Microsoft Copilot und Datenschutz beschreibt die datenschutzrechtlichen und sicherheitstechnischen Fragen beim Einsatz des KI-Assistenten Microsoft Copilot in Microsoft 365, der auf E-Mails, Dateien, Chats und Kalender zugreifen kann. Für Planungsbüros mit Microsoft 365 ist entscheidend, wer im Büro auf welche Inhalte zugreifen darf.
Microsoft Copilot kombiniert ein Large Language Model (LLM) mit den Inhalten des eigenen Microsoft-365-Kontos. Er kann Mails zusammenfassen, Texte entwerfen oder in Projektordnern nach Informationen suchen. Nach der Dokumentation des Herstellers greift Copilot dabei nur auf Inhalte zu, für die die jeweilige Person bereits eine Berechtigung hat. Die Verarbeitung findet innerhalb der Microsoft-365-Dienste statt, und nach Angaben des Herstellers werden Eingaben und Antworten nicht zum Training der zugrunde liegenden Basismodelle verwendet.
Daraus folgt der Kern des Problems. Copilot macht bestehende Berechtigungen sichtbar. Sind Ordner zu weit freigegeben, etwa durch alte Freigabelinks, Gruppenlaufwerke für alle oder vergessene Zugriffe, findet der Assistent diese Inhalte und gibt sie an Personen weiter, die sie eigentlich nie hätten sehen sollen. Man nennt das Oversharing. Es ist die praktische Folge von Überberechtigungen und eines unklaren Berechtigungskonzepts. Hier hilft eine saubere Zugriffskontrolle.
Abzugrenzen ist die Nutzung im Rahmen eines Unternehmensvertrags von der Schatten-KI. Bei einem eigenen Vertrag mit dem Anbieter lassen sich Auftragsverarbeitung, Speicherort und Protokollierung regeln. Eingaben und Antworten werden im Konto gespeichert und können protokolliert und aufbewahrt werden. Das hilft bei der Nachvollziehbarkeit, bedeutet aber auch, dass Löschfristen zu klären sind.
Vor der Einführung sollten Sie unter anderem prüfen: die genaue Lizenz und den Funktionsumfang, den Vertrag zur Auftragsverarbeitung, das Verzeichnis der Verarbeitungstätigkeiten, das Berechtigungskonzept, die Kennzeichnung vertraulicher Dokumente und gegebenenfalls die Beteiligung einer Mitarbeitervertretung. Ob eine Datenschutz-Folgenabschätzung nötig ist, hängt vom Einsatz ab.
Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros, in dem Microsoft 365 ohnehin im Einsatz ist, liegt der Schritt zu Copilot nahe. Gerade dort liegen Personalunterlagen, Honorarvereinbarungen, Bauherrendaten und Projektstände oft im selben System. Wer Copilot einführt, ohne Freigaben zu bereinigen, macht das vorhandene Durcheinander durchsuchbar.
Sinnvoll ist ein gestuftes Vorgehen: zuerst Berechtigungen und Freigaben aufräumen, dann einen kleinen Nutzerkreis starten, Regeln zur Nutzung festlegen und Mitarbeitende schulen. Die Vorgaben der DSGVO gelten dabei weiter, insbesondere der Grundsatz der Datenminimierung.
Für die Cyberversicherung ist relevant, dass ein Datenabfluss durch zu weit gefasste Zugriffsrechte als Datenschutzverletzung zu bewerten sein kann. Ob Versicherungsschutz besteht, hängt vom Bedingungswerk, den Obliegenheiten und möglichen Ausschlüssen ab. Ein nachvollziehbares Berechtigungskonzept ist auch für das Beratungsgespräch hilfreich.
Ein fiktives Ingenieurbüro schaltet Copilot für alle Mitarbeitenden frei. Ein Projektleiter fragt nach Informationen zu den Honorarvereinbarungen eines Auftraggebers und erhält eine Zusammenfassung, die auch Gehaltsangaben aus einem Verwaltungsordner enthält. Der Ordner war vor Jahren versehentlich für alle freigegeben worden.
Die Büroleitung stoppt den Rollout, bereinigt die Freigaben, richtet ein Berechtigungskonzept nach dem Prinzip der minimalen Rechte ein und startet erneut mit einer kleinen Pilotgruppe.
Nach Angaben des Herstellers werden Eingaben, Antworten und Inhalte aus Microsoft 365 nicht zum Training der zugrunde liegenden Basismodelle verwendet. Prüfen Sie die aktuellen Vertrags- und Produktangaben für Ihre Lizenz.
Oversharing beschreibt, dass Copilot Inhalte auffindbar macht, auf die Personen durch zu weite Freigaben zugreifen können, auch wenn das nie beabsichtigt war. Das Problem liegt im Berechtigungskonzept und nicht im Werkzeug allein.
Werden personenbezogene Daten verarbeitet, ist in der Regel ein Vertrag zur Auftragsverarbeitung mit dem Anbieter erforderlich. Prüfen Sie, ob er für Ihr Konto gilt, und lassen Sie das im Zweifel datenschutzrechtlich bewerten.
Räumen Sie Berechtigungen und Freigaben auf, klären Sie Vertrag und Datenschutzfragen und legen Sie Nutzungsregeln fest. Starten Sie danach mit einer kleinen Gruppe.