Lösung · Managed Cloud & Modell-APIs (Cloud-API)
Microsoft Copilot (vormals Microsoft 365 Copilot)
Anbieter: Microsoftmicrosoft.com
In M365 eingebetteter Assistent (GPT + zunehmend Claude). EU Data Boundary, aber „Flex Routing" kann 2026 außerhalb der EU routen; Anthropic-Modelle außerhalb EU-Boundary. Konfiguration prüfen.
Anwender-Plattform · EU-Data-Boundary · Flex-Routing-Vorsicht
Souveränitäts-Profil
Recht (r)
1
Technik (t)
1
Autonomie (a)
0
Warum nicht höher als Stufe 1: Fremdstaatlicher Zugriff (US Cloud Act u.ä.) bleibt rechtlich möglich · keine Jurisdiktions-Souveränität. Stufe 2 erfordert einen EU-Anbieter ohne US-Mutter.
Datenblatt
- Jurisdiktion
- US
- Betriebsmodell
- Managed Cloud (in M365 eingebettet); EU-Inferenz nur bei abgeschaltetem Flex Routing
- AVV verfügbar
- ja
- Training auf Kundendaten
- nein
- Offene Gewichte
- nein
- Selbst betreibbar
- nein
- Zertifikate
- ISO 27001 · SOC 2 · ISO 42001
- Zuletzt geprüft
- 2026-09-14
Wofür sie taugt
KI in den Office-Anwendungen, die auf den Daten arbeitet, die ohnehin in Microsoft 365 liegen. Für Häuser, die bereits dort sind, der Weg mit dem geringsten Zusatzaufwand.
Grenzen
Seit dem 25.03.2026 verlässt die Inferenz bei Lastspitzen die EU, und zwar standardmäßig. Microsoft nennt das Flex Routing. Wörtlich aus der Dokumentation: „Flex routing lets customers in the European Union (EU) and the European Free Trade Association (EFTA) allow large language model (LLM) inferencing to occur outside the EU Data Boundary during periods of peak demand." Und: „Flex routing is on by default for eligible tenants that were created after March 25, 2026." Verarbeitet wird dann „in the United States, Canada, or Australia".
Abschalten lässt sich das im Microsoft 365 Admin Center („Do not allow flex routing"), dann bleibt die Inferenz auch bei Last in der EU Data Boundary. Für Tenants, die vor dem 25.03.2026 angelegt wurden, steht die Voreinstellung im Message Center.
Zusätzlich laufen Anthropic-Modelle in Word, Excel und PowerPoint grundsätzlich außerhalb der EU Data Boundary, und auch diese Einstellung ist für neue EU-, EFTA- und UK-Tenants voreingestellt aktiv.
Die Konsequenz für die Auswahl: Die Datenresidenz dieses Produkts ist keine Eigenschaft des Produkts mehr, sondern eine Einstellung in Ihrem Tenant. Prüfen Sie sie, bevor Sie sich auf die EU-Verarbeitung verlassen. Daten im Ruhezustand bleiben laut Microsoft in der EU Data Boundary, mit Ausnahme begrenzter pseudonymisierter Daten.
Microsoft schreibt ausdrücklich: „Prompts, responses, and data accessed through Microsoft Graph aren't used to train foundation LLMs, including those used by Microsoft 365 Copilot." Das gilt auch für Rückmeldungen der Nutzer.
Die Grenze liegt woanders: Copilot sieht, was der jeweilige Nutzer sehen darf. Wo Berechtigungen im Haus locker gesetzt sind, macht das Werkzeug diese Lockerheit erst sichtbar und bequem nutzbar. Vor dem Ausrollen gehört deshalb ein Blick auf die Freigaben in SharePoint und OneDrive.
Die Stufe 1 hat einen rechtlichen, keinen technischen Grund: der Anbieter unterliegt US-Recht, und daran ändert eine EU-Region nichts. Für Vorhaben, die Jurisdiktions-Souveränität brauchen, ist dieser Eintrag deshalb nicht das Ziel, egal wie gut die vertraglichen Zusagen sind.
Restrisiken
- Fremdstaatliche Jurisdiktion: Der US Cloud Act (o.ä.) kann Zugriff erzwingen · auch bei EU-Hosting.
- Daten werden beim Anbieter verarbeitet (Klartext) · kein technischer Schutz gegen Abfluss.
- Proprietär ohne Eigenbetrieb: erhöhte Abhängigkeit / Lock-in, eingeschränkte Exit-Optionen.
Pflichten beim Einsatz
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abschließen; ggf. Datenschutz-Folgenabschätzung (Art. 35); Verarbeitung in EU-Region.
- Transfergrundlage sichern (SCC/Angemessenheit), Transfer Impact Assessment durchführen und das Cloud-Act-Restrisiko bewusst dokumentieren.
- KI-VO-Pflichten (Hochrisiko nach Annex III, Transparenz nach Art. 50) hängen vom Anwendungsfall ab · separat prüfen.
- Gilt immer: KI-Kompetenz sicherstellen (Art. 4 KI-VO, seit 2.2.2025) · Mitarbeitende schulen, Nutzungsregeln festlegen, beides dokumentieren.
Quellen3
- Microsoft: Datenschutz und Datenverarbeitung bei Microsoft 365 Copilot anbieter-doku · abgerufen 2026-08-01 · belegt: training
- Microsoft: Flex routing (EU und EFTA), standardmäßig aktiv für Tenants ab 25.03.2026; Inferenz in USA, Kanada oder Australien anbieter-doku · abgerufen 2026-09-14 · belegt: jurisdiktion
- Microsoft: Anthropic-Modelle in Copilot für Word, Excel, PowerPoint, Verarbeitung ausserhalb der EU Data Boundary anbieter-doku · abgerufen 2026-09-14
Prüfhistorie
- 2026-08-01 Kürzel-Beleg microsoft.com durch die Datenschutz-Dokumentation ersetzt, Trainings-Ausschluss wörtlich belegt. (learn.microsoft.com)
- 2026-09-14 Wesentliche Verschlechterung der EU-Verarbeitung aufgenommen: Flex Routing verlagert LLM-Inferenz bei Lastspitzen in die USA, nach Kanada oder Australien und ist für EU-/EFTA-Tenants ab 25.03.2026 standardmässig aktiv; Anthropic-Modelle in Word, Excel, PowerPoint laufen grundsätzlich ausserhalb der EU Data Boundary. Produktname auf Microsoft Copilot gezogen, ISO 42001 ergänzt. (learn.microsoft.com/.../copilot-flex-routing, .../copilot-anthropic-apps)
Nächster Schritt
Ob Stufe 1 für Ihr Vorhaben genügt, hängt von Ihren Daten, der Rechtslage und dem Einsatzzweck ab. Die Peilung ermittelt Ihre Mindeststufe in vier Schritten (KI-VO, Daten, Branche, Unabhängigkeit) und zeigt anschließend alle Lösungen, die sie erfüllen. Im Erstgespräch klären wir, welcher Weg zu Ihrem Anwendungsfall passt.