Microsoft Copilot einführen – was KMU vor dem Lizenzkauf klären sollten

Was Ihr Abo schon enthält und was die Lizenz dazu bringt

Zuerst zu den Namen: Microsoft nennt Microsoft 365 Copilot inzwischen Microsoft Copilot und Microsoft 365 Copilot Chat Microsoft Copilot Chat; in der Übergangszeit tauchen beide Namen auf. Wichtiger ist, was ohne Zusatzlizenz schon geht.

Für kleinere Firmen gibt es zudem Microsoft Copilot Business: laut Microsoft dieselben Funktionen wie die reguläre Lizenz, als Zusatz zu Microsoft 365 Business Basic, Standard oder Premium, für Organisationen mit höchstens 300 Benutzern und mit Jahresbindung. Details stehen in der Copilot Business FAQ und der Übersicht der Lizenzoptionen.

Copilot Chat ist also schon da und sollte bewusst eingeführt werden. Die Zusatzlizenz kommt vor allem für Personen infrage, die täglich viele E-Mails, Dokumente und Besprechungen bewältigen.

Berechtigungen: Copilot findet, was zu breit geteilt ist

Copilot zeigt nur Inhalte, die eine Person mindestens lesen darf. Genau darin liegt das Risiko: In vielen Firmen sind Ordner, Teams und SharePoint-Websites über die Jahre breiter freigegeben als nötig. Das fiel kaum auf, weil niemand danach suchte. Copilot findet solche Inhalte mit einer einfachen Frage, etwa eine Lohnliste in einem Teams-Ordner, den die ganze Firma öffnen kann.

Typische Ursachen sind:

• Freigabelinks, die für jede Person oder für alle in der Organisation gelten und weitergeleitet wurden
• Websites, auf die die Gruppe «Jeder ausser externen Benutzern» und damit die ganze Firma Zugriff hat
• öffentliche Teams und alte Projektwebsites ohne Besitzer

Sobald Sie mindestens einer Person eine Copilot-Lizenz zuweisen, erhalten Ihre SharePoint-Administratoren als Teil der Lizenz Funktionen aus SharePoint Advanced Management:

• das Content Management Assessment, eine geführte Prüfung auf überteilte, besitzerlose und inaktive Websites
• Berichte zur Data Access Governance, etwa zu Freigabelinks und zu Zugriffen für die ganze Organisation
• Site Access Reviews, mit denen Websitebesitzer ihre Berechtigungen selbst überprüfen
• Restricted Access Control, um eine Website auf die Mitglieder einer Gruppe zu beschränken
• Restricted Content Discovery, um heikle Websites vorübergehend aus Copilot und der unternehmensweiten Suche auszublenden, ohne Berechtigungen zu ändern

Ab Werk stehen die Freigabeeinstellungen in SharePoint auf der grosszügigsten Option. Passen Sie sie an: Neue Links sollten standardmässig nur für bestimmte Personen gelten, Links für jede Person ein Ablaufdatum haben. Microsoft beschreibt das Vorgehen im Leitfaden zu SharePoint Advanced Management. Und weil ein Konto mit Copilot schneller mehr findet, gehören Multifaktor-Authentifizierung und Conditional Access, also Regeln dafür, wer sich unter welchen Bedingungen anmelden darf, zur Grundausstattung.

Heikle Inhalte mit Vertraulichkeitsbezeichnungen schützen

Aufräumen senkt das Risiko, ersetzt aber keinen Schutz für vertrauliche Dokumente wie Personaldossiers oder Mandantenunterlagen. Dafür gibt es in Microsoft Purview Vertraulichkeitsbezeichnungen (Sensitivity Labels): Kennzeichnungen wie «Intern» oder «Vertraulich», die auf Wunsch auch verschlüsseln und Kopf- oder Fusszeilen setzen.

Copilot berücksichtigt diese Bezeichnungen:

• Ist ein Dokument verschlüsselt, liefert Copilot den Inhalt nur, wenn die Person neben dem Recht zum Anzeigen auch das Recht zum Extrahieren hat.
• Erstellt Copilot in Word, PowerPoint oder Outlook neue Inhalte aus bezeichneten Dateien, übernimmt das Ergebnis die Bezeichnung, bei mehreren Quellen jene mit der höchsten Priorität.
• In Antworten zeigt Copilot Chat die Bezeichnungen der verwendeten Quellen an.

Manuelle Bezeichnungen und Richtlinien gegen Datenverlust (DLP) sind etwa in Microsoft 365 Business Premium enthalten; welche Automatik Ihr Plan erlaubt, sollten Sie prüfen. Beginnen Sie mit drei oder vier Bezeichnungen und den wenigen wirklich heiklen Bereichen. Eine DLP-Richtlinie kann je nach Lizenz zusätzlich verhindern, dass Copilot Dateien mit bestimmten Bezeichnungen verarbeitet. Mehr dazu in der Purview-Dokumentation zu Copilot.

Pilotgruppe und konkrete Anwendungsfälle

Ein Pilot zeigt, ob Copilot im Alltag hilft, und deckt Berechtigungsprobleme früh auf. Wir empfehlen fünf bis zehn Personen aus verschiedenen Bereichen, die einige Wochen mit festgelegten Aufgaben arbeiten:

• Teams-Besprechungen: Zusammenfassung und offene Punkte; dafür muss die Transkription laufen oder Copilot für die Besprechung aktiviert sein
• Outlook: lange E-Mail-Verläufe zusammenfassen und Antworten entwerfen
• Word: Entwürfe auf Basis bestehender Dokumente, etwa eine Offerte nach dem Muster früherer Offerten
• Excel: Daten auswerten und Formeln vorschlagen lassen
• PowerPoint: aus einem Word-Dokument eine erste Präsentation erstellen

Ein Beispiel: In einer Treuhandfirma fasst Copilot den E-Mail-Verlauf zu einem Mandat zusammen und schlägt eine Antwort vor. Die Sachbearbeiterin prüft den Entwurf und sendet ihn selbst, denn auch Copilot kann sich irren.

Legen Sie vorher fest, woran Sie den Nutzen messen, etwa am Zeitaufwand pro Aufgabe oder an der Qualität der Entwürfe. Dafür eignen sich das Microsoft Copilot Dashboard in Viva Insights, das Bereitschaft, Nutzung, Wirkung und Stimmung zeigt und laut Microsoft keine eigene Viva-Insights-Lizenz braucht, die Nutzungsberichte im Microsoft 365 Admin Center und Feedbackrunden.

Regeln, Schulung und Schatten-KI

Viele Mitarbeitende nutzen KI bereits, oft mit privaten Konten in öffentlichen Chat-Tools. Landen dort Mandantendaten, hat die Firma weder Kontrolle noch einen Vertrag mit dem Anbieter. Diese «Schatten-KI» verschwindet nicht durch Verbote allein. Was hilft:

1. Klare Regeln: welche Werkzeuge erlaubt sind, welche Daten hineingehören und dass Ergebnisse geprüft werden
2. Eine genehmigte Alternative: Copilot Chat mit dem Geschäftskonto unterliegt denselben Vertragszusagen wie Ihre E-Mails und Dateien (Enterprise Data Protection); Eingaben dienen laut Microsoft nicht dem Training der Basismodelle
3. Technische Leitplanken: Private Microsoft-Konten lassen sich auf Firmengeräten einschränken; Microsoft Purview kann je nach Lizenz warnen oder blockieren, wenn sensible Daten in externe KI-Websites eingefügt werden
4. Schulung: gute Anfragen formulieren, Ergebnisse prüfen, Bezeichnungen richtig setzen

Zum Datenschutz: Der EDÖB hält fest, dass das seit dem 1. September 2023 geltende Datenschutzgesetz direkt auf KI-gestützte Datenbearbeitungen anwendbar ist (EDÖB zu KI und Datenschutz). Für Microsoft-365-Kunden mit Anmeldeland in der EU oder EFTA, also auch der Schweiz, gilt die EU Data Boundary: Microsoft speichert und verarbeitet Kundendaten in diesen Ländern, auch bei Copilot. Ausgenommen sind etwa Websuchen über Bing und derzeit Modelle von Anthropic, über deren Einsatz Ihre Administratoren entscheiden. Prüfen Sie zudem, ob Verträge mit Mandanten oder Berufspflichten weitere Vorgaben machen.

Später: eigene Agenten mit Copilot Studio

Stehen Berechtigungen und Regeln, sind Agenten ein sinnvoller nächster Schritt: Assistenten für eine Aufgabe, etwa Fragen zum internen Handbuch. Mit Microsoft Copilot Studio lassen sich solche Agenten ohne viel Programmierung erstellen und in Teams oder Microsoft Copilot bereitstellen. Weil sie auf dieselben Daten zugreifen, gilt auch hier: erst aufräumen, dann ausbauen.

So gehen Sie vor

1. Zwei oder drei konkrete Anwendungsfälle und Erfolgskriterien festlegen.
2. Die bestehenden Microsoft-365-Pläne prüfen und klären, ob Copilot Business infrage kommt.
3. Konten mit Multifaktor-Authentifizierung und Conditional Access absichern.
4. Eine erste Copilot-Lizenz zuweisen, mit SharePoint Advanced Management Freigaben prüfen und heikle Websites bereinigen oder vorübergehend ausblenden.
5. Vertraulichkeitsbezeichnungen für die heikelsten Bereiche einführen.
6. Nutzungsregeln schreiben und Copilot Chat als genehmigtes Werkzeug bekannt machen.
7. Den Pilot durchführen, messen und erst dann über weitere Lizenzen entscheiden.

Wir unterstützen Sie von der Bestandesaufnahme bis zum Pilot – mehr dazu unter KI & Automatisierung und IT-Sicherheit. Wenn Sie wissen möchten, wo Ihre Microsoft-365-Umgebung heute steht, nehmen Sie Kontakt mit uns auf.