Microsoft Copilot Governance beginnt nicht mit einem Lizenzkauf. Sie beginnt mit Berechtigungen. Copilot nutzt Daten, die eine Person bereits sehen darf. Sind SharePoint, Teams oder OneDrive zu offen, macht KI dieses alte Problem nur schneller sichtbar.
Unternehmen sollten deshalb vor dem Rollout vier Dinge klären: Datenzugriffe, erlaubte Anwendungsfälle, menschliche Prüfung und Protokollierung. Für Azure OpenAI kommt die Wahl der Bereitstellung hinzu.
Stand: 14. September 2026. Microsoft ändert Namen, Funktionen und Vertragszusagen regelmäßig. Prüfen Sie vor dem produktiven Einsatz die Dokumentation, Product Terms und den Auftragsverarbeitungsvertrag.
Was bedeutet Microsoft Copilot Governance?
Microsoft Copilot Governance ist der Rahmen für einen kontrollierten Einsatz. Er verbindet technische Einstellungen mit klaren Entscheidungen. Dazu gehören:
- zulässige Nutzer und Anwendungsfälle
- Berechtigungen und Schutzklassen
- Regeln für Prompts und Ergebnisse
- menschliche Freigaben
- Protokolle, Vorfälle und Prüftermine
Governance ist mehr als Administration. Ein aktivierter Schalter beantwortet noch nicht, welche Daten Mitarbeitende eingeben dürfen.
Copilot arbeitet mit vorhandenen Berechtigungen
Microsoft Copilot greift über Microsoft Graph auf Inhalte zu. Laut Microsoft sieht eine Person nur Daten, für die bereits mindestens Leserechte bestehen. Genau darin liegt das praktische Risiko: Zu weit vergebene Rechte bleiben zu weit vergeben.
Microsoft warnt selbst vor „Oversharing“. Empfohlen werden unter anderem Zugriffsprüfungen, Schutzbezeichnungen und Kontrollen in SharePoint und Microsoft Purview. Die aktuelle Zero-Trust-Anleitung für Microsoft Copilot nennt dafür konkrete Maßnahmen.
Prüfen Sie vor dem Start:
- Welche SharePoint-Sites stehen sehr großen Gruppen offen?
- Welche Ordner enthalten vertrauliche Informationen?
- Welche Gastkonten und alten Gruppen besitzen noch Rechte?
- Welche Schutzbezeichnungen greifen tatsächlich?
- Wer behebt gefundene Berechtigungsfehler?
Werden Prompts zum Training genutzt?
Microsoft erklärt, dass Prompts, Antworten und über Microsoft Graph abgerufene Daten nicht zum Training der zugrunde liegenden Basismodelle verwendet werden. Die Inhalte werden dennoch verarbeitet und können für Audit oder eDiscovery protokolliert werden.
Die Aussage zum Modelltraining löst deshalb nicht jede Datenschutzfrage. Verantwortliche müssen weiterhin Zweck, Rechtsgrundlage, Datenkategorien, Speicherfristen, Zugriffe und Verträge prüfen. Die aktuelle Microsoft-Seite zu Daten und Funktionsweise von Microsoft Copilot beschreibt diese Verarbeitung.
EU Data Boundary: keine pauschale Entwarnung
Microsoft führt Copilot als Dienst innerhalb der EU Data Boundary. Daraus folgt aber keine pauschale Garantie für jeden Datenfluss.
Ein Beispiel: Microsoft weist für Copilot Chat darauf hin, dass erzeugte Websuchanfragen an Bing nicht unter die EU-Data-Boundary-Zusage fallen. Auch Erweiterungen, Agenten und Drittanbieter können eigene Datenflüsse erzeugen. Maßgeblich sind die gebuchte Variante, aktivierte Funktionen und aktuelle Vertragsunterlagen.
Prüfen Sie deshalb nicht nur den Produktnamen. Prüfen Sie den konkreten Datenweg.
Azure OpenAI ist ein eigenes Szenario
Azure OpenAI und Microsoft Copilot sind nicht dasselbe. Bei Azure OpenAI bauen Unternehmen eigene Anwendungen auf Microsoft Azure. Sie wählen Modell, Region, Netzwerk und Datenanbindung selbst.
Microsoft dokumentiert, dass Eingaben und Ausgaben nicht an OpenAI zur Modellverbesserung weitergegeben werden. Die Verarbeitungsregion hängt jedoch vom Bereitstellungstyp ab. Regionale, globale und Data-Zone-Angebote haben unterschiedliche Grenzen.
Für Governance bedeutet das:
- Dokumentieren Sie Bereitstellungstyp und Region.
- Begrenzen Sie Zugriffe mit Microsoft Entra ID.
- Prüfen Sie private Netzwerkverbindungen.
- Steuern Sie Protokolle und Aufbewahrung.
- Testen Sie Eingabe- und Ausgabefilter.
- Bewerten Sie angebundene Datenquellen getrennt.
Die Plattform kann Kontrollen erleichtern. DSGVO-Konformität entsteht nicht automatisch.
Fünf Regeln für Microsoft Copilot Governance
1. Erlaubte Fälle festlegen
Beschreiben Sie konkrete Anwendungen. „Recherche“ ist zu breit. „Interne Zusammenfassung freigegebener Projektdokumente“ lässt sich prüfen.
2. Datenklassen mit Beispielen erklären
Nennen Sie vertrauliche Kundendaten, Personalakten und Geschäftsgeheimnisse. Mitarbeitende brauchen Beispiele aus ihrem Alltag.
3. Ergebnisse menschlich prüfen
KI-Ausgaben können falsch, unvollständig oder verzerrt sein. Externe Texte und wichtige Entscheidungen brauchen eine benannte Freigabe.
4. Agenten getrennt bewerten
Agenten können Daten abrufen und Aktionen auslösen. Prüfen Sie Verbindungen, Einwilligungen und Berechtigungen vor jeder Freigabe.
5. Vorfälle sichtbar machen
Legen Sie einen einfachen Meldeweg fest. Teams müssen wissen, wie sie falsche Freigaben, Datenabfluss oder problematische Ergebnisse melden.
Ein sinnvoller Pilot
Starten Sie mit wenigen Personen und klaren Aufgaben. Wählen Sie Daten mit überschaubarem Risiko. Messen Sie nicht nur Zeitgewinn. Prüfen Sie auch Fehler, Rückfragen und Regelverstöße.
Ein Pilot beantwortet drei Fragen:
- Hilft Copilot bei der konkreten Aufgabe?
- Funktionieren Berechtigungen und Schutzregeln?
- Können Mitarbeitende Ergebnisse sicher prüfen?
Erst danach lohnt die breitere Einführung. Microsoft Copilot Governance wächst dabei mit Anwendungen, Daten und Agenten.
Der nächste Schritt
Nutzen Sie zuerst den KI-Governance Leitfaden. Halten Sie wichtige Freigaben anschließend im KI-Entscheidungsprotokoll fest.
Sie möchten Copilot oder Azure OpenAI kontrolliert einführen? Im kostenlosen Erstgespräch klären wir den passenden Startpunkt. Das Gespräch ersetzt keine Rechtsberatung.