Datenzugriff von Microsoft Copilot steuern: 6 Schritte für mehr Kontrolle.

Copilot-Lizenzen sind schnell verteilt. Aber eine der wichtigsten Fragen vor dem Einsatz von Microsoft Copilot lautet: Auf welche Unternehmensdaten kann Copilot eigentlich zugreifen und wie werden diese verarbeitet? Das Grundprinzip ist zunächst beruhigend: Nutzer:innen können grundsätzlich nur Informationen sehen und verwenden, für die sie bereits entsprechende Berechtigungen besitzen. Doch genau damit ist in vielen Unternehmen ein Problem verbunden: Dann all zu häufig gibt es zu großzügige Freigaben oder historisch gewachsene Fehlberechtigungen und für besonders sensible Daten können Einschränkungen für Copilot sinnvoll sein. Zudem werden Daten bei unterschiedlichen Modellen auch unterschiedlich verarbeitet. Wir beleuchten, wie Sie Ihren Microsoft-Tenant Copilot-ready machen.

Das Wichtigste in Kürze

Microsoft Copilot hebt bestehende Zugriffsrechte nicht auf: Nutzer:innen können grundsätzlich nur auf Informationen zugreifen, für die sie bereits berechtigt sind.
Genau deshalb können historisch gewachsene Fehlberechtigungen und zu großzügige Freigaben beim Einsatz von Copilot stärker ins Gewicht fallen.
Besonders sensible Daten sollten identifiziert und durch geeignete Berechtigungen, Sensitivity Labels, DLP-Richtlinien und weitere Schutzmaßnahmen abgesichert werden.
Auch das verwendete KI-Modell und dessen Bereitstellungsart sind relevant: Datenverarbeitung und beteiligte Anbieter können sich je nach Modell unterscheiden.
Vor dem Rollout sollten Unternehmen deshalb Berechtigungen, Datenklassen, Modelle und Schutzmaßnahmen prüfen und das Setup mit unterschiedlichen Nutzerrollen testen.

Wie arbeitet Microsoft Copilot grundsätzlich mit Unternehmensdaten?

Microsoft Copilot wird innerhalb der Microsoft-365-Achitektur bereitgestellt. Für EU-Kunden gelten grundsätzlich Microsofts Datenschutz- und Datenresidenzzusagen einschließlich der EU Data Boundary. Das bedeutet allerdings nicht, dass beim Einsatz von Copilot keine Prüfung mehr notwendig ist. Denn die Zusagen und der EU Data Boundary sorgen zwar grundsätzlich für ein gutes Datenschutzniveau. Sie bieten jedoch keinen lückenlosen Schutz vor Datentransfers in Drittstaaten, da es Ausnahmen und mögliche Zugriffe/Transfers außerhalb der EU bzw. EFTA geben kann.

Zudem ergeben sich abhängig von den gewählten Modellen weitere Besonderheiten: So werden einige Modelle innerhalb der Microsoft-Infrastruktur betrieben, bei anderen können externe Anbieter als Unterauftragsverarbeiter beteiligt sein. Dazu zählen beispielsweise Anthropic sowie bestimmte von OpenAI betriebene Modelle. Die Datenschutzfolgen unterscheiden sich je nach Bereitstellungsart.

Daher kennt die Frage „Ist Copilot datenschutzkonform“ keine einfache Antwort. Je nach KI-Model und Modellanbieter sowie Copilot-Funktion und Tenant-Konfiguration ergeben sich unterschiedliche Datenschutzbedingungen. Entscheidend für die Beantwortung ist die Frage: Welche Copilot-Funktion nutzt welches Modell unter welcher Konfiguration für welche Daten?

Copilot sicher nutzen: 6 Schritte

1. Tenant prüfen
Analysieren Sie bestehende Berechtigungen, Freigaben und Schutzmechanismen. Identifizieren Sie Fehlkonfigurationen und zu weitreichende Zugriffsrechte, die vor dem Copilot-Rollout korrigiert werden sollten.
2. Sensible Informationen identifizieren
Legen Sie fest, welche Daten besonders schützenswert sind und welche davon nicht oder nur eingeschränkt durch Copilot verarbeitet werden dürfen. Definieren Sie darauf aufbauend die erforderlichen Schutzmaßnahmen.
3. Modelle und Anbieter prüfen
Klären Sie, welche KI-Modelle und Modellanbieter zum Einsatz kommen sollen und prüfen Sie: Wo werden deren Daten verarbeitet und gespeichert? Werden Daten zum Training verwendet? Sind Subprozessoren beteiligt und welche vertraglichen Datenschutzregelungen gelten? Auf dieser Basis können ggf. Modelle ausgeschlossen oder nur für bestimmte Einsatzzwecke vorgesehen werden.
4. Schutzmaßnahmen technisch umsetzen
Setzen Sie die zuvor definierten Vorgaben technisch um. Dazu können beispielsweise die Bereinigung von Berechtigungen und Freigaben, Microsoft Purview und Sensitivity Labels, DLP-Richtlinien sowie Einstellungen für die Nutzung bestimmter KI-Funktionen und Modelle gehören.
5. Unterschiedliche Rollen testen
Prüfen Sie anschließend mit verschiedenen Rollen, Berechtigungen und realistischen Anwendungsfällen, ob die definierten Schutzmaßnahmen wie vorgesehen greifen.
6. Kontrolliert ausrollen
Kombinieren Sie den technischen Rollout mit klaren Governance-Regeln und User-Schulungen, damit Ihre Mitarbeitenden genau wissen, was sie tun können – und was nicht.

Kann man Copilot aufweitere Unternehmenssysteme zugreifen lassen?

Besonders großen Mehrwert liefert Copilot, wenn nicht nur Microsoft-365-Daten verfügbar sind, sondern auch andere Systeme mit Unternehmenswissen angebunden werden. Schließlich sind die Informationen, die Mitarbeitende für einen vollständigen Blick auf Kunden, Prozesse oder Projekte benötigen, nicht allein in Dokumenten und Mails zu finden, sondern verbergen sich in CRM-, ERP-, HR- oder Ticketsystemen. Für die Antwort auf die Frage „Wie steht es um Kunde XY?“ sollten idealerweise auch offene Angebote aus dem CRM, der aktuelle Status von Tickets und relevante Vertragsinformationen berücksichtigt werden.

Dabei ist eines aber ganz wichtig: Die Berechtigungsstrukturen der angebundenen Systeme müssen unbedingt berücksichtigt werden. Wer eine Information im Quellsystem nicht sehen darf, darf sie auch über Copilot nicht erhalten. Das ist allerdings nicht mal eben so gemacht und erfordert viel Know-how.

Und genau deshalb haben wir mit EBF Insight eine Lösung geschaffen, die genau das ermöglicht und einen 360-Grad-Blick auf relevante Informationen bietet – an einem einzigen Ort, ohne lästige Systemwechsel. Wir verbinden Copilot mit zusätzlichen Geschäftsanwendungen, sodass Copilot in Echtzeit auf die Daten zugreifen kann, die dort liegen. Die bestehenden Berechtigungen der Nutzer:innen bleiben dabei jederzeit erhalten.

Mehr über EBF Insight erfahren

Integration von Unternehmensanwendungen in Copilot

Unser Fazit: Microsoft Copilot ist kein Plug-and-Play-Projekt.

Die datenschutzkonforme Nutzung von Copilot ist nicht so einfach, wie es zunächst vielleicht scheint. Für eine gute AI Governance braucht es einen genauen Blick auf Berechtigungen, Tenant-Einstellungen, Modellauswahl und mehr. Und das ist unheimlich wichtig, damit Ihre Mitarbeiter:innen das Tool auch mit gutem Gefühl nutzen können. Denn Unsicherheit ist häufig der Grund, warum eine echte AI Adoption im Mittelstand scheitert.

Mehr zum Mitarbeiter-Enablement erfahren