Vergleich
Microsoft 365 Copilot oder ChatGPT Enterprise: was passt zu deinem Betrieb?
Die beiden bekanntesten KI-Assistenten für Unternehmen im direkten Vergleich: Datenhaltung, Vertrag, Training und Einsatz im Mittelstand.
| Kriterium | Microsoft 365 Copilot | ChatGPT Enterprise |
|---|---|---|
| Anbieter und Sitz | Microsoft Corporation, Redmond (Washington), USA. EU-Gesellschaft: Microsoft Ireland Operations Limited, Dublin. | OpenAI, USA (OpenAI OpCo, LLC, San Francisco). Für Nutzer im EWR und der Schweiz ist OpenAI Ireland Limited in Dublin zuständig. |
| Serverstandort | Für Kunden in der EU gilt die EU Data Boundary: gespeicherte Copilot-Inhalte liegen in der EU. Die Modellberechnung (Inferenz) kann bei hoher Auslastung per Flex Routing in den USA, Kanada oder Australien laufen, sofern du es nicht abschaltest. | Ohne aktivierte Datenresidenz nicht öffentlich angegeben. Mit Datenresidenz liegen Inhalte (Prompts, Dateien, Chats) in der gewählten Region, für Europa gilt EWR plus Schweiz. |
| Datenhaltung in der EU | Ja, mit Einschränkung: Daten ruhen in der EU Data Boundary, nur begrenzte pseudonymisierte Daten können außerhalb liegen. Flex Routing ist für Tenants, die nach dem 25. März 2026 angelegt wurden, standardmäßig an. Admins können „Flex Routing nicht erlauben“ wählen, dann bleibt auch die Inferenz in der EU. Bei Multi-Geo gilt das Ganze nicht. | Optional: Für neue Kunden von ChatGPT Enterprise und Edu ist Datenresidenz in Europa (EWR und Schweiz) laut OpenAI-Hilfecenter ohne Zusatzkosten möglich, für ChatGPT Business nicht. Zusätzlich gibt es Inferenz-Residenz (Modellberechnung in Europa), wenn die Datenresidenz in derselben Region aktiv ist. Konto-, Abrechnungs- und Metadaten sind ausgenommen, und einzelne Schritte wie Anmeldung oder Routing können außerhalb der Region laufen. |
| Auftragsverarbeitungsvertrag (AVV) | Ja: Copilot fällt unter die Microsoft Product Terms und den Microsoft Data Protection Addendum (DPA), die für Microsoft 365 ohnehin gelten. | Ja: OpenAI führt im Trust Portal ein Data Processing Agreement und eine Liste der Unterauftragsverarbeiter. Den Inhalt der Dokumente konnte ich nicht einsehen. |
| Training mit deinen Daten | Nein: Prompts, Antworten und über Microsoft Graph abgerufene Daten werden laut Microsoft nicht zum Training der Basismodelle verwendet. | Nein, standardmäßig nicht: Inhalte aus Business, Enterprise und Edu werden laut OpenAI nicht zum Training oder zur Verbesserung der Modelle genutzt. |
| Zertifizierungen | Laut Microsoft: GDPR-Konformität, ISO 27001, ISO 42001 (KI-Managementsysteme) und HIPAA; zusätzlich ISO/IEC 27018. BSI C5 wird auf dieser Seite nicht genannt. | SOC 2 Typ 2 (Berichtszeitraum 1. Juli 2025 bis 30. Juni 2026, Bericht nur mit Trust-Portal-Konto), SOC 3, ISO/IEC 27001:2022 für API, ChatGPT Enterprise und Edu, außerdem ISO/IEC 42001:2023 und CSA STAR gelistet. Kein BSI C5 genannt. |
| Einordnung EU AI Act | Microsoft erklärt, den EU AI Act einzuhalten. Du bist Betreiber: AI-Literacy-Pflicht seit Februar 2025, Transparenzpflichten ab August 2026. Die Auswertung von Mitarbeiterkommunikation zur Leistungsbewertung blockiert Microsoft laut eigener Doku (Workplace-Harms-Filter). | OpenAI ist Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (Pflichten seit August 2025). Du setzt es als Betreiber ein: AI-Literacy-Pflicht seit Februar 2025, Hinweispflicht gegenüber Personen, die direkt mit der KI chatten, ab August 2026. Hochrisiko-Einsatz (z. B. Bewerberauswahl) bräuchte eigene Prüfung. |
| Datenschutz-Ampel | Datenschutz-Ampel: Grün | Datenschutz-Ampel: Grün |
| Für wen es passt | Passt für Unternehmen, die schon in Microsoft 365 arbeiten und ihre Berechtigungen im Griff haben. Weniger geeignet, wenn dein Tenant unaufgeräumt ist oder du ohne Microsoft-Umgebung einen eigenständigen Assistenten suchst. | Passt für Unternehmen, die einen breit nutzbaren Assistenten für viele Abteilungen wollen und die EU-Residenz aktiv konfigurieren. Weniger geeignet, wenn deine Vorgaben jede Verarbeitung durch einen US-Konzern ausschließen. |
Microsoft 365 Copilot
Stärken
- EU Data Boundary mit abschaltbarem Flex Routing
- Vertragsrahmen (DPA, Product Terms) existiert bereits für Microsoft 365
- Respektiert bestehende Berechtigungen und Purview-Richtlinien
- Kein Training mit Prompts, Antworten und Graph-Daten
Schwächen
- Flex Routing ist bei neuen Tenants standardmäßig an, die Inferenz kann dann in die USA, nach Kanada oder Australien gehen
- Anthropic-Modelle sind aus der EU Data Boundary ausgenommen (für EU-Tenants standardmäßig aus, per Opt-in aktivierbar)
- Schlechte Berechtigungen in SharePoint führen dazu, dass Copilot Inhalte findet, die nicht jeder sehen sollte
ChatGPT Enterprise
Stärken
- Optionale Datenresidenz und Inferenz-Residenz in Europa für Enterprise
- Kein Training mit Kundendaten als Standard
- Breite Zertifizierungen inklusive ISO 27001 und SOC 2 Typ 2
- Zentrale Admin-Kontrollen, Single Sign-on und Audit-Funktionen
Schwächen
- Residenz gilt für Inhalte, nicht für Konto-, Abrechnungs- und Metadaten
- Kein BSI C5 genannt, AVV und Prüfberichte nur über das Trust Portal einsehbar
- Konzern mit Sitz in den USA, Zugriffe nach US-Recht bleiben ein Prüfpunkt für deine Datenschutzfolgenabschätzung
Alle Angaben stammen aus den einzelnen Tool-Seiten und deren Quellen. Die Ampel ist eine Einschätzung von Hey2Ai und keine Rechtsberatung.
Häufige Fragen
Wo liegen die Daten bei Microsoft 365 Copilot und ChatGPT Enterprise?
Microsoft 365 Copilot: Ja, mit Einschränkung: Daten ruhen in der EU Data Boundary, nur begrenzte pseudonymisierte Daten können außerhalb liegen. Flex Routing ist für Tenants, die nach dem 25. März 2026 angelegt wurden, standardmäßig an. Admins können „Flex Routing nicht erlauben“ wählen, dann bleibt auch die Inferenz in der EU. Bei Multi-Geo gilt das Ganze nicht. ChatGPT Enterprise: Optional: Für neue Kunden von ChatGPT Enterprise und Edu ist Datenresidenz in Europa (EWR und Schweiz) laut OpenAI-Hilfecenter ohne Zusatzkosten möglich, für ChatGPT Business nicht. Zusätzlich gibt es Inferenz-Residenz (Modellberechnung in Europa), wenn die Datenresidenz in derselben Region aktiv ist. Konto-, Abrechnungs- und Metadaten sind ausgenommen, und einzelne Schritte wie Anmeldung oder Routing können außerhalb der Region laufen.
Trainieren Microsoft 365 Copilot und ChatGPT Enterprise mit meinen Daten?
Microsoft 365 Copilot: Nein: Prompts, Antworten und über Microsoft Graph abgerufene Daten werden laut Microsoft nicht zum Training der Basismodelle verwendet. ChatGPT Enterprise: Nein, standardmäßig nicht: Inhalte aus Business, Enterprise und Edu werden laut OpenAI nicht zum Training oder zur Verbesserung der Modelle genutzt.
Welches Tool passt zu meinem Betrieb?
Das hängt von deinen Daten, Abläufen und vorhandener Software ab. In der kostenlosen KI-Analyse klären wir das für deinen konkreten Fall.
So hilft Hey2Ai
Welches Werkzeug zu deinem Betrieb passt, hängt von deinen Daten, deinen Abläufen und deiner Software ab. Genau das klären wir in der kostenlosen KI-Analyse.