Copilot und der EU AI Act

Von Mirko Peters · 2025-11-21 · Aktualisiert 2026-07-22

Verstehen Sie die Verantwortung im Zusammenhang mit Copilot und dem EU AI Act, einschließlich der Pflichten als Betreiber, Governance, Risikomanagement, Transparenz und menschlicher Aufsicht.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Sie denken vielleicht, dass Compliant by Design bedeutet, dass Sie sich zurücklehnen können. Doch diese Annahme kann Ihre Organisation in Gefahr bringen. Der EU AI Act legt Ihnen echte Verantwortung auf. Der Anbieter ist nicht der Einzige, der in der Pflicht steht. Viele IT- und Compliance-Verantwortliche sorgen sich wegen KI-Assistenten. Sie befürchten, dass die KI Daten an Personen anzeigt, die sie nicht sehen dürfen. Microsoft Copilot 365 nutzt starke rollenbasierte Zugriffssteuerungen. Diese Funktionen helfen, sind aber nur ein Anfang. Denken Sie an einen Nutzer, der Copilot bittet, geheime Dateien zusammenzufassen. Sind Sie sicher, dass Ihre Einstellungen alle Daten schützen?

Das Wichtigste in Kürze

• Machen Sie sich mit der Risikopyramide des EU AI Act vertraut. Ihr KI-Anwendungsfall bestimmt Ihr Compliance-Niveau. Der Anbieter entscheidet dies nicht für Sie.

• Nutzen Sie die Compliance-Funktionen von Copilot. Achten Sie darauf, sie richtig zu konfigurieren. Die Standardeinstellungen entsprechen unter Umständen nicht den EU-Vorgaben.

• Dokumentieren Sie jeden Schritt bei der Nutzung von KI. Eine saubere Dokumentation hilft Ihnen, die Einhaltung der Vorgaben nachzuweisen. So lassen sich auch hohe Bußgelder vermeiden.

• Schulen Sie Ihr Team zu KI-Sicherheit und Compliance. Jeder sollte wissen, was zu tun ist. Außerdem sollte jeder die Regeln für die Nutzung von KI-Tools kennen.

• Prüfen und aktualisieren Sie Ihren Compliance-Plan regelmäßig. Bleiben Sie über neue Vorgaben auf dem Laufenden. So halten Sie dauerhaft die gesetzlichen Anforderungen ein.

Die Risikopyramide des EU AI Act erklärt

Risikokategorien und Anwendungsfälle

Bevor Sie ein KI-Tool einsetzen, müssen Sie die Risikopyramide des EU AI Act verstehen. Der Act ordnet KI-Systeme in vier Risikostufen ein. Jede Stufe bringt unterschiedliche Pflichten mit sich, die Sie einhalten müssen. Die folgende Tabelle zeigt, wie die Risikopyramide funktioniert:

Mit jeder höheren Stufe wachsen Ihre Pflichten. Wenn Sie Copilot oder ChatGPT für einfache Aufgaben wie das Verfassen von E-Mails nutzen, fallen Sie in die Kategorie minimales oder begrenztes Risiko. Setzen Sie diese Tools für Personalauswahl, Kreditwürdigkeitsprüfung oder Gesundheitsberatung ein, bewegen Sie sich im Bereich des hohen Risikos. Dann müssen Sie mehr Vorgaben einhalten und umfassender dokumentieren.

Warum der Anwendungsfall wichtiger ist als der Anbieter

Sie könnten meinen, dass der Anbieter oder das Modell Ihr Risiko bestimmt. Das stimmt nicht. Die Art, wie Sie KI einsetzen, legt Ihr Risikoniveau fest. Sie müssen klare Anwendungsfälle und Anforderungen definieren. Dokumentieren Sie, welches Problem Sie lösen wollen, und prüfen Sie, ob KI die richtige Antwort ist. Außerdem sollten Sie die Risiken der Ergebnisse bewerten und Qualitätskontrollen festlegen. Fragen Sie sich, wie Sie die Ergebnisse der KI nutzen werden und was schiefgehen könnte.

Hier sind einige Beispiele:

• Wenn Sie Copilot nutzen, um Besprechungsnotizen zusammenzufassen, besteht ein begrenztes Risiko.

• Wenn Sie ChatGPT nutzen, um über die Kreditvergabe an eine Person zu entscheiden, besteht ein hohes Risiko.

• Wenn Sie eine eigene KI für Social Scoring entwickeln, besteht ein unannehmbares Risiko.

Sie müssen sich auf Ihren Anwendungsfall konzentrieren, nicht nur auf die Marke oder das Modell. Compliant-by-Design-Funktionen helfen, aber Sie müssen Ihre KI-Nutzung trotzdem der richtigen Risikostufe zuordnen und die Regeln einhalten.

Compliant by Design – das Compliance-Gerüst von Copilot

Integrierte Funktionen für Compliance

Wenn Sie Copilot in Microsoft 365 nutzen, haben Sie bereits einen guten Start. Die Plattform bietet zahlreiche Werkzeuge, mit denen Sie Ihre Daten schützen. Diese Werkzeuge greifen ineinander und unterstützen Sie dabei, die Vorgaben einzuhalten. Die wichtigsten Werkzeuge sehen Sie in der folgenden Tabelle:

Diese Werkzeuge helfen Ihnen, Copilot im Sinne von Compliant by Design einzusetzen. Sie erhalten Unterstützung bei der Verwaltung von Daten, bei der Kontrolle, wer sie sehen darf, und bei der Überwachung von Aktivitäten. Sie müssen nicht alles selbst entwickeln. Sie können diese Werkzeuge als Grundlage für Ihren Compliance-Plan nutzen.

Tipp: Copilot verwendet Ihre Prompts oder Antworten nicht, um seine Modelle zu trainieren. So bleiben Ihre Daten privat, und das Risiko sinkt.

Was Anwender noch konfigurieren müssen

Sie können sich nicht einfach auf die Standardeinstellungen verlassen. Sie müssen Änderungen vornehmen, damit Copilot die Vorgaben des EU AI Act einhält. Compliant by Design hilft Ihnen beim Einstieg, die Umsetzung müssen Sie aber selbst abschließen. Aufsichtsbehörden wollen Nachweise, keine Versprechen.

Mit diesen Schritten stärken Sie Ihre Compliance:

1. Überprüfen und beheben Sie Berechtigungen in SharePoint, OneDrive und Teams, bevor Sie Copilot aktivieren. Entfernen Sie Zugriffe, die Personen nicht benötigen.

2. Wenden Sie das Prinzip der minimalen Berechtigungen an. Prüfen Sie Gruppenlisten und Freigabeeinstellungen. Lassen Sie nur die Personen auf Inhalte zugreifen, die sie tatsächlich brauchen.

3. Erwägen Sie E5-Lizenzen, wenn Sie Benutzer mit personenbezogenen Daten besser schützen möchten.

4. Schulen Sie Ihre Benutzer. Teilen Sie ihnen mit, dass Copilot Ihre Datenrichtlinien einhält. Stellen Sie sicher, dass alle wissen, was Copilot kann und was nicht.

Sie müssen Purview-Vertraulichkeitsbezeichnungen und DLP-Regeln für Copilot festlegen. Sie müssen festlegen, wie lange Daten aufbewahrt werden, und Überwachungsprotokolle prüfen. Die SharePoint-Suche sollten Sie einschränken, um eine übermäßige Freigabe zu verhindern. Sie müssen Ihre Risikoprüfungen dokumentieren und Nachweise über Ihre Maßnahmen aufbewahren.

Compliant by Design bedeutet nicht, dass Sie fertig sind. Sie müssen zeigen, wie Sie diese Werkzeuge in Ihrer eigenen Umgebung eingesetzt haben. Aufsichtsbehörden wollen Nachweise sehen. Sie müssen belegen, dass Sie Ihre Compliance-Schritte eingerichtet, überwacht und dokumentiert haben.

ChatGPT und Azure OpenAI – Bring Your Own Governance

Compliance-Lücken bei öffentlichem ChatGPT

Die Nutzung von öffentlichem ChatGPT stellt eine große Herausforderung dar. Copilot verfügt über integrierte Kontrollen, ChatGPT hingegen nicht. Sie müssen eigene Regeln und Sicherheitsprüfungen festlegen. Viele Organisationen haben das auf die harte Tour gelernt.

Ein Beispiel ist der Fall der Gemeinde Tromsø. Verantwortliche nutzten KI, um einen Großteil eines Berichts zu verfassen. Niemand prüfte vor der Weitergabe, ob die Fakten stimmen. Der Bericht enthielt falsche Informationen. Der Fehler schadete dem Ruf der Verwaltung und führte zu Problemen im Arbeitsalltag. Ohne klare Regeln verlieren Sie schnell die Kontrolle.

Diese typischen Probleme müssen Sie beheben:

• Es gibt keine automatische Protokollierung von Prompts oder Antworten.

• Es gibt keine integrierte Möglichkeit, Datenverlust zu verhindern oder sensible Daten zu kennzeichnen.

• Es gibt keine Warnhinweise oder Kennzeichnungen für KI-generierte Inhalte.

• Es gibt keine menschliche Überprüfung wichtiger Ergebnisse.

• Es gibt keine klare Möglichkeit, den Zugriff einzuschränken oder den Speicherort der Daten zu steuern.

Diese Probleme müssen Sie selbst lösen. Der EU AI Act verlangt, dass Sie zeigen, wie Sie Risiken behandeln, Ihre Entscheidungen dokumentieren und Nachweise aufbewahren.

Azure OpenAI als Mittelweg

Azure OpenAI bietet Ihnen mehr Kontrolle als öffentliches ChatGPT. Sie können Arbeitskonten verwenden, festlegen, wer es nutzen darf, und die Aktivitäten überwachen. Sie erhalten bessere Protokolle und können Daten innerhalb Ihres Unternehmens halten. Diese Werkzeuge unterstützen Sie dabei, einige Vorgaben des EU AI Act zu erfüllen.

Die meiste Arbeit bleibt aber bei Ihnen. Sie müssen:

1. für jede Nutzungsform eine Datenschutz-Folgenabschätzung durchführen.

2. Verzeichnisse von Verarbeitungstätigkeiten führen.

3. Regeln einrichten, die Datenverlust verhindern, und festlegen, wie lange Daten aufbewahrt werden.

4. Protokolle prüfen und Ergebnisse kontrollieren.

5. Benutzer schulen, damit sie KI sicher nutzen und die Regeln einhalten.

Azure OpenAI hilft Ihnen beim Einstieg, die Umsetzung müssen Sie aber abschließen. Sie brauchen Nachweise in Form klarer Aufzeichnungen und Prüfungen. Der EU AI Act akzeptiert keine Versprechen. Sie müssen belegen, was Sie getan haben.

Deployer-Survival-Kit für den EU AI Act

Sie brauchen einen einfachen Plan, um die Vorgaben des EU AI Act einzuhalten. Dieses Kit hilft Ihnen, Ihre Arbeit zu strukturieren. Es bietet einfache Schritte, Werkzeuge und Tipps für Copilot, ChatGPT und Azure OpenAI. Nutzen Sie es, um Ihre Organisation abzusichern und Aufsichtsbehörden zu zeigen, dass Sie Compliance ernst nehmen.

Risikoklassifizierung und Dokumentation

Beginnen Sie damit, Ihre KI-Systeme und deren Einsatz aufzulisten. Sie müssen wissen, wo KI eingesetzt wird und was jedes System tut. Gehen Sie folgendermaßen vor, um Risiken einzuordnen und zu dokumentieren:

1. Erfassen Sie jedes KI-Werkzeug und Modell, das Ihr Unternehmen einsetzt, entwickelt, einbindet oder in Europa vertreibt.

2. Legen Sie für jedes System fest, ob Ihr Unternehmen Anbieter, Betreiber, Importeur oder Händler ist.

3. Prüfen Sie, ob der EU AI Act das jeweilige System oder Modell erfasst.

4. Ordnen Sie jedem KI-Anwendungsfall eine Risikostufe zu: unzulässig, hoch, begrenzt oder minimal.

5. Prüfen Sie Verträge und die Angaben zu KI-Diensten.

6. Erstellen oder aktualisieren Sie Ihren KI-Governance-Plan entsprechend den Vorgaben des EU-KI-Gesetzes.

7. Halten Sie Notizen zu allen Änderungen fest, die Sie an KI-Systemen oder -Modellen vornehmen.

Sie müssen jeden Schritt dokumentieren. Wenn Sie keine saubere Dokumentation führen, drohen hohe Bußgelder.

Betreiber, die nicht dokumentieren, was sie für den EU AI Act tun, können in ernsthafte Schwierigkeiten geraten. Ein Beispiel sind Bußgelder von 7,5 Millionen Euro, weil sie den Aufsichtsbehörden nicht alle Informationen liefern, selbst wenn ihre Risikoentscheidungen richtig sind.

Purview, DLP und Zugriffssteuerung konfigurieren

Sie müssen starke Kontrollen einrichten, um Ihre Daten zu schützen. Nutzen Sie Purview, Data Loss Prevention (DLP) und Zugriffssteuerungen, um die Vorgaben des EU AI Act zu erfüllen. Die folgende Tabelle zeigt, was Sie benötigen:

Gruppieren Sie Ihre DLP-Regeln so, dass sie gängige Anforderungen abdecken. Achten Sie darauf, dass Ihre Regeln zuerst die strengsten Aktionen verwenden. Prüfen Sie Auditprotokolle und DLP-Berichte regelmäßig, um festzustellen, ob Sie die Regeln einhalten.

Protokollierung, Transparenz und menschliche Aufsicht

Sie müssen die KI-Nutzung nachvollziehbar machen und für Klarheit sorgen. Aufsichtsbehörden möchten sehen, wie Sie Ihre Systeme steuern und überwachen. Nutzen Sie diese bewährten Vorgehensweisen:

Kennzeichnen Sie alles, was KI erstellt hat, klar. Verwenden Sie Fußzeilen oder Wasserzeichen, um zu zeigen, wann KI an einer Datei oder Nachricht mitgewirkt hat. Lassen Sie wichtige Entscheidungen von Menschen prüfen, insbesondere bei Themen wie Personalauswahl oder Bonitätsbewertung.

Schulung und interne Richtlinien

Sie müssen Ihrem Team den sicheren Umgang mit KI vermitteln. Erstellen Sie klare Regeln und Schulungen für alle. Stellen Sie sicher, dass alle Mitarbeitenden ihre Aufgaben und die Regeln kennen.

• Bieten Sie Schulungen entsprechend der jeweiligen Rolle an, etwa für Fachanwender, Administratoren und Compliance-Mitarbeitende.

• Teilen Sie Regeln darüber mit, welche KI-Nutzungen erlaubt und welche nicht erlaubt sind.

• Nutzen Sie Prompts und Einstellungen, die die Compliance unterstützen, etwa indem Sie Copilot bitten, Quellen anzugeben oder Prüfvermerke hinzuzufügen.

• Passen Sie Ihre Regeln an, wenn sich der EU AI Act ändert.

Sie können integrierte Tools nutzen, damit Anwender ihre Aufgaben besser lernen. Stellen Sie Leitfäden bereit, die den Unterschied zwischen KI-Modellen für allgemeine Zwecke und KI-Systemen erklären. Bieten Sie Starter-Pakete mit Vorlagen und Checklisten an, die bei der Einhaltung helfen.

30/60/90-Tage-Aktionsplan und interne Kommunikation

Sie brauchen einen Zeitplan, um Ihre Compliance-Arbeit abzuschließen. Hier ist ein einfacher Aktionsplan:

Erste 30 Tage:

• Erfassen Sie alle KI-Systeme und Anwendungsfälle.

• Weisen Sie Rollen und Risikostufen zu.

• Beginnen Sie mit der Dokumentation der DSFA (DPIA) und des VVT (RoPA).

Nächste 60 Tage:

• Richten Sie Purview, DLP und Zugriffssteuerungen ein.

• Aktivieren Sie Auditing und Überwachung.

• Starten Sie die Schulungen für die wichtigsten Teams.

Letzte 90 Tage:

• Prüfen und aktualisieren Sie die Regeln.

• Testen Sie die menschlichen Kontrollen und die Kennzeichnungen.

• Stellen Sie die Nachweise für die Aufsichtsbehörden bereit.

Teilen Sie diese Nachricht mit Ihrem Team:

Wir setzen KI-Tools nach dem Konzept „Compliant by Design“ ein. Alle müssen unsere neuen Regeln und Schulungen befolgen. Wir verfolgen, prüfen und dokumentieren jeden Schritt, um die Vorgaben des EU AI Act zu erfüllen.

Nutzen Sie dieses Paket, um einen belastbaren Compliance-Plan aufzubauen. So schützen Sie Ihre Gruppe und helfen allen, KI richtig einzusetzen.

Verlassen Sie sich nicht nur auf „Compliant by Design“. Sie müssen nachweisen, dass Sie die Regeln einhalten. Der EU AI Act legt Ihnen klare Pflichten auf. Bei Verstößen drohen hohe Bußgelder. Diese können bis zu 15 Millionen Euro oder 3 % des Gesamtumsatzes Ihres Unternehmens betragen.

KI-Governance ist wichtig. Sie müssen im Blick behalten, wie Sie KI einsetzen. Sie brauchen eine verantwortliche Person und wiederholbare Schritte. Überprüfen Sie Ihre KI-Werkzeuge regelmäßig. Richten Sie Ihre Compliance-Werkzeuge ein und dokumentieren Sie alles, was Sie tun. Nutzen Sie die Regeln, damit Menschen Ihrem Unternehmen vertrauen und KI sicher bleibt.

Häufige Fragen

Was bedeutet „compliant by design“ für Copilot?

„Compliant by design“ bedeutet, dass Copilot integrierte Funktionen mitbringt, die Ihnen helfen, Vorgaben einzuhalten. Sie müssen Ihre Compliance trotzdem einrichten, überprüfen und nachweisen. Sie können sich nicht allein auf Funktionen des Herstellers verlassen.

Brauche ich eine DPIA für Copilot oder ChatGPT?

Ja. Für jeden KI-Anwendungsfall müssen Sie eine Datenschutz-Folgenabschätzung (DPIA) durchführen. So erkennen Sie Risiken und zeigen Aufsichtsbehörden, dass Sie Datenschutz ernst nehmen.

Wie weise ich die Einhaltung des EU AI Act nach?

Sie müssen Nachweise führen, Kontrollen einrichten und Protokolle vorlegen. Aufsichtsbehörden wollen Belege sehen, keine Versprechen. Nutzen Sie Audit-Protokolle, Risikodokumente und Schulungsnachweise als Beleg.

Kann ich das öffentliche ChatGPT für Aufgaben mit hohem Risiko nutzen?

Nein. Das öffentliche ChatGPT verfügt nicht über integrierte Kontrollen für Aufgaben mit hohem Risiko. Sie müssen eigene Sicherheitsprüfungen ergänzen. Für sensible Einsatzzwecke wählen Sie Werkzeuge mit starken Compliance-Funktionen.

Welchen größten Fehler machen Betreiber?

Viele glauben, dass Herstellerwerkzeuge allein für Compliance sorgen. Sie müssen alles konfigurieren, überwachen und dokumentieren. Nachweise zählen mehr als Versprechen.

Das könnte Sie auch interessieren

Wenn Sie sich mit EU AI Act und Microsoft Copilot beschäftigen, ergänzen diese Folgen praktischen Kontext zu Umsetzung, Architektur, Sicherheit und Governance:

• Microsoft Teams Governance – The Illusion of Control — Erfahren Sie, wie Verantwortlichkeit, Richtlinien und Lebenszyklus-Entscheidungen zuverlässige Microsoft 365-Abläufe prägen.
• Microsoft AI Agent Harness – Simply Explained — Verstehen Sie Orchestrierung, Leitplanken, Evaluierung und Observability für KI-gestützte Abläufe.
• Azure AI Foundry – Simply Explained — Lernen Sie, wie unternehmensweite KI-Lösungen entwickelt, evaluiert, bereitgestellt und gesteuert werden.
• Microsoft Defender XDR – Simply Explained — Verbinden Sie Implementierungsentscheidungen mit Sicherheitstransparenz, Untersuchung und Reaktion.