Microsoft 365 Copilot: essentiële gids voor beveiliging en compliance

By Mirko Peters · 2026-03-15 · Updated 2026-03-24

Ontdek beveiliging en compliance voor generatieve AI-copilot in Microsoft 365. Leer Microsoft Copilot beheren, gegevens beschermen en voldoen aan compliance-eisen.

Automatically translated with AI from the original post. Read the English original

Laten we eerlijk zijn: AI in het bedrijfsleven gaat razendsnel, en Microsoft Copilot speelt daar volop in mee. Steeds meer organisaties in de VS gaan Copilot gebruiken om de productiviteit een flinke boost te geven, maar IT- en compliance-teams zitten daardoor met de handen in het haar over de details. Copilot is niet zomaar een extra functie. Het is een AI-assistent die toegang heeft tot bedrijfsgegevens, gevoelige informatie aan het licht kan brengen en opereert binnen een kluwen van regelgeving.

Omdat de regels bijna wekelijks veranderen, moet elke organisatie serieus kijken naar wat Copilot op het gebied van compliance vraagt. Het gaat niet alleen om nog een vinkje zetten. Copilot vraagt om een andere manier van denken over gegevensbeveiliging, auditing en verantwoorde AI. In deze gids duik je in praktische, op risico’s gerichte strategieën om Copilot te beveiligen, te besturen en te auditen, in het wilde westen van de Amerikaanse regelgeving. De inzet is hoog, dus laten we ervoor zorgen dat dit in jouw voordeel werkt en niet tegen je.

Als je Microsoft 365 Copilot evalueert, zeker voor gereguleerde omgevingen, dan laten deze verrassende feiten belangrijke mogelijkheden zien en de overwegingen rond compliance van Microsoft Copilot.

1. Copilot respecteert de grenzen van je tenant: Copilot genereert antwoorden op basis van de Microsoft 365-gegevens van je organisatie, zonder standaard de modellen van Microsoft te trainen op je tenantinhoud. Dat helpt om de gegevenslocatie te borgen en vermindert het risico voor gereguleerde gegevens.
2. Gedetailleerde compliance-instellingen zitten ingebouwd in de beheercentra: Beheerders kunnen preventie van gegevensverlies (DLP), eDiscovery, bewaarlabels en toegangsbeheer specifiek op Copilot-interacties toepassen. Zo kunnen organisatiebeleid worden afgedwongen en blijven er controleerbare auditsporen bestaan.
3. Gevoelige gegevens worden op meerdere lagen gefilterd: Copilot gebruikt contentclassificatie, versleuteling en beleidshandhaving in combinatie met de mogelijkheden van Microsoft Purview om gevoelige informatie in prompts en antwoorden te blokkeren of te redigeren. Dat is verrassend voor een tool die aanvoelt als een gesprek.
4. Copilot-activiteit kan worden geauditeerd en gelogd voor onderzoeken: Alle Copilot-vragen en -antwoorden kunnen in logboeken worden vastgelegd voor forensisch onderzoek en compliancerapportage. Zo kun je voldoen aan eisen voor wettelijk bewijs en toezicht.
5. Modelgedrag kan worden beperkt door prompts en veiligheidsgrenzen: Naast technische maatregelen kunnen beheerders guardrails en promptfilters instellen om het genereren van verboden output te voorkomen (bijvoorbeeld gereguleerd financieel advies of blootstelling van persoonsgegevens). Zo sluit het gebruik van Copilot aan op interne compliancekaders.

Het beveiligings- en compliancekader van Microsoft Copilot toegelicht

Microsoft Copilot is geen vreemde eend in de bijt. Het is gebouwd om rechtstreeks in je Microsoft 365-omgeving te passen en heeft de beveiligingsachtergrond die je van het enterpriseplatform van Microsoft mag verwachten. Toch brengt Copilot ten opzichte van klassieke apps wel verandering, dus het is niet genoeg om aan te nemen dat je oude controles alles afdekken.

Het beveiligings- en compliancekader voor Copilot draait om defense in depth. Het begint met beveiligingsmaatregelen op enterpriseniveau: denk aan versleuteling, tenantisolatie en privacy-by-design vanaf het begin. Maar Microsoft houdt het daar niet bij. Copilot biedt ook op rollen gebaseerd toegangsbeheer en een strakke koppeling met de authenticatie van je zakelijke identity providers, zodat alleen de juiste mensen zien wat ze mogen zien.

Voor lezers uit het bedrijfsleven is het belangrijk om te begrijpen hoe governance en beleidshandhaving doorwerken tot in de AI-laag. Copilot gebruikt en breidt het informatiebeheer-, bewaar- en DLP-beleid uit dat je in Microsoft 365 instelt. Beheerders kunnen grenzen stellen, logs controleren en AI-activiteit afstemmen op organisatorische richtlijnen. Van wilde westen is geen sprake.

In de onderstaande subparagrafen zie je hoe gegevensbescherming, toegangsbeheer en governance op elkaar aansluiten. Het beveiligingsverhaal van Copilot gaat net zozeer over de wegen die je aanlegt als over het verkeer dat je erop rijdt. Klaar om de diepte in te gaan?

Gegevensbescherming en maatregelen voor informatiebeveiliging in Copilot

1. Versleuteling in elke stap: Gegevens die Copilot opvraagt of genereert, zijn altijd versleuteld, of ze nu onderweg zijn of opgeslagen staan. Microsoft gebruikt sterke versleutelingsprotocollen, zowel in rust als tijdens transport, zodat je je geen zorgen hoeft te maken dat je gegevens onderschept worden terwijl ze door de cloud reizen.
2. Tenant-isolatie van gegevens: Copilot vermengt je zakelijke gegevens nooit met die van iemand anders. De gegevens van elke organisatie blijven in hun eigen baan, gescheiden van andere tenants door beveiligde grenzen die zijn ingebouwd in het Microsoft 365-platform. Dit beperkt het risico op datalekken tussen tenants en versterkt de interne compliancepositie.
3. Vertrouwelijkheidslabels en gegevensclassificatie: Copilot herkent Microsoft Purview-vertrouwelijkheidslabels en houdt er rekening mee. Als je iets als vertrouwelijk labelt, respecteert Copilot dat. Dat betekent dat AI-gegenereerde antwoorden en toegang tot bestanden zich houden aan je labeling- en governanceregels. Eén ding minder dat tussen wal en schip valt.
4. Beveiliging van bedrijfsgegevens en privacy by design: Copilot is vanaf het begin gebouwd met privacy in gedachten. Microsoft past privacy-by-design-principes toe bij het schrijven van code, testen en uitrollen, en controleert Copilot regelmatig om aan beveiligingsnormen te voldoen.
5. Geavanceerde bescherming tegen bedreigingen: Het platform van Copilot profiteert van Microsoft Defender en integraties met de beveiliging van de onderneming. Zo worden bedreigingen proactief gescand en wordt malware meteen gestopt. Combineer dit met robuuste governancestrategieën om de risico's die specifiek zijn voor AI-agents het hoofd te bieden.
6. Continue monitoring en auditlogging: Elke interactie met Copilot kan worden gelogd en gemonitord via de compliancetools van Microsoft 365. Dat is cruciaal om compliance tijdens audits aan te tonen en snel ongeautoriseerd of riskant gedrag te herkennen.

Met Microsoft Purview krijg je uitgebreide mogelijkheden om gegevensbeveiliging op elk moment te classificeren, monitoren en afdwingen. De kern van het verhaal? Beveiliging in Copilot is geen extraatje, maar zit er standaard in en brengt de kracht van de Microsoft-cloud naar elke AI-interactie.

Toegangsbeheer en authenticatiesystemen voor Copilot

1. Op rollen gebaseerd toegangsbeheer (RBAC): Copilot maakt gebruik van de rollen en machtigingen van je organisatie en geeft gebruikers alleen toegang tot gegevens en acties die bij hun functie passen. Zo blijft gevoelige content uit handen van de verkeerde personen, ook als gebruikers Copilot proberen te bewegen om meer te tonen.
2. Integratie met Entra ID (Azure Active Directory): Alle authenticatie verloopt via Microsoft Entra ID (voorheen Azure AD). Dat betekent dat dezelfde veilige aanmelding, voorwaardelijke toegang en multifactorauthenticatie die je nu al gebruikt, ook voor Copilot gelden. Zo krijg je overal sterke en consistente beveiliging.
3. Voorwaardelijke toegangsbeleidsregels: Copilot respecteert het voorwaardelijke toegangsbeleid van je organisatie en blokkeert de toegang als riskante situaties worden gedetecteerd. Voor schaalbaardere controles kun je kijken naar inzichten over het verhelpen van beleid in Entra ID.
4. Afdwingen van minimale rechten: Copilot hanteert standaard de benadering van ‘minimale rechten’. Zo krijgen gebruikers en workloads alleen de toegang die ze echt nodig hebben, en niets meer. Pogingen om verder te gaan dan dat kunnen worden gemonitord en geblokkeerd voordat er problemen ontstaan.

Governance en handhaving van beleid bij Copilot-implementaties

1. Centraal beleidsbeheer: Beheerders kunnen regels instellen voor wat Copilot wel en niet mag doen. Zo stemmen ze het gebruik van Copilot af op de bredere informatiegovernancestrategie van Microsoft 365, via het beheercentrum en de functies van Purview.
2. Auditlogging en monitoring: Elk verzoek, antwoord en elke automatisering via Copilot kan worden gelogd. Dat maakt het makkelijker om incidenten te onderzoeken, compliancerisico's te signaleren en bewijs te leveren tijdens audits. Strikte audits helpen om verantwoordelijkheid te waarborgen.
3. Vertrouwelijkheidslabels en uitbreiding van DLP: Benut je bestaande beleidsregels voor preventie van gegevensverlies (DLP) en Microsoft Purview-vertrouwelijkheidslabels om ervoor te zorgen dat door Copilot gegenereerde content op dezelfde manier wordt geclassificeerd en beschermd als andere M365-gegevens.
4. Geautomatiseerde handhaving: Beleidsschendingen activeren geautomatiseerde acties, zoals automatisch labelen, het blokkeren van inhoud of waarschuwingen naar je governanceteam, zodat problemen proactief worden aangepakt en niet pas achteraf.

Met Playbooks, rolgroepen en audittrails houd je je Copilot-activiteiten compliant en zichtbaar, hoe groot je implementatie ook wordt.

AI-risicobeheer en praktijken voor verantwoorde AI

AI is geen gewone technologie. Met Copilot haal je een heel nieuwe set risico's binnen, sommige voor de hand liggend, andere volledig nieuw. Generatieve AI blinkt uit in het vinden van verbanden en het genereren van inhoud, maar diezelfde kracht opent de deur naar zowel per ongeluk als opzettelijk misbruik, van datalekken tot onbedoelde blootstelling of aanvallen op het reconstrueren van modellen.

Microsoft pakt deze uitdagingen aan met een filosofie die is gebaseerd op verantwoorde AI-ontwikkeling. Het gaat niet alleen om hackers buiten de deur houden; het gaat erom dat Copilot eerlijk, transparant en op een manier wordt gebruikt die aansluit bij ethische en regelgevende normen. Belangrijke dreigingen, zoals model-inversieaanvallen of AI-‘hallucinaties’ (die wilde antwoorden die ver naast de feiten zitten), vragen om specifieke maatregelen en voortdurende waakzaamheid.

Kaders voor verantwoorde AI zijn geen theoretisch papierwerk. Ze vereisen transparantie, controleerbaarheid en toetsing in de praktijk, zodat de technologie niet uit de hand loopt of beslissingen neemt die niet te verantwoorden zijn. De aanpak van Microsoft verankert governance en ethiek in elke stap, zodat Copilot je compliancebehoeften kan ondersteunen zonder dat het je volgende Shadow IT-probleem wordt.

Terwijl we de details doornemen, zie je waarom AI-specifieke risico's, zoals onbedoelde datablootstelling en ethische blinde vlekken, een nieuwe set beleidsregels en hulpmiddelen nodig hebben. Lees verder voor concrete handvatten, van beveiligingsmaatregelen tot werkwijzen voor verantwoorde AI.

AI-beveiligingsdreigingen: model-inversieaanvallen begrijpen

1. Dreiging van model-inversie: Aanvallers kunnen proberen gevoelige gegevens die de AI van Copilot heeft gezien te reconstrueren door er slimme vragen op los te laten. Dit heet een model-inversieaanval en het is een serieus risico voor organisaties met eigen of gevoelige gegevens.
2. Impact voor de onderneming: Als zo'n aanval slaagt, kunnen kwaadwillenden stukken van vertrouwelijke documenten, klantgegevens of beperkte financiële gegevens onttrekken, waardoor Copilot per ongeluk een lekkende schakel wordt.
3. Verdediging van Microsoft: De architectuur van Copilot combineert privacybeschermende training, strikte gegevensscheiding, filtering van prompts en monitoring van activiteiten. De verdediging omvat anomaliedetectie en beleidsmaatregelen die letten op ‘vissexpedities’: prompts die gericht zijn op het blind verzamelen van informatie.
4. Monitoring en respons: Best practice is regelmatig AI-beveiligingstests uitvoeren, logs controleren op verdachte activiteit en playbooks klaarhouden voor het geval door Copilot gegenereerde inhoud een grens overschrijdt. Voor een kijkje naar geavanceerde aanvallen in de M365-wereld kun je deze analyse van een echte datalek bekijken.
5. Continue beoordeling: AI-risico's veranderen snel. Organisaties moeten deze maatregelen regelmatig opnieuw bekijken, naarmate Copilot en generatieve AI-modellen slimmer worden en de aanvallers ook.

Implementatie van verantwoorde AI en ethische Azure-kaders

De Responsible AI Standard van Microsoft is een set regels en processen voor het ethisch en verantwoord ontwerpen, ontwikkelen en inzetten van AI-systemen. Copilot houdt zich aan deze principes en zorgt voor transparantie, eerlijkheid, betrouwbaarheid, privacy, beveiliging, inclusiviteit en verantwoordingsplicht gedurende de hele levenscyclus.

Belangrijke maatregelen die in Copilot zijn ingebouwd, zijn gedocumenteerd gebruik van gegevens, duidelijke opt-in- en opt-outprocessen, robuuste normen voor gegevensminimalisatie en voortdurend toezicht door de wereldwijde complianceteams van Microsoft. Amerikaanse organisaties wordt aangeraden deze principes van verantwoorde AI te vertalen naar hun eigen interne beleid voor AI-governance, zodat juridische en reputatierisico's worden beperkt.

Dit betekent dat elke implementatie van Copilot wordt getoetst aan wereldwijde regelgeving en best practices, waarmee de kloof tussen innovatie en compliance wordt overbrugd.

Gegevensresidentie en regionale complianceeisen

AI kent geen grenzen, maar je data wel, en zeker op het gebied van compliance. Copilot kan informatie benaderen, genereren of verwerken die over regionale grenzen heen gaat, en dat roept belangrijke vragen op rond dataresidentie (waar je gegevens fysiek staan) en datasoevereiniteit (wie er zeggenschap over heeft). Vooral Amerikaanse multinationals moeten het gebruik van Copilot afstemmen op strenge regionale en sectorgebonden regelgeving.

Microsoft pakt deze zorgen direct aan met uitgebreide controles voor dataresidentie, waarmee organisaties tot in detail kunnen bepalen waar en hoe gegevens worden opgeslagen en verwerkt. Dat is niet alleen belangrijk voor regio's die sterk op privacy inzetten, zoals de Europese Unie (denk aan de AVG), maar ook voor gereguleerde sectoren zoals de zorg en financiële dienstverlening, waar één misstap boetes of zelfs een stilgelegde activiteit kan betekenen.

De maatregelen zijn niet voor iedereen hetzelfde. Organisaties krijgen hulpmiddelen waarmee ze kunnen garanderen dat Copilot-activiteit binnen goedgekeurde geografische gebieden blijft, aan lokale eisen voldoet en naadloos aansluit op wereldwijde compliancedoelen. In de volgende secties behandelen we de details voor de EU, belangrijke gereguleerde sectoren in de VS en de tools die dit mogelijk maken.

EU Data Boundary voor Copilot: wat Amerikaanse organisaties moeten weten

De EU Data Boundary is het initiatief van Microsoft om ervoor te zorgen dat klantdata van EU-klanten binnen de Europese Unie blijft, zonder grensoverschrijdende overdrachten tenzij dat uitdrukkelijk is toegestaan. Voor Amerikaanse bedrijven met activiteiten of eindgebruikers in de EU betekent dit dat Copilot-interacties (inclusief prompts en gegenereerde content) binnen goedgekeurde Europese datacenters blijven.

Microsoft handhaaft deze grenzen met geo-beperkte tenantinstellingen en workloadspecifiek beleid, in lijn met de AVG en andere lokale wetgeving. Als je bedrijf zowel in de VS als in de EU actief is, schakel dan de functies van de EU Data Boundary in, controleer welke uitzonderingen nodig zijn en audit je gegevensstromen om onbedoelde regelgevingsfouten te voorkomen.

Compliance in de zorg en beveiliging van Copilot in financiële dienstverlening

1. HIPAA en bescherming van PHI: Zorginstellingen moeten zorgen dat Copilot gedekt is door een business associate agreement (BAA) en dat PHI (protected health information) alleen wordt benaderd, opgeslagen of verwerkt volgens de HIPAA-eisen.
2. GLBA, SOX, PCI-DSS-compliance: Voor financiële dienstverleners moet Copilot voldoen aan regels voor persoonlijke financiële gegevens, transactierapportage en audittrails. Dat betekent dat de Copilot-configuratie waar nodig wordt afgestemd op de eisen van GLBA, SOX en PCI-DSS.
3. Risicobeoordeling en -mapping: Beide sectoren hebben regelmatige risicobeoordelingen nodig die gekoppeld zijn aan Copilot-activiteit, waarbij toegang, logging en DLP-maatregelen worden afgestemd op sectorspecifieke kaders. Voor praktisch governancebeleid bij appontwikkeling kun je kijken naar Power Platform-beveiligingstactieken en best practices voor Power Platform DLP-beleid.
4. Controleerbaarheid en koppeling met beleid: Stel auditlogs in en zorg dat je Copilot-beleid is gekoppeld aan bredere compliancesystemen voor rapportage en regelgevende controles. Zo wordt geen enkele compliancestap overgeslagen.

Controles voor dataresidentie en opslaglocatie voor Copilot

Controles voor dataresidentie voor Copilot stellen organisaties in staat te bepalen waar hun informatie wordt opgeslagen, met opties op tenantniveau en per workload. Beheerders kunnen de gegevensopslag zo instellen dat deze binnen de VS, de EU of andere goedgekeurde regio's blijft, en beleidsregels toepassen zodat Copilot-interacties aan compliant geografische gebieden gebonden blijven.

De risico's van onjuiste gegevensopslag variëren van regelgevende boetes tot schendingen van contracten, vooral voor Amerikaanse bedrijven met activiteiten in de EU of met gereguleerde data. Microsoft biedt beheertools via de instellingen van de Microsoft 365-tenant en de compliance-portals van Purview. Voor meer diepgang over duurzaam gegevensbeheer kun je deze diepgaande analyse over governance lezen en ontdekken hoe geïntegreerde dataecosystemen de compliance versterken.

Best practices voor het beheer van de levenscyclus van Microsoft Copilot-gegevens

In tegenstelling tot traditionele documenten of e-mails is data die door Copilot wordt gegenereerd niet altijd voorspelbaar: het kan bestaan als tijdelijke prompts, samenvattingen of content die in chatgeschiedenissen is opgenomen. Dit levert uitdagingen op rond bewaring, verwijdering, vindbaarheid en complianceaudits, en daar is een gestructureerde, ‘AI-bewuste’ aanpak voor nodig.

Microsoft biedt organisaties tools om Copilot-data van begin tot eind te beheren. Lifecyclebeheer voor Copilot inrichten betekent dat je bewaartermijnen definieert, verwijderprocedures automatiseert, je voorbereidt op eDiscovery en AI-output koppelt aan de wettelijke verplichtingen van je organisatie. Microsoft-integraties zoals Purview en SharePoint vormen de ruggengraat van deze geavanceerde governance-workflows.

Je merkt duidelijke verschillen met klassieke documentbewaring: AI-data beweegt sneller, kan vluchtiger zijn en vraagt vaak om een speciale aanpak voor audits en eDiscovery. In de volgende secties lees je hoe je hierin meegaat, compliant blijft en snel reageert op juridische verzoeken en beleidswijzigingen terwijl Copilot zich verder ontwikkelt.

Bewaring en verwijdering van door Copilot gegenereerde content

1. Standaard bewaarregels: Copilot-content volgt standaard de Microsoft 365-bewaarbeleidsregels van je organisatie, of die nu inhouden dat content 30 dagen wordt bewaard of zeven jaar. Je stelt de grenzen in op tenantniveau of op workloadniveau.
2. Aanpasbare bewaring: Stem bewaring af op het type data. Kortlopende conceptcontent kan regelmatig worden verwijderd, terwijl compliancedocumenten of gevoelige data langer kunnen worden bewaard. Aangepaste regels integreren met tools zoals Microsoft Purview en SharePoint ECM (lees hier hoe je documentchaos aanpakt).
3. Geautomatiseerde verwijdering en juridische blokkades: Plan verwijdering voor niet-essentiële Copilot-bestanden, maar zorg dat juridische of wettelijke blokkades worden gerespecteerd voor alles wat onder onderzoek staat of omstreden is. Speciale behandeling voor gevoelige of risicovolle data is ingebouwd.
4. Controleerbare procedures: Elke bewaar- en verwijderactie kan worden gelogd en gecontroleerd. Dat is essentieel om te kunnen aantonen dat je deed wat je zei wanneer er een audit of juridisch onderzoek komt. Samenwerking tussen Juridische zaken, HR en Security is cruciaal voor een goede compliance.

eDiscovery en juridische compliance in Copilot-workflows

• Zoeken en verzamelen: Microsoft Purview eDiscovery-tools vinden door Copilot gegenereerde content naast traditionele M365-assets. Er blijft niets onontdekt.
• Ondersteuning voor juridische blokkades: Zet Copilot-data in de wacht tijdens geschillen of onderzoeken, ook als de content anders door automatisering zou worden verwijderd.
• Compliance-proof auditlogboeken: Elke actie wordt gelogd als bewijsmateriaal. In gevoelige of gereguleerde sectoren is het aan te raden over te stappen van Audit Standard naar Premium (lees hier de audittips).
• Efficiënte juridische respons: Snel verzamelen, filteren en overdragen maakt het mogelijk om op verzoeken van de rechter te reageren met minimale verstoring van de bedrijfsvoering.

Microsoft 365 Copilot-integratie en compliancearchitectuur

De echte kracht van Copilot is dat het geen losstaande app is buiten je IT-perimeter. Het is diep verankerd in je Microsoft 365-beveiliging, compliance- en identiteitsinfrastructuur. Dat betekent dat je het wiel niet opnieuw hoeft uit te vinden om beleid af te dwingen, machtigingen te beheren en activiteit te monitoren. Alles koppelt terug aan de beheermogelijkheden die je al kent en vertrouwt in M365.

Copilot maakt gebruik van bestaande identiteitsbronnen, zoals Entra ID, past je tenantbeleid toe en logt acties via de compliancetools die je organisatie heeft gekozen. Het voegt een laag intelligentie toe: het toont relevante data en houdt zich daarbij aan de grenzen die je hebt gesteld, ook in multi-tenant- of hybride omgevingen. Voor beheerders betekent dit dat je zicht, handhaving en analyses krijgt zonder voor elke AI-agent een nieuw governancesysteem te moeten opzetten.

Met integraties met Purview, Defender en andere compliance-oplossingen erft Copilot je beveiligingsniveau en versterkt het dat ook. Zoals je in de volgende secties zult zien, draait het er echt om te weten waar Copilot in je omgeving aansluit, en hoe je de gaten dicht als ze tijdens een audit opduiken. Moderne best practices combineren technische controles, tenantbeveiliging en compliance-analyses voor Copilot die net zo veilig is als slim. Voor extra oefening kun je deze M365-beveiligingstips en verborgen compliance drift-scenario's bekijken.

Integratiepunten van Microsoft 365 en overwegingen rond tenantbeveiliging

1. Isolatie tussen tenants: Copilot houdt je organisatiedata en workflows strikt gescheiden van andere tenants, ook wanneer het gedeelde Microsoft 365-resources gebruikt.
2. Organisatorische grenzen en machtigingen: Machtigingen voor Copilot worden overgenomen van je Microsoft 365-groepen en -rollen. Er zijn geen aparte identiteitssilo's, wat het makkelijker maakt om alles strak en controleerbaar te houden.
3. Realtime auditing: Elke Copilot-gerelateerde actie wordt realtime vastgelegd. Dat levert bewijs op voor compliance-audits en helpt om afwijkende activiteit snel te detecteren (leer van veelvoorkomende governance-fouten).
4. Installatie en beveiligingsverharding: Volg de best practices voor het instellen van Copilot in hybride en multi-tenant omgevingen. Controleer toegangsreviews, eigenaarschapstoewijzingen en vertrouwelijkheidslabels (M365 data governance uitgelegd).
5. Configuratievalkuilen vermijden: Laat verouderde content, niet-afgestemde toegangsreviews of verweesde eigenaren niet uitgroeien tot compliance-zwakke plekken die Copilot zichtbaar kan maken.

Integratie van Microsoft Purview en compliancetools met Copilot

De compliancekracht van Copilot komt voort uit de nauwe integratie met Microsoft Purview. Out-of-the-box krijg je geavanceerde auditing, activiteitenrapportage, DLP-beleid, automatisch labelen en insider risk management. Die houden allemaal de door Copilot gegenereerde content bij over apps en workloads heen. Met de configuratieopties van Purview stel je eenvoudig Copilot-specifieke monitoring in of classificeer je AI-output. Zo krijg je rapportage over de hele tenant en kun je snel reageren op incidenten.

Wil je verder gaan? Gebruik de out-of-the-box DLP-connectors om riskante externe overdrachten te blokkeren, handhaaf databegrenzingen op omgevingsniveau en beperk de toegang via Entra-rollen. Met geavanceerde rapportage haal je Copilot-activiteit in Power BI, voor een centraal compliance-dashboard dat realtime bijwerkt. Wil je meer details, duik dan in de best practices voor tenantisolatie en DLP-grenzen en de geautomatiseerde compliancebewaking in Defender for Cloud.

Regelgevende compliance en risicobeoordeling van Copilot

De regeldruk op AI neemt toe, en Microsoft Copilot vormt daarop geen uitzondering. Een risicobeoordeling draait niet alleen om de auditors tevreden houden. Het is je routekaart om Copilot-gebruik af te stemmen op wettelijke, sectorspecifieke en organisatiegebonden verplichtingen, en om dreigingen te blokkeren voordat ze escaleren.

De compliancebasis voor Copilot rust op kaders als NIST, ISO, de AVG (GDPR) en diverse privacywetten op staatsniveau, vooral in de VS, waar het lappendeken aan regels elke dag groeit. Risicobeheer betekent hier dat je regelmatig je Copilot-beleid beoordeelt en documenteert, toegang controleert, workflows doorloopt en je maatregelen bijwerkt naarmate de technologie (en de regels) evolueren.

Continue monitoring, kwetsbaarheidsbeheer en audits over de afdelingen heen zijn essentieel. Copilot introduceert unieke aanvalsoppervlakken, zoals de kans op brede blootstelling van gegevens, en die vragen om gerichte risicobeheersmaatregelen. In de volgende secties vind je praktische strategieën om je compliance-eisen scherp te krijgen en Copilot-risicomanagement te operationaliseren, zonder achter de nieuwe regelgeving aan te lopen. Voor een diepgaander verhaal kun je de praktijkvoorbeelden over Copilot-governance bekijken en de aanpak van Shadow IT uit deze quickstartgids lezen.

Compliance-eisen en risicomanagementkaders

1. Afstemmen op standaarden: Stem de Copilot-beheersmaatregelen af op erkende kaders zoals NIST SP 800-53, ISO 27001 en AVG/GDPR, voor de eisen rond gegevensverwerking, privacy en auditing.
2. Continue risicobeoordeling: Plan regelmatige reviews van het aanvalsoppervlak van Copilot. Leg vast wat er nieuw is, wat er is veranderd en waar risico’s zijn verschoven.
3. Gap-analyse: Zoek uit waar de huidige maatregelen Copilot níét dekken, of het nu gaat om bewaring, monitoring of DLP-dekking, en dicht die gaten snel.
4. Updates van beleid en documentatie: Houd compliance-playbooks en gebruikersafspraken actueel terwijl Copilot-updates worden uitgerold. Let ook op verborgen risico’s, zoals versiecompressie en gezamenlijk bewerken, die worden toegelicht in deze uitleg over compliance drift.
5. Training en change management: Informeer gebruikers over de wijzigingen en zorg dat ze bewust zijn van de nuances van compliancerisico’s die door AI ontstaan.

Beveiligingsrisico’s en kwetsbaarheidsbeheer voor Copilot

1. Identificeren van aanvalsvectoren: Blijf op de hoogte van Copilot-specifieke dreigingen, zoals prompt injection, tokendiefstal of misbruik van OAuth. Leer van analyses van aanvalsketens en oplossingen voor niet-menselijke risico’s.
2. Continue monitoring: Zet geavanceerde detectieve maatregelen in, zoals logs, waarschuwingen en anomaliedetectie, zodat je verdachte activiteit of inbreuken signaleert voordat ze grote problemen worden.
3. Patchen en herstellen: Pas Microsoft-updates toe zodra ze beschikbaar zijn en houd beveiligingsadviezen in de gaten om de onderliggende platforms van Copilot veilig te houden.
4. Metrics en rapportage: Stel KPI’s op voor de tijd tot detectie, de incidentrespons en de patchstatus. Gebruik compliance- en auditdashboards om je risicopositie te volgen en te verbeteren.
5. Zero Trust-principes: Vervang riskante serviceaccounts door Entra Workload Identities om gaten in de toegang van niet-menselijke identiteiten te dichten en volledig levenscyclusbeheer te krijgen, zoals beschreven in deze uitleg over Zero Trust.

Beleid en wettelijke compliance-overwegingen voor Copilot

AI-regelgeving is niet alleen een zorg in de EU. Ook in de VS grijpen wetgevers hard in, van overheidsverboden tot wetgeving per staat. Bij de inzet van Copilot moet je dus de wetgeving in de gaten houden en je beleid snel aanpassen zodra nieuwe wetten van kracht worden.

Compliance op dit gebied betekent dat je zowel voorgestelde als al vastgestelde wetten volgt. Sommige wetten beperken generatieve AI in het overheidswerk helemaal, zoals het verbod van het Amerikaanse Congres. Andere stellen extra regels voor gegevensprivacy of voor specifieke sectoren voor. Slimme organisaties wachten niet tot er gehandhaafd wordt. Ze bouwen flexibiliteit in, zodat ze Copilot-functies kunnen beperken of uitzetten zodra de wetgeving verandert.

Aanpassingsvermogen is nu een compliance-superkracht. Door je interne beleid en technische maatregelen af te stemmen op nieuwe regelgeving, verklein je het bedrijfsrisico en voorkom je kostbare verrassingen. In de volgende sectie lees je waar je op moet letten bij opkomende wetgevingstrends en hoe je Copilot compliant houdt, nu wetgeving bijna net zo snel beweegt als de technologie zelf.

Wettelijke beperkingen en het verbod van het Amerikaanse Congres

Het Amerikaanse Congres heeft stappen gezet om generatieve AI-tools, waaronder Microsoft Copilot, uit overheidsnetwerken te weren. Dat past in een groeiende wetgevende controle in het hele land. Ook op staatsniveau wordt over wetten gesproken, waarbij sommige rechtsgebieden het gebruik van AI in de publieke sector, de gezondheidszorg of financiële dienstverlening beperken.

Compliance-teams in grote organisaties moeten deze juridische ontwikkelingen nauwlettend volgen via betrouwbare trackers en updates van Microsoft-beleid. Wanneer er verboden of beperkingen opduiken, zorg dan dat je draaiboeken klaar hebt om Copilot-functies voor getroffen gebruikersgroepen uit te schakelen of te beperken. Blijf proactief met juridische waarschuwingen en afstemming tussen teams, want alleen zo voorkom je compliance-missers terwijl de wetgeving verandert.

Compliance-integratie over platformgrenzen heen voor Copilot

Moderne organisaties leven zelden in een wereld die alleen uit Microsoft bestaat. Je jongleert met een lappendeken van cloudleveranciers, verouderde on-premises systemen en hybride architecturen, en dat maakt compliance een stuk lastiger. Wanneer Copilot over die omgevingen heen werkt, moet governance naadloos zijn, niet met gaten.

De grootste hindernissen? Policy drift, inconsistente handhaving en fragmentatie. Data kan makkelijk lekken tussen on-premises opslag en cloudplatforms, of stromen over meerdere leveranciers, die elk hun eigen idee hebben van wat ‘compliant’ werkelijk betekent. Het compliancemodel van Copilot probeert tussen deze omgevingen te bemiddelen met behulp van uniforme beleidsregels, centrale monitoring en best practices voor orkestratie.

Voor architecten betekent compliance halen dat je vangrails bouwt die alle snelwegen dekken waarover je data kan reizen, van de Microsoft-cloud tot AWS, Google of je eigen serverkast. De volgende twee secties behandelen best practices voor hybride en multi-cloud. Als je zorgen hebt dat entropie insluipt naarmate alles groeit, bekijk dan deze diepgaande blik op governance by design in Azure en aanpakken voor cross-functionele control planes.

Copilot-compliance in hybride werkomgevingen

1. Centraliseer monitoring en beleidsorkestratie: Gebruik één compliance-platform (zoals Microsoft Purview) om DLP en auditing te beheren voor zowel cloud- als on-premises data. Laat verouderde silo’s geen blinde vlekken worden.
2. Verbind legacy- en moderne controles: Koppel klassieke DLP, rolcontroles en handhaving van beleid in SharePoint of on-premises bestandsopslag aan cloudgerichte controles. Vermijd zwakke plekken door losse strategieën. Hoe dit misgaat in low-code omgevingen, lees je in lessen over governance van Dataverse versus SharePoint.
3. Uniforme rolgebaseerde toegang: Breng toegangsrechten centraal in kaart, zodat hybride gebruikers consistente machtigingen krijgen. Geen gedoe meer van ‘Ik kan dit in de cloud wel, maar op de server niet’.
4. Geautomatiseerde escalatie en respons: Wanneer compliance-issues opduiken, moeten meldingen, quarantaineacties en escalaties via één draaiboek lopen, en niet via negen verschillende.

Voor een verklarende woordenlijst en een strategische blauwdruk kun je deze gids over Azure landing zones en handhaving van beleid raadplegen.

Multi-cloud datahantering en afstemming op regelgeving

1. Standaardiseer beleid over clouds heen: Bouw universele DLP-, bewaar- en toegangsregels die over platforms heen werken. Zo verklein je de ‘vertaalfouten’ die ontstaan wanneer compliance tussen AWS, GCP en Microsoft verschuift.
2. Geautomatiseerde datamapping en inventarisatie: Controleer regelmatig waar data staat, hoe die tussen clouds beweegt en welke rechtsgebieden erbij betrokken zijn. Wie dit verwaarloost, loopt het risico per ongeluk de regels rond datasoevereiniteit te overtreden.
3. Uniforme toestemming en auditsporen: Zorg dat toestemming van gebruikers en auditdocumentatie behouden blijven, ongeacht waar Copilot data verwerkt.
4. Regelgevende gelijkwaardigheid: Pas eerst de strengste regionale eisen toe (bijvoorbeeld AVG/GDPR, CCPA) en laat die overal als minimumniveau gelden. Stem ook duurzaamheids- en operationele compliancekaders op elkaar af. Bekijk de Microsoft Carbon Control Plane om te zien hoe traceerbaarheid en governance elkaar raken.

Monitoring van gebruikersgedrag en handhaving van compliance bij Copilot-gebruik

Soms zit het risico niet in de techniek, maar in wat mensen ermee doen. Gebruikersgedrag is de volgende frontlinie in Copilot-compliance, want een goed geconfigureerd beleid heeft geen zin als gebruikers eromheen werken of onbedoeld fouten maken. Het monitoren van gebruikersinteracties, het signaleren van riskante prompts en het vanaf de basis afdwingen van compliance creëren een ‘vertrouw, maar controleer’-model dat essentieel is voor zakelijke Copilot-programma’s.

Microsoft biedt uitgebreide tools om riskante activiteiten bij te houden, te registreren en te markeren, met behulp van analyse-engines en geavanceerde DLP-controles. Het gaat om meer dan alleen het opsporen van ‘kwaadwillenden’. Je let ook op onbedoelde fouten, insider threats en creatief misbruik van prompts dat gevoelige gegevens kan lekken of nieuwe compliance-problemen kan veroorzaken. CISO’s en IT-beheerders kunnen waarschuwingen, anomaliedetectie en playbooks gebruiken voor geautomatiseerd of handmatig ingrijpen.

De volgende secties gaan in op de praktische strategieën en analyses die gebruikersgerichte compliance werkelijkheid maken. Voor een praktische aanpak van het auditen van gebruikersactiviteit en het bouwen van een adaptief DLP-systeem kun je starten met de richtlijnen voor Purview-auditing en de insider DLP-zetten.

Compliance-schendingen in Copilot-interacties detecteren en voorkomen

• Gedragsanalyse en waarschuwingen: Gebruik Purview Audit om ongebruikelijke prompts of verzoeken te markeren en ze te scoren op risico en escalatie (details over auditing hier).
• Anomaliedetectie: Houd plotselinge pieken in Copilot-query’s, toegang tot bestanden met een hoog gevoeligheidsniveau of pogingen om vertrouwelijke bedrijfsgegevens te onttrekken in de gaten.
• Playbooks voor incidentrespons: Bouw workflows voor automatische waarschuwingen, het direct vergrendelen of in quarantaine plaatsen van verdachte sessies en gedetailleerde onderzoeksprotocollen na een incident.
• Audit-logging en escalatie: Uitgebreide logs helpen compliance-teams incidenten snel te reconstrueren voor beoordeling of als bewijs bij juridische controle.

Op rollen gebaseerde toegang en gebruiksauditing voor Copilot

Op rollen gebaseerde toegangsauditing voor Copilot betekent bijhouden welke gebruikers (en serviceaccounts) toegang hebben tot welke gegevens en welke acties ze uitvoeren. Analysedashboards moeten het gebruik per rol tonen, ongebruikelijke of onrechtmatige verzoeken aan het licht brengen en wijzigingen in toegang na verloop van tijd documenteren.

Dit voorkomt ongeautoriseerde blootstelling van gegevens en ondersteunt compliance-eisen voor least privilege. Regelmatige toegangsreviews, continue monitoring en gedocumenteerde audittrails (met Microsoft Purview en geïntegreerde tools) zijn cruciaal voor robuuste, bruikbare compliance. Ga dieper in op granulaire rolcontroles en playbooks voor Shadow IT-governance voor gedetailleerde stappen.

Compliance-risico’s van apps van derden en API’s bij Microsoft Copilot

Het uitbreiden van Copilot met aangepaste plug-ins, connectors of applicaties van derden kan de productiviteit enorm verhogen, maar opent ook nieuwe gaten in je compliance-perimeter. Als je code van derden zonder degelijke beoordeling toelaat, nodig je mogelijk datalekken, onbeheerde machtigingen of ronduit beveiligingsfalen uit in je gereguleerde processen.

Copilot-API-integraties vragen om een risicogerichte aanpak. Dat betekent strikte goedkeuring en doorlopende beoordeling van plug-ins, regelmatige codereviews en actieve audittrails voor alles wat met je bedrijfsgegevens in aanraking komt. Naarmate leveranciers en interne ontwikkelaars meer integraties toevoegen, moet je ervoor zorgen dat compliance-regels met de gegevens meereizen, en niet alleen met de gebruiker.

De volgende secties beschrijven hoe je plug-inrisico’s beheerst en toestemming afdwingt, zodat je snel kunt handelen en toch regelgevend in lijn blijft. Voor achtergrond over Copilot-leren en Shadow IT-dreigingen kun je terecht bij best practices voor tenant-bewuste Copilot-centra en AI-governance voor agents van derden.

Compliance-risico’s beheren bij aangepaste plug-ins en extensies

1. Beoordeling van plug-ins en extensies: Voordat je een nieuwe Copilot-extensie inschakelt, voer je grondige codecontroles, audits van machtigingen en afstemmingscontroles uit op basis van je interne compliance-eisen. Ga er niet vanuit dat ‘marketplace’ automatisch betekent dat iets veilig is.
2. Doorlopende risicobeoordeling: Hanteer een doorlopend beoordelingsschema, want risico’s van plug-ins en het geleidelijk toenemen van machtigingen (permission creep) nemen na verloop van tijd toe. Reageer snel op nieuwe kwetsbaarheden (wees voorbereid op snelle governancekaders).
3. Beperking van datawildgroei: Leg expliciet vast welke applicaties toegang hebben tot welke gegevens, en gebruik Entra-rollen en omgevingsisolatie om die grenzen af te dwingen. Alleen goedgekeurde extensies mogen het bereik van Copilot uitbreiden.
4. Gestandaardiseerd goedkeuringsproces: Documenteer en publiceer beleid voor de goedkeuring van plug-ins, met duidelijke stappen voor ontwikkelaars, eindgebruikers en IT. Leg vast wat ‘compliant’ betekent in een vaste sjabloon, met gelaagde controles (beheer het agentische voordeel met duidelijke controlevlakken).

Gegevensdeling en toestemming bij Copilot-geïntegreerde applicaties

Telkens wanneer Copilot gegevens deelt met apps van derden, is expliciete toestemming van de gebruiker en een robuuste auditlogging vereist. Regelgeving vereist dat je vastlegt wie de gegevensstroom heeft geautoriseerd, wat er is gedeeld en wanneer dat gebeurde, zeker als gevoelige of gereguleerde inhoud in het spel is.

Best practice binnen organisaties is om Entra ID te gebruiken om toestemmingsworkflows voor gebruikers en beheerders af te dwingen, open OAuth-toekenningen te beperken en regelmatige controles van alle machtigingen van derden verplicht te stellen (lees meer over aanvalsvectoren op toestemming). Dataminimalisatie, oftewel alleen delen wat nodig is, en het bewaren van duidelijke auditrecords zorgen ervoor dat organisaties klaar zijn voor audits of incidentonderzoeken.

Stem workflows af op zero trust-principes en adaptieve authenticatie binnen M365 en geïntegreerde platformen (Zero Trust by Design in de praktijk) om compliance te waarborgen, de gebruikersfrictie laag te houden en toestemmingsrisico’s snel af te sluiten.

Veelgestelde vragen: microsoft 365 copilot-beveiliging en compliance: belangrijkste beveiliging, generatieve AI, gegevenstoegang en gegevensprivacy

Wat zijn de belangrijkste compliance-overwegingen bij het gebruik van Microsoft Copilot binnen mijn Microsoft 365-tenant?

Wanneer je Copilot in Microsoft 365 gebruikt, zijn de belangrijkste overwegingen toegangscontroles voor gegevens, bewaarbeleid voor gegevens, wettelijke compliance-eisen (bijvoorbeeld de AVG) en het waarborgen dat beveiligings- en compliancebescherming van toepassing is in Microsoft 365-apps en -diensten. Beheerders moeten de bestaande machtigingen in Microsoft 365 controleren, de Copilot-instellingen configureren in het Microsoft 365-beheercentrum en Microsoft Purview data security en Microsoft Purview information protection integreren, zodat Copilot binnen het governancemodel van je organisatie blijft werken.

Hoe krijgt Microsoft 365 Copilot toegang tot gegevens uit Microsoft 365-apps zoals Microsoft Teams en Outlook, en hoe verwerkt het die gegevens?

Copilot krijgt toegang tot gegevens via Microsoft Graph en andere connectors binnen Microsoft 365-diensten, met gebruik van het bestaande machtigingsmodel van Microsoft 365. Interacties met Microsoft 365 Copilot worden beheerst door toegangscontroles op tenantniveau; beheerders kunnen configureren welke gegevens Copilot mag gebruiken, en de verwerking door Copilot en Microsoft gebeurt binnen het beveiligingsraamwerk van Microsoft. Inzicht in hoe Copilot toegang krijgt tot e-mail, bestanden en Teams-inhoud is essentieel om potentiële risico’s te beheersen en gegevensprivacy te waarborgen.

Kan ik bepalen welke gegevens Copilot mag gebruiken en waar die gegevens worden opgeslagen (gegevensbewaring)?

Ja. Je kunt het gebruik van Copilot en de gegevensbewaring configureren via Microsoft Purview met Microsoft 365 en via beleid in het Microsoft 365-beheercentrum. Gebruik Microsoft Purview data security en information protection om bewaarlabels, bewaartermijnen en verwijderbeleid te definiëren. Met deze instellingen zorg je dat de gegevensbewaring aansluit bij wettelijke compliance-eisen en het beleid van je organisatie.

Welke beveiligingsmaatregelen zijn beschikbaar om te voorkomen dat Copilot gevoelige informatie blootstelt?

Microsoft 365 Copilot-beveiliging omvat ingebouwde waarborgen, zoals DLP-beleid (data loss prevention), vertrouwelijkheidslabels van Microsoft Purview Information Protection, sensitivity labels en toegangscontroles die aansluiten op de bestaande machtigingen in Microsoft 365. Beheerders moeten DLP inrichten voor Microsoft Teams, Exchange en SharePoint om het risico te beperken dat gevoelige gegevens in Copilot-antwoorden terechtkomen, en zorgen zo voor robuuste beveiligingsoperaties en monitoring.

Hoe zorgt Microsoft ervoor dat Copilot voldoet aan regionale regelgeving, zoals de Algemene Verordening Gegevensbescherming (AVG)?

Microsoft biedt compliancetoezeggingen en documentatie waaruit blijkt hoe Microsoft 365 Copilot voldoet aan regelgevingseisen, waaronder de AVG. Gegevenslocatie, auditlogs en toegangscontroles voor gegevens via Microsoft Purview Data Security helpen om aan regionale wettelijke eisen te voldoen. Organisaties moeten hun wettelijke verplichtingen echter nog steeds vertalen naar het gebruik van Copilot en de tenantinstellingen configureren om aan specifieke regelgeving te voldoen.

Welke logging- en auditmogelijkheden zijn er voor interacties met Microsoft 365 Copilot?

Auditlogs leggen het gebruik van Copilot en interacties met Microsoft 365 Copilot vast via het Microsoft 365-beheercentrum en de auditoplossingen van Microsoft Purview. Deze logs sluiten aan op bestaande SIEM-systemen (security information and event management) om te monitoren wie Copilot heeft gebruikt, welke gegevens zijn benaderd en wanneer. Door logging in te schakelen, kun je voldoen aan eisen voor compliancerapportages en forensisch onderzoek, en ondersteun je beveiligingsupdates en het afdwingen van beleid.

Hoe leer ik gebruikers Copilot veilig te gebruiken en de risico's zoveel mogelijk te beperken?

Stel duidelijk beleid op voor het gebruik van Copilot, met de nadruk op gegevensprivacy, en voorkom dat gebruikers gevoelige persoonsgegevens plakken of opvragen. Zorg ook dat ze Copilot gebruiken binnen de grenzen van de machtigingen in Microsoft 365. Bied trainingsmateriaal aan uit Microsoft Learn over het gebruik van Microsoft 365 Copilot en best practices voor Microsoft 365-apps en Microsoft Teams. Leer gebruikers over gegevensclassificatie, vertrouwelijkheidslabels en wanneer ze compliancezorgen moeten escaleren naar beheerders.

Kan ik Microsoft Purview integreren met Microsoft 365 Copilot om compliancebeheersmaatregelen af te dwingen?

Ja. Je kunt Microsoft Purview met Microsoft 365 Copilot gebruiken om gegevensclassificatie, vertrouwelijkheidslabels en bewaarbeleid toe te passen op alle Copilot-interacties. Gebruik Microsoft Purview Data Security en Microsoft Purview Information Protection om ervoor te zorgen dat Copilot de regels voor gegevensverwerking respecteert, en implementeer geautomatiseerde beveiligingsmaatregelen die ongeoorloofd delen van beschermde inhoud voorkomen.

Slaat Copilot prompts of antwoorden op, en welke invloed heeft dat op gegevensprivacy?

Copilot kan telemetrie- en metadata loggen voor operationele en beveiligingsdoeleinden. Hoe lang prompts en antwoorden worden bewaard, wordt bepaald door het beleid van Microsoft en de bewaarinstellingen van je tenant. Beheerders moeten de documentatie van Microsoft raadplegen en de bewaar- en privacy-instellingen configureren in het Microsoft 365-beheercentrum en Microsoft Purview. Zo bepaal je hoe lang Copilot-gerelateerde gegevens worden bewaard en zorg je dat dit aansluit bij je verplichtingen op het gebied van gegevensprivacy.

Welke stappen moeten beheerders nemen om Copilot veilig te configureren en regelgeving na te leven?

Beheerders moeten: de bestaande machtigingen in Microsoft 365 controleren, Microsoft Purview Data Security en Information Protection inschakelen en configureren, DLP inrichten voor Microsoft 365-apps (waaronder Teams en Outlook), bewaarbeleid instellen, auditing en logging inschakelen, vertrouwelijkheidslabels toepassen en de richtlijnen van Microsoft Learn en de compliancedocumentatie volgen. Bekijk beveiligingsupdates regelmatig en beoordeel potentiële risico's, zodat Copilot blijft aansluiten bij de eisen van regelgeving.