Lösung · Managed Cloud & Modell-APIs (Cloud-API)
Microsoft 365 Copilot
Anbieter: Microsoftmicrosoft.com
In M365 eingebetteter Assistent (GPT + zunehmend Claude). EU Data Boundary, aber „Flex Routing" kann 2026 außerhalb der EU routen; Anthropic-Modelle außerhalb EU-Boundary. Konfiguration prüfen.
Anwender-Plattform · EU-Data-Boundary · Flex-Routing-Vorsicht
Souveränitäts-Profil
Recht (r)
1
Technik (t)
1
Autonomie (a)
0
Warum nicht höher als Stufe 1: Fremdstaatlicher Zugriff (US Cloud Act u.ä.) bleibt rechtlich möglich · keine Jurisdiktions-Souveränität. Stufe 2 erfordert einen EU-Anbieter ohne US-Mutter.
Datenblatt
- Jurisdiktion
- US
- Betriebsmodell
- Managed Cloud (in M365 eingebettet)
- AVV verfügbar
- ja
- Training auf Kundendaten
- nein
- Offene Gewichte
- nein
- Selbst betreibbar
- nein
- Zertifikate
- ISO 27001 · SOC 2
- Zuletzt geprüft
- 2026-08-01
Wofür sie taugt
KI in den Office-Anwendungen, die auf den Daten arbeitet, die ohnehin in Microsoft 365 liegen. Für Häuser, die bereits dort sind, der Weg mit dem geringsten Zusatzaufwand.
Grenzen
Microsoft schreibt ausdrücklich: „Prompts, responses, and data accessed through Microsoft Graph aren't used to train foundation LLMs, including those used by Microsoft 365 Copilot." Das gilt auch für Rückmeldungen der Nutzer.
Die Grenze liegt woanders: Copilot sieht, was der jeweilige Nutzer sehen darf. Wo Berechtigungen im Haus locker gesetzt sind, macht das Werkzeug diese Lockerheit erst sichtbar und bequem nutzbar. Vor dem Ausrollen gehört deshalb ein Blick auf die Freigaben in SharePoint und OneDrive.
Die Stufe 1 hat einen rechtlichen, keinen technischen Grund: der Anbieter unterliegt US-Recht, und daran ändert eine EU-Region nichts. Für Vorhaben, die Jurisdiktions-Souveränität brauchen, ist dieser Eintrag deshalb nicht das Ziel, egal wie gut die vertraglichen Zusagen sind.
Restrisiken
- Fremdstaatliche Jurisdiktion: Der US Cloud Act (o.ä.) kann Zugriff erzwingen · auch bei EU-Hosting.
- Daten werden beim Anbieter verarbeitet (Klartext) · kein technischer Schutz gegen Abfluss.
- Proprietär ohne Eigenbetrieb: erhöhte Abhängigkeit / Lock-in, eingeschränkte Exit-Optionen.
Pflichten beim Einsatz
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abschließen; ggf. Datenschutz-Folgenabschätzung (Art. 35); Verarbeitung in EU-Region.
- Transfergrundlage sichern (SCC/Angemessenheit), Transfer Impact Assessment durchführen und das Cloud-Act-Restrisiko bewusst dokumentieren.
- KI-VO-Pflichten (Hochrisiko nach Annex III, Transparenz nach Art. 50) hängen vom Anwendungsfall ab · separat prüfen.
- Gilt immer: KI-Kompetenz sicherstellen (Art. 4 KI-VO, seit 2.2.2025) · Mitarbeitende schulen, Nutzungsregeln festlegen, beides dokumentieren.
Quellen1
- Microsoft: Datenschutz und Datenverarbeitung bei Microsoft 365 Copilot anbieter-doku · abgerufen 2026-08-01 · belegt: training
Prüfhistorie
- 2026-08-01 Kürzel-Beleg microsoft.com durch die Datenschutz-Dokumentation ersetzt, Trainings-Ausschluss wörtlich belegt. (learn.microsoft.com)
Nächster Schritt
Ob Stufe 1 für Ihr Vorhaben genügt, hängt von Ihren Daten, der Rechtslage und dem Einsatzzweck ab. Die Peilung ermittelt Ihre Mindeststufe in vier Schritten (KI-VO, Daten, Branche, Unabhängigkeit) und zeigt anschließend alle Lösungen, die sie erfüllen.