SharePoint Online Governance: Proč je nutná, než zapnete nový Copilot

Nový SharePoint, dvojí Copilot, Restricted Content Discovery i Authoritative Sites. Květnová vlna novinek v Microsoft 365 dělá ze SharePoint Online governance povinný předpoklad – nikoli volitelný doplněk. Co konkrétně řešit, než nové funkce zapnete.

---

Pár let zpátky byla governance SharePointu téma, které si firmy mohly dovolit odložit. Nikdo se nedíval, co je v knihovnách, sdílení „komukoli s odkazem” se řešilo až po incidentu a oprávnění typu „Everyone except external users” tam dřímala nepovšimnutě. To je doba, která právě teď definitivně končí. A důvod má jméno: Copilot.

Jaro 2026 přineslo do Microsoft 365 hned několik změn, které spolu na první pohled nesouvisí. Nový SharePoint Experience se rolloutuje bez možnosti opt-out. Microsoft 365 Copilot se rozdělil na Basic a Premium licenci. Authoritative Sites jsou v admin centru a Restricted Content Discovery se přesouvá na úroveň jednotlivých webů. Když si je dáte vedle sebe, zjistíte, že všechny řeší jednu a tu samou věc – co Copilot uvidí, když ho ve vaší firmě zapnete.

A pokud na tu otázku nemáte odpověď, je čas ji začít hledat.

Copilot není problém. Je to detektor problémů, které už máte.

Začněme tím, co Copilot vlastně dělá. Není to jen lepší vyhledávání. Copilot aktivně prochází obsah, kterému uživatel rozumí jako „přístupný” – tedy všechno, na co má v rámci tenantu oprávnění. A to znamená: knihovny týmů, do kterých byl nasdílen, weby, kde má roli člena přes nějakou skupinu, dokumenty se sdílecími odkazy, na které kdysi v roce 2022 ťuknul z cizího mailu. Plus to, co je v organizaci nasdílené „Everyone except external users” – což u většiny tenantů zahrnuje desítky tisíc položek, o kterých nikdo netuší.

Microsoft to v interních materiálech říká napřímo: oversharing je nejčastější příčina Copilot incidentů a podle jejich vlastních dat má 70 až 90 % enterprise prostředí významný problém s oversharingem, který je nutné vyřešit ještě před nasazením Copilotu.

Důležité je rozumět tomu, že Copilot žádný z těchto problémů nevyrobil. Jen je zviditelnil. Dříve museli zaměstnanci aktivně hledat, klikat a pamatovat si, kde co je. Copilot to udělá v jednom promptu. A vrátí to v hezkém českém shrnutí. Včetně mzdové tabulky, kterou někdo v roce 2023 omylem nasdílel celé firmě.

Co konkrétně se v Copilotu mění právě teď

Před tím, než se pustíme do governance, je dobré vědět, jaký terén se právě formuje. Jaro 2026 přineslo několik změn, které mají na bezpečnost přímý dopad:

• Nový SharePoint Experience (GA, květen–červenec 2026). Rollout bez možnosti opt-out. Mění se app bar, start page, přibývají AI funkce a 31 nových šablon stránek. Pro uživatele to znamená nové návyky. Pro správce to znamená, že staré školicí materiály jsou od příštího týdne k ničemu.
• Microsoft 365 Copilot Basic vs. Premium (od 15. dubna 2026). Plná funkcionalita ve Wordu, Excelu, PowerPointu a OneNotu je vyhrazena pro Premium licence. Basic dostane jen chat. Audit přiřazení licencí je teď, ne až přijdou tikety.
• Microsoft 365 E7 a Agent 365 (GA, 1. května 2026). Nová licenční úroveň pro firmy, které chtějí ve velkém nasazovat AI agenty. Přináší jednotnou governance vrstvu pro agenty – ale ta funguje jen tehdy, pokud existuje governance dat, na kterých agenti běží.
• SharePoint Authoritative Sites. V admin centru můžete označit konkrétní weby jako oficiální zdroj informací – firemní news, politiky, HR příručky. Copilot je pak při hledání odpovědí přednostně používá. Bez toho se Copilot „opírá” o to, co najde – a to je často starý draft, neaktuální verze nebo cizí poznámka.
• Restricted Content Discovery (RCD) na úrovni webu. Site admin si může nezávisle zapnout pravidlo, že daný web nebude vůbec figurovat v Copilot odpovědích ani v organizační vyhledávání. Public Preview od března 2026, GA později během roku.
• Multi-agent orchestrace v Copilot Studio (GA). Agenti spolupracují, sdílí kontext, řídí workflow. To je technicky úžasné. A z pohledu governance je to nový druh aktéra, který se k datům dostane mimo standardní uživatelský zorný úhel.
• AI Citations Analytics (květen 2026). Nová stránka v site usage – ukáže, jak Copilot a agenti citují vaše dokumenty. První standardizovaná metrika kvality obsahu pro AI grounding.

Když to spojíte: AI v M365 přestala být doplněk a začíná být operační vrstva. A operační vrstva potřebuje pravidla.

Co je governance v kontextu Copilotu

V hovoru s manažery často slyším, že „governance” zní jako něco, co dělá compliance oddělení v dvoustech stránkách dokumentů. Ve skutečnosti je governance v kontextu SharePoint Online sada konkrétních otázek, na které musíte mít napsanou odpověď:

1. Kdo zakládá nové weby a podle jakých pravidel? Pokud to může každý, máte za rok 2 000 webů, z nichž 1 200 nemá vlastníka.
2. Jak vypadá životní cyklus webu? Od založení přes neaktivitu po archivaci a vymazání. Bez toho přibývá dat, která Copilot bude indexovat – a vy nevíte, co je tam relevantní a co je odpad ze tří let staré reorganizace.
3. Jak řešíte oprávnění a sdílení? Defaultní typ sdílecího odkazu, expirace, povolené externí domény, „Everyone except external users” na citlivém obsahu. To není volitelná diskuze. To je hygiena.
4. Co je váš autoritativní obsah a co je draft? Pokud Copilot nemá jak rozeznat „oficiální HR politika 2026” od „draftu HR politiky z roku 2022”, vrátí náhodný mix. Authoritative Sites a sensitivity labels jsou nástroje, jak mu to říct.
5. Co je citlivé a jak je to označené? Sensitivity labels nejsou marketing. Jsou to most mezi oprávněním a klasifikací. Bez nich Copilot vidí všechno stejně.
6. Kdo a jak schvaluje výjimky? Externí host na obchodním webu, sdílení s konkurenční doménou, dočasný plný přístup partnera. Bez schvalovacího procesu se výjimky stávají defaultem.

Tohle nejsou témata pro „někdy příští rok”. Jsou to předpoklady pro to, aby Copilot ve vaší firmě dělal to, co očekáváte – a nedělal to, co byste raději neviděli.

Kde Microsoft pomohl: SharePoint Advanced Management

Dobrá zpráva: Microsoft nečeká, až si firmy governance vyrobí ručně. SharePoint Advanced Management (SAM) je sada admin nástrojů, které jsou součástí každého tenantu s alespoň jednou Copilot licencí. A obsahují přesně to, co potřebujete pro Copilot readiness:

• Data Access Governance reports – přehled webů, které mají potenciálně overshared obsah nebo citlivé dokumenty. První místo, kam se podívat, když chcete vědět, „odkud začít”.
• Restricted Access Control (RAC) – web omezený jen na konkrétní skupinu uživatelů. Ostatním nezáleží na tom, co tam najdou v sdílecím odkazu – nedostanou se k tomu. A Copilot to také ctí.
• Restricted Content Discovery (RCD) – web vůbec nefiguruje v organizačním vyhledávání ani v Copilot Chat. Vhodné pro M&A projekty, právní agendu, exec materiály.
• Sharing link policies – defaultní typ odkazu, expirace, povolené domény. Nastavíte jednou, platí všude.
• Site lifecycle management – inactive site policy, archive, řízené smazání. Méně dat = lepší signál pro Copilot.
• SharePoint Admin Agent – AI asistent pro správu vlastní tenantu. Skills přes storage, lifecycle, oversharing management. Z pohledu admin produktivity novinka roku.

Sečteno: nástroje jsou. Co chybí, je systematický postup, jak je nasadit – a hlavně rozhodnout, kde se to musí udělat hned a kde počká.

Tři věci, které stojí udělat tento měsíc

Pokud máte v plánu Copilot rozjet, nebo už jste ho zapnuli a chcete spát klidněji, dávají smysl tři kroky:

1) Spusťte Data Access Governance report a podívejte se na top 50 webů

Stačí 30 minut administrátora a víte, kde leží největší riziko. Typicky najdete weby s tisíci „Everyone except external users” položek, sdílecí odkazy bez expirace, externě nasdílený obsah s citlivými soubory. To je váš seznam priorit pro nejbližší týdny.

2) Označte autoritativní obsah a uvažujte o RCD

Vyberte 5–10 webů, které jsou skutečně oficiální zdroj firemních informací (intranet, HR, IT příručky, firemní news) a označte je jako Authoritative Sites. Souběžně identifikujte 3–5 webů, které do Copilotu vůbec nepatří (M&A, právní, exec) a zapněte tam RCD.

3) Domluvte se uvnitř firmy, kdo governance vlastní

Bez vlastníka se governance rozjede a pak rozpadne. V malé firmě to bývá IT manažer, ve větší samostatná role „M365 Governance Lead”. Důležité je, že někdo má v zadání jak technické nastavení, tak komunikaci pravidel směrem k uživatelům.

Tohle není projekt na rok. Je to základní úroveň, na kterou se postupně staví zbytek – information architecture, lifecycle, change management, training. Ale bez té základní úrovně Copilot novinky nejsou výhoda, jsou riziko.

Krátký kontext z pohledu EasyPortal 365

Tohle téma řešíme s firmami téměř denně. Nejčastější vstupní bod je SharePoint Restart – dvou až třítýdenní audit, který zmapuje stav prostředí, oprávnění, externí sdílení a rizika před AI. Výstupem je dashboard, PDF report a 90minutový workshop s prioritizovaným plánem.

Pokud z auditu vyjde, že potřebujete strukturovanější zásah, navazuje Governance Setup – pětí- až osmitýdenní projekt, ve kterém nastavíme governance model, role, lifecycle, informační architekturu, data protection a backup pravidla. Výstupem je dokumentovaný standard, podle kterého se prostředí dál řídí.

A pro firmy, které nemají vlastní SharePoint specialisty nebo chtějí mít na rozvoji partnera, existuje SharePoint Care – průběžná péče, dohled, vyhodnocení novinek M365 a měsíční reporting. To je nejčastější forma, jak governance dlouhodobě udržet v praxi.

Co si z toho odnést

Jaro 2026 v Microsoft 365 není jen sbírka novinek. Je to bod, ve kterém se mění to, co znamená mít „bezpečný SharePoint”. Před Copilotem stačilo, aby na citlivý obsah neměl přístup nikdo, kdo neměl mít. Po Copilotu musí navíc platit, že obsah je správně označený, že web má jasného vlastníka, že nepoužívaný obsah je archivovaný a že existuje rozdíl mezi „autoritativní” a „pracovní” verzí dokumentu.

Tři věty, které stojí za zapamatování:

1. Copilot žádné nové bezpečnostní díry nevyrobil. Jen je dělá viditelné v rychlosti, která vás zaskočí.
2. Governance není dokument. Je to provozní disciplína. Pokud nemá vlastníka a rytmus, rozpadne se.
3. Tento rok není „někdy zapneme Copilot” rok. Je to „Copilot už indexuje” rok. Otázka není, jestli ho zapnout, ale co uvidí, až ho zapnete.

---

Pokud nevíte, kde u vás teď začít, nebo si chcete jen ověřit, jestli jste na květnové novinky připraveni, napište nám. Domluvíme 30minutový hovor, projdeme vaši situaci a doporučíme první krok – ať už je to audit, nastavení governance, nebo jen krátká konzultace nad konkrétním problémem.