Microsoft 365 Copilot oder eine eigene KI-Umgebung?
Kurz gesagt
Microsoft 365 Copilot ist stark, wenn Ihre Arbeit schon in Microsoft 365 liegt: Es nutzt Ihre Mails, Dokumente und Teams-Chats und läuft in der Microsoft-Cloud. Eine eigene KI-Umgebung ist stärker, wenn Daten Ihre Organisation nicht verlassen dürfen oder Sie nicht von einem US-Anbieter abhängig sein wollen. Microsoft erklärte 2025 unter Eid, nicht garantieren zu können, dass europäische Daten nie an US-Behörden gehen.
Was Microsoft 365 Copilot gut kann
Copilot steckt in den Programmen, die Mitarbeitende ohnehin den ganzen Tag nutzen: Outlook, Word, Excel, Teams. Es kann eine Besprechung zusammenfassen, aus einem Mailverlauf einen Entwurf schreiben oder in Dokumenten suchen, auf die die Person ohnehin Zugriff hat. Für Organisationen, die komplett auf Microsoft 365 laufen, ist das ein großer Vorteil: keine neue Umgebung, kein zusätzliches Login.
Microsoft verarbeitet Copilot-Daten in der eigenen Cloud, für europäische Kunden mit der EU Data Boundary, und nutzt Kundendaten nicht zum Training der Basismodelle. Das ist ein grundlegend anderes Niveau als ein privates Konto bei einem kostenlosen Chatbot.
Worauf Sie achten sollten
Zugriffsrechte werden sichtbar. Copilot findet alles, worauf eine Person Zugriff hat. Zu weit gefasste Rechte in SharePoint und Teams, jahrelang unbemerkt, werden plötzlich durchsuchbar. Vor einem verantwortungsvollen Rollout steht oft eine Bereinigung der Berechtigungen.
Nicht alle Datenschutzrisiken sind weg. Die niederländische Bildungs- und Forschungskooperation SURF und das strategische Lieferantenmanagement der niederländischen Regierung (SLM Rijk) veröffentlichten im Dezember 2024 eine Datenschutz-Folgenabschätzung zu Microsoft 365 Copilot mit vier hohen Risiken. Nach Verbesserungen durch Microsoft blieben im September 2025 zwei übrig, als mittel eingestuft: unrichtige personenbezogene Daten in Antworten und die Speicherdauer von Diagnosedaten zur Nutzung. SURF rät, Copilot vorsichtig und je Anwendungsfall abgewogen einzusetzen.
Der CLOUD Act. Microsoft ist ein US-Unternehmen und unterliegt dem US CLOUD Act, der US-Behörden erlaubt, Daten anzufordern, die ein US-Anbieter kontrolliert, auch wenn sie in Europa liegen. Im Juni 2025 erklärte der Rechtsdirektor von Microsoft Frankreich unter Eid vor dem französischen Senat, er könne nicht garantieren, dass Daten französischer Bürger nie ohne Zustimmung der französischen Behörden an US-Behörden übermittelt werden. Microsoft fügte hinzu, dass dies in der Praxis noch nicht vorgekommen sei.
Copilot und eigene KI-Umgebung im Vergleich
| Microsoft 365 Copilot | Eigene KI-Umgebung (private KI) | |
|---|---|---|
| Wo läuft das Modell? | In der Microsoft-Cloud | Auf einem eigenen Node im Serverraum oder dediziert in einem europäischen Rechenzentrum |
| Wer verarbeitet die Inhalte? | Microsoft, als Auftragsverarbeiter | Nur Ihre Organisation |
| Rechtsordnung | US-Anbieter, unterliegt dem CLOUD Act | Ihre eigene Organisation |
| Modelle | Von Microsoft gewählt | Open-Weight-Modelle Ihrer Wahl (Llama, Mistral, Qwen) |
| Integration in Microsoft 365 | Tief, direkt in Outlook, Word und Teams | Über Konnektoren und Automatisierungen |
| Protokollierung und Einblick | Über Microsoft Purview, im Rahmen der Plattform | Vollständiger Audit-Trail unter eigener Kontrolle, mit Export in Ihr SIEM |
| Kostenmodell | Lizenz pro Nutzer und Monat | Eigene Hardware und Betrieb; teurer, aber nicht pro Nutzer |
Wann wählen Sie was?
Copilot passt, wenn Ihre Arbeit größtenteils in Microsoft 365 stattfindet, Ihre Daten nicht besonders sensibel sind und Sie die Abhängigkeit von Microsoft für Mail und Dokumente ohnehin akzeptiert haben.
Eine eigene KI-Umgebung passt, wenn Sie mit Daten arbeiten, die Ihre Organisation nicht verlassen dürfen: Patientendaten (KI im Gesundheitswesen), Mandatsgeheimnisse (KI in der Kanzlei) oder Daten, für die Ihre Aufsicht Anforderungen an Auslagerungen stellt (KI und DORA). Und wenn Sie die Wahl von Modellen und Anbieter bei sich behalten wollen.
Es muss kein Entweder-oder sein. Viele Organisationen nutzen Copilot für allgemeine Büroarbeit und eine eigene Umgebung für die Prozesse mit den sensibelsten Daten. Bei werqly läuft diese Umgebung auf einem eigenen Node, verwaltet über werqly AI Control. Ihre IT-Abteilung bestimmt pro Rolle, welches Modell und welche Daten verfügbar sind.
Häufige Fragen
Fragen zu diesem Thema
Ist Microsoft 365 Copilot DSGVO-konform?
Copilot ermöglicht eine DSGVO-konforme Nutzung, aber nicht automatisch. Nach Verbesserungen 2025 sahen SURF und SLM Rijk noch zwei mittlere Risiken: unrichtige personenbezogene Daten in Antworten und die Speicherdauer von Diagnosedaten. Eine eigene Folgenabschätzung und bereinigte Zugriffsrechte sind ratsam.
Können US-Behörden auf unsere Daten in Microsoft 365 zugreifen?
Nach dem CLOUD Act können US-Behörden einen US-Anbieter verpflichten, Daten herauszugeben, die er kontrolliert, auch wenn sie in Europa liegen. Microsoft Frankreich erklärte 2025 unter Eid, das nicht ausschließen zu können, und fügte hinzu, es sei in der Praxis noch nicht vorgekommen.
Kann eine eigene KI-Umgebung mit Microsoft 365 zusammenarbeiten?
Ja. Eine eigene KI-Umgebung kann über Konnektoren mit Mail, Dokumenten und Teams arbeiten, und Sie können Automatisierungen bauen, die Dokumente aus SharePoint verarbeiten. Die Verarbeitung durch das Modell geschieht dann auf Ihrem eigenen Node.
Ist eine eigene KI-Umgebung teurer als Copilot?
Meist ja. Sie bezahlen für eigene Hardware und Betrieb statt einer Lizenz pro Nutzer. Organisationen wählen sie nicht, um Geld zu sparen, sondern weil Daten ihre Umgebung nicht verlassen dürfen und sie nicht von einem Anbieter abhängig sein wollen.
Quellen
- SURF — Privacy risks Microsoft 365 Copilot remain orange despite improvements (2025)
- The Register — Microsoft admits it “cannot guarantee” data sovereignty (Juli 2025)
- U.S. Department of Justice — The CLOUD Act (Ressourcen)
- Microsoft — Daten, Datenschutz und Sicherheit für Microsoft 365 Copilot
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.