Microsoft Copilot Datenschutz ist keine Frage, die sich mit einem Blick auf die Lizenz oder einem Häkchen in den Einstellungen beantworten lässt. Entscheidend ist, welche Copilot-Version eingesetzt wird, auf welche Unternehmensdaten sie zugreifen kann und welche Regeln im Unternehmen gelten. Wer diese Punkte vor dem Start klärt, kann den Nutzen der KI besser ausschöpfen – und vermeidet, dass alte Berechtigungsprobleme plötzlich sichtbar werden.
Was Microsoft Copilot im Unternehmen verarbeitet
Microsoft Copilot kann Antworten mit Informationen aus Microsoft 365 verknüpfen. Je nach Produkt, Lizenz und Konfiguration können dazu beispielsweise E-Mails, Kalender, Teams-Inhalte, SharePoint-Dateien und OneDrive-Dokumente gehören. Microsoft beschreibt Copilot als Dienst, der Unternehmensinhalte nur dann berücksichtigt, wenn die jeweilige Person bereits Zugriff darauf hat.
Das erleichtert typische Aufgaben: Copilot kann beispielsweise dabei helfen, Informationen in vorhandenen Dokumenten zu finden, E-Mails zusammenzufassen oder ein Briefing aus verfügbaren Arbeitsinhalten vorzubereiten. Die Antworten sind jedoch nicht automatisch korrekt. Datumsangaben, Zusammenfassungen und Schlussfolgerungen müssen weiterhin geprüft werden – gerade dann, wenn daraus Entscheidungen oder externe Kommunikation entstehen.
Vor der Einführung sollte außerdem klar sein, welches Produkt gemeint ist. Die Bezeichnungen, Funktionen und Lizenzumfänge rund um Microsoft Copilot verändern sich. Datenschutz- und Nutzungsregeln sollten daher nicht nur allgemein von „Copilot“ sprechen, sondern die tatsächlich eingesetzten Produkte und Funktionen benennen.
Datenschutz: Was Microsofts Schutzversprechen bedeuten – und was nicht
Bei kommerziellen Microsoft-Diensten sagt Microsoft, dass Prompts, Antworten und über Microsoft Graph abgerufene Unternehmensdaten nicht zum Training der zugrunde liegenden Foundation-Modelle verwendet werden. Das ist ein wichtiger Bestandteil der Bewertung. Es bedeutet aber nicht, dass keine Daten verarbeitet, protokolliert oder nach den jeweiligen Einstellungen und Richtlinien gespeichert werden.
Auch die Websuche verdient einen eigenen Blick. Ist sie aktiviert, kann Copilot aus einer Anfrage Suchbegriffe ableiten und an Bing übermitteln, um aktuelle Informationen aus dem Web einzubeziehen. Microsoft beschreibt, dass dabei generierte Suchanfragen ohne Benutzer- und Mandantenkennungen übertragen werden. Gleichzeitig gelten für diese Suchanfragen gesonderte Bedingungen; der Microsoft-Datenschutz-Nachtrag gilt dafür nicht in gleicher Weise wie für Prompts und Antworten innerhalb des Microsoft-365-Dienstes.
Für die Praxis heißt das: Beschäftigte sollten keine vertraulichen Details in eine Anfrage aufnehmen, wenn diese für die Websuche nicht erforderlich sind. Unternehmen sollten außerdem prüfen, ob Websuche für alle Nutzergruppen benötigt wird oder ob sie für bestimmte Bereiche eingeschränkt werden sollte.
Die EU Data Boundary ist ebenfalls kein pauschaler Nachweis dafür, dass jede Verarbeitung in jedem Nutzungsszenario ausschließlich innerhalb der EU stattfindet. Microsoft beschreibt die Datengrenze für definierte Dienste und Datenkategorien; für die konkrete Bewertung müssen Unternehmen den jeweiligen Dienst, die Funktion und die geltenden Vertragsunterlagen betrachten. I nsbesondere die von Copilot generierten Websuchanfragen an Bing sind laut Microsoft nicht EU-Data-Boundary-konform. Dies ist bei der Aktivierung von Web Grounding gesondert zu bewerten.
Berechtigungen sind der zentrale Schutzfaktor
Copilot schafft nicht automatisch neue Zugriffsrechte. Es kann aber Informationen leichter auffindbar machen, auf die Beschäftigte bereits Zugriff haben. Genau darin liegt ein wesentliches Risiko: Eine breit freigegebene Datei oder ein über Jahre offen gebliebenes SharePoint-Verzeichnis wird durch eine KI-Suche unter Umständen schneller entdeckt als zuvor.
Ein Beispiel: Eine Gehaltsübersicht liegt in einem Teamordner, auf den versehentlich ein zu großer Personenkreis Zugriff hat. Copilot kann diese Datei nicht für jemanden sichtbar machen, der keine Berechtigung besitzt. Hat die Person jedoch Zugriff, kann die Information durch eine gezielte Anfrage leichter zutage treten. Microsoft empfiehlt daher, Berechtigungen und mögliche übermäßige Freigaben im Vorfeld zu prüfen.
Vor der Einführung sollte das Unternehmen insbesondere prüfen:
- Wer hat Zugriff auf SharePoint-Websites, Teams und OneDrive-Dateien?
- Gibt es Freigaben an „alle Mitarbeitenden“ oder Links mit weitreichendem Zugriff?
- Sind vertrauliche Personal-, Finanz- oder Kundendaten ausreichend geschützt?
- Sind Eigentümer und Verantwortliche für wichtige Datenbereiche benannt?
- Welche Inhalte sollen für Copilot nicht auffindbar sein?
Copilot macht Berechtigungsmanagement nicht überflüssig. Es macht saubere Berechtigungen wichtiger.
Diese Datenschutzfragen müssen Unternehmen klären
Microsoft stellt Vertrags- und Datenschutzinformationen bereit. Trotzdem bleibt das Unternehmen dafür verantwortlich, den eigenen Einsatz zu bewerten und nachvollziehbar zu dokumentieren. Dazu gehört, den konkreten Verarbeitungszweck zu beschreiben, betroffene Personengruppen und Datenarten zu erfassen und die passende Rechtsgrundlage zu prüfen. Eine pauschale Aussage zur DSGVO-Konformität ersetzt diese Prüfung nicht.
Auch eine Datenschutz-Folgenabschätzung sollte geprüft werden. Ob sie erforderlich ist, hängt unter anderem von Art, Umfang, Kontext und Risiko der Verarbeitung ab. Werden besonders schützenswerte Daten (etwa Gesundheits-, Gewerkschafts- oder biometrische Daten) oder Beschäftigtendaten verarbeitet, sollte die Risikobewertung entsprechend sorgfältig ausfallen. Microsoft stellt Dokumentationen und Vorlagen bereit; die inhaltliche Bewertung des eigenen Anwendungsfalls nimmt das Unternehmen jedoch selbst vor.
Im Beschäftigungskontext ist außerdem Transparenz wichtig. Beschäftigte sollten verstehen, welche Copilot-Funktionen eingesetzt werden, welche Nutzungs- oder Aktivitätsdaten erfasst werden und wer darauf zugreifen kann. Besteht ein Betriebsrat, sollte frühzeitig geprüft werden, ob Mitbestimmungsrechte berührt sind. Das hängt vom konkreten Einsatz und den möglichen Kontroll- oder Überwachungsfunktionen ab.
Meetings, Transkripte und Löschfristen
Besprechungsaufzeichnungen, Transkripte und KI-generierte Zusammenfassungen können personenbezogene oder vertrauliche Informationen enthalten. Für jedes dieser Formate sollte es klare Regeln geben: Wann darf aufgezeichnet werden? Wer muss informiert werden? Wer erhält Zugriff? Wie lange bleiben Aufzeichnung und Transkript gespeichert?
Eine automatische Löschung ist nicht in jedem Fall die ganze Lösung. Enthält ein Gespräch wichtige geschäftliche Vereinbarungen oder aufbewahrungspflichtige Informationen, sollten die relevanten Ergebnisse gegebenenfalls separat dokumentiert werden. Das Transkript oder die Aufzeichnung ist nicht automatisch der passende Ort für eine dauerhafte Geschäftsunterlage.
Copilot sicher einführen: ein pragmatischer Ablauf
Eine Einführung muss kein Großprojekt sein. Sinnvoll ist ein schrittweises Vorgehen, das Technik, Datenschutz und Arbeitsabläufe zusammen betrachtet.
- Anwendungsfälle auswählen. Beginne mit klar abgegrenzten Aufgaben, etwa der Suche nach internen Informationen oder dem Entwurf nicht vertraulicher Texte.
- Berechtigungen überprüfen. Bereinige unnötige Freigaben und prüfe besonders sensible Datenbereiche.
- Datenregeln festlegen. Definiere, welche Informationen eingegeben oder verarbeitet werden dürfen – und welche nicht.
- Funktionen und Einstellungen prüfen. Dazu gehören unter anderem Websuche, verbundene Apps, Agenten und Meeting-Funktionen. Die verfügbaren Kontrollen können von Produkt und Lizenz abhängen.
- Dokumentation aktualisieren. Erfasse die Verarbeitung in den passenden Datenschutz- und KI-Unterlagen und prüfe, ob Beschäftigte informiert werden müssen.
- Pilotphase starten. Teste mit einer begrenzten Nutzergruppe, ob die Regeln verständlich sind und die Funktionen im Arbeitsalltag den gewünschten Nutzen bringen.
- Ergebnisse nachhalten. Sammle Rückmeldungen, behebe Berechtigungsprobleme und passe Regeln an, wenn sich Produkte oder Arbeitsabläufe ändern.
Dieser Ablauf hilft auch dabei, Erwartungen realistisch zu halten: Copilot kann Recherche und Routinearbeit unterstützen, ersetzt aber weder die fachliche Prüfung noch die Verantwortung der Beschäftigten.
KI-Kompetenz und interne Richtlinien aktuell halten
Eine Richtlinie allein macht den Einsatz noch nicht sicher. Beschäftigte brauchen verständliche Orientierung dazu, welche Werkzeuge freigegeben sind, welche Daten sie verwenden dürfen und wie sie KI-Ergebnisse überprüfen sollen. Kurze, rollenbezogene Schulungen und regelmäßige Aktualisierungen sind oft wirksamer als ein umfangreiches Dokument, das im Alltag kaum jemand heranzieht.
Auch der EU AI Act verpflichtet Anbieter und Betreiber von KI-Systemen zu Maßnahmen, die die KI-Kompetenz ihrer Beschäftigten und weiterer beteiligter Personen unterstützen. Die im Juli 2026 geänderte Fassung von Artikel 4 verlangt keine Garantie eines bestimmten Kompetenzniveaus für jede einzelne Person, lässt die Pflicht zu unterstützenden Maßnahmen aber bestehen.
Für Unternehmen bedeutet das: KI-Kompetenz sollte nicht als einmalige Unterweisung verstanden werden. Neue Funktionen, zusätzliche Agenten oder geänderte Einsatzbereiche können neue Risiken schaffen. Eine regelmäßige Überprüfung der Richtlinie und der Schulungsinhalte hält die Vorgaben näher an der tatsächlichen Nutzung.
Checkliste: Copilot datenschutzbewusst starten
- Sind eingesetzte Copilot-Produkte, Lizenzen und Funktionen eindeutig erfasst?
- Wurden SharePoint-, Teams- und OneDrive-Berechtigungen überprüft?
- Sind Regeln für vertrauliche, personenbezogene und besonders schützenswerte Daten festgelegt?
- Wurde entschieden, ob und für wen Websuche aktiviert sein soll?
- Sind Zwecke, Rechtsgrundlagen, Risiken und Verantwortlichkeiten dokumentiert?
- Wissen Beschäftigte, wann Aufzeichnungen und Transkripte zulässig sind und wann sie gelöscht werden?
- Wurden erforderliche Informationen für Beschäftigte und gegebenenfalls die Beteiligung des Betriebsrats berücksichtigt?
- Gibt es eine Pilotphase, verständliche Nutzungsregeln und passende Schulungen?
Microsoft Copilot kann im Arbeitsalltag spürbar entlasten. Voraussetzung ist, dass der Einsatz nicht als reine Lizenzfrage behandelt wird. Wer Datenzugriffe, Websuche, Verantwortlichkeiten und Löschregeln gemeinsam prüft, schafft eine bessere Grundlage für einen kontrollierten und nützlichen Einsatz.
