Zum Inhalt springen
Espresso Data Privacy
DE
Demo anfragen

KI

Microsoft Copilot und Datenschutz – gespeicherte KI-Daten im Griff

Wer Microsoft 365 Copilot einsetzt, schafft neue Daten mit Personenbezug: Prompts, Antworten, Chat- und Meeting-Transkripte. Zugleich kann Copilot auf alles zugreifen, was die jeweilige Person in SharePoint, OneDrive, Teams und Postfächern sehen darf. Datenschutz bei Copilot heisst deshalb, beides unter Kontrolle zu haben.

Welche Personendaten entstehen bei Copilot?

Mit jeder Nutzung entstehen Daten, die es vorher nicht gab:

  • Prompts und Antworten, oft mit Namen, Fällen und internen Details.
  • Chatverläufe mit dem Assistenten.
  • Meeting-Aufzeichnungen, Transkripte und Zusammenfassungen.
  • Von Copilot erstellte Entwürfe und Dokumente.
  • Verweise auf die Inhalte, auf die sich Copilot in seinen Antworten stützt.

Was kann Copilot sehen?

Copilot greift auf die Inhalte zu, für die die jeweilige Person berechtigt ist. Das ist richtig so – macht aber sichtbar, was vorher verborgen war: Dokumente, die «für alle in der Organisation» oder «für jeden mit dem Link» geteilt sind, alte Ablagen mit Personal- oder Gesundheitsdaten, vergessene Exporte. Was früher niemand fand, findet Copilot in Sekunden.

Vor der Einführung lohnt es sich deshalb, die Ablagen auf Personendaten zu durchsuchen und zu weit geteilte Inhalte zu bereinigen.

Was verlangt das Datenschutzrecht?

Der EDÖB hat 2023 festgehalten, dass das geltende Datenschutzgesetz direkt auf KI-Anwendungen anwendbar ist. Es gelten die bekannten Grundsätze: Zweckbindung, Verhältnismässigkeit und Transparenz. Daraus folgen konkrete Aufgaben:

  • Copilot als Bearbeitung ins Verzeichnis aufnehmen.
  • Prompts und Transkripte bei Auskunftsbegehren berücksichtigen.
  • Aufbewahrungsfristen für KI-Daten festlegen und durchsetzen.
  • Bei hohem Risiko eine Datenschutz-Folgenabschätzung durchführen (Art. 22 DSG, Art. 35 DSGVO).
  • Die Auftragsbearbeitung durch den Anbieter vertraglich regeln (Art. 9 DSG, Art. 28 DSGVO).

Wie lange dürfen Prompts und Transkripte aufbewahrt werden?

Eine gesetzliche Einheitsfrist gibt es nicht. Massgebend ist der Zweck: Ein Meeting-Transkript, das nur als Gedächtnisstütze dient, wird früher gelöscht als eines, das als Protokoll gilt. Microsoft 365 bietet dafür Aufbewahrungseinstellungen. Entscheidend ist, die Frist festzulegen, umzusetzen – und regelmässig zu prüfen, ob sie eingehalten wird.

Copilot einführen: fünf Schritte

  1. 1Ablagen in SharePoint, OneDrive und Postfächern auf Personendaten durchsuchen.
  2. 2Zu weit geteilte Inhalte bereinigen.
  3. 3Copilot als KI-System verzeichnen und einstufen.
  4. 4Fristen für Prompts und Transkripte festlegen.
  5. 5Regelmässig prüfen, ob Fristen und Zusagen eingehalten werden.

So unterstützt Espresso

Espresso zeigt, welche Personendaten Copilot erreichen kann und was in den gespeicherten KI-Daten liegt – und prüft, ob die Anbieter ihre Zusagen zur Aufbewahrung einhalten.

  • Microsoft 365 durchsuchen

    Data Discovery durchsucht SharePoint, OneDrive und Postfächer einschliesslich der Copilot-Daten nach Personendaten.

  • KI-Systeme eingestuft

    AI Privacy Control verzeichnet KI-Systeme, stuft sie als freigegeben, geduldet oder untersagt ein und prüft die zugesagte Aufbewahrung gegen die Funde.

  • Was Copilot sehen kann

    Geteilte Objekte, die Copilot erreichen kann – für jeden mit dem Link oder für die ganze Organisation.

Häufige Fragen

Ist Microsoft 365 Copilot datenschutzkonform?

Das hängt vom Einsatz ab. Microsoft liefert Einstellungen und Verträge; die Verantwortung für Zweck, Berechtigungen, Fristen und Auskunft bleibt beim Unternehmen.

Gehören Copilot-Prompts in eine Auskunft?

Wenn sie Personendaten der anfragenden Person enthalten, grundsätzlich ja – wie andere gespeicherte Daten auch.

Braucht es eine Datenschutz-Folgenabschätzung?

Wenn der Einsatz voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt, ja. Das ist im Einzelfall zu prüfen, etwa bei der Auswertung von Gesundheits- oder Personaldaten.

Überwacht Espresso, was Mitarbeitende in Copilot eingeben?

Nicht in Echtzeit. Data Discovery durchsucht gespeicherte Prompts und Transkripte nach Personendaten, und AI Privacy Control prüft die Aufbewahrungszusagen der Anbieter. Den Datenverkehr überwacht Espresso nicht; für den geschützten Weg zur KI gibt es Privacy Delivery.

Weitere Themen

Sehen Sie Espresso in 30 Minuten

Wir zeigen Ihnen das Cockpit mit Beispieldaten – und besprechen, wo Sie beginnen.

Demo anfragen

oder direkt an info@espressodataprivacy.com