Copilot und KI im Unternehmen: Was muss vor der Einführung geklärt sein?

Wer Copilot einführen will, sollte vorher fünf Dinge klären: Berechtigungen, Datenverarbeitung, Lizenzen, Regeln für Mitarbeitende und den Umfang des Starts. Eingeschaltet ist Copilot schnell. Was er dann findet, hängt davon ab, wie Ihre Microsoft-365-Umgebung heute aussieht. Ich ordne die fünf Punkte aus technischer Sicht ein. Rechtsberatung ersetzt das nicht.

Berechtigungen: Copilot macht sichtbar, was schon freigegeben ist

Microsoft sagt klar: Copilot zeigt nur Unternehmensdaten, für die eine Person mindestens Leserechte hat. Neue Rechte entstehen also nicht. Neu ist, wie leicht sich vorhandene Rechte nutzen lassen. Bisher musste jemand wissen, wo eine Datei liegt. Jetzt reicht eine Frage.

Solche Überfreigaben entstehen leicht, wenn Freigabeeinstellungen zu großzügig sind. Vor dem Start sehe ich mir deshalb vor allem das an:

• Breite Freigaben: „Jeder“-Links, Links für alle im Unternehmen und die Gruppe „Jeder außer externen Benutzern“.
• Websites ohne Verantwortliche: öffentliche Teams, verwaiste und lange ungenutzte SharePoint-Websites.
• Sensible Inhalte: Personal, Finanzen und Verträge, vor allem wenn sie mit breiten Freigaben zusammentreffen.
• Postfächer: Copilot kann auch freigegebene und delegierte Postfächer nutzen, auf die eine Person zugreifen darf.
• Externe: Auch Rechte für Personen außerhalb des Unternehmens, etwa in freigegebenen Teams-Kanälen, gehören in die Prüfung.

Für solche Prüfungen bietet Microsoft SharePoint Advanced Management an. Es steht nicht automatisch mit jeder Microsoft-365-Lizenz zur Verfügung. Das kläre ich vor dem Start.

Eilt der Start, lassen sich einzelne Websites mit Restricted Content Discovery aus Copilot und der unternehmensweiten Suche heraushalten. Die Rechte selbst bleiben dabei unverändert. Das überbrückt die Zeit bis zum Aufräumen, ersetzt es aber nicht.

Datenschutz: Wo Ihre Daten verarbeitet werden

Mit dem Arbeitskonto gelten für Eingaben und Antworten dieselben Vertragszusagen wie für Mails und Dateien in Microsoft 365, darunter das Data Protection Addendum, Microsofts Vertrag zur Auftragsverarbeitung. Zum Training der Basismodelle nutzt Microsoft diese Daten laut eigener Aussage nicht. Eingaben und Antworten werden gespeichert. Administratoren können sie über Microsoft Purview einsehen und Aufbewahrungsfristen festlegen.

Für Kunden in der EU gelten bei Copilot grundsätzlich die Zusagen zur EU Data Boundary, also der Grenze, innerhalb derer Microsoft Daten speichert und verarbeitet. Das heißt aber nicht, dass jede Verarbeitung in der EU stattfindet. Es gibt Ausnahmen:

Drei Bereiche, deren Einstellungen Sie prüfen sollten

Verfügbarkeit und Voreinstellungen unterscheiden sich je nach Dienst und Tenant.

Was gilt, wenn die Einstellung aktiv ist?

Websuche

Suchanfragen gehen an Bingaußerhalb von Data Protection Addendum und EU Data Boundary

Flex Routing

Bei Spitzenlast auch außerhalb der EUModellverarbeitung in den USA, Kanada oder Australien möglich

Modelle von Anthropic

Verarbeitung außerhalb der EU Data BoundaryAnthropic ist Unterauftragsverarbeiter von Microsoft

Diese drei Einstellungen entscheide ich nicht pauschal, sondern mit jedem Kunden je nach Fall.

Ich bin kein Jurist. Ob eine Datenschutz-Folgenabschätzung nötig ist, was ins Verarbeitungsverzeichnis gehört und ob ein Betriebsrat mitbestimmen muss, klären Sie mit Ihrem Datenschutzbeauftragten oder einem Juristen. Ich liefere dafür die technischen Angaben: welche Daten wohin fließen und welche Einstellungen gesetzt sind. Microsoft stellt zusätzlich eine Vorlage zur Risikobewertung von Copilot bereit.

Lizenzen: Was enthalten ist und was Sie kaufen

Angebot	Worauf es zugreift	Lizenz
Copilot Chat	Web, selbst bereitgestellte Inhalte, in unterstützten Outlook-Versionen auch begrenzt E-Mails, Termine und Chats	In berechtigten Microsoft-365-Plänen enthalten
Microsoft Copilot, früher Microsoft 365 Copilot	Zusätzlich E-Mails, Dateien, Besprechungen und Chats im ganzen Microsoft 365, soweit die Person sie sehen darf	Zusatzlizenz je Person
Copilot Business	Dieselben Funktionen wie Microsoft Copilot	Für Unternehmen bis 300 Benutzer, Jahresbindung

Copilot Business setzt eine passende Grundlizenz voraus, etwa Business Basic, Business Standard oder Business Premium. Was das kostet und wann sich das Paket mit Business Premium rechnet, steht im Artikel Copilot Business mit Business Premium.

Buchen Sie nicht gleich für alle. Bei einem Kunden habe ich die Lizenzen über eine Gruppe zugewiesen und später eine Lizenz von einer Person auf eine andere umgebucht. Die Zahl der Lizenzen ist bei einer Jahresbindung festgelegt, wer sie nutzt, lässt sich ändern.

Regeln für Mitarbeitende: besser vor dem Lizenzkauf

In vielen Teams wird KI längst genutzt, oft ohne gemeinsame Regeln. Copilot Chat steht berechtigten Benutzern ohne Zusatzlizenz zur Verfügung, daneben laufen womöglich private Konten bei anderen Anbietern. Zwei Risiken stehen für mich im Vordergrund: vertrauliche Daten in privaten KI-Konten und falsche Antworten, die ungeprüft übernommen werden. Diese Punkte sollten Ihre Regeln abdecken:

• Erlaubte Werkzeuge: Nur freigegebene Dienste und nur mit dem Arbeitskonto. Microsofts Datenschutzzusagen für Copilot gelten bei der Anmeldung mit dem Firmenkonto, nicht bei privaten Konten.
• Daten: Welche Inhalte dürfen in welchen Dienst, und welche nie? Personaldaten, Kundendaten und Geschäftsgeheimnisse sollten ausdrücklich genannt sein.
• Prüfpflicht: Antworten sind Entwürfe. Auch Microsoft garantiert nicht, dass sie stimmen. Verantwortlich bleibt, wer sie verwendet.
• Entscheidungen über Menschen: Bei Bewerbungen und Leistungsbewertungen braucht es eine eigene Klärung, nicht nur eine Faustregel.
• Besprechungen: Copilot kann in Teams auch mit einem gespeicherten Transkript arbeiten. Legen Sie fest, wann transkribiert wird und wie die Teilnehmenden davon erfahren.

Verbote allein helfen selten. Bei einem Kunden habe ich die ChatGPT-App für Windows und iOS über die Geräteverwaltung verteilt. Ein freigegebenes Werkzeug lässt sich so zentral bereitstellen, statt dass jeder selbst etwas installiert. Die Regeln selbst erstelle ich gemeinsam mit Ihnen.

Abraten würde ich von drei Dingen: Kundendaten in kostenlosen Konten, Ergebnisse ohne Prüfung verwenden und KI ohne konkreten Anwendungsfall einführen.

Was der EU AI Act dazu verlangt

Zwei Punkte betreffen auch kleine Unternehmen. Erstens die KI-Kompetenz: Nach Artikel 4 ergreifen Unternehmen, die KI beruflich einsetzen, Maßnahmen, um die KI-Kompetenz ihres Personals zu unterstützen. Die Pflicht gilt seit dem 2. Februar 2025, seit Juli 2026 in geänderter Fassung. Ein bestimmtes Niveau muss dabei für niemanden garantiert werden. Ein Zertifikat ist nicht nötig, interne Aufzeichnungen sind möglich. Selbst wer ChatGPT nur für Werbetexte nutzt, sollte laut Kommission über Risiken wie erfundene Antworten informiert sein. Den Kurs „KI-Werkzeuge sicher nutzen“ und Kurse zu ChatGPT, Claude und Copilot biete ich im Campus an, mit Zertifikat je Person.

Zweitens der Personalbereich: KI, die zum Beispiel Bewerbungen sortiert, gilt als hochriskant. Die Pflichten dafür greifen nach aktuellem Stand ab dem 2. Dezember 2027. Ob und wie das für Ihren Einsatz gilt, ist eine Rechtsfrage.

Copilot einführen: erst Pilot, dann entscheiden

So gehe ich vor

1. Berechtigungen prüfenvor dem ersten Einschalten
2. Anwendungsfälle festlegenkonkrete Aufgaben statt KI im Allgemeinen
3. Kleine Pilotgruppemeist 3 bis 5 Personen, je nach Unternehmen
4. Schulungmit Beispielen aus Ihrem eigenen Alltag
5. Nutzen prüfennach einigen Wochen
6. Weitere Lizenzenerst dann

Ein Pilot beantwortet die Frage, die kein Datenblatt beantwortet: Spart Copilot in Ihrem Arbeitsalltag Zeit? Am ehesten lohnt er sich aus meiner Sicht, um Texte und E-Mails zu entwerfen, Besprechungen zusammenzufassen und Dokumente zu durchsuchen. Microsofts Nutzungsberichte zeigen, wie viel Copilot tatsächlich verwendet wird. Ob er hilft, erfahren Sie nur von den Beteiligten.

Eines leistet ein Pilot nicht: Er begrenzt nicht, was die Beteiligten sehen. Auch die erste Testperson findet alles, was für sie freigegeben ist. Deshalb steht die Prüfung der Berechtigungen vor dem Start, nicht danach.

Häufige Fragen

Die ersten beiden Fragen höre ich am häufigsten.

„Wo fangen wir an?“

Bei den Berechtigungen und einem konkreten Anwendungsfall. Danach folgen eine kleine Pilotgruppe und eine Schulung mit eigenen Beispielen. Weitere Lizenzen kommen erst, wenn sich der Nutzen gezeigt hat.

„Sind unsere Daten sicher?“

Das hängt vor allem von drei Dingen ab: von den Konten, den Berechtigungen und den Einstellungen. Copilot arbeitet mit den vorhandenen Rechten der jeweiligen Person und zeigt nichts, was sie nicht sehen darf. Rechte können aber weiter gefasst sein, als dem Unternehmen bewusst ist. Vertrauliche Daten gehören außerdem nicht in private KI-Konten.

Reicht Copilot Chat für den Anfang?

Für den Umgang mit KI, für Texte und für Recherchen oft ja. Der Zugriff auf Unternehmensdaten im ganzen Microsoft 365 kommt erst mit der Lizenz. Auch für Copilot Chat sollten die Regeln und die Einstellung zur Websuche geklärt sein.

Gibt es Copilot auch ohne Microsoft 365?

Für den Einsatz im Unternehmen, wie er hier beschrieben ist, setzt Copilot einen passenden Microsoft-Plan voraus. Je nachdem, welche Daten das Haus nicht verlassen sollen, können auch ein eigener KI-Assistent oder ein lokales Modell passen. Diese Wege beschreibe ich unter Automatisierung & KI.

Quellen

• Berechtigungen, Datenschutz, EU Data Boundary, Speicherung: Microsoft Learn – Data, Privacy, and Security for Microsoft Copilot, Microsoft Learn – Microsoft Copilot overview
• Überfreigaben prüfen und begrenzen: Microsoft Learn – Get ready for Microsoft 365 Copilot with SharePoint Advanced Management, Microsoft Learn – Prerequisites for SharePoint Advanced Management
• Postfächer: Microsoft Learn – Microsoft Copilot requirements
• Websuche: Microsoft Learn – Data, privacy, and security for web search in Microsoft Copilot
• Flex Routing: Microsoft Learn – Flex routing (EU and EFTA)
• Modelle von Anthropic: Microsoft Learn – Anthropic models in Microsoft Online Services, Microsoft Learn – Copilot in Microsoft 365 apps with Anthropic models
• Lizenzen: Microsoft Learn – License options for Microsoft Copilot, Microsoft Learn – Overview of Microsoft Copilot Chat, Microsoft Learn – Plan licensing and cost
• Besprechungen: Microsoft Learn – Manage Microsoft Copilot in Teams meetings and events
• EU AI Act: Verordnung (EU) 2026/1744, EU-Kommission – AI Literacy: Questions & Answers, EU-Kommission – AI Act
• Stand aller Angaben: 31. Oktober 2026.