Worum geht's?
KI-gestützte Assistenten wie Copilot wollen die Arbeitswelt revolutionieren, indem sie Prozesse automatisieren und die kreative Arbeit erleichtern. Copilot nutzt dabei nicht (nur) frei zugängliche Daten aus dem Internet, sondern greift auch auf unternehmensspezifische Daten in der Microsoft-Suite zu. Aus datenschutzrechtlicher Sicht geht das jedoch mit einigen Risiken einher. Wir schauen uns an, wie es um den Datenschutz von Microsofts Copilot steht und ob sich der KI-Assistent datenschutzkonform verwenden lässt.
1. Was ist Copilot?
Copilot ist eine Assistenztechnologie von Microsoft, die auf künstlicher Intelligenz beruht und in verschiedene Produkte der Microsoft-Suite integriert ist. Dazu gehören auch sehr bekannte, wie Outlook, Word, PowerPoint und Excel. Microsoft 365 Copilot ist kostenpflichtig und will seinen Nutzern u. a. KI-basierte Unterstützung beim Erstellen von Texten in Word, beim Verfassen von E-Mails in Outlook, bei der Datenanalyse in Excel und bei der Generierung von Folien in PowerPoint bieten.
Daneben gibt es Microsoft Copilot noch als KI-gestützten Chatbot, mit dem sich menschenähnliche Konversationen führen lassen. Außerdem kann er Ideen entwickeln, Berichte erstellen, Informationen zusammenfassen, Bilder erzeugen und Fragen beantworten. Damit ähnelt er nicht nur ChatGPT, sondern beruht zum Teil auch auf diesem Large Language Model (LLM).
GLEICHER NAME, ANDERE KI
Beide Assistenten laufen unter dem gleichen Namen, sind aber voneinander abzugrenzen. Während der Chatbot über eine Web-Anwendung im Browser und per App bedient werden kann, gibt es bei den Microsoft Programmen nicht “den einen” Copilot, sondern jeder Dienst von Microsoft 365 hat seinen eigenen Copiloten.
Gesteuert wird Copilot wie andere generative KI-Tools über die Eingaben der Nutzer – die Prompts. Im Vergleich zu ChatGPT ist das Besondere, dass die KI nicht (nur) frei zugängliche Informationen aus dem Internet nutzt, um Antworten und Lösungen zu bieten, sondern in der Microsoft 365-Variante auf die gespeicherten Daten in der Microsoft-Suite zugreift.
Der KI-Begleiter in der Integration nutzt also keine beliebige Datenbasis aus dem Netz, sondern Informationen, auf die der jeweilige Nutzer ohnehin Zugriff hat. Genau das birgt aber für Unternehmen und Anwender Risiken in Sachen Datenschutz.
2. Wie steht es um den Datenschutz bei Copilot?
Möchten Sie Microsoft Copilot in Ihrem Unternehmen nutzen, sollten Sie sich darüber im Klaren sein, dass der Einsatz der KI-Integration unter datenschutzrechtlicher Betrachtung problematisch sein kann. Das hat zum einen mit dem sogenannten Blackbox-Effekt zu tun.
GUT ZU WISSEN
Der Blackbox-Effekt beschreibt das Problem, dass sich nicht klar sagen lässt, wie generative KI wie Copilot, ChatGPT und Google Gemini Entscheidungen treffen. Nicht einmal die Entwickler wissen genau, wie die KI hinter den Tools funktioniert. Da die Entscheidungsprozesse intransparent und nicht nachvollziehbar sind, ist es schwierig, sie zu steuern und zu kontrollieren.
Auch in Bezug auf den Datenschutz von Copilot wirkt sich der Blackbox-Effekt aus: Da die in Microsoft 365 integrierte KI auf Unternehmensdaten wie z. B. Chats in Teams, E-Mails oder Dokumente zugreifen kann, besteht das Risiko, dass diese Daten ohne Zustimmung, ausreichenden Datenschutz oder auf andere unzulässige Art und Weise verarbeitet werden.
Besonders relevant wird dies bei personenbezogener Daten, beispielsweise von Kunden und Mitarbeitern. Gemäß der Datenschutzgrundverordnung (DSGVO) stehen diese Daten unter einem besonderen Schutz, den Sie als Unternehmen sicherstellen müssen. Da Microsoft Copilot die Daten in Ihrem Auftrag verarbeitet, bleiben Sie für den Datenschutz verantwortlich. Das heißt etwa, dass Sie sicherstellen müssen, dass Microsoft ausreichende technische und organisatorische Maßnahmen implementiert hat, um die Daten zu schützen. Außerdem ist der Abschluss eines Auftragsverarbeitungsvertrags erforderlich.
Ein weiteres datenschutzrechtliches Problem ist die Anbindung von Copilot an Bing – hier ist nämlich nicht mehr Microsoft in der Rolle des Auftragsverarbeiters, sondern agiert selbst als Verantwortlicher. Dadurch entstehen verschiedene Datenschutzpflichten, u. a. die Gewährleistung einer transparenten Datenverarbeitung. Doch auch wenn Microsoft das verspricht: Klar nachvollziehen, welche Daten wie durch die KI verarbeitet werden, können Sie als Nutzer allein aufgrund des Blackbox-Effekts nicht.
Daneben hat Copilot Zugriff auf eine Menge Informationen und Dokumente, an denen Sie eine Berechtigung haben. Das Problem: Perspektivisch ist Copilot automatisch in die 365-Programme integriert und lässt sich (zumindest aktuell) bis auf Word nicht deaktivieren. Nicht nur aus diesem Grund stand der KI-Assistent in der Kritik.
VORSICHT
Indem Copilot Zugriff auf eine Vielzahl von sensiblen Unternehmensdaten erhält, besteht das Risiko, dass auch Personen darauf zugreifen können, die dafür keine Berechtigung haben. Potenziell betroffen von einer Datenpanne sind dann nicht nur die gespeicherten Daten des Unternehmens, sondern auch die von Kunden, Bewerbern, Geschäftspartnern oder Lieferanten.
Durch den Zugriff auf sensible interne Daten kann Copilot außerdem selbst schnell neue Dokumente generieren, die geschützt werden müssen. Immerhin verspricht Microsoft in Unternehmenslösungen wie Microsoft 365 Copilot, die Daten seiner Nutzer nicht zum Training und zur Modellverbesserung der KI zu verwenden.
3. Kann ich Copilot datenschutzkonform in meinem Unternehmen einsetzen?
Da Copilot automatisch in Microsoft Office 365 integriert ist und Programme wie Word, Excel und PowerPoint für die meisten Unternehmen zum Standard gehören, ist es unerlässlich, für einen bestmöglichen datenschutzkonformen Einsatz zu sorgen. Wichtig ist, dass Sie sich den datenschutzrechtlichen Risiken bewusst sind und diese so weit wie möglich ausräumen.
Zum ersten bedeutet das: Möchten Sie personenbezogene Daten verarbeiten, brauchen Sie eine Rechtsgrundlage. Die DSGVO sieht in Artikel 6 verschiedene Möglichkeiten vor: Die Datenverarbeitung könnte beispielsweise notwendig für die Erfüllung eines Vertrags sein oder es kann eine rechtliche Verpflichtung zur Datenverarbeitung bestehen.
In den meisten Fällen wird jedoch die Einwilligung der betroffenen Personen erforderlich sein. Sie können Copilot zum Beispiel nutzen, um Meetings mit Mitarbeitern oder Auftraggebern bei Teams aufzuzeichnen und zu transkribieren, um wichtige Absprachen festzuhalten. Sie brauchen dafür aber die vorherige, ausdrückliche und freiwillige Einwilligung aller Beteiligten. Gleiches gilt, wenn Sie mit Copilot Kundendaten analysieren möchten, um gezielte Angebote oder Werbung zu erstellen. Auch dafür muss das Einverständnis der betroffenen Personen vorliegen – sonst ist die Datenverarbeitung unzulässig.
WICHTIG
Neben der Rechtsgrundlage sind auch Datensicherheit und Compliance ein Thema. Sie müssen gewährleisten, dass unberechtigte Personen über Copilot keinen Zugriff auf sensible Unternehmensdaten oder schützenswerte Informationen über Kunden erhalten.
Möchten Sie Copilot in Ihrem Unternehmen nutzen, sollten Sie daher vor dem Einsatz:
- die Zugriffsrechte beschränken, sodass Copilot (und berechtigte Personen) nur Zugriff auf für sie bestimmte Daten haben (anpassbar im MS365-Admin-Center).
- unnötige Funktionen und Verknüpfungen deaktivieren
- den Ist-Zustand beim Einsatz der Microsoft 365-Suite analysieren (welche Dienste werden genutzt und wofür, welche Einstellungen sind implementiert).
- Ihre Mitarbeitenden hinsichtlich des Themas Copilot und Datenschutz sensibilisieren und sie über mögliche Risiken aufklären und eine interne KI-Richtlinie erstellen, ggf. mit spezifischen MS365-Vorgaben.
- eine Datenschutz-Folgenabschätzung vornehmen, die die Datenschutzrisiken analysiert und Maßnahmen zur Risikominderung und Datensicherheit enthält.
Schulungen in Sachen KI-Kompetenz und Datenschutz sind unerlässlich – und seit Februar 2025 aufgrund der Vorgaben der KI-Verordnung (AI-Act) zudem Pflicht. Sensibilisieren Sie Ihre Angestellten für datenschutzrechtliche Risiken und klären Sie sie darüber auf, welche Informationen mit dem Chatbot geteilt werden dürfen und welche nicht. Neben Datenschutz sollten auch Themen wie KI und Urheberrecht und die Kennzeichnungspflicht von KI-Inhalten auf der Agenda stehen.
Halten Sie die Rahmenbedingungen zum Umgang mit KI in einer internen KI-Richtlinie fest und lassen Sie diese von Ihren Mitarbeitenden unterschreiben. So können Sie einen verantwortungsvollen und möglichst datenschutzkonformen Einsatz von KI-Systemen wie Copilot sicherstellen, auch wenn sich nicht alle Datenschutzbedenken aushebeln lassen.
Darüber hinaus ist es sinnvoll, eine Datenschutz-Folgenabschätzung vorzunehmen. Diese ist immer dann angezeigt, wenn eine geplante Verarbeitung personenbezogener Daten ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen mit sich bringen könnte. Da es sich bei Microsoft 365 Copilot um eine neue Technologie handelt und personenbezogene Daten mitunter automatisch verarbeitet werden, kann eine Datenschutz-Folgenabschätzung angebracht sein.
Unser Tipp: Unser Partner legaltrust unterstützt Sie auch bei einer Datenschutz-Folgenabschätzung für Copilot und andere KI-Lösungen, die in Ihrem Unternehmen zum Einsatz kommen.
Für den Chatbot Copilot (nicht die Office-Integration) gilt: Teilen Sie keine sensiblen Unternehmensinformationen, Geschäftsgeheimnisse oder fremde, personenbezogene Daten mit der KI. Entfernen Sie alle Daten, die Rückschlüsse auf konkrete Personen (Kunden, Mitarbeiter, Geschäftspartner etc.) zulassen bzw. anonymisieren Sie diese, bevor Sie einen entsprechenden Prompt eingeben oder ein Dokument hochladen.
Außerdem müssen Sie mit Microsoft einen Auftragsverarbeitungsvertrag (AV-Vertrag) abschließen, sofern Sie Copilot für Anwendungen nutzen, die personenbezogene Daten enthalten. Microsoft stellt Geschäftskunden standardisierte AV-Verträge unter der Bezeichnung “Data Processing Addendum” (DPA) hier zur Verfügung. Gesonderte Ausführungen zu KI und Copilot enthält die DPA aktuell jedoch nicht (Stand März 2025).
Vergessen Sie auch nicht, die verwendeten KI-Tools in Ihre Datenschutzerklärung mit aufzunehmen.
4. Checkliste: So nutzen Sie Copilot (möglichst) datenschutzkonform
Auch wenn Copilot als Microsoft 365-Integration keine Nutzerdaten speichert, um diese zur Modellverbesserung der KI zu verwenden und laut eigener Aussage nur auf Daten zugreift, für die der jeweilige Nutzer Berechtigungen hat, bleiben datenschutzrechtliche Bedenken bestehen. Eines der Hauptprobleme ist, dass Sie als Unternehmen keine vollständige Kontrolle darüber haben, welche Daten Copilot erhebt und verarbeitet.
Fehlende Transparenz und das Risiko potenzieller unkontrollierter Datenzugriffe erschweren einen datenschutzkonformen Einsatz der KI-Anwendung. Um Copilot in Ihrem Unternehmen möglichst rechtssicher zu verwenden – sei es als Office-Integration oder als Chatbot – sind strikte Datenschutzmaßnahmen unerlässlich.
Die folgende Checkliste gibt Ihnen einen ersten Eindruck, was wichtig ist:
- Zugriffsrechte prüfen: Stellen Sie sicher, dass Copilot als 365-Integration nur auf notwendige Daten zugreifen kann und beschränken Sie wo erforderlich die Zugriffsrechte.
- Keine sensiblen Daten eingeben: Geben Sie im Chatbot-Copilot keine personenbezogenen Daten von Kunden oder Mitarbeitern ein, wenn Ihnen keine Einwilligung der betroffenen Personen vorliegt.
- Daten anonymisieren: Anonymisieren Sie persönliche Daten, sodass sich keine Rückschlüsse auf konkrete Personen ziehen lassen.
- Vorsicht mit Unternehmensinterna: Gehen Sie umsichtig mit vertrauenswürdigen Informationen wie Finanzdaten und Geschäftsgeheimnissen um und geben Sie diese nicht bei Copilot ein.
- Transparent sein: Klären Sie sowohl Mitarbeiter als auch Kunden über die Datenverarbeitung durch Copilot auf.
- Datenschutzerklärung: Nehmen Sie KI-Tools wie Copilot in Ihre Datenschutzerklärung auf.
- Mitarbeiter schulen: Schulen Sie Ihre Angestellten im Umgang mit Copilot. Informieren Sie sie über datenschutzrechtliche Risiken und definieren Sie Nutzungsregeln (z. B. welche Daten dürfen eingegeben werden, welche nicht).
- KI-Richtlinien: Halten Sie die Nutzungsregeln in einer internen KI-Richtlinie fest und lassen Sie diese von allen Mitarbeitenden unterschreiben.
- AV-Vertrag abschließen: Schließen Sie für die Nutzung von Copilot für Microsoft 365 mit Microsoft einen Auftragsverarbeitungsvertrag (DPA) ab.
- Datenschutz-Folgenabschätzung (DFSA) durchführen: Die DFSA dient dazu, die Datenverarbeitungsvorgänge zu beschreiben, die daraus resultierenden Risiken zu analysieren und Maßnahmen zu treffen, um diese zu minimieren.
- Keine geschützten Inhalte verwenden: Achten Sie auch darauf, dass die Inhalte, die Copilot Ihnen generiert, keine fremden Urheberrechte verletzen – falls doch, nutzen Sie diese nicht.
Auch wenn KI-Anwendungen wie Copilot, ChatGPT, Deepseek und Gemini in aller Munde sind, bleiben für die meisten Unternehmen rechtliche Fragen und Unsicherheiten bestehen. Wir von eRecht24 wollen Sie dabei unterstützen, Klarheit zu schaffen. Dafür bieten wir mit eRecht24 Premium wertvolles Hintergrundwissen, praktische Tools und exklusive Webinare zu Themen wie “KI-Verordnung, ChatGPT & Co”. Außerdem stehen Ihnen Vorlagen für interne KI-Richtlinien und Checklisten für den rechtssicheren KI-Einsatz zur Verfügung. Machen Sie Ihr Unternehmen noch heute fit für die Zukunft.
5. Häufige Fragen zum Thema Copilot und Datenschutz
