Microsoft 365 Copilot fasst Besprechungen zusammen, entwirft E-Mails, wertet Tabellen aus und durchsucht Dokumente. Dafür greift er auf die Inhalte zu, die der jeweilige Benutzer in Microsoft 365 sehen darf. Das macht ihn nützlich und zugleich zum Prüfstein für die Ordnung in der eigenen Umgebung.
Das Kernrisiko: Oversharing
Copilot erzeugt keine neuen Berechtigungen, er macht bestehende sichtbar. Liegt ein Ordner mit Lohndaten in einer Site, die versehentlich für alle freigegeben ist, findet Copilot ihn auf eine harmlose Frage hin. Was bisher durch Unauffindbarkeit geschützt war, ist es mit einem KI-Assistenten nicht mehr. Deshalb beginnt jede Einführung mit der Microsoft-365-Governance und einer Bereinigung des Berechtigungskonzepts.
Vorbereitung
Freigaben für alle und anonyme Links auswerten und bereinigen, Teams ohne Besitzer zuordnen, eine Datenklassifizierung mit Vertraulichkeitsbezeichnungen einführen, Regeln zur Verhinderung von Datenverlust definieren und eine Nutzungsrichtlinie formulieren, die festlegt, wofür Copilot eingesetzt wird und wo Ergebnisse geprüft werden müssen.
Datenschutz und KI-Regulierung
Für die Bearbeitung von Personendaten gelten DSG und DSGVO; Microsoft tritt als Auftragsbearbeiter auf, die Verträge und Datenstandorte sind zu prüfen. Copilot als allgemeiner Assistent ist in der Regel kein Hochrisiko-System nach dem AI Act, aber die Pflicht zur KI-Kompetenz und die eigene KI-Governance gelten trotzdem. Werden Ergebnisse für Entscheidungen über Personen verwendet, etwa im Personalbereich, ist genauer hinzuschauen.
Einführung in Stufen
Eine Pilotgruppe mit klaren Anwendungsfällen, Messung des Nutzens, Schulung zu guten Eingaben und zur Prüfung von Ergebnissen, dann eine schrittweise Ausweitung. Die Abwägung, ob jetzt der richtige Zeitpunkt ist, beschreibt unsere Entscheidungshilfe zu Copilot.