Microsoft 365 Copilot lässt sich im Mittelstand datenschutzkonform einführen, wenn du vor dem Rollout drei Dinge klärst: die Berechtigungen in SharePoint, OneDrive und Teams, die vertraglichen und datenschutzrechtlichen Grundlagen und die Regeln für Agenten. Denn Copilot zeigt jedem Nutzer alles, worauf er Zugriff hat, und macht damit zu weit gestreute Freigaben sichtbar. Dieser Ratgeber von Hey2Ai führt durch die Vorbereitung und den Start mit einer Pilotgruppe.
Microsoft sagt zu, dass Copilot die bestehenden Datenschutz- und Compliance-Zusagen für Microsoft 365 einhält, einschließlich DSGVO und EU Data Boundary. Prompts, Antworten und über Microsoft Graph abgerufene Daten werden laut Microsoft nicht zum Training der Basismodelle verwendet. Der Verlauf der Interaktionen wird gespeichert und lässt sich über Microsoft Purview verwalten, etwa mit Aufbewahrungsrichtlinien.
Zwei Punkte solltest du bewusst entscheiden. Erstens sind Modelle von Anthropic, die Microsoft als Unterauftragsverarbeiter anbietet, derzeit von der EU Data Boundary ausgenommen. Administratoren können festlegen, ob diese Modelle genutzt werden. Zweitens erzeugt Copilot bei aktivierter Websuche Suchanfragen an Bing, die du über die Einstellungen für optionale verbundene Erfahrungen steuerst.
Unabhängig von den Zusagen bleibt dein Unternehmen nach DSGVO verantwortlich. Prüfe den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO und, je nach Einsatz, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist. Gibt es einen Betriebsrat, liegt eine Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG nahe, weil Copilot Nutzungsdaten erzeugt, die sich zur Verhaltens- oder Leistungskontrolle eignen könnten.
Copilot nutzt dieselben Zugriffsrechte wie SharePoint, OneDrive und Teams. Zu weit gestreute Freigaben werden durch Copilot schneller auffindbar.
Dokumente wurden über Links für alle im Unternehmen oder für jeden mit dem Link geteilt, etwa Gehaltslisten oder Verträge.
Freigabeeinstellungen für SharePoint und OneDrive einschränken und Berichte zur Data Access Governance auswerten.
Einige Sites müssen für bestimmte Personen erreichbar bleiben, sollen aber nicht in Copilot-Antworten auftauchen.
Restricted Access Control oder Restricted Content Discovery aus SharePoint Advanced Management nutzen und Vertraulichkeitsbezeichnungen in Microsoft Purview vergeben.
Inaktive Sites ohne Eigentümer liefern alte Fassungen, die Copilot als Grundlage für Antworten nutzt.
Richtlinien für den Lebenszyklus von Sites einrichten und inaktive Inhalte archivieren.
Prüfe Freigaben und Zugriffsrechte in SharePoint, OneDrive und Teams, bevor die ersten Lizenzen zugewiesen werden.
Kläre Auftragsverarbeitung, Datenschutz-Folgenabschätzung und Betriebsrat. Halte in einer KI-Richtlinie fest, welche Daten und Agenten erlaubt sind.
Schule die Pilotgruppe zu Möglichkeiten, Grenzen und der Prüfung der Ergebnisse. Das unterstützt die Maßnahmen nach Art. 4 EU AI Act.
Starte mit einer kleinen Gruppe und konkreten Aufgaben, etwa Besprechungsprotokolle oder E-Mail-Entwürfe. Miss, wo Zeit gespart wird.
Gib Agenten gezielt frei und prüfe deren Berechtigungen und Datenzugriffe. Führe ein Inventar aller Agenten im Unternehmen.
Agenten erweitern Copilot um Zugriffe auf weitere Systeme und brauchen deshalb eine eigene Freigabe. Im Microsoft 365 Admin Center sehen Administratoren unter Integrated apps die Berechtigungen, Datenzugriffe, Nutzungsbedingungen und Datenschutzhinweise eines Agenten und legen fest, welche Agenten im Unternehmen erlaubt sind. Nutzer können nur Agenten verwenden, die freigegeben sind.
Mit der Zeit entstehen in Fachabteilungen oft zahlreiche eigene Agenten. Für die Bestandsaufnahme nutzt Hey2Ai das Agent Estate Review. Wenn du Daten nicht in einer US-Cloud verarbeiten möchtest, ist eine eigene KI-Plattform mit Hosting in Deutschland eine Alternative oder Ergänzung zu Copilot.
In der kostenlosen KI-Analyse benennen wir den Vorgang, der sich zuerst lohnt, mit Werkzeug, Kennzahl und Größenordnung. Und du bekommst eine ehrliche Einschätzung, auch wenn sie Nein heißt.
Kostenlose KI-Analyse buchen
