Copilot und Datenschutz: Was gilt es im Betrieb zu prüfen?

Das Problem

Ihr Chef möchte Copilot einführen. Copilot ist der KI-Assistent von Microsoft, der direkt in Word, Excel, Outlook und Teams eingebaut ist. Und nun stellt sich die Frage, die sonst niemand im Betrieb beantworten kann: Was liest dieses Programm eigentlich alles mit?

Die Sorge ist berechtigt. Copilot kann bei der Arbeit auf E-Mails, Teams-Chats, Protokolle und Dateien in OneDrive und SharePoint zugreifen. SharePoint ist der Ablageort für gemeinsame Firmendokumente in Microsoft 365. Wenn dort die Lohnliste versehentlich für alle freigegeben ist, kann eine Mitarbeiterin plötzlich mit einer harmlosen Frage an genau diese Zahlen kommen.

Dazu kommt das Schweizer Datenschutzgesetz (DSG). Es verlangt, dass Sie Personendaten – also alle Angaben zu bestimmten Personen – sorgfältig und nur für klare Zwecke bearbeiten. Wer Copilot einfach einschaltet, ohne vorher aufzuräumen, geht ein unnötiges Risiko ein.

So lösen Sie es mit KI – Schritt für Schritt

Die gute Nachricht: Sie müssen keine IT-Spezialistin sein, um die wichtigsten Punkte zu klären. Diese Schritte helfen Ihnen, gemeinsam mit Ihrem IT-Partner Ordnung zu schaffen.

1. Klären Sie, welches Copilot Sie haben. Es gibt das kostenlose Copilot für Privatpersonen, Copilot Chat für Geschäftskonten und das kostenpflichtige Microsoft 365 Copilot. Die Unterschiede erklärt die Seite Welche Copilot-Varianten gibt es?. Für Firmendaten gehört Copilot ins Geschäftskonto, nicht ins private Microsoft-Konto.
2. Prüfen Sie das Schild-Symbol. Wenn Sie in Copilot mit dem Geschäftskonto angemeldet sind, zeigt Microsoft einen Hinweis zum Unternehmensdatenschutz an, oft mit einem grünen Schild. Fehlt dieser Hinweis, sind Sie vermutlich privat angemeldet.
3. Lassen Sie die Freigaben überprüfen. Bitten Sie Ihren IT-Partner, im SharePoint und in Teams nachzusehen, welche Ordner «für alle in der Organisation» freigegeben sind. Genau diese Ordner kann Copilot für alle Mitarbeitenden auswerten.
4. Räumen Sie heikle Ablagen auf. Lohnlisten, Personaldossiers, Arztzeugnisse und Kundendaten mit Gesundheitsangaben gehören in Ordner mit eng begrenztem Zugriff. Mehr dazu, was als besonders schützenswert gilt, lesen Sie unter Sensible Daten und KI.
5. Machen Sie einen Testlauf. Lassen Sie eine Person ohne Führungsrolle Copilot fragen: «Welche Dokumente zu Löhnen findest du?» Erscheinen Treffer, die diese Person nicht sehen dürfte, muss die Berechtigung angepasst werden – nicht Copilot.
6. Legen Sie die Websuche fest. Copilot kann für Antworten zusätzlich im Internet suchen. Die Administration kann einstellen, ob das erlaubt ist. Entscheiden Sie bewusst, ob Ihr Team das braucht.
7. Schreiben Sie eine kurze Nutzungsregel. Eine Seite genügt: Was darf Copilot bearbeiten, was nicht, wer prüft Ergebnisse, wen fragt man bei Unsicherheit.
8. Informieren Sie das Team. Erklären Sie in einer kurzen Sitzung, warum diese Regeln gelten. Wer den Sinn versteht, hält sich eher daran.

Checkliste vor dem Start

Vorlage zum Kopieren

Mit dieser Vorlage bereiten Sie ein Gespräch mit Ihrem IT-Partner vor. Sie können sie in Copilot oder einen anderen KI-Assistenten eingeben, ohne Firmendaten zu verraten.

Ich arbeite im Sekretariat eines Schweizer KMU mit [Anzahl] Mitarbeitenden
in der Branche [Branche]. Wir planen, Microsoft 365 Copilot einzuführen.
Wir speichern unter anderem [Arten von Daten, z. B. Kundendaten, Lohnlisten,
Offerten] in [SharePoint / OneDrive / Teams].

Erstelle mir eine Liste mit 10 verständlichen Fragen, die ich unserem
IT-Partner [Name der Firma] zum Datenschutz stellen soll. Berücksichtige
das Schweizer Datenschutzgesetz (DSG). Erkläre zu jeder Frage in einem
Satz, warum sie wichtig ist. Verwende keine Fachbegriffe ohne Erklärung.

Passen Sie die Angaben in den eckigen Klammern an Ihren Betrieb an – nennen Sie aber nur Arten von Daten, keine echten Namen oder Zahlen.

Worauf Sie achten müssen

• Privat- und Geschäftskonto nicht mischen. Firmendaten gehören nie in ein privates Copilot. Die Seite Copilot privat oder geschäftlich zeigt, woran Sie den Unterschied erkennen.
• Antworten können falsch sein. Copilot fasst zusammen und formuliert, kann aber Zahlen vertauschen oder Inhalte erfinden. Fachleute nennen das Halluzination. Wichtige Ergebnisse prüfen Sie selbst.
• Microsoft-Zusagen gelten je nach Vertrag. Microsoft beschreibt in seinen Unterlagen, dass Eingaben bei Geschäftskonten nicht zum Training der grundlegenden Modelle verwendet werden. Lassen Sie sich bestätigen, welche Bedingungen für Ihren Vertrag gelten.
• Datenbearbeitung im Ausland. Microsoft betreibt Rechenzentren in der Schweiz und in Europa, je nach Dienst kann aber auch eine Bearbeitung anderswo stattfinden. Was das rechtlich bedeutet, erklärt Datenübermittlung ins Ausland.
• Besondere Berufsgeheimnisse. Arztpraxen, Anwaltskanzleien, Treuhänder und Sozialdienste haben strengere Pflichten. Hier lohnt sich eine fachliche Prüfung im Einzelfall.
• Keine Rechtsberatung. Diese Seite erklärt Grundsätze. Ob Ihre Lösung dem DSG entspricht, beurteilen eine Datenschutzfachperson oder Ihr Rechtsdienst.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Malergeschäft im Kanton Luzern mit zwölf Mitarbeitenden möchte Copilot für Offerten und Protokolle nutzen. Die Büroleiterin macht vor dem Start den Testlauf aus Schritt 5.

Vorher: Ein Lehrling fragt Copilot nach «Jahresabschluss» und erhält eine Zusammenfassung mit Lohnangaben. Der Grund: Der Ordner «Buchhaltung» war vor Jahren für alle freigegeben worden, damit der Treuhänder einfacher zugreifen konnte.

Nachher: Der IT-Partner beschränkt den Ordner auf Geschäftsleitung und Treuhand. Die Büroleiterin schreibt eine einseitige Regel und erklärt sie im Team. Beim erneuten Test findet der Lehrling nur noch, was er tatsächlich sehen soll.

So hilft Ihnen Alpasana

Technische Einstellungen sind nur die halbe Miete. Entscheidend ist, dass Ihre Mitarbeitenden wissen, welche Daten sie einer KI anvertrauen dürfen und wie sie Ergebnisse prüfen. Genau das vermittelt die KI-Weiterbildung für Unternehmen von absofort: Grundlagen, Schweizer Praxisbezug und Datenschutz sind dort Lerninhalte.

Ihr Team lernt online im eigenen Tempo und schliesst mit einem verifizierbaren Nachweis ab. Für Teambuchungen und Firmenlösungen können Sie über die Seite direkt Kontakt aufnehmen.

Häufige Fragen

Liest Microsoft meine Firmen-E-Mails mit, wenn wir Copilot nutzen?

Copilot greift auf Ihre E-Mails zu, um Ihre Anfragen zu beantworten, und zwar im Rahmen Ihrer bestehenden Microsoft-365-Umgebung. Microsoft beschreibt, dass diese Daten bei Geschäftskonten nicht zum Training der Basismodelle dienen. Die genauen Bedingungen stehen in Ihrem Vertrag und den Microsoft-Datenschutzunterlagen.

Müssen wir unsere Mitarbeitenden informieren?

Ja, das ist dringend zu empfehlen. Mitarbeitende sollten wissen, dass Copilot im Einsatz ist, welche Daten er nutzt und welche Regeln gelten. Ob zusätzlich eine formelle Information nach DSG nötig ist, klären Sie am besten mit einer Fachperson.

Kann ich bestimmte Dokumente für Copilot sperren?

Ja. Der einfachste Weg ist, den Zugriff auf diese Dokumente auf wenige Personen zu beschränken. In grösseren Umgebungen lassen sich zusätzlich Vertraulichkeitsbezeichnungen einsetzen, die Ihr IT-Partner einrichten kann.

Reicht die kostenlose Copilot-Version für ein KMU?

Für allgemeine Fragen ohne Firmendaten kann sie genügen. Sobald Sie mit internen Dokumenten arbeiten, gehört die Nutzung in ein Geschäftskonto mit klaren Datenschutzzusagen. Welche Variante passt, hängt von Ihren Aufgaben und Ihrem Microsoft-Vertrag ab.