Come prevenire l'oversharing di Copilot in SharePoint

Microsoft 365 Copilot non infrange le tue autorizzazioni SharePoint. Le mette a nudo. Nel momento in cui lo attivi, Copilot può leggere ogni file che l’utente autenticato ha il permesso di aprire, e poi riassumerlo in pochi secondi. Se un foglio di calcolo con gli stipendi, una bozza di piano di riorganizzazione o un contratto non ancora rilasciato sono mai stati condivisi troppo ampiamente, Copilot li troverà e li citerà.

Questo è il cuore dell’oversharing di Copilot. Non è una falla di sicurezza nell’AI. Sono anni di proliferazione delle autorizzazioni che all’improvviso diventano ricercabili in linguaggio naturale. Questa guida accompagna gli amministratori SharePoint nel lavoro di governance da fare prima del rilascio, con i veri controlli Microsoft che contengono il rischio.

Cosa troverai in questo articolo

• Perché avviene l’oversharing di Copilot, e perché è un problema di autorizzazioni
• I rischi specifici di abilitare Copilot prima di avere la governance in atto
• Una checklist di governance pratica, controllo per controllo
• Una sequenza di preparazione pre-Copilot passo dopo passo
• Come mantenere governati i contenuti dopo il go-live

Perché avviene l’oversharing di Copilot?

L’oversharing di Copilot avviene perché Microsoft 365 Copilot rispetta i diritti di accesso esistenti e recupera i contenuti tramite Microsoft Graph e Microsoft Search. Secondo Microsoft Learn, Copilot restituisce solo contenuti a cui l’utente può già accedere. Il problema non è ciò che Copilot può raggiungere. È ciò che gli utenti potevano già raggiungere ma non avevano mai notato.

Per anni, SharePoint e OneDrive hanno reso la condivisione facile. Le persone usavano “Chiunque abbia il link”, concedevano l’accesso a gruppi Microsoft 365 ampi o copiavano file sensibili in siti del team. Nessuno leggeva quei file manualmente, quindi l’esposizione restava invisibile. Copilot rimuove quell’attrito.

Chiedigli “qual è la nostra struttura dei bonus 2026?” e scansiona tutto ciò che puoi aprire, poi risponde in un paragrafo. Un documento tecnicamente accessibile ma in pratica sepolto è ora a una sola query di distanza.

Punti chiave

• Copilot porta alla luce contenuti che gli utenti avevano già il permesso di aprire, quindi l’oversharing è un problema di autorizzazioni, non un difetto dell’AI.
• Restricted Content Discovery (RCD) nasconde un sito da Copilot e dalla ricerca a livello di organizzazione mantenendo intatto l’accesso diretto.
• I report Data Access Governance segnalano i siti sovra-condivisi prima del rilascio. Microsoft li documenta in SharePoint Advanced Management.
• Esegui la pulizia delle autorizzazioni, RCD, le revisioni DAG e le etichette di riservatezza prima di assegnare le licenze Copilot.

Nel nostro lavoro con i clienti Microsoft 365, la sorpresa più comune non è un file violato. È un sito HR condiviso con “Tutti tranne gli utenti esterni” tre amministratori del tenant fa, che nessuno ricordava finché Copilot non ha citato una lettera di licenziamento.

Microsoft 365 Copilot recupera i risultati tramite Microsoft Graph e rispetta le autorizzazioni esistenti, restituendo solo contenuti che l’utente autenticato può già aprire (Microsoft Learn). L’oversharing riflette quindi una proliferazione di accessi preesistente in SharePoint e OneDrive, non una lacuna nel design di Copilot o nel suo modello di grounding.

Vedi la nostra panoramica su Microsoft 365 Copilot per capire come l’assistente è concesso in licenza e cosa può fare.

Qual è il rischio di distribuire Copilot prima della governance?

Il rischio pre-rilascio più grande è la velocità di scoperta. Copilot può restituire un documento sensibile in una sola query che un dipendente curioso non avrebbe mai trovato navigando. Microsoft stessa raccomanda una base di dati “sicura per impostazione predefinita” prima di una distribuzione estesa, nelle sue linee guida per il rilascio di Copilot.

Pensa a cosa cambia il primo giorno. Le autorizzazioni che erano “a posto perché nessuno guardava” diventano un indice di ricerca attivo in linguaggio naturale. Uno stagista può chiedere dei licenziamenti. Un consulente esterno può chiedere dei prezzi. Niente è stato violato, eppure i contenuti sensibili sono di colpo conversazionali.

Ci sono tre rischi stratificati che vale la pena nominare. Primo, l’oversharing interno: le persone vedono contenuti dei colleghi che non dovrebbero. Secondo, la divulgazione involontaria: Copilot include un dato sensibile dentro una risposta più ampia. Terzo, l’esposizione di compliance: dati regolamentati, come registri HR o finanziari, diventano banalmente recuperabili senza una traccia di audit che qualcuno abbia mai rivisto.

Ecco il punto controintuitivo. Copilot non aumenta la tua superficie di rischio. La misura. Il numero di file che Copilot può citare è esattamente il numero di file che il tuo modello di autorizzazioni più debole già esponeva. Tratta il tuo primo pilot di Copilot come un penetration test gratuito della tua stessa igiene di condivisione.

Microsoft consiglia di stabilire una base di dati sicura, inclusa la revisione delle autorizzazioni e i controlli sull’oversharing, prima di distribuire Microsoft 365 Copilot in modo esteso (Microsoft Learn). Saltare questo passaggio non crea nuovi accessi. Rende i contenuti già sovra-autorizzati immediatamente scopribili tramite query in linguaggio naturale.

Quali controlli di governance SharePoint prevengono l’oversharing?

La checklist di governance poggia su cinque controlli, la maggior parte dei quali dentro SharePoint Advanced Management, che Microsoft include con una licenza Microsoft 365 Copilot secondo la sua documentazione sulle licenze. Usati insieme, questi controlli ti permettono di trovare i contenuti sovra-condivisi, escluderli da Copilot e mantenerli governati nel tempo.

Igiene delle autorizzazioni

Parti dalle basi, perché nessun controllo avanzato sistema un modello di autorizzazioni rotto. Rimuovi “Tutti tranne gli utenti esterni” dai siti che contengono contenuti sensibili. Sostituisci la condivisione “Chiunque abbia il link” con link a persone specifiche dove i dati sono riservati. Verifica quali gruppi Microsoft 365 concedono l’accesso a quali siti, ed elimina le appartenenze che non hanno più senso.

L’ereditarietà interrotta è il colpevole silenzioso. Quando una cartella o un file ha autorizzazioni univoche che si discostano dal sito padre, l’esposizione diventa quasi impossibile da tracciare manualmente. Riduci le autorizzazioni univoche ovunque puoi, e standardizza l’accesso a livello di sito.

Restricted Content Discovery (RCD)

Restricted Content Discovery è il tuo strumento di contenimento più rapido. Quando abiliti RCD su un sito, i suoi contenuti vengono esclusi dalla ricerca a livello di organizzazione e dai risultati di Microsoft 365 Copilot, mentre gli utenti con accesso diretto continuano a lavorare normalmente. Microsoft documenta questo comportamento nelle sue linee guida su RCD.

Gli amministratori lo applicano in genere con PowerShell. Il cmdlet è Set-SPOSite -Identity <site URL> -RestrictContentOrgWideSearch $true. È ideale per i siti sensibili che non puoi ri-autorizzare completamente prima del lancio, come un sito HR o executive. RCD ti fa guadagnare tempo senza bloccare le persone che hanno legittimamente bisogno dei contenuti.

Una parola di cautela. RCD riduce la scopribilità, non rimuove l’accesso. Se un utente ha l’autorizzazione diretta a un sito ristretto, può comunque aprire e persino chiedere a Copilot di uno specifico documento a cui naviga. Usalo come un guardrail, non come un sostituto della correzione delle autorizzazioni.

Report Data Access Governance

Prima di poter correggere l’oversharing, devi vederlo. I report Data Access Governance (DAG) nel SharePoint admin center portano in evidenza automaticamente i tuoi siti più a rischio. Secondo Microsoft Learn, questi report evidenziano i siti condivisi con tutti, i siti con molti link di condivisione e i siti che contengono contenuti etichettati come sensibili.

Eseguili per primi. Trasformano un compito impossibile come “fai l’audit dell’intero tenant” in una shortlist ordinata di siti che richiedono attenzione adesso. Dai priorità alla parte alta di quella lista prima che esca qualsiasi licenza Copilot.

Revisioni degli accessi ai siti

Trovare i siti sovra-condivisi è il primo passo. Convincere i proprietari di sito a correggerli è il secondo. Le revisioni degli accessi ai siti, disponibili tramite SharePoint Advanced Management, permettono agli amministratori di delegare una revisione alle persone che conoscono davvero i contenuti. Segnali un sito da un report DAG, e il proprietario conferma o rimuove l’accesso.

Questo conta perché l’IT centrale raramente sa se il team finance dovrebbe vedere un dato sito. I proprietari sì. La delega scala la governance senza fare di un singolo amministratore il collo di bottiglia per migliaia di siti.

Etichette di riservatezza

Le etichette di riservatezza di Microsoft Purview aggiungono una protezione che viaggia con il file. Un’etichetta con crittografia può limitare chi apre un documento e quali azioni compie. Secondo la documentazione di Microsoft Purview, Copilot rispetta questi diritti d’uso, quindi se un’etichetta nega a un utente il diritto di visualizzare o estrarre contenuti, Copilot non li porterà alla luce per lui.

Le etichette ti permettono anche di escludere i contenuti protetti dall’elaborazione e dalla sintesi di Copilot. Combinate con l’etichettatura automatica, proteggono i file sensibili anche quando le autorizzazioni sono imperfette, il che le rende il livello più duraturo di questo elenco.

SharePoint Advanced Management fornisce i report Data Access Governance, le revisioni degli accessi ai siti e Restricted Content Discovery per identificare e contenere i contenuti sovra-condivisi, ed è incluso con una licenza Microsoft 365 Copilot (Microsoft Learn). Le etichette di riservatezza aggiungono una protezione a livello di file che Copilot rispetta durante il recupero e la sintesi.

Per il contesto della piattaforma su cui poggiano questi controlli, leggi la nostra guida a SharePoint Online. I gruppi di accesso basati sulle autorizzazioni si abbinano bene anche ai gruppi dinamici di Azure AD.

Come preparo SharePoint per Copilot passo dopo passo?

Una sequenza pre-Copilot pulita richiede settimane, non giorni, e le linee guida di setup di Copilot di Microsoft la inquadrano come un rilascio per fasi anziché come un interruttore. L’obiettivo è semplice: sapere cosa è esposto, contenere il peggio, poi abilitare Copilot a ondate controllate.

Ecco un ordine pratico di operazioni.

Passo 1: esegui i report Data Access Governance

Apri il SharePoint admin center e genera i report DAG. Esporta l’elenco dei siti condivisi con “Tutti tranne gli utenti esterni” e i siti con il maggior numero di link di condivisione. Questa è la tua coda di lavoro.

Passo 2: applica Restricted Content Discovery ai siti ad alto rischio

Per i siti sensibili che non puoi ri-autorizzare immediatamente, abilita RCD con Set-SPOSite -RestrictContentOrgWideSearch $true. Questo li sottrae subito alla portata di Copilot mentre svolgi la pulizia più lenta.

Passo 3: correggi le autorizzazioni sui siti prioritari

Lavora scorrendo la lista DAG. Rimuovi l’accesso ai gruppi ampi, converti i link di condivisione rischiosi e ripristina l’ereditarietà interrotta. Avvia le revisioni degli accessi ai siti così che i proprietari confermino chi ha davvero bisogno di ciascun sito.

Passo 4: distribuisci e applica automaticamente le etichette di riservatezza

Rilascia una tassonomia di etichette chiara e configura l’etichettatura automatica per i dati sensibili noti, come i contenuti finanziari o HR. Le etichette con crittografia diventano la tua rete di sicurezza per tutto ciò che la pulizia non intercetta.

Passo 5: avvia un pilot di Copilot con un gruppo piccolo e monitorato

Abilita Copilot per un piccolo gruppo pilota e osserva cosa porta alla luce. Usa il pilot come uno stress test deliberato. Se Copilot cita qualcosa che non dovrebbe, hai trovato una lacuna nelle autorizzazioni prima di quanto avrebbe fatto un rilascio completo.

Abbiamo riscontrato che un pilot ben circoscritto, da dieci a venti persone tra HR, finance e IT, espone più oversharing reale in due settimane che mesi di audit teorici sulle autorizzazioni. Lascia che sia lo strumento a dirti dove sono i buchi.

Microsoft raccomanda un rilascio di Microsoft 365 Copilot per fasi che inizia con una base di dati protetta e un pilot controllato prima della distribuzione estesa (Microsoft Learn). Un gruppo pilota monitorato fa emergere le reali lacune di oversharing più velocemente degli audit delle autorizzazioni a livello di tenant eseguiti in isolamento.

Copilot fonda le sue risposte sullo stesso indice della ricerca aziendale, quindi le nostre note su SharePoint Online aiutano a spiegare come i contenuti vengono portati alla luce.

Come mantengo SharePoint governato dopo il go-live di Copilot?

La governance non è un compito di lancio, è un modello operativo. Le linee guida di sicurezza dei dati per Copilot di Microsoft trattano la prevenzione dell’oversharing come un’attività continua, perché ogni nuovo sito e link di condivisione può riaprire il rischio. Tratta la governance come un ciclo ricorrente, non come una pulizia una tantum.

Pianifica i report DAG con una cadenza regolare, mensile o trimestrale, e interveni rapidamente sui nuovi siti ad alto rischio. Tieni attive le revisioni degli accessi ai siti così che i proprietari riconfermino l’accesso periodicamente anziché una sola volta. Monitora i log di audit per vedere come i contenuti vengono effettivamente consultati e condivisi nel tempo.

Imposta dei guardrail anche per i nuovi contenuti. Rendi privati per impostazione predefinita i nuovi siti del team, limita i link “Chiunque” a livello di tenant e applica etichette di riservatezza predefinite così che i documenti nuovi nascano protetti. L’obiettivo è rendere il percorso sicuro il percorso più facile.

Una intranet SharePoint ben governata rende tutto questo molto più semplice. Quando gruppi di accesso, raccolte documenti ed etichette sono strutturati fin dall’inizio, la governance diventa manutenzione anziché spegnimento di incendi. Questa è un’area in cui una piattaforma intranet gestita come intranet.ai aiuta, perché template di sito coerenti e pattern di autorizzazione costanti impediscono all’oversharing di reinsinuarsi.

Microsoft inquadra la prevenzione dell’oversharing di Copilot come continua, poiché nuovi siti, file e link di condivisione possono reintrodurre l’esposizione dopo il rilascio (Microsoft Learn). Report Data Access Governance ricorrenti, revisioni periodiche degli accessi ai siti e il monitoraggio dei log di audit mantengono un tenant governato a lungo dopo il go-live.

Domande frequenti

Cos’è l’oversharing di Copilot in SharePoint?

L’oversharing di Copilot si verifica quando Microsoft 365 Copilot porta alla luce nelle sue risposte contenuti SharePoint o OneDrive che un utente può tecnicamente aprire ma non avrebbe mai dovuto vedere. Copilot rispetta le autorizzazioni esistenti, quindi l’oversharing riflette una proliferazione di accessi preesistente, non un difetto di Copilot.

Cos’è Restricted Content Discovery in SharePoint?

Restricted Content Discovery (RCD) è un’impostazione di SharePoint Advanced Management che esclude i contenuti di un sito dalla ricerca a livello di organizzazione e dalle risposte di Microsoft 365 Copilot, mentre gli utenti con accesso diretto possono comunque aprire i file. Si applica per sito, spesso tramite il cmdlet Set-SPOSite -RestrictContentOrgWideSearch.

Microsoft 365 Copilot rispetta le autorizzazioni di SharePoint?

Sì. Copilot restituisce solo contenuti che l’utente autenticato ha già il permesso di aprire tramite Microsoft Graph. Non aggira le autorizzazioni né le etichette di riservatezza. Il rischio è che autorizzazioni ampie o dimenticate permettano a Copilot di recuperare contenuti più velocemente di quanto farebbe mai una persona manualmente.

Mi serve SharePoint Advanced Management per la governance di Copilot?

SharePoint Advanced Management sblocca i controlli sull’oversharing più potenti, inclusi i report Data Access Governance, le revisioni degli accessi ai siti e Restricted Content Discovery. Una licenza Microsoft 365 Copilot include SharePoint Advanced Management, quindi la maggior parte delle organizzazioni che distribuiscono Copilot ha già accesso a questi strumenti.

Come trovo i siti SharePoint sovra-condivisi prima di un rilascio di Copilot?

Usa i report Data Access Governance nel SharePoint admin center. Segnalano i siti condivisi con “Tutti tranne gli utenti esterni”, i siti con molti link di condivisione e i contenuti etichettati come sensibili, aiutandoti a dare priorità a quali siti rivedere prima di abilitare Copilot per gli utenti.

Le etichette di riservatezza possono impedire a Copilot di mostrare contenuti sensibili?

Le etichette di riservatezza con crittografia limitano ciò che Copilot può elaborare e citare. Se un’etichetta nega a un utente i diritti EXTRACT o VIEW, Copilot non porterà alla luce il contenuto di quel file per lui. Le etichette ti permettono anche di escludere i file protetti dalla sintesi di Copilot.

Conclusione

L’oversharing di Copilot è un problema risolvibile, ma solo se lo tratti come una sfida di autorizzazioni anziché di AI. Gli strumenti esistono già dentro Microsoft 365. I report Data Access Governance ti mostrano cosa è esposto. Restricted Content Discovery contiene rapidamente i siti peggiori. La pulizia delle autorizzazioni, le revisioni degli accessi ai siti e le etichette di riservatezza rendono duratura la correzione.

Fai il lavoro prima di assegnare le licenze Copilot, non dopo che un file sensibile compare nella chat di qualcuno. Parti dai report DAG, limita i tuoi siti più a rischio, poi avvia un pilot di Copilot con un piccolo gruppo in grado di segnalare ciò che sfugge.

Una intranet ben strutturata mantiene tutto questo gestibile nel lungo periodo, perché template puliti e autorizzazioni coerenti impediscono il ritorno dell’oversharing. Se stai pianificando un rilascio di Copilot su SharePoint, la governance è il lavoro di base che rende sicuro tutto il resto.

Pronto al rilascio vero e proprio? Continua con la nostra guida a Microsoft 365 Copilot.