Bevor Microsoft 365 Copilot im Unternehmen startet, müssen drei Dinge stehen: aufgeräumte Zugriffsrechte in SharePoint, OneDrive und Teams, eine Entscheidung, wer eine Lizenz bekommt, und ein Plan, wie die Belegschaft den Umgang lernt. Copilot sieht alles, was ein Nutzer sehen darf. Schlampige Freigaben werden damit sofort sichtbar.
Die Technik ist dabei selten das Problem. Copilot steckt in Word, Excel, PowerPoint, Outlook und Teams, die Lizenz wird im Microsoft 365 Admin Center zugewiesen, und nach kurzer Zeit erscheint das Symbol in den Apps. Schwieriger ist die Frage, wofür das Werkzeug im eigenen Betrieb gut sein soll. Wer sie vorab klären will, kann sich beraten lassen: NEXperts etwa bewertet mögliche KI-Anwendungen in Workshops nach Nutzen und Umsetzbarkeit und leitet daraus eine Roadmap ab. Eine Pflicht ist das nicht, aber ohne konkrete Anwendungsfälle bleibt Copilot oft ein Symbol, das niemand anklickt.
Welche Daten sieht Copilot?
Laut Microsoft Learn (Seite „Daten, Datenschutz und Sicherheit für Microsoft Copilot“, Stand Juli 2026) zeigt Copilot nur Unternehmensdaten an, für die der jeweilige Nutzer mindestens Leserechte hat. Copilot greift über Microsoft Graph auf E-Mails, Chats, Kalender und Dokumente zu. Das klingt beruhigend, hat aber einen Haken: Wenn eine Excel-Datei mit Gehältern seit Jahren in einem Teams-Kanal liegt, auf den „alle im Unternehmen“ zugreifen können, findet Copilot sie auch. Früher hat sie dort nur niemand gesucht.
Vor dem Start sollten Administratoren deshalb prüfen:
- Welche SharePoint-Websites und Teams sind für die gesamte Organisation freigegeben?
- Gibt es Freigabelinks für „Personen in Ihrer Organisation“ auf sensiblen Dateien?
- Wer hat noch Zugriff auf Ordner ehemaliger Projekte oder ausgeschiedener Kollegen?
- Sind vertrauliche Dokumente mit Vertraulichkeitsbezeichnungen aus Microsoft Purview versehen? Copilot berücksichtigt laut Microsoft die Nutzungsrechte verschlüsselter Inhalte.
Zum Datenschutz sagt Microsoft auf derselben Seite: Prompts, Antworten und die über Graph abgerufenen Daten werden nicht zum Training der Basismodelle verwendet. Für Nutzer in der EU gilt die EU-Datengrenze, EU-Datenverkehr bleibt also innerhalb der EU. Eine Ausnahme nennt Microsoft ausdrücklich: Modelle, die über den Unterauftragsverarbeiter Anthropic laufen, sind derzeit von der EU-Datengrenze ausgenommen. Administratoren können entscheiden, ob sie diese Modelle zulassen. Diese Einstellung gehört auf die Checkliste, bevor der Datenschutzbeauftragte sein Okay gibt.
Wer braucht eine Lizenz?
Copilot Chat, also die Chat-Oberfläche mit Websuche, steht laut Microsoft allen Nutzern mit einem Entra-Konto und einem Microsoft-365-Abo ohne Zusatzkosten zur Verfügung, inklusive Enterprise Data Protection. Den Zugriff auf eigene Mails, Dateien und Besprechungen bringt erst die kostenpflichtige Copilot-Lizenz pro Nutzer. Bei den Business-Plänen ist sie ein Zusatz zur bestehenden Microsoft-365-Lizenz, die Preise ändert Microsoft regelmäßig mit Aktionen. Den aktuellen Preis sollten Sie deshalb direkt auf der Microsoft-Seite oder beim Lizenzpartner prüfen.
Nicht jeder braucht sofort eine Lizenz. Ein brauchbarer Maßstab: Wer viel liest, schreibt und zusammenfasst, profitiert eher. Die folgende Übersicht hilft bei der ersten Einteilung.
| Rolle | Typischer Nutzen | Lizenz zuerst? |
| Assistenz, Teamleitung | Mails sortieren, Besprechungen in Teams zusammenfassen | ja |
| Vertrieb, Angebotswesen | Angebote aus Vorlagen und früheren Mails entwerfen | ja |
| Controlling | Auswertungen in Excel erklären lassen, Formeln prüfen | im Pilot testen |
| Produktion, Lager | wenig Büroarbeit am Rechner | vorerst Copilot Chat |
Wie läuft ein Pilot sinnvoll ab?
Ein Pilot mit einer kleinen Gruppe aus verschiedenen Abteilungen zeigt schnell, wo Copilot hilft und wo nicht. Bewährt hat sich ein Ablauf in vier Schritten:
- Ziele festlegen: zwei bis drei konkrete Aufgaben pro Abteilung, etwa „Protokoll der Montagsrunde“ oder „Antwortentwurf auf Reklamationen“.
- Pilotgruppe auswählen: Leute, die gern Neues ausprobieren, aber auch skeptische Kollegen. Deren Einwände sind später Gold wert.
- Vier bis acht Wochen testen: Erfahrungen sammeln, gute Prompts teilen, Fehlgriffe dokumentieren.
- Auswerten: Nutzungsberichte im Admin Center ansehen und die Pilotgruppe befragen. Erst danach über weitere Lizenzen entscheiden.
Ein typischer Fehler: Lizenzen für alle kaufen und hoffen, dass sich die Nutzung von selbst ergibt. Ohne Anleitung probieren viele Mitarbeitende Copilot zweimal aus, bekommen eine mittelmäßige Antwort und lassen es dann liegen.
Müssen Mitarbeitende geschult werden?
Eine Pflicht, etwas für die KI-Kompetenz zu tun, gibt es, ein festes Schulungsformat aber nicht. Artikel 4 der europäischen KI-Verordnung verlangt von Unternehmen, die KI-Systeme einsetzen, Maßnahmen zur KI-Kompetenz ihres Personals. Mit der Änderungsverordnung (EU) 2026/1744, dem sogenannten KI-Omnibus, gilt seit 27. Juli 2026 eine abgeschwächte Fassung: Laut IHK Frankfurt am Main müssen Unternehmen die Entwicklung von KI-Kompetenz unterstützen, ein bestimmtes Niveau garantieren müssen sie nicht mehr. Ein Zertifikat schreibt die Verordnung nicht vor. Dokumentieren sollte man trotzdem, wer wann welche Schulung bekommen hat.
Praktisch reichen für den Anfang kurze Formate: eine Stunde zum Start, dann regelmäßige Viertelstunden, in denen Kollegen zeigen, was bei ihnen funktioniert. Wichtiger als jede Folie ist die Botschaft, dass Copilot Entwürfe liefert, die ein Mensch prüft. Microsoft selbst schreibt, dass Antworten generativer KI nicht garantiert zu 100 Prozent auf Fakten beruhen.
Checkliste vor dem Start
- Freigaben in SharePoint, OneDrive und Teams geprüft und bereinigt
- Vertraulichkeitsbezeichnungen für sensible Dokumente gesetzt
- Entscheidung zu Drittanbieter-Modellen und EU-Datengrenze getroffen
- Datenschutzbeauftragten und gegebenenfalls Betriebsrat eingebunden
- Pilotgruppe und konkrete Aufgaben je Abteilung festgelegt
- Schulungsplan und Dokumentation nach Art. 4 KI-Verordnung vorbereitet
- Kriterien für die Ausweitung nach dem Pilot vereinbart
Neben den Maßnahmen zur KI-Kompetenz nach Artikel 4 gelten seit dem 2. August 2026 auch die Transparenzpflichten der KI-Verordnung. Was sie für Betriebe bedeuten, die fremde KI-Werkzeuge einsetzen, fasst ein Beitrag zu den Pflichten aus dem EU AI Act zusammen.
Wer jetzt mit dem Aufräumen der Berechtigungen beginnt, hat bis zum Start im neuen Jahr das meiste geschafft. Der Rest ist Übung.
Neueste Kommentare