Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / KI-GRC-Agent mit Microsoft Purview, Power Automate und Copilot Studio bauen: Compliance-Berichte automatisch (KI-Synchronfassung)

Transcript

KI-GRC-Agent mit Microsoft Purview, Power Automate und Copilot Studio bauen: Compliance-Berichte automatisch (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

0:00
Sprechen wir über Governance, Risk & Compliance, kurz GAC.
0:03
KÖS.
0:03
Drei Buchstaben, die für mehr Kaffeekonsum verantwortlich sind als jede Wirtschaftsprüfung zusammen.
0:08
Irgendwo sitzt gerade ein armer Analyst und kopiert Prüfprotokolle Zelle für Zelle in Excel,
0:12
als wären wir im Jahr 2003 und Makros Hexerei.
0:15
Man beginnt mit guten Vorsätzen, einer sauberen Arbeitsmappe und ein paar Filtern
0:18
und endet bei 40 Registerkarten mit Pivot-Tabellen, die sich widersprechen.
0:22
Compliance, eigentlich ein Schutzmechanismus, verkommt zur Performance-Kunst.
0:25
Stundenlanges Daten-Wrestling, um Prüfern zu versichern, dass alles unter Kontrolle ist.
0:30
Boiler, das ist es selten.
0:31
Manuelles GAC-Reporting passiert, wenn Organisationen Dokumentationen mit Erkenntnis verwechseln.
0:36
Sie ziehen Daten aus Microsoft Purview, exportieren sie, verteilen sie auf Tabellen, Kalkulationen und nennen es Governance.
0:42
In der nächsten Woche finden neue Aktivitäten statt, die Daten verschieben sich
0:44
und plötzlich sind ihre makellosen Diagramme nur Lügen in Farbverläufen.
0:48
Prüfpfade, die eigentlich für Verantwortlichkeit sorgen sollten, führen stattdessen zum Burnout.
0:51
Noch schlimmer, die meisten Unternehmen behandeln Purview wie einen Tresor, den man nur vor einer Prüfung aufbricht.
0:55
Die Protokolle sammeln stillschweigend Terabytes an Daten darüber, wer was wo und wann getan hat.
1:00
Warn hat.
1:01
Nützlich.
1:02
Absolut.
1:02
Lesbar.
1:03
Jeder Eintrag ist ein JSON-Block so dicht, dass er Licht krimmen könnte.
1:07
Und ja, man kann sie manuell verarbeiten, wenn Wochenenden optional und der Verstand verhandelbar sind.
1:11
Stellen Sie dieser Absurdität nun die Idee eines KI-Agenten gegenüber.
1:15
Kein magischer Co-Pilot, der nur Antworten rät, sondern ein regelbasierter, automatisierter Agent aus Microsoft-eigenen Tools.
1:22
Co-Pilot-Studio für natürliche Sprachintelligenz, Power Automate zur Aufgabensteuerung und Purview als maßgebliche Quelle der Prüfungswahrheit.
1:32
Kurz gesagt, Software, die endlich tut, was Compliance-Teams schon immer wollten, Daten abrufen, analysieren und erklären, ohne Seufzen und ohne das Risiko, Kaffee über die Master-Tabelle zu schütteln.
1:41
Betrachten Sie es als das Auslagern Ihres GSC-Reportings an einen Praktikanten, der nie klagt, nie schlärt und Jason wie Englisch liest.
1:47
Am Ende dieser Erläuterung wissen Sie genau, wie man das aufbaut.
1:50
Von der Anbindung Ihrer Purview-Logs bis zur Automatisierung der Berichtsplanung, alles innerhalb des Microsoft-Ökosystems.
1:55
Und ja, wir behandeln den Logik-Schritt, der dies von einer einfachen Automatisierung zu einem vollautonomen Prüfer macht.
2:00
Konzentrieren Sie sich für den Moment darauf. Compliance sollte nicht vom Koffeinkonsum abhängen.
2:03
Maschinen werden nicht müde und Sie beschriften sicher keine Spalten falsch.
2:06
Es gibt eine Logik-Ebene, eine subtile Design-Entscheidung, die diesen Agenten zuverlässig genug macht, um Berichte ohne auf sich zu versenden.
2:12
Wir kommen dazu, aber zuerst müssen wir verstehen, was der Agent eigentlich ist.
2:15
Was macht diese Mischung aus Co-Pilot Studio und Power Automate zu mehr als nur einem Flow mit schicken Namen?
2:20
Was der GRC-Agent wirklich ist?
2:24
Lassen Sie uns den Glamour der KI abstreifen und definieren, was dieses Ding wirklich ist.
2:28
Eine strukturierte Automatisierung auf Basis des Microsoft-Stacks, die Intelligenz vortäuscht.
2:33
Der GRC-Agent ist eine dreiköpfige Kreatur.
2:35
Jeder Kopf ist für einen Teil des kognitiven Prozesses verantwortlich.
2:38
Purview liefert das rohe Gedächtnis.
2:41
Audit-Logs, Klassifizierungsdaten und Compliance-Ereignisse.
2:44
Power Automate fungiert als Nervensystem.
2:46
Es sammelt Signale, filtert Rauschen und stellt sicher, dass der Prozess planmäßig läuft.
2:51
Co-Pilot Studio schließlich ist der Mund und der Übersetzer.
2:54
Es nimmt das technische Kauderwelsch der Protokolle und gibt menschenlesbare Zusammenfassungen aus.
2:58
Benutzer hat innerhalb von 24 Stunden fünfmal Berechtigung eskaliert und damit den Richtlinien-Schwellenwert überschritten.
3:03
Das ist Englisch, kein JSON.
3:04
Ist die Wahrheit. 90% der Compliance-Aufgaben sind keine Ermessensentscheidungen, sondern Mustererkennung.
3:09
Dennoch verschwenden Analysten Stunden damit, Spalten mit Aktivitätstypen und Ergebnisstatus zu scannen,
3:14
während die Automatisierung diese Muster automatisch kategorisieren und zusammenfassen könnte.
3:19
Dieser Ansatz funktioniert deshalb so gut, weil das System nicht versucht, wie ein Mensch zu denken,
3:22
sondern besser strukturiert ist als ein Mensch.
3:24
Lassen Sie uns diese Komponenten aufschauen.
3:26
Microsoft Purview ist nicht nur ein Tool zu Dateikennzeichnen.
3:29
Es ist Ihre Compliance-Blackbox.
3:31
Jede Benutzeraktion in Microsoft 365, das Teilen eines Dokuments, das Erstellen an der Richtlinie, das Ändern eines Aufbewahrungslabels wird protokolliert.
3:38
Aber wenn Sie nicht fließend verschachtelte JSON-Strukturen lesen können, werden Sie kaum Erkenntnisse gewinnen.
3:42
Das ist das Kernproblem. Datenüberfluss bei Nulllesbarkeit.
3:45
Power Automate ist nicht glamourös, aber diszipliniert.
3:48
Es löst pünktlich aus, vergisst nie und behandelt jeden Schritt wie ein Gesetz.
3:52
Sie definieren einen Zeitplan, sagen wir täglich um 8 Uhr und es ruft Konnektoren auf, um die neuesten Purview-Aktivitäten abzurufen.
3:57
Bei Fehlkonfiguration geraten Menschen im Pann.
3:59
Bei einer Fehlkonfiguration hier schlägt der Flow im stillen Fehl, protokolliert den Fehler aber präzise.
4:04
Compliance liebt Protokoll.
4:05
Power Automate liefert sie mit religiöser Regelmäßigkeit.
4:08
Und schließlich Co-Pilot Studio, das strukturierte Daten in eine Erzählung verwandelt.
4:12
Sie füttern es mit einer strukturierten Zusammenfassung, vielleicht einer JSON-Tabelle mit risikoreichen Aktionen pro Benutzer.
4:16
Und es liefert natürlich sprachliche Risiko-Zusammenfassungen.
4:19
Hier entsteht die Illusion von Intelligenz.
4:22
Es rät nicht, es befolgt Regeln, die in dem von Ihnen entworfenen Prompt eingebettet sind.
4:25
Zum Beispiel haben Sie angewiesen, fassen Sie.
4:27
Bemerkenswerte Risikoaktivitäten nach Schweregrad kategorisiert zusammen und fügen Sie eine Empfehlung pro Kategorie hinzu.
4:32
Die Ausgabe wirkt wie ein Memo eines Analysten, aber es ist algorithmische Ehrlichkeit verpackt in Grammatik.
4:36
Lassen Sie uns nun die unausgesprochene ironieren.
4:38
Unternehmen kaufen Dashboards, die Transparenz, glänzende Berichte und farbcodierte Indikatoren versprechen, aber Dashboards erklären nichts.
4:44
Ich zeige mal.
4:44
Der GRC-Agent hingegen schreibt.
4:46
Er übersetzt Musterentsätze und beseitigt die Interpretationslücke, die bei Compliance-Prüfungen schon zu zahllosen Beinahe-Fehlern geführt hat.
4:53
Wenn Ihr Vorgesetzter nach den Risikomustern des letzten Monats fragt, schicken Sie ihm keinen Power BI-Link, dem Sie kaum vertrauen,
4:58
sondern eine saubere Analyse, die von einem Workflow erstellt wurde, der um 8.05 Uhr lief, während Sie noch Kaffee holten.
5:03
Warum haben das nicht schon mehr Teams getan?
5:06
Weil die meisten unterschätzen, wie verständlich Automatisierung sein kann.
5:08
Sie halten KI für unvorhersehbar, obwohl dieser Stack in Wahrheit deterministisch ist.
5:12
Sie definieren alles.
5:12
Die Logik, die Häufigkeit, den Umfang und sogar den Tonfall.
5:17
Autonomie ist nicht zufällig.
5:18
Es ist disziplinierte Automatisierung mit Sprachkenntnissen.
5:21
Bevor dieser Agent jedoch denken kann, muss er sehen.
5:24
Das bedeutet, eine Datenpipeline einzurichten, die im Zugriff auf die richtigen Ausschnitte der Purview-Audit-Daten gibt, nicht mehr und nicht weniger.
5:29
Ohne diese Sichtbarkeit automatisieren Sie Blindheit.
5:32
Als nächstes verbinden wir also Power Automate mit Purview, definieren, welche Ereignisse wichtig sind und zeigen unserem Agenten Ubersuchen.
5:37
Erst dann können wir ihm beibringen, was er denken soll.
5:40
Aufbau der Purview-Datenpipeline.
5:41
Bevor Sie Ihrem GRC-Agenten das Denken beibringen können, müssen Sie ihm Augen geben.
5:45
Verbinden Sie ihn direkt mit der Quelle der Wahl.
5:47
Die Audit-Protokolle von Microsoft Purview.
5:50
Diese Protokolle verfolgen, wer was wann und wie berührt hat.
5:53
Leider sind Sie in einem wunderbaren strukturellen Albtraum namens JSON gespeichert.
5:57
Betrachten Sie JSON als das Äquivalent zu Juristendeutsch für Ingenieur.
6:00
Technisch präzise.
6:01
Praktisch unlesbar.
6:02
Das Schöne an Power Automate ist, dass es diesen Unsinn fließend liest, vorausgesetzt Sie verbinden es korrekt.
6:08
Schritt 1 ist das Extrae.
6:09
Sie beginnen entweder mit dem integrierten Purview-Connector oder, falls Sie Schmerz mögen, mit einer HTTP-Aktion, bei der Sie die Purview-Audit-Log-API direkt aufrufen.
6:16
Beide Wege führen zum selben Ergebnis.
6:18
Ein Datenstrom, der alles repräsentiert, was in Ihrem Tinan passiert ist.
6:22
Dateifreigaben, Berechtigungsänderungen, Zugriffsverletzungen, Administrator-Logins und mehr.
6:26
Der diszipliniertere Ansatz ist es, den Umfang frühzeitig einzuschränken.
6:29
Ja, Sie könnten den gesamten Audit-Feed abrufen, aber das ist, als würden Sie das gesamte Internet sichern, nur weil Sie im PDF verloren haben.
6:34
Definieren Sie, welche Ereignisse sich tatsächlich auf die Compliance auswirken.
6:36
Andernfalls wird Ihr Flow zu einem unbeabsichtigten Denial-of-Service für Ihre eigene Geduld.
6:41
Nun zur Zugriffskontrollen.
6:42
Power Automate ergeht nur im Rahmen der Berechtigungen, die überteilt wurden.
6:44
Wenn Ihr Flow-Dienstkonto das Audit-Protokoll von Purview nicht lesen kann, startet Ihr Agent ins Leere und meldet pflichtbewusst, dass keine Probleme gefunden wurden.
6:52
Das ist keine Beruhigung, das ist Blindheit, die als Erfolg getarnt wird.
6:55
Stellen Sie sicher, dass das Dienstkonto die Rolle Audit-Logs-Leser in Purview hat und dass es sich ohne MFA-Unterbrechungen authentifizieren kann.
7:02
KI ist gehorsam, aber nicht kreativ.
7:04
Sie wird um zwei morgens weder Klick noch sich authentifizieren oder anfragen bestehen.
7:07
Weisen Sie Anmeldeinformationen sorgfältig zu und speichern Sie sie im Azure Key Vault oder in Verbindungsreferenzen, damit Sie compliant bleiben und die Automatisierung erlaufen haben.
7:13
Sobald die Datenextraktion stabil läuft, gehen Sie zum Filtern über.
7:16
Niemand benötigt jedes Ereignis für den Zugriff auf den Ordner mit dem Kantinenspeiseplan.
7:21
Filtern Sie stattdessen nach echten Risikoindikatoren.
7:24
Benutze Anmeldung von neuem Standort, Rollenzuweisung geändert, externe Freigabe aktiviert, Labelrichtlinie modifiziert.
7:29
Diese liefern Informationen, die für Auditoren wirklich relevant sind.
7:32
Sie können bereits bei der Abfrage über IPI-Parameter oder später in Power Automate mit bedingter Logik filtern.
7:38
Hauptsache, die Datenmenge bleibt überschaubt.
7:40
Denken Sie daran, Sie sammeln nicht wahllos, Sie kuvertieren.
7:42
Dann folgt der Teil der Profis, von denen unterscheidet die Copy-Paste für Automatisierung halten.
7:47
Einspeise.
7:48
Sie wandeln die JSON-Blobs in strukturierte Spalten um, damit Ihr späteres Co-Pilot-Modul diese interpretieren kann.
7:54
Eine einfache Methode ist die Aktion JSON-Analysieren mit einem definierten Schema aus einem Purview-Beispiel-Ereignis.
7:59
Was Begriffe wie verschachtelte Arrays bei Ihnen Unbehagen auslösen, willkommen bei der Compliance-Programm.
8:03
Jede Eigenschaft, Benutzer-ID, Vorgang, Workload, Ergebnisstatus, Client-IP wird zu einer eigenen Variable.
8:09
Sie bringen Ihrem zukünftigen KI-Agenten im Grunde Vokabeln bei, bevor das Gespräch überhaupt beginnt.
8:14
In dieser Phase werden Sie den existenziellen Humor der Microsoft-Datenformate entdecken.
8:18
Manche Audit-Felder erscheinen als Arrays, selbst wenn sie nur einzelne Werte enthalten.
8:21
Andere verbergen Ergebnisse unter drei Ebenen der Verschachtelung wie russische Matroschka-Puppen der Mehrdeutigkeit.
8:27
Power Automate bewältigt dieses Chaos mit Ausdrücken.
8:30
Die Syntaxe Apply-to-Each für Benutzer-IDs mag kryptisch wirken, aber so weisen Sie die Automatisierung an, JSON zu durchsuchen und Bedeutung zu finden.
8:37
Ein kleiner Tippfehler hier führt später zu spektakulärem Unsinn.
8:40
Testen Sie daher jede Extraktion mit kleinen Testläufen.
8:43
Ja, das Debuggen von Flows ist eine glamouröse Aufgabe.
8:45
Eventuell möchten Sie diese bereinigten Daten dauerhaft speichern.
8:47
SharePoint, Dataverse oder sogar eine SQL-Datenbank, je nachdem wie umfangreich Ihre Berichte sind.
8:52
Dieser Speicher dient als Kurzzeitgedächtnis und ermöglicht Ihrem Agenten historische Vergleiche ohne Purview ständig abzufragen.
8:58
Betrachten Sie es als intelligentes Caching.
9:00
Die Ereignisse von gestern lassen die Analyse von heute fundiert erscheinen.
9:03
Wenn Sie Spaltenfunktionen oder Beziehungen zwischen Datensätzen benötigen, funktioniert Dataverse besser mit Power Automate.
9:09
SharePoint ist einfacher, wird aber bei einigen tausend Zeilen unhandlich.
9:13
Als nächstes die Planung.
9:14
Definieren Sie den Rhythmus.
9:15
Tägliche Zusammenfassungen für dynamische Umgebung und wöchentliche für ruhige Ökosysteme.
9:19
Verwenden Sie den Power Automate Trigger Serienmuster.
9:21
Stellen Sie Ihre Zeitzone ein, nicht UTC.
9:23
Es sei denn, Sie wundern sich gerne, warum Berichte um drei morgens ankommen.
9:26
Der Flow startet automatisch, extrahiert die gefilterten Daten, transformiert sie, speichert sie und bereitet die Nutzlast für die nächste Phase vor, das Logik-Gehirn.
9:34
Compliance-Konsistenz hängt nicht mehr von menschlichem Alpha ab, sie funktioniert wie ein Uhrwerk.
9:39
Während Sie die Fehlertoleranz konfigurieren, nehmen wir an.
9:40
Die Purview AP meldet einen zu viele Anfragenfehler, weil schockierenderweise jeder andere Analyst versucht hat, die Protokolle in der gleichen Sekunde abzufragen.
9:47
Erstellen Sie Wiederholungsrichtlinien und Fallback-Meldungen.
9:50
Auch Automatisierung sollte elegant scheitern können.
9:52
Schreiben Sie Fehler in eine Protokolldatei und senden Sie eine Teams-Nachricht, falls Scanswerte überschritten werden.
9:57
Auf diese Weise verwalten Sie Fehler als Daten und nicht als Drama.
9:59
Denken Sie daran, Auditoren bestrafen keine Fehler.
10:03
Sie bestrafen die fehlende Dokumentation dieser Fehler.
10:05
Sie verfügen nun über eine lebendige Pipeline.
10:07
Purview streamt Daten durch die Arterien von Power Automate in den von Ihnen gewählten Speicher.
10:12
Dies ersetzt den manuellen Prozess der Datenerfassung durch etwas weitaus Disziplinierteres.
10:16
Richtig umgesetzt führt dies auch zu einem subtilen kulturellen Wandel.
10:19
Plötzlich ist Ihre Compliance-Berichterstattung kein Sprint vor Audits mehr, sondern ein kontinuierlicher Herzschlag.
10:23
Und nur fürs Protokoll.
10:24
Ja, Sie könnten dasselbe erreichen, indem Sie Purview jeden Freitag manuell abfragen und die Ergebnisse in Excel kopieren.
10:29
Sie könnten auch Ihre eigene Butter herstellen.
10:31
Die Pipeline existiert nicht, weil es keine andere Möglichkeit gäbe.
10:33
Sie existiert, weil Sie Ihre Wochenenden schätzen.
10:35
Wer immer noch durch Protokollexporte scrollt und behauptet, Automatisierung sei riskant, macht sich lächerlich.
10:39
Das einzige echte Risiko besteht darin, an einem so anfälligen Prozess festzuhalten, dass ein abwesender Anlässt den Audit verbricht.
10:44
Da ihr ergänzt sehen kann durch einen konstanten Datenstrom mit Strukturen Zeitplan Zeitplan, ist es an der Zeit, ihm Erkenntnisfähigkeit zu verleihen.
10:49
Die nächste Ebene wandelt Rohinformationen, Interpretationen, Entscheidungsschwellen, bedingte Logik und Datenzusammenfassungen um.
10:55
Im Wesentlichen bewegen wir uns von den Augen zum Gehirn.
10:58
Das Fundament steht.
10:59
Bringen wir ihm das Denken bei.
11:00
Dem Agenten ein Gehirn geben.
11:02
Power Automate Logik.
11:03
Power Automate ist keine KI.
11:05
Es träumt nicht, spekuliert nicht und halluziniert keine Compliance Risiken.
11:08
Was es tut, ist etwas, das die meisten Menschen nicht dauerhaft leisten können, Gehorsam.
11:11
Es vergisst nie einen Schritt, improvisiert nie und behauptet nie, dass es eigentlich hätte funktionieren sollen.
11:16
Diese vorhersehbare Starrheit ist genau das, was Autonomie erfordert.
11:18
Die Logik-Ebene Ihres GRC-Agenten beginnt mit Struktur.
11:21
Der Flow muss sich selbst auslösen, Purview zuverlässig abfragen, die Ergebnisse interpretieren und entscheiden, wann Ereignisse die von Ihnen definierten Schwellenwerte überschreiten.
11:28
Stellen Sie sich eine Kettenreaktion vor.
11:30
Der Wiederholungsauslöser startet.
11:32
Ein Aufruf erreicht Purview.
11:34
Daten werden bereinigt, Muster gezählt, Risikokategorien zugewiesen.
11:37
Kein Drama, nur Ausführungen.
11:39
Beginnen Sie mit einem Wiederholungsauslöser.
11:41
Eine gut getaktete Wiederholung ist die Antwort der Zivilisation auf menschliche Vergesslichkeit.
11:43
Konfigurieren Sie ihn für die Zeitzone in der Auditorenarbeit.
11:46
Ob täglich oder wöchentlich, dieser Zeitplan sorgt dafür, dass der Flow sein Ritual unaufgefordert beginnt.
11:51
Genauso bleiben autonome Systeme am Leben.
11:53
Lassen Sie unmittelbar darauf einen Initialisierungsblock folgen.
11:56
Umgebungsvariablen, Zähler, Arrays.
11:58
Diese bilden das kognitive Grundgerüst, das der Agent später nutzen wird.
12:01
Variablen wie Gesamtereignisse, Anzahl der Hochrisikofälle und Berichtsdatum werden zu seinem Arbeitsspeicher.
12:05
Sobald er ausgelöst wird, ruft der Flow den Purview Audit Log Connector oder die HTTP-RP auf.
12:11
Dann kommt die Realität.
12:13
Rohdaten enthalten statisches Rauschen, System-Hardbeats oder völlig irrelevante Ereignisse.
12:18
Fügen Sie einen Filter-Array-Schritt ein, um den Müll zu entfernen.
12:20
Ein gängiges Muster, ignorieren Sie Datensätze, deren Benutzertyp ein Dienstprinzipal ist und behalten Sie nur Vorgänge mit Bezug auf Data Governance oder Richtlinienänderung.
12:27
Dieses Bereinigen sorgt dafür, dass Ihr Agent analytisch bleibt, anstatt nervös zu werden.
12:31
Da Microsoft Redundanz liebt, wiederholen viele Logstreams identische Ereignisse.
12:35
Entfernen Sie Duplikate mit einer einfachen Union-Funktion oder einem Schleifwörter.
12:38
Was bleibt, ist das Signal eine wahrheitsgetreue Teilmenge, die es wert ist, klassifiziert zu werden.
12:42
Hier verdient sich das Skript die Bezeichnung intelligentes System.
12:45
Fügen Sie eine Compose- oder Select-Aktion hinzu, die die verbleibenden Datensätze nach Benutzerprinzipalen Namen und Vorgang kopieren.
12:50
Leiten Sie die Zählwerte dann in Apply-to-Eat-Schleifen, die jede Kategorie summieren.
12:53
Am Ende verfügt Ihr Agent über eine Momentaufnahme.
12:55
Wer hat was wie oft getan und ob dabei definierte Risikogrenzen überschritten wurden?
13:00
Das Geheimnis der Autonomie besteht darin, dass System Risikostufen aus den von Ihnen definierten Schwellenwerten schlassen.
13:05
Wenn die Berechtigungseskalationen 3 betragen, setzen Sie die Risikostufe auf hoch.
13:09
Wenn externe Freigaben 1 betragen, setzen Sie die Risikostufe auf mittel.
13:13
Ansonsten normal.
13:15
Diese Logik erfindet keine Bedeutung, sie erzwingt sie.
13:18
Indem Sie definieren, was zu viel bedeutet, ersetzen Sie menschliche Vermutungen durch numerische Klarheit.
13:23
Verwenden Sie verschachtelte Bedingungsaktionen.
13:25
Wenn die Risikostufe hoch ist, fügen Sie die Benutzerinformationen in ein Array für hohes Risiko hinzu.
13:29
Bei mittel stellen Sie den Vorgang vielleicht in einen Prüfungswartischen.
13:31
Wenn nichts Ungewöhnliches auftritt, protokollieren Sie eine keine Fundemeldung, anstatt Stille zurückzugeben.
13:36
Die Unterscheidung zwischen fehlenden Daten und keinen Daten ist bei der Compliance heilig.
13:39
Nachdem Schwellenwerte erreicht wurden, rufen Sie optional einen Co-Pilot Studio Endpunkt zur narrativen Zusammenfassung auf.
13:44
Zwei Benutzer haben die Risikoschwellenwerte überschritten.
13:47
Aber dieser sprachliche Schritt gehört in den nächsten Abschnitten.
13:49
Hier ist das Ziel die Qualifizierung, nicht die Komposition.
13:52
Fehler passieren.
13:53
Die API von Purview drosselt oder stottert häufiger, als das Marketing vermuten lässt.
13:58
Kapseln Sie alle HTTP-Aufrufe in einen Scope-Container mit aktivierter Wiederholungsrichtlinie.
14:02
Drei Versuche.
14:03
Exponentielles Backoff.
14:05
Protokollieren Sie im Fehlerzweig die Fehlermeldung, den Zeitstempel und die Flowrun-ID in einer SharePoint-Liste oder einer Dataverse-Tabelle namens Automatisierungsintegrität.
14:11
Erwarten Sie bei der ersten Bereitstellung Komik.
14:14
Als ich diesen Bild das erste Mal testete, meldete der Agent stolz null Probleme.
14:17
Perfekte Compliance, dachte ich.
14:19
Bis ich merkte, dass dem Dienstkonto die Rolle als Audit-Log-Leser fehlte.
14:23
Der Roboter war nicht faul, er war gehorsam, blind.
14:26
Eine Erinnerung daran, dass Automatisierung genau das durchsetzt, was Sie ergeben und nichts weiter.
14:30
Jeder Flowlauf schreibt einen Nachweis der Ausführung.
14:33
Fügen Sie eine abschließende an Datei anhängen oder Element erstellen Aktion ein, die zusammenfassende Metriken, verarbeitete Gesamtereignisse,
14:38
den Benutzer mit dem höchsten Risiko und die Laufzeit speichern.
14:41
Streamen Sie diese Ergebnisse in einen Teams-Kanal oder eine verwaltende SharePoint-Bibliothek.
14:45
Wenn die Prüfungssaison beginnt, werden Sie sich nicht auf Erinnerungen stützen.
14:48
Sie werden Beweise vorliegen.
14:49
Fügen Sie eine zusätzliche Schutzmaßnahme hinzu, eine Run-ID und die Flowlist.
14:53
Wenn sich Grenzwerte später ändern, können Prüfer nachvollziehen, welche Logik zu welchem Ergebnis führte.
14:58
Governance der Maschine ist gleichbedeutend mit Governance durch die Maschine.
15:01
An diesem Punkt kann die Automatisierung klassifizieren, zählen und entscheiden.
15:05
Sie erkennt, wenn Risikolevel Richtlinien verletzen, bleibt aber stumm darüber.
15:09
Für Menschen wirkt dieses Schweigen unheimlich, daher wird die nächste Ebene Worte liefern.
15:12
Oder anders gesagt, jetzt, da sie denken kann, muss sie sprechen, vorzugsweise auf Deutsch.
15:17
Jeder Schreiben beibringt.
15:19
Co-Pilot Studio Integration.
15:20
Bisher war ihr Agent der schweigsame, effiziente Typleistung stark, aber stumm.
15:25
Co-Pilot Studio verleiht ihm Sprache.
15:27
Ein Dolmetscher, der Daten in Diplomatie übersetzt.
15:30
Stellen Sie es sich als mehrsprachigen Verhandlungsführer vor, gefangen zwischen Code- und Gremiensitzungen.
15:34
Ein System, das keine Geschichten erfindet.
15:37
Er schreibt die Realität in Sätze, um die Menschen verstehen können.
15:40
Seine Stärke liegt darin, dass JSON-Chaos aus Power Automate in eine saubere Zusammenfassung von Nutzeraktionen,
15:46
Risikozahlen und Ereignisprotokollen zu verwandeln.
15:48
Höfig genug für Führungskräfte und präzise genug für Prüfer.
15:51
Er schlägt eine Brücke zwischen Syntax und Politik und sorgt dafür,
15:54
dass rohe Maschinendaten nun wie fundierte Urteile klingen, statt wie Kauderwelsch aus Tabellenkalkulationen.
15:59
Definieren Sie zuerst, welche Art von Kommunikation Sie benötigen.
16:01
Meist sind es drei, eine Management-Zusammenfassung, ein technischer Anhang und Empfehlung.
16:06
Jede bedient ein anderes Informationsbedürfnis.
16:08
Das Management will einen Absatz. Prüfer benötigen lückenlose Nachweise.
16:11
Die IT will jedes Feld, um sich mit Daten abzusichern.
16:14
Sie erstellen eine einzige Co-Pilot-Erfahrung im Studio, bauen dort aber mehrere Prompts ein.
16:19
Jeder Prompt bestimmt Tonfall, Format und Ausführlichkeiten.
16:22
Beispiel. Fassen Sie die größten Risiken einfach zusammen,
16:25
beschränken Sie sich auf fünf Stichpunkte und schlagen Sie für jeden eine Lösung vor.
16:28
Der nächste könnte sein, erstellen Sie einen technischen Anhang, der alle Hochrisikoereignisse tabellarisch auflistet.
16:34
Um Power Automate mit Co-Pilot Studio zu verbinden, nutzen Sie eine HTTP-Aktion in Ihrem Flow,
16:38
die den strukturierten JSON-Payload an die Endpoint-URL des Co-Piloten sendet.
16:42
Der Co-Pilot interpretiert diesen Payload anhand des von Ihnen definierten System-Prompts.
16:46
Die Authentifizierung von Microsoft macht dies sicher.
16:49
Sie authentifizieren den Aufruf über Azure-ID, sodass nur Ihr Flow darauf zugreifen kann.
16:52
Herzlichen Glückwunsch.
16:54
Sie haben Ihrem Board gerade beigebracht, strukturierte Gedanken an eine Schreibmaschine zu senden.
16:58
Das zurückgegebene Ergebnis ist Text, keine Zahl.
17:00
Dieser Text ist Ihr Bericht.
17:02
Füttern Sie diesen an Co-Pilot mit Anweisungen wie
17:04
Fassen Sie diese Ergebnisse in einem kurzen Compliance-Bericht zusammen,
17:07
kategorisiert nach Schweregrad.
17:08
Empfehlen Sie eine Maßnahme pro Befund und schließen Sie mit dem Gesamttrend ab.
17:13
Co-Pilot liefert etwas, das einem Analysten Memo ähnelt.
17:16
Zwei Benutzer haben gestern ein erhöhtes Risikoverhalten gezeigt.
17:19
Adelvance hat drei Berechtigungseskalationen durchgeführt,
17:21
und sie den zulässigen Schwellenwert überschritten.
17:23
Empfehlung, sofortige Überprüfung der Administratorin.
17:26
McEnby hat einmal versucht, Daten extern zu teilen.
17:28
Erinnern Sie den Benutzer an die Rechnlinie für externe Daten?
17:31
Keine weiteren Anomalien festgestellt.
17:32
Der Gesamttrend ist im Vergleich zum Basiswert stabil.
17:36
Es ist kein generatives Rad.
17:37
Das ist formatierte Synthese nach deterministischen Prompts.
17:41
Menschen nennen es Schreiben, Maschinen nennen es Output.
17:43
Das Geheimnis ist Ihre Kontrolle über Daten und Sprachstruktur.
17:47
Co-Pilot agiert nicht frei, er erläutert Statistiken.
17:51
Entscheiden Sie nun über die Verteilung.
17:53
Normal Sterbliche sollten sich nicht im Dataverse anmelden müssen, um Berichte zu führen.
17:56
Nutzen Sie also wieder die Konnektoren von Power Automate.
17:59
Arbeiten Sie mit zwei Zweigen desselben Flows.
18:01
Einer, der die Zusammenfassung von Co-Pilot direkt in einen Teams-Kanal postet,
18:04
ein anderer, der eine vollständige HTML-Version in SharePoint speichert.
18:08
Das Management liest den Teams Beitrag, Auditoren öffnen das Archiv zur Dokumentation.
18:12
Beide kommen automatisch mit Zeitstempel und identischem Wortlaut an.
18:15
Das ist Konsistenz.
18:16
Eine Tugend, die den meisten menschlichen Autoren fehlt.
18:18
Sprechen wir über Disziplin beim Prompt Engineering.
18:21
Sie benötigen Leitplanken.
18:23
Geben Sie die exakten Überschriften vor, die Co-Pilot verwenden soll.
18:25
Überblick, wichtige Erkenntnisse, Empfehlungen.
18:28
Ohne Vorgaben wird Co-Pilot versuchen, Sie mit erzählerischem Flair oder Emojis zu beeindrucken.
18:32
Ein Prüfbericht mit Emojis ist nur im Chaos marktfähig.
18:36
Betten Sie Anweisungen ein wie neutralen professionellen Ton verwenden,
18:39
spekulative Sprache vermeiden, messbare Kennzahlen einbeziehen.
18:42
Je präziser Ihre Anweisungen, desto reproduzierbarer Ihr Output.
18:46
Compliance gedeiht durch Reproduzierbarkeit, nicht durch Persönlichkeit.
18:49
Es gibt Schönheit in den alltäglichen Mechanismen.
18:52
Co-Pilot Studio erlaubt Kontextvariablen.
18:55
Sie können dynamische Daten wie das Berichtsdatum oder die Laufzeit direkt in den Output einbetten.
19:00
Verwenden Sie Platzhalter für Datum und Datensatzanzeigen.
19:03
Wenn der Flow den Co-Pilot aufruft, werden diese Variablen automatisch aufgelöst.
19:07
Das Ergebnis lautet, generiert am 15. März 563 Auditereignisse analysiert.
19:11
Dieser Meta-Kontext stellt Auditoren schneller zufrieden, als jedes GIF es könnte.
19:15
Genauigkeit erfordert einen letzten Schritt, die Validierung.
19:18
Fügen Sie eine Power-Automate-Bedingung ein, die prüft, ob die Antwort von Co-Pilot nicht leer ist.
19:22
Falls doch, speichern Sie den Fehler im Protokoll und versuchen Sie es.
19:25
Sie haben Ihrem Agenten bereits Selbstwahrnehmung und Logik beigebracht.
19:28
Nun kombinieren Sie dies mit sprachlichen Plausibilitätsprüfungen.
19:30
Der fertige Flow sieht dann so aus.
19:32
Extrahieren, analysieren, zusammenfassen, erläutern, veröffentlichen.
19:37
Jeder Pfeil steht für Verantwortlichkeit.
19:39
Letzte Verfeinerung.
19:41
Versionieren Sie den System-Prompt von Co-Pilot jedes Mal, wenn sich Compliance-Kriterien ändern.
19:45
Kennzeichnen Sie Update als V1 V1.1 USW und erfassen Sie, welche Prompt-Version welchen Bericht erzeugt hat.
19:50
Zukünftige Audits können nicht nur nachvollziehen, was passiert ist, sondern auch, wie das narrative Modell zu diesem Zeitpunkt instruiert war.
19:55
Das ist Meta-Compliance, die Governance der Governance, die sich selbst schreibt.
19:58
Die Bürokratie erreicht endlich die Rekursion.
20:00
Sobald Co-Pilot Studio seinen Bericht schreibt, wird ihre menschliche Rolle dankenswerterweise optional.
20:05
Der Agent erstellt ein Narrativ, fügt Nachweise bei, veröffentlicht die Dateien, archiviert Vorversion und fährt bis zum nächsten Zyklus herunter.
20:12
Er schickt ihnen keine E-Mails zur Freigabe, da sie ihn ausdrücklich so konzipiert haben, dass er keine Bestätigung benötigt.
20:16
Er ist still stolz, wenn Sie diese Vermenschlichung erlauben, auf seine sprachliche Präzision.
20:22
Hier hört Autonomie auf, eine Metapher zu sein und wird zur Arbeitsrealität.
20:27
Die Maschine verarbeitet nicht nur Compliance-Daten, sie erklärt Compliance fristgerecht für Menschen, ohne den Stress von Terminverzug.
20:34
Und ja, wenn Sie es verspielt mögen, könnten Sie eine Signatur hinzufügen, wie Bericht autonom erstellt durch Co-Pilot-GAC-Agent, Agent-Tool.
20:41
Nichts schreckt Mikro-Management so sehr ab wie ein Roboter, der seine eigene Arbeit signiert.
20:44
Da der Agent nun Ergebnisse formulieren kann, können Sie aufhören, GRC-Berichte zu schreiben oder zumindest bis jemand Ihre Konnektoren deaktiviert.
20:53
In diesem Stadium schließt sich der Kreis.
20:55
Purview sammelt, Power Automate interpretiert, Co-Pilot fasst zusammen und Sie haben erstaunlicherweise Ihre Wochenenden zurück.
21:02
Ein tägliches Ritual der Plackerei verwandelt sich in einen einzigen Workflow, der fließend Compliance spricht.
21:07
Die Ergebnisse erscheinen in Teams in jedem Intervall pünktlich zur exakt gleichen Zeit.
21:11
Klarer Text, konsistente Terminologie nachvollziehbarer Herkunft.
21:14
Der subtile Vorteil ist nicht die Geschwindigkeit, sondern die Standardisierung.
21:17
Jeder Bericht klingt leicht, nutzt dieselben Grenzwerte und protokolliert identische Metadaten.
21:22
Auditoren verschwenden keine Stunden mehr mit der Validierung des Formats.
21:25
Die bewerten die Substanz.
21:27
Risikomuster werden zu Erzählungen, die über die Zeit verfolgt werden, statt in Tabellenchaos zu versinken.
21:31
Sie haben Compliance von Dokumentation in Orchestrierung verwandelt.
21:34
Ein stets aktives System, das mit gerichtlicher Präzision überwacht, interpretiert und berichtet.
21:38
Manuelle GRC-Berichte sind Schreibmaschinen.
21:40
Dieser Agent ist die Textverarbeitung, automatische Korrektur inklusive.
21:43
Setzen Sie ihn vor der nächsten Prüfungssaison ein.
21:45
Und der Begriff manueller Compliance-Bericht wird bald so veraltet klingen wie Fax mir die Protokolle.
21:49
Als nächstes erweitern wir diese Intelligenz auf die Durchsetzung des Datenschutzes.
21:53
Sie haben das Gehirn bereits erschaffen, jetzt lassen Sie es die Aussicht führen.