Microsoft 365 Copilot Chat: Produktivitätsschub mit Leitplanken für den Datenschutz
Seit Anfang 2025 ist der Microsoft 365 Copilot Chat kostenlos in alle gängigen Office-Anwendungen integriert und hat die Art und Weise, wie wir mit Dokumenten und Daten interagieren, grundlegend verändert. Während das Tool enorme Effizienzgewinne verspricht, stellt es Unternehmen und Datenschutzbeauftragte (DSB) vor die Herausforderung, klare Regeln für eine datenschutzkonforme Nutzung zu definieren.
Die technische Basis: Innerhalb der Dienstgrenze
Ein entscheidender Vorteil für den Datenschutz ist, dass die Verarbeitung der Eingaben innerhalb der Microsoft-365-Dienstgrenze erfolgt. Das bedeutet:
- Sicherheitskontrollen: Es gelten dieselben strengen Datenschutz- und Compliance-Standards wie für Exchange, Teams oder SharePoint.
- Mandantenisolierung: Die Datenverarbeitung bleibt auf den einzelnen Tenant beschränkt.
- Kein Training: Microsoft garantiert, dass weder Eingaben noch Antworten zum Training der zugrunde liegenden Sprachmodelle (OpenAI oder interne Systeme) verwendet werden.
Copilot Chat vs. Microsoft 365 Copilot (Vollversion)
Es ist wichtig, zwischen dem kostenlosen Copilot Chat und der lizenzierten Vollversion zu unterscheiden, insbesondere was den Datenzugriff betrifft:
- Copilot Chat: Greift nur auf Daten zu, die der Benutzer aktiv bereitstellt (z. B. durch manuelles Hochladen, Textausschnitte oder die aktuell geöffnete Datei). Es besteht keine automatische Verbindung zu allen Unternehmensdaten über Microsoft Graph.
- Vollversion: Diese nutzt die Graph-API, um kontextbasierte Antworten aus der gesamten Organisationsumgebung (E-Mails, Kalender, Chats) zu generieren, was ein deutlich intensiveres Datenschutzmanagement erfordert.
Zentrale Datenschutzrisiken und Kontrollmechanismen
Trotz der technischen Einbettung gibt es spezifische Risikofelder, die eine aktive Steuerung durch die IT-Administration und den DSB erfordern:
- Web Grounding (Bing-Suche): Wenn der Copilot aktuelle Informationen aus dem Internet benötigt, sendet er eine anonymisierte Suchanfrage an Bing. Diese Abfragen verlassen die Microsoft-365-Dienstgrenze. Da Microsoft für Bing als eigenständiger Datenverantwortlicher agiert, sind diese Abfragen nicht EU-Data-Boundary-konform und werden außerhalb der EU verarbeitet. Praxis-Tipp: In sensiblen Umgebungen sollte die Websuche deaktiviert werden.
- Protokollierung und Rechenschaftspflicht: Sämtliche Interaktionen werden in Exchange Online protokolliert und können über Purview eDiscovery ausgewertet werden. Dies hilft bei der Einhaltung der Rechenschaftspflicht, erzeugt aber eine neue Kategorie personenbezogener Kommunikationsdaten, für die Speicher- und Löschfristen definiert werden müssen.
- Das „Rechte-Spiegel-Problem“: Der Copilot respektiert bestehende Zugriffsrechte (Entra ID). Wenn jedoch im Unternehmen zu weitreichende Berechtigungen oder offen konfigurierte SharePoint-Ordner existieren, kann ein Nutzer über die KI Informationen abrufen, die er eigentlich nicht sehen sollte.
Empfehlungen für eine sichere Einführung
Die DSGVO-Konformität hängt maßgeblich von der organisatorischen Umsetzung im Unternehmen ab. Microsoft gibt zwar eine Haftungszusage für generierte Inhalte, übernimmt jedoch keine Verantwortung für Datenschutzverstöße, die durch unsachgemäße Nutzung entstehen.
Folgende Schritte sind für den rechtskonformen Betrieb essenziell:
- Zentrale Governance: Nutzen Sie das Microsoft 365 Admin Center, um festzulegen, welche Benutzergruppen Zugriff erhalten und ob Funktionen wie der Datei-Upload oder die Websuche aktiviert bleiben.
- Schulung und Awareness: Mitarbeiter müssen verstehen, dass Prompts im Tenant gespeichert werden und jede Anfrage nachvollziehbar bleibt. Sensible Daten sollten nicht unkontrolliert in den Chat eingegeben werden.
- Schrittweise Einführung: Beginnen Sie mit einer Pilotgruppe, um die Auswirkungen auf den Datenschutz zu prüfen, bevor eine mandantenweite Freigabe erfolgt.
Wie soll die Schärfung des Personenbezugs in der DSGVO aussehen?
Im Rahmen des am 19. November 2025 vorgestellten „Digital-Omnibus“-Entwurfs (COM(2025) 837 final) plant die EU-Kommission eine gezielte Reform der Datenschutz-Grundverordnung, bei der die Schärfung des Personenbezugs ein zentraler Schwerpunkt ist.
Die geplante Änderung sieht konkret folgende Maßnahmen vor:
- Ergänzung von Art. 4 Nr. 1 DSGVO: Die Definition der personenbezogenen Daten soll um drei zusätzliche Sätze erweitert werden. Diese Ergänzungen haben das Ziel, „konturenschärfer“ darzustellen, in welchen Fällen gerade kein Personenbezug vorliegt.
- Klärung zur Anonymisierung: Parallel zur Schärfung des Personenbezugs sollen auch die Themenkomplexe der Anonymisierung und der Informationspflichten angepasst werden, um rechtliche Schwachstellen zu beseitigen.
- Verbindliche Vorgaben zur Pseudonymisierung: In einem neuen Art. 41a DSGVO soll die EU-Kommission die Befugnis erhalten, künftig verbindliche Vorgaben zu erlassen, wann rechtlich von einer Pseudonymisierung auszugehen ist.
- Strategisches Ziel: Diese Änderungen sind Teil der Bemühungen, den Regelungsaufwand für Unternehmen und Verwaltungen drastisch zu verringern und gleichzeitig die Datenknappheit für die KI-Entwicklung in der EU zu bekämpfen. Durch die klarere Abgrenzung, wann Daten nicht mehr personenbezogen sind, sollen wesentlich mehr Daten für die Entwicklung und Anwendung von KI-Systemen nutzbar gemacht werden.
Trotz dieser Anpassungen verfolgt die Kommission laut den Quellen das Ziel, diese Änderungen eher „rechtstechnischer Natur“ zu halten, um nennenswerte Einsparungen zu erzielen, ohne das bewährte Gesamtgefüge der DSGVO-Regelungen anzutasten.
Zusammenfassend bietet Microsoft 365 Copilot Chat durch seine Architektur eine solide technische Grundlage für den Datenschutz, erfordert aber eine Kombination aus technischer Konfiguration und organisatorischer Disziplin, um die Risiken durch menschliches Fehlverhalten oder unklare Datenflüsse zu minimieren.
