Nein, Microsoft Copilot lernt nicht mit Ihren Firmendaten. Microsoft verwendet Ihre Unternehmensdaten nicht, um die zugrunde liegenden KI-Modelle zu trainieren oder zu verbessern. Ihre Daten bleiben innerhalb Ihres Tenants und werden nicht mit anderen Kunden oder dem allgemeinen Modell geteilt. Dennoch gibt es wichtige Unterschiede zwischen der Unternehmens- und der privaten Version sowie konkrete Einstellungen, die Sie für mehr Kontrolle kennen sollten.
Werden Firmendaten durch Copilot an Microsoft weitergegeben?
Nein, Firmendaten werden durch Microsoft Copilot für Unternehmen nicht an Microsoft weitergegeben, um KI-Modelle zu trainieren. Microsoft hat vertraglich zugesichert, dass Eingaben und Ausgaben aus Microsoft 365 Copilot nicht als Trainingsdaten für Large Language Models genutzt werden. Ihre Daten verlassen Ihren Unternehmens-Tenant nicht ohne Ihre ausdrückliche Zustimmung.
Das bedeutet konkret: Wenn ein Mitarbeiter in Copilot eine Frage zu einem internen Dokument stellt, bleibt diese Interaktion innerhalb Ihrer Microsoft 365-Umgebung. Die Antworten, die Copilot generiert, basieren auf dem Sprachmodell von Microsoft und den Inhalten, auf die der jeweilige Nutzer Zugriff hat, aber diese Inhalte fließen nicht in das Training zukünftiger Modelle ein.
Wichtig ist dabei: Diese Zusicherung gilt für den kommerziellen Copilot-Dienst mit einem entsprechenden Enterprise-Vertrag. Für kostenlose oder consumer-orientierte Versionen gelten andere Bedingungen.
Wie verarbeitet Microsoft Copilot Unternehmensdaten technisch?
Microsoft Copilot verarbeitet Unternehmensdaten, indem er zur Laufzeit auf die für den jeweiligen Nutzer zugänglichen Microsoft 365-Inhalte zugreift, diese als Kontext an das Sprachmodell übergibt und eine Antwort generiert. Dieser Prozess läuft in Echtzeit ab und basiert auf dem sogenannten Retrieval-Augmented-Generation-Ansatz (RAG), bei dem keine dauerhaften Kopien Ihrer Daten im Modell gespeichert werden.
Technisch gesehen kommuniziert Copilot über den Microsoft Graph, der als Schnittstelle zu Ihren Daten in SharePoint, Teams, Outlook und anderen Microsoft 365-Diensten dient. Der Graph ruft relevante Inhalte ab, übergibt sie als Kontext an das Sprachmodell und liefert die Antwort zurück, ohne dass die Daten dauerhaft im Modell verankert werden.
Das Berechtigungsmodell spielt dabei eine zentrale Rolle: Copilot kann nur auf Inhalte zugreifen, auf die der jeweilige Nutzer ohnehin Zugriff hat. Hat ein Mitarbeiter keine Berechtigung für ein bestimmtes SharePoint-Dokument, kann Copilot dieses Dokument auch nicht in seine Antworten einbeziehen.
Was ist der Unterschied zwischen Copilot für Unternehmen und der privaten Version?
Der wesentliche Unterschied liegt im Datenschutzniveau und der Integration in Unternehmenssysteme. Die kommerzielle Version, Microsoft 365 Copilot, ist durch den Microsoft-Kundenvertrag und das Data Protection Addendum (DPA) geschützt, was bedeutet, dass Ihre Daten nicht für das Modelltraining genutzt werden. Die private Version, etwa Copilot unter einem persönlichen Microsoft-Konto, bietet diesen Schutz nicht in gleichem Umfang.
Microsoft 365 Copilot (Unternehmensversion)
Diese Version ist tief in Ihre bestehende Microsoft 365-Umgebung integriert. Sie greift auf Ihre E-Mails, Kalender, Teams-Chats und SharePoint-Dokumente zu und arbeitet immer innerhalb Ihres Unternehmens-Tenants. Der Datenschutz entspricht den kommerziellen Vereinbarungen, und Ihre Daten unterliegen denselben Compliance-Richtlinien wie Ihre sonstigen Microsoft 365-Daten.
Copilot für Privatnutzer oder ohne Enterprise-Vertrag
Ohne einen kommerziellen Vertrag gelten die allgemeinen Nutzungsbedingungen von Microsoft. In diesem Fall kann Microsoft Interaktionsdaten zur Verbesserung seiner Dienste nutzen, sofern der Nutzer dem nicht aktiv widerspricht. Für den beruflichen Einsatz mit sensiblen Unternehmensdaten ist diese Version nicht geeignet.
Welche Daten speichert Microsoft Copilot und wie lange?
Microsoft Copilot speichert Gesprächsprotokolle und generierte Inhalte standardmäßig im Rahmen Ihrer Microsoft 365-Datenspeicherung. Die Aufbewahrungsdauer richtet sich nach den in Ihrer Organisation konfigurierten Aufbewahrungsrichtlinien und kann durch Administratoren gesteuert werden. Standardmäßig werden Copilot-Interaktionen in Ihrem Tenant gespeichert und unterliegen denselben Regeln wie andere Microsoft 365-Daten.
Konkret bedeutet das: Copilot-Chats in Teams werden im Postfach des Nutzers gespeichert, ähnlich wie reguläre Chat-Nachrichten. Inhalte, die Copilot in Word, Excel oder PowerPoint generiert, werden als Teil der jeweiligen Datei gespeichert, sobald der Nutzer sie speichert. Administratoren können über das Microsoft Purview Compliance Center Aufbewahrungsrichtlinien für Copilot-Interaktionen definieren und steuern, wie lange diese Daten verfügbar bleiben.
Wie können Unternehmen die Datensicherheit bei Copilot selbst steuern?
Unternehmen haben mehrere konkrete Möglichkeiten, die Datensicherheit von Microsoft Copilot aktiv zu steuern. Die wichtigsten Hebel sind die Verwaltung von Zugriffsberechtigungen, die Konfiguration von Datenaufbewahrungsrichtlinien und der Einsatz von Sensitivity Labels zur Klassifizierung sensibler Inhalte.
Diese Maßnahmen helfen Ihnen, die Kontrolle zu behalten:
- Berechtigungsmanagement: Da Copilot nur auf Daten zugreift, für die der Nutzer berechtigt ist, ist ein sauberes Berechtigungskonzept in SharePoint und Teams die wichtigste Schutzmaßnahme.
- Sensitivity Labels: Microsoft Purview Information Protection ermöglicht es, Dokumente zu klassifizieren. Copilot berücksichtigt diese Labels und kann so konfiguriert werden, dass er auf bestimmte Inhaltsklassen keinen Zugriff hat.
- Aufbewahrungsrichtlinien: Über das Compliance Center legen Sie fest, wie lange Copilot-Interaktionen gespeichert werden und wann sie automatisch gelöscht werden.
- Audit-Logs: Microsoft 365 protokolliert Copilot-Aktivitäten in den Audit-Logs, sodass Administratoren nachvollziehen können, welche Daten abgerufen wurden.
- Copilot-Zugang einschränken: Über die Admin-Konsole können Sie festlegen, welche Nutzergruppen Copilot verwenden dürfen, und den Rollout schrittweise steuern.
Ist Microsoft Copilot DSGVO-konform für deutsche Unternehmen?
Microsoft 365 Copilot kann DSGVO-konform eingesetzt werden, wenn die entsprechenden Vertragsgrundlagen und Konfigurationen vorhanden sind. Microsoft stellt einen Auftragsverarbeitungsvertrag (Data Processing Agreement) bereit, der die Anforderungen der DSGVO adressiert. Zudem können Unternehmen die Datenspeicherung auf europäische Rechenzentren beschränken.
Für deutsche Unternehmen sind dabei folgende Punkte relevant:
- Datenspeicherort: Microsoft bietet die Möglichkeit, Daten ausschließlich in der EU zu speichern. Im Rahmen der EU Data Boundary-Initiative hat Microsoft zugesagt, Daten europäischer Kunden innerhalb der EU zu verarbeiten und zu speichern.
- Auftragsverarbeitung: Der Microsoft-Kundenvertrag mit dem enthaltenen DPA regelt die Auftragsverarbeitung gemäß Art. 28 DSGVO.
- Datenschutz-Folgenabschätzung: Für den Einsatz von Copilot mit personenbezogenen Daten kann eine DSFA nach Art. 35 DSGVO erforderlich sein, abhängig vom konkreten Anwendungsfall.
- Technische und organisatorische Maßnahmen: Microsoft dokumentiert die TOMs für Copilot im Trust Center und stellt diese für Compliance-Zwecke bereit.
Die DSGVO-Konformität hängt jedoch nicht allein von Microsoft ab. Auch Ihre eigene Konfiguration, das Berechtigungsmanagement und die interne Nutzungsrichtlinie für Copilot spielen eine wichtige Rolle. Ein rechtssicherer Einsatz erfordert die Kombination aus den richtigen Vertragsgrundlagen und einer durchdachten technischen Umsetzung.
Wie Erhardt IT-Services bei Microsoft Copilot Datenschutz und Einführung unterstützt
Wir wissen, dass die Einführung von KI-Tools wie Microsoft Copilot für viele Unternehmen viele offene Fragen aufwirft, besonders rund um Datensicherheit, DSGVO und die richtige Konfiguration. Genau hier setzen wir an. Als IT-Dienstleister mit Fokus auf mittelständische Unternehmen begleiten wir Sie von der ersten Bestandsaufnahme bis zur sicheren, produktiven Nutzung.
Was wir konkret für Sie tun:
- Analyse Ihrer bestehenden Microsoft 365-Umgebung und Berechtigungsstruktur als Grundlage für einen sicheren Copilot-Rollout
- Einrichtung von Sensitivity Labels, Aufbewahrungsrichtlinien und Audit-Logs gemäß Ihren Compliance-Anforderungen
- Beratung zur DSGVO-konformen Nutzung, einschließlich Auftragsverarbeitungsvertrag und Datenschutz-Folgenabschätzung
- Schulung Ihrer Mitarbeiter zu sicherem und produktivem Umgang mit Copilot im Arbeitsalltag
- Unterstützung bei der Definition interner Nutzungsrichtlinien für KI-Tools
Wenn Sie tiefer einsteigen möchten, empfehlen wir unser kostenloses Webinar Copilot at Work. Dort erfahren Sie, wie Copilot in der Praxis funktioniert, welche Datenschutzmechanismen greifen und wie Sie echte Anwendungsfälle aus dem Arbeitsalltag sicher umsetzen. Mehr Informationen und Anmeldung direkt beim Erhardt IT-Services KI-Angebot.
