Een IT-manager bij een gemeente opent het Purview-dashboard. De sensitivity labels staan goed, het DLP-beleid staat aan, de compliance-rapporten zijn groen. Vanaf hier lijkt alles onder controle.
Een paar deuren verderop plakt een beleidsmedewerker de naam van een inwoner, een BSN en een conceptbeschikking in ChatGPT om de tekst te laten herschrijven. ChatGPT staat niet op de goedgekeurde lijst. De browser is Chrome. De laptop is niet aangesloten op endpoint DLP. Purview legt niets vast.
Allebei werken ze voor dezelfde gemeente en allebei denken ze dat de beveiliging geregeld is. Maar het risico zat op een ander moment: niet in de controle achteraf, maar in de seconde waarin de tekst werd getypt en er geen waarschuwing kwam.
Purview doet hier precies waarvoor het is gebouwd. Dit ene moment valt alleen net buiten zijn sterkste bereik.
Kort antwoord. Purview beheert en controleert data in Microsoft 365 en kan in Microsoft Edge for Business direct waarschuwen op beheerde Windows-apparaten. Waar het niet bij komt: ChatGPT of Claude in Chrome, op een onbeheerde laptop of op een privéaccount. Dat gat in de browser dekt BeeSensible. Geen vervanging, een tweede laag.
Twee tools, twee momenten
"Purview of BeeSensible" is de verkeerde vraag. Het zijn geen twee antwoorden op hetzelfde probleem. Ze komen op verschillende momenten in actie in de levensloop van dezelfde gevoelige gegevens.
Microsoft Purview is de data- en compliance-suite van Microsoft. Het classificeert data met sensitivity labels, beheert die in Microsoft 365 en Azure, herkent risicovol gedrag, controleert activiteit en kan beleid afdwingen. Purview is het sterkst zodra data is opgeslagen of verstuurd, en bij handhaving binnen de Microsoft-omgeving.
BeeSensible heeft een browserextensie voor Chrome en Edge. Terwijl je typt in een ondersteunde webapp, stuurt de extensie de tekst naar een detectiedienst in de EU, wordt de tekst in het werkgeheugen geanalyseerd en daarna weggegooid, en krijgen de gevoelige delen een gekleurde markering in het veld. Jij beslist wat er gebeurt: maskeren met een placeholder zoals [NAAM1], of verwijderen. Uit zichzelf verandert de extensie geen tekst en houdt ze het verzenden niet tegen. Wel kan de organisatie instellen dat maskeren bij plakken, bijvoegen of verzenden standaard of altijd aan staat.
| Microsoft Purview | BeeSensible | |
|---|---|---|
| Waar het ingrijpt | In Microsoft 365, Azure, endpoints en de browser (Edge eerst) | In het tekstvak, terwijl je typt |
| Sterkste moment | Nadat data is opgeslagen of verstuurd, en bij handhaving | Op het moment van typen, voordat je verstuurt |
| Doelgroep | IT, compliance, security | De persoon die de prompt of het bericht schrijft |
| AI-dekking | Copilot, plus andere AI-sites via Edge of aangesloten Windows-apparaten | ChatGPT, Claude, Gemini, Copilot, Perplexity, DeepSeek en meer |
| Browser | Edge for Business direct; Chrome en Firefox via endpoint DLP op Windows | Chrome en Edge, op beide hetzelfde |
| Data in rust | Classificeert en labelt documenten en e-mail | Valt erbuiten |
| Wat de gebruiker ziet | Blokkeer- of waarschuwingsvensters waar ingesteld | Gekleurde markering in het veld, gebruiker kiest |
| Uitrol | Uitrol van maanden, device onboarding | Extensie installeren, geen device onboarding |
Elke tool heeft een moment dat de ander mist.
Waar Microsoft Purview sterk in is
Purview is breed. Het brengt datasecurity, datagovernance en compliance samen, met sensitivity labels en classifiers die ze delen. (Microsoft Learn)
De onderdelen die er voor dit verhaal het meest toe doen:
Information Protection. Sensitivity labels classificeren documenten en e-mail, kunnen automatisch worden toegepast op basis van inhoudsinspectie, en kunnen encryptie en toegangsbeperkingen meenemen met het bestand, waar het ook heen gaat binnen de omgeving.
Data Loss Prevention. DLP-beleid herkent gevoelige informatie in Exchange, SharePoint, OneDrive, Teams, endpoints, netwerk en de browser. Afhankelijk van de configuratie kan DLP waarschuwen, blokkeren of rapporteren.
Insider Risk Management, Data Lifecycle Management, eDiscovery, Audit, Compliance Manager en Communication Compliance. Hier is Purview echt sterk. Het kan data volgens een schema bewaren en opruimen, juridische zoekopdrachten over mailboxen en sites uitvoeren en een forensisch controlespoor opleveren. Voor AI kan Purview Copilot-prompts en -antwoorden vastleggen in het unified audit log, iets wat een bewustwordingstool die is gebouwd volgens privacy by design bewust niet doet.
Data Security Posture Management for AI. De DSPM for AI van Microsoft geeft centraal zicht op AI-gebruik, voor Copilot, agents die je bouwt en andere AI-apps. De nieuwere, samengevoegde versie van DSPM is op het moment van schrijven nog in preview. (Microsoft Learn: DSPM, Purview-bescherming voor Copilot en andere AI-apps)
Als je organisatie op Microsoft 365 draait, de licenties heeft en governance, controle en handhaving nodig heeft die standhouden bij een toezichthouder, dan is Purview de juiste ruggengraat.
Vooraf of achteraf? Purview kan aan de voorkant ingrijpen, onder voorwaarden
Een veelgehoorde versimpeling is dat Purview alleen achteraf werkt. Dat klopt niet. Het ligt genuanceerder.
In Microsoft Edge for Business kan Purview direct ingrijpen. Het kan waarschuwen of blokkeren wanneer iemand gevoelige informatie plakt of typt in een generatieve AI-site, direct in de browser. De directe dekking van Microsoft voor AI-sites begon bij ChatGPT, Google Gemini en DeepSeek, en wordt geleidelijk uitgebreid. (Microsoft Learn: delen met AI-apps blokkeren via Edge)
Purview kan dus beschermen op het moment van typen. De vraag is onder welke voorwaarden.
- Het directe AI-scenario draait om Microsoft Edge for Business op Windows-apparaten die met Intune worden beheerd.
- Voor Chrome en Firefox levert Microsoft een browserextensie, maar die breidt de bescherming uit via endpoint DLP en vereist dat apparaten zijn aangesloten op Purview. Dat pad is beperkt tot Windows. (Microsoft Learn: de Purview-extensie voor Chrome)
- Endpoint- en Teams-DLP zitten in E5 of de E5 Compliance add-on, boven de basis-DLP die bij E3 zit. (Microsoft Purview service description; uitleg van E3 versus E5 door 2toLead)
Zo ziet handhaving in een grote Microsoft-omgeving eruit: beheerde apparaten, een onboardingproces en een licentie die bij die functie hoort. Bescherming aan de voorkant hangt dus af van browser, apparaatbeheer en licentie. Waar aan al die voorwaarden is voldaan, doet Purview al veel op het moment van typen. Waar er één ontbreekt, ontstaat een gat.
De drie blinde vlekken die overblijven
Gezien die voorwaarden blijven er in de praktijk meestal drie gaten open.
Consumenten-AI buiten de voorwaarden. ChatGPT of Claude in Chrome, op een apparaat dat niet is aangesloten op endpoint DLP, in een tenant zonder de E5-componenten. De gegevens gaan direct het veld in en de directe bescherming van Purview zit daar niet tussen.
Shadow AI op onbeheerde apparaten. Een privélaptop, de machine van een externe, een telefoon. Purview ziet alleen wat het kan zien. Er verschijnen ook sneller nieuwe AI-tools dan een lijst met goedgekeurde tools kan worden bijgewerkt. (Waarom blokkeren juist shadow AI voedt)
Het menselijke moment. Zelfs met perfecte handhaving is de sterkste hefboom de persoon die even stilstaat voordat hij plakt. Een blokkade leert mensen eromheen te werken. Een signaal in het veld dat laat zien wat gevoelig is, leert ze een gewoonte aan. Voor die bewustwordingslaag is een governance-suite niet ontworpen.
Drie vragen om je eigen blinde vlek te vinden
Leg ze naast je eigen omgeving, of stel ze aan je Microsoft 365-beheerder.
- Welke browser gebruiken mensen echt voor AI? De directe bescherming van Purview zit in Edge for Business. Is Chrome gangbaar, dan doet die bescherming niet mee.
- Zijn alle apparaten aangemeld bij Intune, met Endpoint DLP uit E5? De route via Chrome en Firefox vraagt om allebei; zonder die twee werkt hij niet.
- Gebruiken mensen AI op telefoons of privélaptops? Alles buiten de beheerde omgeving valt buiten het bereik van Purview.
Elk "ja, dat geldt voor ons" hierboven is een plek waar het moment van typen buiten Purview valt. Op laptops en pc's is dat precies waar een waarschuwing in de browser helpt.
Waar de browserlaag past
BeeSensible doet één ding en doet het op één moment: het markeert gevoelige gegevens terwijl je typt, in de browser, voordat je verstuurt.
Op het moment van typen, in de apps waarin je werkt. De extensie wordt actief op een ingestelde lijst webapps: ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek en andere, plus e-mail zoals Outlook op het web en Gmail, chat zoals Slack en WhatsApp Web, en een aantal sociale netwerken. Wie een BSN in een van die apps plakt, ziet een markering in het veld. Geen beleidsregel op de achtergrond, geen rapport achteraf, maar een signaal op het moment dat het ertoe doet.
Hetzelfde in Chrome en Edge. Het gedraagt zich in beide browsers identiek, zonder device onboarding en zonder endpoint-agent. Dit is de praktische aanvulling op de directe bescherming van Purview, die bij Edge begint en aan Windows gebonden is.
Geen blokkade uit zichzelf. De persoon ziet de markering en kiest: maskeren met een placeholder zoals [NAAM1], of verwijderen. Uit zichzelf verstuurt, verandert of blokkeert de extensie het bericht niet. Heeft de organisatie maskeren bij verzenden standaard of altijd aangezet, dan wordt wat er op dat moment nog wordt gevonden gemaskeerd voordat het bericht vertrekt. Zonder die instelling blijft de beslissing bij de persoon, en dat is wat de gewoonte op den duur opbouwt.
Verwerkt in de EU, geen opslag van inhoud. De tekst gaat naar de BeeSensible-API bij Scaleway in Nederland, de detectie draait op infrastructuur bij Hetzner in Duitsland, en de tekst wordt in het werkgeheugen verwerkt en direct weggegooid. De tekst wordt nooit naar schijf geschreven, nooit opgeslagen en nooit gebruikt om een model te trainen. Al het verkeer loopt over TLS en de hosting draait op ISO 27001-gecertificeerde EU-infrastructuur. Het detectieresultaat bestaat alleen uit labels en posities.
Een bewuste controle van documenten, voordat ze ergens heen gaan. De sensitivity labels van Purview classificeren en beschermen bestanden automatisch, op de achtergrond, in de hele Microsoft-omgeving. BeeSensible werkt op een ander moment: iemand opent bewust een document, in het zijpaneel van de extensie, in het dashboard of in de desktop-app, ziet de gevoelige delen gemarkeerd en exporteert een geanonimiseerde kopie voordat de inhoud in een AI-tool gaat of verder wordt verstuurd. Het is geen scanner die op de achtergrond alle bestanden in de omgeving labelt, maar een stap op het moment van delen, onder dezelfde voorwaarden als de browserextensie: verwerkt in de EU en niet bewaard.
Outlook
