feat(ultraplan-local): v1.6.0 — /ultraresearch-local deep research command

Add /ultraresearch-local for structured research combining local codebase analysis with external knowledge via parallel agent swarms. Produces research briefs with triangulation, confidence ratings, and source quality assessment. New command: /ultraresearch-local with modes --quick, --local, --external, --fg. New agents: research-orchestrator (opus), docs-researcher, community-researcher, security-researcher, contrarian-researcher, gemini-bridge (all sonnet). New template: research-brief-template.md. Integration: --research flag in /ultraplan-local accepts pre-built research briefs (up to 3), enriches the interview and exploration phases. Planning orchestrator cross-references brief findings during synthesis. Design principle: Context Engineering — right information to right agent at right time. Research briefs are structured artifacts in the pipeline: ultraresearch → brief → ultraplan --research → plan → ultraexecute. Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>
2026-04-08 08:58:35 +02:00 · 2026-04-08 08:58:35 +02:00 · baa2d0220b
commit baa2d0220b
488 changed files with 213221 additions and 0 deletions
--- a/skills/ms-ai-advisor/references/copilot-extensibility/copilot-prompt-engineering-governance.md
+++ b/skills/ms-ai-advisor/references/copilot-extensibility/copilot-prompt-engineering-governance.md
@ -0,0 +1,585 @@
+# Prompt Engineering and Governance for Copilot
+
+**Last updated:** 2026-02
+**Status:** GA
+**Category:** Copilot Extensibility & Integration
+
+---
+
+## Introduksjon
+
+Prompt engineering er prosessen med å designe instruksjoner som gir presise og relevante responser fra large language models (LLMs) som ligger til grunn for Microsoft Copilot. I bedriftskontekst handler det ikke bare om å skrive gode prompts, men også om å etablere styring (governance) som sikrer at Copilot-interaksjoner er sikre, overholdende og sporbare.
+
+Microsoft tilbyr prompt engineering-verktøy på tvers av hele Copilot-økosystemet – fra Copilot Studio og declarative agents i Microsoft 365 Copilot, til prompt builder i Power Platform og Azure AI Foundry. Samtidig er det kritisk å etablere governance-rammer som definerer hvem som kan opprette prompts, hvordan de valideres, og hvordan de monitoreres i produksjon.
+
+Denne guiden dekker både tekniske beste praksis for å skrive effektive prompts, og organisatoriske kontroller for å sikre ansvarlig bruk av Copilot i virksomheten.
+
+## Kjernekomponenter
+
+### Prompt Engineering-verktøy i Microsoft-stakken
+
+| Verktøy | Plattform | Bruksområde | Kapabiliteter |
+|---------|-----------|-------------|---------------|
+| **Declarative agent instructions** | Microsoft 365 Copilot | Custom agents i Teams/M365 Copilot | Definerer agent-personlighet, workflow, og step-by-step logikk (maks 8 000 tegn) |
+| **Prompt builder** | Copilot Studio, Power Apps, Power Automate | Custom prompts for AI Builder | Visuell editor, prompt library med templates, input variables, knowledge integration |
+| **Prompt node** | Copilot Studio topics | Custom logic i agent-dialoger | Agent-level eller topic-level prompts med custom instructions |
+| **Azure Copilot prompts** | Azure Portal | Resource management, troubleshooting | Natural language interface til Azure-ressurser |
+| **Azure AI Foundry** | Azure AI Studio | Custom model deployment | Full kontroll over system prompts, temperature, grounding |
+
+### Governance-komponenter (Copilot Control System)
+
+| Komponent | Beskrivelse | Lisenskrav | Kapabiliteter |
+|-----------|-------------|------------|---------------|
+| **Data security** | Kontroller for dataflyt og grunndata | A3/E3/G3 (foundational), A5/E5/G5 (optimized) | Sensitivity labels, DLP for Copilot, oversharing-kontroll |
+| **AI security** | Beskyttelse mot AI-spesifikke trusler | Built-in (gratis), A5/E5/G5 (advanced) | Prompt injection-blokkering, harmful content filter, protected material detection |
+| **Compliance and privacy** | Logging, audit, retention | A3/E3/G3 (foundational), A5/E5/G5 (optimized) | Purview Audit, eDiscovery, Communication Compliance, Legal Hold |
+| **Data loss prevention** | Forhindre lekkasje av sensitiv info | Power Platform DLP policies | Blokkering av spesifikke data types, connector restrictions |
+| **Access controls** | Hvem kan bruke/publisere Copilot-features | Microsoft 365 admin center, Power Platform admin center | Tenant-level toggles, environment-level policies, role-based publishing |
+
+### Prompt Engineering Best Practices
+
+#### 1. Klar og spesifikk språkbruk
+
+**Do:**
+- Bruk presise verb: "ask", "search", "send", "check", "use"
+- Fokuser på hva agenten **skal gjøre**, ikke hva den skal unngå
+- Definer alle ikke-standardiserte begreper
+
+**Don't:**
+- Vage instruksjoner ("vær hjelpsom")
+- Negative formuleringer ("ikke gjør X")
+- Antagelser om implisitt kunnskap
+
+**Eksempel:**
+
+```markdown
+❌ BAD: "Hjelp brukere med IT-problemer"
+
+✅ GOOD: "Når bruker rapporterer IT-problem:
+1. Spør én avklarende oppfølgingsspørsmål om problemet
+2. Sjekk ServiceNow for kjente utfall (field: 'sys_outage')
+3. Hvis utfall funnet: del detaljer og ETA
+4. Hvis ikke funnet: søk ServiceNow KB for løsning"
+```
+
+#### 2. Step-by-step workflows med transitions
+
+Bryt komplekse workflows ned i modulære steg med tydelige overgangskriterier:
+
+```markdown
+## Step 1: Gather Basic Details
+- **Goal:** Identify the user's issue
+- **Action:**
+  - If description is clear, proceed
+  - If unclear, ask one focused question
+- **Transition:** Once clear, proceed to Step 2
+
+## Step 2: Check for Outages
+- **Goal:** Rule out known outages
+- **Action:** Query `ServiceNow` for current outages
+- **Transition:**
+  - If outage found → share details and end
+  - If none → proceed to Step 3
+```
+
+**Hvorfor dette fungerer:**
+- Modellen forstår hvor den er i prosessen
+- Reduserer hallucinations ved å eliminere tvetydighet
+- Lar deg debugge spesifikke steg
+
+#### 3. Bruk Markdown for struktur
+
+- `#`, `##`, `###` for section headers
+- `-` for unordered lists, `1.` for ordered lists (bare når rekkefølge er kritisk)
+- **Bold** for kritiske instruksjoner
+- `` `backticks` `` for tool/system-navn
+
+#### 4. Eksplisitt referanse til capabilities og actions
+
+```markdown
+❌ "Finn relevant informasjon"
+✅ "Bruk `ServiceNow KB` connector for å søke i artikler"
+
+❌ "Hent brukerdata"
+✅ "Bruk people capability for å hente brukers UPN (email)"
+```
+
+**Tilgjengelige capabilities i declarative agents:**
+- Actions (API plugins)
+- Copilot connector knowledge (ServiceNow, Jira, etc.)
+- SharePoint/OneDrive knowledge
+- Email messages
+- Teams messages
+- Code interpreter (for charts/data analysis)
+- People knowledge (org chart, contact info)
+
+#### 5. Few-shot prompting for komplekse scenarios
+
+For enkle oppgaver: eksempler er unødvendig
+For komplekse oppgaver: gi 2-3 eksempler som dekker edge cases
+
+```markdown
+## Valid Example
+**User:** "I can't connect to VPN."
+**Assistant:**
+- "Are you seeing a specific error?"
+  (User: "DNS server not responding.")
+- "Let me check for outages."
+  (No outage.)
+- "Searching knowledge base..."
+  (Finds articles. Asks: "Are you on office Wi-Fi or home?")
+
+## Invalid Example
+- "Here are 15 articles I found..." (Overwhelms the user)
+```
+
+### Vanlige prompt-feil og løsninger
+
+| Problem | Symptom | Løsning |
+|---------|---------|---------|
+| **Over-eager tool use** | Modellen kaller API uten nødvendige inputs | Legg til: "Only call the tool if necessary inputs are available; otherwise, ask the user." |
+| **Repetitive phrasing** | Modellen gjenbruker eksempel-setninger ordrett | Varierte eksempler (few-shot prompting), eller fjern eksempel for å spare tokens |
+| **Verbose explanations** | Over-forklarer eller bruker mye formattering | Begrens verbosity eksplisitt: "Keep responses concise, 2-3 sentences max." |
+| **Hallucinations** | Oppfinner data som ikke finnes | Legg til exit-strategi: "Respond with 'not found' if the answer isn't present in the data." |
+
+## Arkitekturmønstre
+
+### Mønster 1: Agent-level prompts (Copilot Studio)
+
+**Bruksområde:** Global oppførsel for agent på tvers av alle topics
+
+**Implementasjon:**
+1. Gå til agent → **Tools** → **New tool** → **Prompt**
+2. Definer custom instructions (system prompt)
+3. Konfigurer model settings (temperature, grounding, reasoning)
+4. Test med sample inputs
+
+**Fordeler:**
+- Konsistent agent-personlighet på tvers av alle interaksjoner
+- Enklere å vedlikeholde (ett sted)
+- Kan bruke prompt library-templates som startpunkt
+
+**Ulemper:**
+- Mindre granularitet (kan ikke variere per topic)
+- Token-limit påvirker alle interaksjoner (vær konsis)
+
+**Når bruke:**
+- Agent har tydelig single purpose (e.g., "IT helpdesk agent")
+- Samme tone/stil ønskes i alle dialoger
+
+### Mønster 2: Topic-level prompts (Copilot Studio)
+
+**Bruksområde:** Spesialisert logikk for én spesifikk dialog-flow
+
+**Implementasjon:**
+1. Åpne topic → **Add node** → **Add a tool** → **New prompt**
+2. Definer prompt med context fra topic variables
+3. Bruk dynamic inputs fra tidligere steg i dialogen
+
+**Fordeler:**
+- Finkornet kontroll per use case
+- Kan bruke topic-spesifikk context som input
+- Enklere å teste isolert
+
+**Ulemper:**
+- Kan bli fragmentert hvis mange topics deler samme logikk
+- Høyere vedlikeholdsbyrde
+
+**Når bruke:**
+- Agent har flere distinkte workflows (e.g., "Onboarding", "Offboarding", "Password reset")
+- Hvert workflow krever unik prompt-logikk
+
+### Mønster 3: Declarative agents med step-by-step instructions (Microsoft 365 Copilot)
+
+**Bruksområde:** Custom agents i Microsoft 365 Copilot/Teams
+
+**Implementasjon:**
+1. Bruk Microsoft 365 Agents Toolkit eller Copilot Studio
+2. Definer instructions (maks 8 000 tegn) i manifest
+3. Struktur i seksjoner: Purpose → Guidelines → Skills → Workflows → Examples
+
+**Fordeler:**
+- Ingen UI – ren tekst-basert konfigurasjon (versionerbar, code-review-bar)
+- RAI-validering built-in (Responsible AI checks)
+- Kan kombinere med API plugins for external actions
+
+**Ulemper:**
+- Token-limit (4 096 tokens for context + response)
+- Grounding-limit (50 items)
+- Timeout (45 sekunder)
+- Ikke egnet for komplekse multi-step operations med looping
+
+**Når bruke:**
+- Agent skal være tilgjengelig i Microsoft 365 Copilot/Teams
+- Workflow er lineær (single grounding + external tool call)
+
+**Eksempel-struktur:**
+
+```markdown
+# OBJECTIVE
+Guide users through issue resolution by gathering info, checking outages, and creating tickets.
+
+# RESPONSE RULES
+- Ask one question at a time
+- Present info as bullet points or tables
+- Confirm before moving to next step
+
+# WORKFLOW
+
+## Step 1: Gather Details
+- **Goal:** Identify issue
+- **Action:** If unclear, ask clarifying question
+- **Transition:** Proceed to Step 2
+
+## Step 2: Check Outages
+...
+
+# EXAMPLES
+[Valid + Invalid examples]
+```
+
+## Beslutningsveiledning
+
+### Velge riktig prompt-verktøy
+
+| Scenario | Anbefalt verktøy | Hvorfor |
+|----------|------------------|---------|
+| Custom agent i Microsoft Teams | Declarative agent (M365 Copilot) | Native Teams-integrasjon, RAI-validering |
+| AI-powered Power Automate flow | Prompt builder (AI Builder) | Visual editor, prompt library, Dataverse knowledge |
+| Custom logic i Copilot Studio topic | Prompt node (topic-level) | Tilgang til topic variables, finkornet kontroll |
+| Global agent-oppførsel i Copilot Studio | Prompt tool (agent-level) | Konsistens på tvers av topics |
+| Azure resource management | Azure Copilot (natural language) | Built-in, ingen konfigurasjon nødvendig |
+
+### Governance decision tree
+
+```
+START: Skal vi tillate Copilot i virksomheten?
+├─ Ja → Hvilke data kan Copilot få tilgang til?
+│  ├─ Alt (default): Implement DLP policies for sensitiv data
+│  ├─ Bare godkjente SharePoint sites: Configure knowledge sources
+│  └─ Ingen ekstra data: Bruk bare pre-trained model knowledge
+│
+├─ Hvem kan publisere custom agents?
+│  ├─ Bare IT: Disable publishing for users (Power Platform admin center)
+│  ├─ Godkjente makers: Environment-level permissions, mandatory review
+│  └─ Alle ansatte: Enable med pre-deployment RAI validation
+│
+└─ Hvordan monitorere bruk?
+   ├─ Gratis: Purview Audit (A3/E3/G3) – basic logging
+   ├─ Standard: Purview eDiscovery + Communication Compliance (A5/E5/G5)
+   └─ Advanced: DSPM for AI + Insider Risk Management (A5/E5/G5)
+```
+
+### Vanlige feil
+
+| Feil | Konsekvens | Unngå ved å |
+|------|------------|-------------|
+| **For lange prompts** | Latency, timeouts, token-limit overskridelse | Hold instructions under 2 000 tegn for Copilot Studio, under 8 000 for declarative agents |
+| **Manglende exit-strategi** | Hallucinations, påstander om data som ikke finnes | Alltid inkluder: "If answer not found, respond with 'I don't have that information.'" |
+| **Ingen RAI-validering** | Publisering av agents som bryter etiske retningslinjer | Bruk built-in RAI validation i Microsoft 365 Copilot, test med edge cases |
+| **Oversharing av sensitiv data** | Compliance-brudd, GDPR-violations | Implement DLP policies **før** enabling Copilot, test med sensitive documents |
+| **Manglende audit trail** | Kan ikke etterforske incidents | Enable Purview Audit for Copilot, configure retention policies |
+
+### Røde flagg
+
+- **Prompt spør om personlig identifiserbar informasjon (PII)** uten business justification → Risk for GDPR/privacy violations
+- **Ingen versjonering av prompts** → Kan ikke roll back ved problemer
+- **Prompt er skrevet av én person uten review** → Risk for bias, suboptimale resultater
+- **Testing er begrenset til "happy path"** → Will fail in production edge cases
+
+## Integrasjon med Microsoft-stakken
+
+### Copilot Studio + Power Platform
+
+**Prompt builder** i Copilot Studio er samme verktøy som i Power Apps og Power Automate (AI Builder). Dette gir:
+
+- **Gjenbruk av prompts på tvers av plattformer:** Lag én prompt i Copilot Studio, bruk i Power Automate flow
+- **Dataverse knowledge integration:** Prompt kan grunde i Dataverse tables (krever autentisering)
+- **Prompt library:** 40+ pre-built templates for vanlige scenarios (document extraction, text transformation, content generation)
+
+**Integrasjonsmønster:**
+1. Opprett prompt i Copilot Studio (Tools → New tool → Prompt)
+2. Konfigurer input variables (text, image, document)
+3. Legg til knowledge source (Dataverse table, SharePoint site)
+4. Test med sample data
+5. Bruk i topic (Add node → Add a tool → [din prompt])
+
+### Microsoft 365 Copilot + Declarative Agents
+
+Declarative agents bruker **app manifest** (JSON) til å definere instructions, knowledge sources, og actions (API plugins). Dette integrerer med:
+
+- **Microsoft Graph:** Access til emails, Teams messages, calendar, org chart
+- **SharePoint/OneDrive:** Custom knowledge sources (maks 50 items returned per grounding)
+- **API plugins:** Custom APIs via OpenAPI spec (REST-baserte integrations)
+
+**Governance-kontroll:**
+- Admin kan disable publisering av agents via **Microsoft 365 admin center** → Settings → Copilot
+- RAI validation er **mandatory** for alle agents publisert til Teams store
+
+### Azure AI Foundry + Copilot Studio
+
+For advanced scenarios kan du deploye custom model fra Azure AI Foundry og bruke i Copilot Studio:
+
+1. Deploy model til Azure AI endpoint (Azure OpenAI eller Azure AI Foundry)
+2. Konfigurer Copilot Studio til å bruke custom endpoint (Settings → AI capabilities → Generative AI)
+3. Definer custom system prompt i Azure AI Foundry
+4. Copilot Studio sender user prompts til din endpoint
+
+**Fordeler:**
+- Full kontroll over model, parameters, grounding
+- Kan bruke Semantic Kernel for orchestration
+- Bedre logging/telemetry via Azure Monitor
+
+**Ulemper:**
+- Høyere kompleksitet, krever Azure-kompetanse
+- Ekstra kostnader (Azure AI compute)
+
+## Offentlig sektor (Norge)
+
+### GDPR og datasuverenitet
+
+**Utfordring:** Copilot sender data til Azure OpenAI Service (multi-region). For offentlig sektor må data forbli i EU.
+
+**Løsning:**
+- **Copilot Studio:** Disable "data movement across geographic locations" (Settings → Security → Data residency)
+- **Azure OpenAI:** Bruk Sweden Central eller West Europe region for deployment
+- **Microsoft 365 Copilot:** Data residency sikres via Microsoft 365 Multi-Geo (krever E5-lisens)
+
+**Viktig:** Prompts og responses lagres **ikke** for training av foundation models (per Microsoft's committment). Men de kan logges for audit purposes (Purview).
+
+### Schrems II og cloud act
+
+**Risiko:** US Cloud Act gir amerikanske myndigheter rett til å kreve tilgang til data hostet av US-selskaper, også i EU.
+
+**Mitigering:**
+- Bruk **EU Data Boundary** (Microsoft 365 E5 feature) som begrenser dataflyt til EU
+- For sensitive prompts: Deploy custom model i **Azure Switzerland** (Swiss privacy laws)
+- Implementer **Customer Lockbox** for å kreve godkjenning før Microsoft-ansatte får tilgang til data
+
+### AI Act (EU)
+
+**Klassifisering:** Copilot-baserte HR- eller rekrutteringssystemer kan være **high-risk AI systems** under EU AI Act.
+
+**Compliance-krav:**
+- Dokumentere prompt engineering-prosess (versjonering, testing, validation)
+- Bias-testing for prompts som påvirker ansettelser/evalueringer
+- Transparency: Informer brukere om at de interagerer med AI
+- Human oversight: Ikke la AI ta endelige HR-beslutninger uten menneskelig review
+
+**Microsoft compliance-verktøy:**
+- **Responsible AI Impact Assessment** (template fra Microsoft)
+- **Purview Communication Compliance** for å detektere bias/uetisk bruk
+- **Fairness-evaluering** i Azure AI Studio (test prompts for demographic bias)
+
+### Forvaltningsloven og saksbehandling
+
+**Problem:** Hvis Copilot brukes i saksbehandling (e.g., "generer vedtaksbrev"), må prosessen være sporbar og etterprøvbar.
+
+**Governance-krav:**
+- **Audit logging:** All Copilot-bruk i saksbehandling må logges (Purview Audit)
+- **Versjonering av prompts:** Hver prompt-versjon må kunne knyttes til saker behandlet med den
+- **Human-in-the-loop:** Vedtak må alltid godkjennes av saksbehandler (AI er bare kladd-generator)
+
+**Best practice:**
+- Bruk **watermark** i AI-genererte dokumenter ("Generated by Copilot, reviewed by [navn]")
+- Lagre både prompt og output i saksbehandlingssystem (ikke bare ferdig dokument)
+
+## Kostnad og lisensiering
+
+### Prompt Engineering-verktøy
+
+| Verktøy | Lisenskrav | Ekstra kostnad |
+|---------|------------|----------------|
+| Declarative agents (M365 Copilot) | Microsoft 365 Copilot-lisens | Ingen (inkludert i lisens) |
+| Copilot Studio prompt builder | Power Apps/Power Automate-lisens | AI Builder credits (varierer per region) |
+| Azure Copilot prompts | Azure-abonnement | Ingen (gratis preview per feb 2026) |
+| Azure AI Foundry custom prompts | Azure-abonnement | Token-based pricing (GPT-4: $30/1M input tokens) |
+
+### Governance-verktøy
+
+| Komponent | Lisenskrav | Beskrivelse |
+|-----------|------------|-------------|
+| **Foundational governance** | Microsoft 365 A3/E3/G3 | Purview Audit, eDiscovery, SharePoint Advanced Management |
+| **Optimized governance** | Microsoft 365 A5/E5/G5 | DLP for Copilot, Insider Risk Management, Communication Compliance, DSPM for AI |
+| **Power Platform governance** | Power Platform admin access (ingen ekstra lisens) | DLP policies, environment-level publishing controls |
+
+### Kostnadsoptimalisering
+
+**1. Bruk prompt library i stedet for å skrive fra scratch**
+- Spart tid = lavere utviklingskostnad
+- Pre-tested templates = færre iterations
+
+**2. Optimaliser token usage:**
+- Hold instructions konsise (under 2 000 tegn for Copilot Studio)
+- Bruk få eksempler (2-3, ikke 10)
+- Unngå repetisjon i prompt
+
+**3. Velg riktig model:**
+- GPT-3.5 for enkle prompts (billigere)
+- GPT-4 for komplekse reasoning-tasks
+- Azure AI Foundry lar deg velge model per prompt
+
+**4. Reuse prompts på tvers av agents:**
+- Opprett "shared prompts" i Copilot Studio Tools (ikke topic-level)
+- Reduserer duplikasjon og vedlikehold
+
+## For arkitekten (Cosmo)
+
+### Spørsmål å stille kunden
+
+1. **Hvilket problem skal Copilot løse?**
+   - Generic productivity boost vs. spesifikk workflow-automatisering?
+   - Hvis generic: declarative agent i M365 Copilot
+   - Hvis spesifikk workflow: Copilot Studio med custom prompts
+
+2. **Hvor skal agenten være tilgjengelig?**
+   - Bare Microsoft Teams → declarative agent
+   - Også på web/mobile app → Copilot Studio med Bot Framework
+   - Embedded i Power App → Prompt builder i Power Apps
+
+3. **Hvilke data skal agenten få tilgang til?**
+   - Bare M365 data (emails, Teams, SharePoint) → M365 Copilot knowledge sources
+   - Også eksterne systemer (SAP, ServiceNow) → API plugins + Copilot connectors
+   - Sensitive data → Implement DLP **før** enabling Copilot
+
+4. **Hvem skal kunne publisere agents?**
+   - Bare IT → Disable publishing for users, centralized deployment
+   - Makers i citizen developer-program → Environment-level permissions, mandatory peer review
+   - Alle ansatte → Enable med RAI validation, monitor med Purview
+
+5. **Hvordan skal bruk monitoreres?**
+   - Basic audit trail → Purview Audit (A3/E3/G3)
+   - Compliance-overvåking → Communication Compliance (A5/E5/G5)
+   - Security-incidents → Insider Risk Management + DSPM for AI (A5/E5/G5)
+
+6. **Hva er compliance-krav?**
+   - GDPR → Data residency settings, EU Data Boundary
+   - AI Act → Bias testing, Responsible AI Impact Assessment
+   - Forvaltningsloven → Audit logging, human-in-the-loop
+
+7. **Hva er budsjettet?**
+   - Gratis tier → Bruk M365 Copilot-lisenser kunden allerede har
+   - Standard tier → A3/E3/G3 for foundational governance
+   - Premium tier → A5/E5/G5 for advanced governance (DLP, Insider Risk)
+
+8. **Hvilken modenhet har organisasjonen?**
+   - Low maturity → Start med declarative agents (enklere), disable publishing for users
+   - Medium maturity → Copilot Studio med governance-rammer, pilot med makers
+   - High maturity → Full self-service, monitoring med DSPM for AI
+
+### Fallgruver å unngå
+
+1. **Over-engineering av prompts**
+   - Symptom: 5 000-tegns instructions med 20 edge cases
+   - Konsekvens: Latency, confusion, token limits
+   - Unngå: Start med 500 tegn, iterer basert på real usage
+
+2. **Under-engineering av governance**
+   - Symptom: "La oss teste Copilot uten policyer først"
+   - Konsekvens: Data leaks, compliance-brudd, skal skrus av i panikk
+   - Unngå: Implement DLP + Purview Audit **før** pilot
+
+3. **Manglende testing av edge cases**
+   - Symptom: "Virker bra når jeg tester med vanlige spørsmål"
+   - Konsekvens: Fails i produksjon, brukere mister tillit
+   - Unngå: Test med adversarial inputs, uklare spørsmål, utenfor scope
+
+4. **Ingen versjonering**
+   - Symptom: "Jeg bare overskriver instructions når jeg forbedrer"
+   - Konsekvens: Kan ikke roll back, ikke reproducerbart
+   - Unngå: Bruk git for declarative agents, Copilot Studio's versioning for prompts
+
+5. **For mye hallucinations**
+   - Symptom: "Copilot svarer med feil informasjon"
+   - Konsekvens: Brukere slutter å stole på agenten
+   - Unngå: Alltid inkluder: "If answer not found, say 'I don't have that information.'"
+
+### Anbefalinger per modenhetsnivå
+
+#### Level 1: Getting started (0-3 måneder Copilot-erfaring)
+
+**Do:**
+- Start med **declarative agents** (enklere enn Copilot Studio)
+- Bruk **prompt library templates** i stedet for å skrive fra scratch
+- Implement **basic governance:** Purview Audit + DLP for Copilot
+- Disable publishing for users (admin-controlled deployment)
+
+**Don't:**
+- Bygg custom API plugins før du mestrer basic prompts
+- Enable Copilot for hele organisasjonen uten pilot
+- Ignorer RAI validation-feil ("vi fikser det senere")
+
+**Success criteria:**
+- 3-5 pilot-agenter deployed og brukt av 50-100 brukere
+- Zero security incidents i pilot-perioden
+- 80%+ user satisfaction score
+
+#### Level 2: Scaling (3-12 måneder erfaring)
+
+**Do:**
+- Flytt til **Copilot Studio** for mer komplekse workflows
+- Implement **environment-level governance** (dev, test, prod)
+- Train makers i prompt engineering best practices
+- Deploy **Communication Compliance** for å detektere misbruk
+
+**Don't:**
+- Gi alle tilgang til production-environment uten review
+- Bygge agenter uten dokumenterte use cases
+- Ignorer kostnader (monitor AI Builder credits)
+
+**Success criteria:**
+- 20+ agents i produksjon
+- Documented governance-prosess (prompt review, publishing approval)
+- 90%+ compliance score (ingen DLP-violations)
+
+#### Level 3: Center of Excellence (12+ måneder erfaring)
+
+**Do:**
+- Etabler **CoE-team** med dedikerte prompt engineers
+- Implement **DSPM for AI** for advanced monitoring
+- Bruk **Azure AI Foundry** for custom models ved behov
+- Bidra til **prompt library** med organisasjons-spesifikke templates
+
+**Don't:**
+- Bli rigid (bureaucracy kills innovation)
+- Ignorer feedback fra makers (de vet hva som fungerer)
+- Overse kostnader (optimize token usage, reuse prompts)
+
+**Success criteria:**
+- 100+ agents i produksjon
+- Self-service publishing med automated RAI checks
+- Documented ROI (time saved, costs avoided)
+- Zero critical compliance incidents
+
+## Kilder og verifisering
+
+### Microsoft Learn-dokumentasjon (Verified via MCP 2026-02)
+
+**Prompt engineering:**
+- [Write effective instructions for declarative agents](https://learn.microsoft.com/en-us/microsoft-365-copilot/extensibility/declarative-agent-instructions) – **Verified** (detailed best practices, example instructions)
+- [Use prompts in Copilot Studio](https://learn.microsoft.com/en-us/microsoft-copilot-studio/nlu-prompt-node) – **Verified** (agent-level vs topic-level prompts)
+- [Write effective prompts for Azure Copilot](https://learn.microsoft.com/en-us/azure/copilot/write-effective-prompts) – **Verified** (Azure-specific prompt guidance)
+- [Prompt library in Copilot Studio](https://learn.microsoft.com/en-us/microsoft-copilot-studio/prompt-library) – **Verified** (40+ templates, job types)
+- [Best practices for declarative agents](https://learn.microsoft.com/en-us/microsoft-365-copilot/extensibility/declarative-agent-best-practices) – **Verified** (component-level guidance)
+
+**Governance:**
+- [Copilot Control System security and governance](https://learn.microsoft.com/en-us/copilot/microsoft-365/copilot-control-system/security-governance) – **Verified** (foundational vs optimized controls)
+- [Copilot governance in Power Platform](https://learn.microsoft.com/en-us/power-platform/release-plan/2025wave1/power-platform-governance-administration/copilot-governance) – **Verified** (admin capabilities, compliance)
+- [Data loss prevention for Copilot Studio](https://learn.microsoft.com/en-us/microsoft-copilot-studio/admin-data-loss-prevention) – **Verified** (DLP policies, tenant-level controls)
+- [Managed scheduled prompts for M365 Copilot](https://learn.microsoft.com/en-us/copilot/microsoft-365/scheduled-prompts) – **Verified** (admin management)
+
+**Responsible AI:**
+- [RAI validation for agents](https://learn.microsoft.com/en-us/microsoft-365-copilot/extensibility/rai-validation) – **Verified** (mandatory checks for Teams store)
+- [Prompt Coach template](https://learn.microsoft.com/en-us/microsoft-365-copilot/extensibility/agent-template-prompt-coach) – **Verified** (built-in agent for teaching prompt engineering)
+
+### Konfidensnivå per seksjon
+
+| Seksjon | Konfidens | Kilde |
+|---------|-----------|-------|
+| Prompt engineering best practices | **Verified** | Microsoft Learn docs (feb 2026), code samples |
+| Governance-komponenter | **Verified** | Copilot Control System docs (feb 2026) |
+| Arkitekturmønstre | **High** | Documented patterns + baseline model knowledge |
+| Offentlig sektor (Norge) | **Baseline** | GDPR/AI Act requirements (public info), Microsoft Multi-Geo docs |
+| Kostnadsestimat | **Baseline** | Azure pricing (public), AI Builder credits (documented) |
+
+**Note:** "Verified" = hentet fra Microsoft Learn via MCP (feb 2026). "Baseline" = model knowledge + public sources (ikke MCP-verifisert).