.

Veri hazırlığı, Copilot etkinleştirilmeden önce erişim ve içerik kalitesini düzeltir

Copilot hazırlık çalışması SharePoint, OneDrive, Teams ve Exchange içindeki verinin haritasını çıkarır. Geniş “Everyone” erişimleri, anonim paylaşım bağlantıları, süresiz misafirler, sahibi olmayan siteler, ayrılmış çalışanların OneDrive devirleri, özel kanal siteleri ve eski proje alanları raporlanır. Hassas belgelerin yanlış kitaplıkta veya genel ekip alanında bulunması yalnız Copilot için değil mevcut kullanıcı erişimi için de risktir. Site sahipleri içerik ve üyelik gözden geçirmesine dahil edilir; merkezi IT her belgenin iş bağlamını tek başına bilemez. Veri temizliği, bütün içeriği silmek veya Copilot’tan gizlemek değildir. Aktif ve değerli içerik doğru siteye, doğru grup erişimine, anlaşılır metadata ve yaşam döngüsüne taşınır.

Microsoft Purview sensitivity labels, encryption, Data Loss Prevention, retention, audit ve eDiscovery yetenekleri mevcut lisans ve yapılandırmaya göre Copilot etkileşimlerine uygulanabilir. Hassasiyet etiketi yalnız dosyaya renk vermek değildir; erişim, şifreleme ve kullanım haklarını etkileyebilir. Copilot şifreli içerikle çalışacaksa kullanıcının gerekli görüntüleme ve içerik çıkarma hakları bulunmalıdır. DLP, hassas veri türü veya etiketli içeriğin uygunsuz Copilot kullanımını kısıtlamak için değerlendirilebilir. Retention politikaları prompt ve yanıt kayıtlarının saklanmasını etkileyebilir. Bu kontroller etkinleştirilmeden önce sınıflandırma doğruluğu, kullanıcı deneyimi, istisna ve olay müdahale süreci test edilir. Aşırı katı politika işi durdurabilir; gevşek politika ise var olan paylaşım riskini büyütür.

• SharePoint, Teams, OneDrive ve Exchange içinde geniş erişim, anonim link ve sahipsiz alanları raporlayın.
• Site sahipleriyle aktif içerik, hassasiyet, dış paylaşım ve yaşam döngüsü kararlarını doğrulayın.
• Sensitivity label, DLP, retention ve audit kontrollerini gerçek kullanım senaryolarıyla test edin.
• Eski proje, misafir ve ayrılmış çalışan içeriği için arşiv, devir ve erişim kaldırma süreci oluşturun.
• Copilot’a özel geçici kısıtları kalıcı bilgi mimarisi ve en az ayrıcalık çalışmasıyla tamamlayın.

Kimlik güvenliği ve pilot kullanım, değeri ölçerken etki alanını sınırlar

Copilot erişimi Microsoft 365 kimliği üzerinden gerçekleştiği için MFA, Conditional Access, cihaz uyumluluğu, oturum riski ve ayrıcalıklı rol yönetimi temel kontroldür. Copilot mevcut Conditional Access ve MFA davranışını dikkate alır; ancak yanlış istisnalar veya eski authentication yöntemleri ayrıca düzeltilmelidir. Lisans gereksinimleri, desteklenen uygulama kanalı ve kullanıcı hesabı koşulları Microsoft’un güncel ürün şartları ve yönetim belgelerinden doğrulanır. Her çalışana aynı anda lisans atamak yerine finans, satış, proje, insan kaynakları, destek veya yönetim gibi açık kullanım senaryolarına sahip pilot gruplar seçilir. Pilot kullanıcıların eriştiği veri alanı ve hassasiyet seviyesi bilinir; yüksek riskli hesaplar ilk deneme grubu yapılmaz.

Her kullanım senaryosu için başlangıç ölçümü alınır: toplantı özeti hazırlama süresi, e-posta zinciri inceleme, teklif taslağı, belge karşılaştırma veya bilgi bulma süresi gibi gerçek bir iş sonucu belirlenir. Kullanıcıya yalnız prompt örneği değil; kaynak kontrolü, hassas veri kullanımı, yanlış yanıt bildirme ve hangi işlerin Copilot’a verilmemesi gerektiği öğretilir. Pilot boyunca destek talepleri, benimseme, tekrar kullanım, zaman kazanımı, yanlış sonuç, güvenlik olayı ve lisans kullanımı izlenir. Üretilen içeriğin müşteriye, kamuya veya karar sistemine çıkmadan önce onay noktası bulunur. Başarı “kaç prompt yazıldı” değil; kaliteyi düşürmeden ölçülebilir iş çıktısının iyileşmesidir.

MFA

Çalınan parola tek başına kullanıldığında hesabın ele geçirilmesini zorlaştırır.

Conditional Access

Kimlik, cihaz, konum ve risk koşullarına göre hizmet erişimini denetler.

Pilot grup

Değeri ve riski sınırlı kapsamda ölçmek için seçilen temsilci kullanıcı grubudur.

Use case

Copilot kullanımının hangi girdiden hangi ölçülebilir iş çıktısını üretmesini beklediğini tanımlar.

Başarı ölçütü

Zaman, kalite, benimseme, risk ve maliyet etkisini başlangıç verisiyle karşılaştırır.

Audit, agent ve connector yönetişimi Copilot kapsamının kontrolsüz büyümesini önler

Copilot prompt, yanıt ve başvurulan içerikle ilgili denetim kayıtları uygun Microsoft 365 ve Purview yetenekleri üzerinden incelenebilir. Kurum; hangi olayların güvenlik ekibine düşeceğini, kimlerin ayrıntılı etkileşim verisine erişebileceğini, eDiscovery ve saklama taleplerinin nasıl yönetileceğini belirler. Denetim verisi hassas kullanıcı ve iş içeriği barındırabileceği için sınırsız yönetici erişimi verilmez. Risk göstergeleri arasında olağandışı yoğun veri sorgusu, hassas içeriğe yönelen promptlar, prompt injection denemesi, beklenmeyen agent kullanımı ve yüksek riskli kullanıcının erişimi bulunabilir. Olay müdahalesi yalnız Copilot lisansını kaldırmak değil; hesabı, oturumu, paylaşım kaynağını, agent bağlantısını ve etkilenen içeriği birlikte incelemelidir.

Agent ve Graph connectorlar Copilot’a kuruma özel işlem veya harici veri kaynağı kazandırabilir. Her agent için sahip, amaç, kullanıcı grubu, veri kaynağı, kimlik doğrulama yöntemi, izin kapsamı, dış hizmet koşulları, test, değişiklik ve kapatma süreci kaydedilir. Service account veya application permission, kullanıcıya delege erişimden daha geniş veri açabilir; en az ayrıcalık ve düzenli consent incelemesi gerekir. Yayınlanan agentın cevabı ve eylemi ayrı risk sınıfında değerlendirilir. Sipariş iptali, hesap açma veya veri gönderme gibi yazma işlemleri insan onayı ve işlem kaydı isteyebilir. Model, ürün ve lisans özellikleri zaman içinde değiştiği için yönetişim belgesi yaşayan bir standarttır; yeni özellik varsayılan açık kabul edilmez, etki analiziyle devreye alınır.

• Copilot audit, eDiscovery ve saklama erişimlerini rol ayrımı ve hassas veri ilkesiyle yönetin.
• Yanlış yanıt, hassas veri, şüpheli prompt ve agent işlemi için kullanıcı bildirim kanalı oluşturun.
• Her agent ve connector için sahip, veri kaynağı, izin, onay, test ve kapatma kaydı tutun.
• Application permission ve admin consent verilen entegrasyonları periyodik olarak yeniden doğrulayın.
• Yeni Copilot özelliklerini lisans, veri sınırı, güvenlik ve kullanıcı etkisi incelendikten sonra açın.