Microsoft Copilot Studio

Microsoft Copilot Studio voor kantoren die op Microsoft 365 draaien

Bij veel Nederlandse accountants, advocaten en adviseurs begint en eindigt de werkdag in Outlook, Teams en SharePoint. Voor die kantoren ligt Copilot Studio voor de hand, want het bouwgereedschap voor agents hoort bij hetzelfde ecosysteem als de mailbox, de documenten en het identiteitsbeheer. Copilot Studio komt op de vierde plek, voor kantoren die met cliëntgegevens werken. Op beheer en compliance is het platform volwassen. Daartegenover staat dat de passages over dataresidentie die wij lazen vooral de Verenigde Staten noemen¹, en dat het bouwen van agents volledig bij de klant blijft.

Onze bronnen zijn Microsoft Learn, de productpagina's en de prijsinformatie van Microsoft, geraadpleegd op 8 november 2026.

Waar Copilot Studio voor dient

Microsoft positioneert Copilot Studio als omgeving waarin u zonder te programmeren eigen agents, workflows en apps maakt en beheert². Learn spreekt van een grafische studio met weinig code voor AI-agents en workflows³, en de veelgestelde vragen van een compleet platform voor gesprekken met AI⁴. Wie vroeger met Power Virtual Agents werkte, vindt dat product nu terug binnen Copilot Studio⁵. Voor de generatieve functies heeft Microsoft eigen principes voor verantwoorde AI opgesteld⁶.

In de begrippen van Microsoft voert een agent gesprekken en maakt hij taken af als AI-assistent⁷. Workflows zijn automatiseringen die u met slepen en neerzetten samenstelt⁸, en wie Power Automate kent, herkent de bouwomgeving van agent flows⁹. Onder alles wat u bouwt, ligt een harness; Microsoft biedt er drie¹⁰. In de standaardvariant zoekt taalbegrip bij elke vraag het passende onderwerp¹¹. De variant voor klantgesprekken heeft een route naar een menselijke medewerker¹².

U kunt ook beginnen bij een bedrijfsdoel; Copilot Studio stelt dan zelf voor welke agents en workflows erbij horen¹³. Agents van Microsoft en van partners kunnen via orkestratie met elkaar samenwerken¹⁴. Voor het model kiest u uit de catalogus van Azure AI Foundry, die ruim 11.000 modellen telt¹⁵. Voor de fase na het bouwen zijn er functies voor monitoring, evaluatie en beheer¹⁶.

Eerste stappen

U opent Copilot Studio als zelfstandige webapplicatie¹⁷, in Microsoft Edge vanaf versie 122¹⁸. Het maken van een agent begint met een beschrijving in uw eigen woorden, waarna u test en pas daarna publiceert¹⁹. In die beschrijving passen maximaal 1.024 tekens²⁰. Uit die tekst stelt de AI een naam, een korte omschrijving en de instructies voor de agent samen²¹. Het testvenster laat u de agent uitproberen voordat iemand anders hem ziet²², en de snelstartgids eindigt met publicatie op een echte of een demowebsite²³. Die demowebsite is uitdrukkelijk niet voor productie bedoeld²⁴, en wie een wijziging publiceert, ziet die pas terug in een nieuwe sessie²⁵.

De drempel voor een kantoor met een paar handige medewerkers is dus laag. Een team dat de eerste agent met u bouwt en daarna blijft bijsturen, hoort echter niet bij het aanbod. De doelgroep van Microsoft bestaat uit zakelijke gebruikers, IT-leiders en ontwikkelaars, die de uitrol zelf oppakken²⁶. Termijn tot livegang en begeleid traject: daarover staat op de bekeken pagina's niets. Anders bij Nexus. Bij Nexus zijn dat ervaren consultants, 4 weken tot de eerste agent en 3 maanden proefperiode²⁷.

Koppelingen en kanalen

Voor koppelingen levert Microsoft kant-en-klare connectoren en MCP-servers²⁸. Kennis kan komen uit Power Platform, Dynamics 365, websites en externe systemen²⁹, of uit Copilot-connectoren die Microsoft Search indexeert³⁰. Een agent verschijnt op websites, in mobiele apps, in berichtendiensten en in Microsoft Copilot^31,32. Wie kanalen van Azure Bot Service wil gebruiken, heeft daarvoor een ontwikkelaar nodig³³, en hetzelfde geldt voor skills die een standaardagent met code uitbreiden³⁴.

Uw netwerk moet de diensten doorlaten waarmee Copilot Studio contact maakt³⁵. SharePoint en Teams sluiten vanzelf aan bij een kantoor dat op Microsoft 365 werkt. Voor applicaties van andere leveranciers hangt veel af van de beschikbare connectoren of van maatwerk.

Beveiliging en compliance

In de beveiligingsdocumentatie noemt Microsoft onder meer dataresidentie per regio, preventie van gegevensverlies, certificeringen voor diverse normen en routering van omgevingen³⁶. Microsoft hanteert voor de ontwikkeling de Security Development Lifecycle³⁷. Welke certificaten precies gelden, staat niet op die pagina; de lezer wordt doorverwezen naar een overzicht van het compliance-aanbod³⁸, met het Microsoft Trust Center als belangrijkste vindplaats³⁹. Wie voor zijn AVG-dossier een concrete lijst nodig heeft, moet dus verder zoeken dan de productdocumentatie.

Beheerders kunnen per omgeving sleutels in eigen beheer activeren⁴⁰. Met Customer Lockbox verloopt toegang tot klantgegevens via een gecontroleerde procedure⁴¹, met uitzondering van twee categorieën uitgaande gegevens⁴². Microsoft Agent 365 dient als centrale plek om agents te volgen, te sturen en te beveiligen⁴³. Aanmelden en identiteit lopen via Entra ID, aangevuld met Defender en regels voor voorwaardelijke toegang⁴⁴. Welke contractuele regels gelden, volgt uit de commerciële licentiedocumenten van Microsoft; voor gegevensbescherming zijn dat vooral het Data Protection Addendum en de Product Terms⁴⁵. Het addendum legt vast hoe verwerking werkt, en dat is voor Nederlandse inkopers de kern.

Beheer en governance

Hier is Copilot Studio op zijn sterkst. Gegevensbeleid stelt de beheerder in vanuit het Power Platform-beheercentrum⁴⁶. Een tenantbrede schakelaar zet het publiceren van agents uit⁴⁷. Wie welke rol heeft, volgt uit omgevingsgroepen en routeringsregels⁴⁸. Aan de uitgaven voor credits op basis van verbruik kan een bovengrens worden gesteld⁴⁹. In Microsoft Purview ziet de beheerder alles wat makers hebben gedaan⁵⁰, en Microsoft Sentinel kan waarschuwen bij opvallende activiteit van agents⁵¹.

Een gepubliceerde agent vraagt standaard om aanmelding met een Microsoft-account⁵². Schakelt u dat uit, dan kan iedereen met de link een gesprek beginnen⁵³; voor een kantoor met vertrouwelijke informatie is dat een instelling om bewust te laten staan. De beheerder bepaalt via welke kanalen agents werken⁵⁴. Voor de stap van ontwikkeling via test naar productie zijn er pijplijnen met goedkeuringsmomenten⁵⁵. Voordat een maker publiceert, ziet hij een lijst met risico's die steeds wordt bijgewerkt⁵⁶. Is de agent ingesteld op aanmelding per gebruiker, dan put hij bij het antwoorden alleen uit bronnen die de vrager zelf mag openen⁵⁷.

Voor een advocatenkantoor met strikt gescheiden dossiers is dat laatste essentieel. Zo komt informatie uit het ene dossier niet terecht in een antwoord aan iemand die aan een ander dossier werkt⁵⁷.

Dataresidentie

Volgens de documentatie kan Copilot Studio worden afgestemd op eisen rond dataresidentie en op gangbare compliancekaders⁵⁸. Er is een instelling die voorkomt dat gegevens van generatieve functies buiten de Verenigde Staten van geografische locatie wisselen¹. Voor Amerikaanse overheidsklanten is er een aparte cloudvariant, het GCC-abonnement⁵⁹. Om problemen bij het bewerken op te lossen, verzamelt Microsoft telemetrie⁶⁰.

Hoe dit uitpakt voor een tenant in Nederland of elders in Europa, vonden wij niet in de passages die wij lazen. Een functionaris gegevensbescherming doet er goed aan de gegevensstromen van generatieve functies voor de eigen tenant schriftelijk te laten bevestigen.

Prijzen en licenties

Een prijs is openbaar. Microsoft verkoopt pakketten van 25.000 Copilot Credits die voor de hele tenant gelden⁶¹, voor 200 dollar per pakket per maand⁶². Wie zich niet vooraf wil vastleggen, kan kiezen voor een meter op basis van verbruik⁶³. Functioneel maakt die keuze niets uit; het verschil zit alleen in de betaalwijze⁶⁴. Zonder Azure-abonnement kunt u de agents op deze plannen niet gebruiken⁶⁵. Vooraf ingekochte Commit Units leveren tot 20 procent korting op⁶⁶, en een nieuw gratis Azure-account start met 200 dollar tegoed⁶⁷.

Wie een licentie voor Microsoft 365 Copilot heeft, betaalt niet apart voor het gebruik van agents die daar zijn gepubliceerd⁶⁸. Bepaalde Microsoft 365-abonnementen bevatten een plan Copilot Studio for Teams⁶⁹. Een zelfstandig abonnement regelt u in het beheercentrum van Microsoft 365⁷⁰. Een verlopen proefperiode laat zich met 30 dagen oprekken⁷¹, en agents uit die proef werken daarna nog maximaal 90 dagen door⁷². Niet in elk land is het product te koop⁷³.

De eenheidsprijs is daarmee helder, maar de totale rekening hangt af van het gebruik. Nexus hanteert een andere rekeneenheid: de geautomatiseerde rol, zonder dagtarieven en zonder uren van consultants op de factuur²⁷.

Toepassingen

Als voorbeelden noemt Microsoft een agent die balansrekeningen afstemt voor de financiële afdeling⁷⁴, een assistent voor werving bij HR⁷⁵, een agent voor IT-ondersteuning⁷⁶ en een agent die contracten automatisch beoordeelt⁷⁷. Dat laatste spreekt advocatenkantoren direct aan. In eigen klantverhalen vertelt Microsoft hoe Amgen binnen zes weken een agent voor sneller onderzoek bouwde⁷⁸ en hoe Virgin Money met een AI-assistent de klantervaring vernieuwde⁷⁹. Microsoft schrijft dat 90 procent van de Fortune 500 Copilot Studio ooit heeft ingezet⁸⁰. Agents kunnen via chat of spraak vragen beantwoorden en gebruikers door een proces leiden⁸¹.

Waar Copilot Studio ophoudt

De documentatie is open over beperkingen. Hoeveel berichten een agent in een bepaalde tijd mag verwerken, is aan quota gebonden⁸². Een antwoord van het model dat langer dan vijf minuten streamt, wordt in de webapp en in Teams afgebroken⁸³. Over alle agents van een tenant samen mag één gebruiker in 24 uur 10 sessies openen⁸⁴. Met generatieve orkestratie kan een agent hoogstens 25 SharePoint-sites raadplegen⁸⁵. Ontbreekt een licentie voor Microsoft 365 Copilot in de tenant, dan blijft een maker beperkt tot SharePoint-bestanden kleiner dan 7 MB⁸⁶. Bij SharePoint-lijsten tellen alleen de eerste 2.048 rijen mee⁸⁷. Per bron is het maximum 1.000 bestanden, 50 mappen en 10 lagen submappen⁸⁸.

Eén grens verdient extra aandacht van dienstverleners. Bestanden die als vertrouwelijk of zeer vertrouwelijk zijn gelabeld, komen niet in de index terecht⁸⁹. Een kantoor dat zijn cliëntdossiers consequent zo labelt, kan die dossiers dus niet als kennisbron voor een agent gebruiken. Vanuit gegevensbescherming is dat begrijpelijk, maar het raakt precies het werk waar een advocaat of accountant de meeste tijd in steekt. Verder schift generatieve orkestratie bij meer dan 25 bronnen met een intern model⁹⁰, accepteert ze geen eigen gegevens of Bing Custom Search als kennisbron⁹¹, en blokkeert ze een antwoord zonder bron of toolaanroep als ongegronde antwoorden zijn uitgeschakeld⁹². In het Teams-plan ontbreken Azure Bot Service skills⁹³.

Copilot Studio in een kantoorpraktijk

Neem een adviesbureau van tweehonderd medewerkers dat al Microsoft 365 gebruikt en een interne agent wil voor vragen over beleid, declaraties en het projectarchief. Daarvoor is Copilot Studio goed toegerust. U beschrijft de agent in gewone taal¹⁹, hij haalt kennis uit SharePoint en andere bronnen²⁹, en hij antwoordt alleen uit wat de vrager zelf mag zien⁵⁷. Het beheer gebeurt in het bekende beheercentrum⁴⁶, en met Microsoft 365 Copilot vallen de kosten voor agents die daar zijn gepubliceerd al binnen de licentie⁶⁸.

Anders ligt het bij een proces dat buiten Microsoft moet handelen, zoals het verwerken van facturen van cliënten in een extern boekhoudpakket met een controle door een medewerker. Dan moet iemand connectoren kiezen²⁸, flows bouwen⁹, goedkeuringsmomenten inrichten⁵⁵ en het geheel onderhouden. Microsoft levert het gereedschap; het kantoor of een partner levert de mensen.

Vier vragen voor Microsoft of uw partner

1. Welke certificeringen gelden voor Copilot Studio in onze regio, nu de productpagina naar een apart overzicht verwijst³⁸? 2. Hoe lopen de gegevensstromen van generatieve functies voor een Europese tenant, gezien de instelling die de documentatie voor de Verenigde Staten noemt¹? 3. Welke twee categorieën uitgaande gegevens vallen buiten Customer Lockbox⁴², en wat betekent dat voor ons verwerkingsregister? 4. Hoe gaan wij om met vertrouwelijk gelabelde documenten die niet in de index komen⁸⁹?

Conclusie

Copilot Studio ligt voor de hand bij een kantoor dat volledig op Microsoft werkt. Beheer via Purview en Sentinel^50,51, antwoorden die de rechten van de vrager volgen⁵⁷ en een openbare prijs⁶² zijn echte sterke punten. Plek vier volgt uit drie kanttekeningen: de klant bouwt alles zelf²⁶, vertrouwelijk gelabelde stukken blijven buiten de index⁸⁹, en de documentatie over dataresidentie die wij lazen, neemt de Verenigde Staten als referentie¹. Nexus draait de eerste agent na 4 weken, in een proefperiode van 3 maanden; de bouw ligt bij ervaren consultants. ISO 42001, ISO 27001, GDPR en SOC 2 Type 2 zijn de certificaten²⁷.