Microsoft Copilot oder eigene KI: Wem gehören am Ende die Daten?

Wer Microsoft Copilot einführt, verlagert die Verarbeitung interner Dokumente, Mails und Chats in die Cloud von Microsoft; wer eine eigene KI betreibt, behält diese Verarbeitung im eigenen Einflussbereich. Welche Wahl richtig ist, hängt weniger von der Modellqualität ab als von einer Frage, die viele Unternehmen erst nach der Einführung stellen: Wer darf, wer kann und wer muss auf diese Daten zugreifen?

Was Microsoft Copilot mit Ihren Daten tut

Copilot in Word, Outlook, Teams und SharePoint greift auf alles zu, was der angemeldete Mitarbeiter sehen darf: Mails, Dateien, Chats, Kalender. Genau das macht das Werkzeug nützlich, und genau das ist das Risiko. Berechtigungen, die in vielen Unternehmen seit Jahren zu großzügig vergeben sind, werden plötzlich durchsuchbar. Ein Gehaltsdokument, das versehentlich in einem offenen Teamordner liegt, war früher praktisch unsichtbar. Jetzt genügt eine Frage.

Zur Frage des Trainings ist Fairness angebracht: Microsoft sagt zu, Kundeninhalte aus Copilot nicht zum Training seiner Basismodelle zu verwenden. Das eigentliche Thema ist nicht Training, sondern Zugriff. Die Verarbeitung findet auf Infrastruktur eines US-Konzerns statt, der dem CLOUD Act unterliegt. US-Behörden können die Herausgabe verlangen, auch wenn die Daten in einem europäischen Rechenzentrum liegen. Kein Vertrag hebt dieses Gesetz auf.

Der AVV reicht nicht für Prompts, die Ihre Mitarbeiter eingeben

Ein Auftragsverarbeitungsvertrag regelt, was der Anbieter mit den Daten tun darf. Er regelt nicht, was Ihre Mitarbeiter hineinschreiben. Der Vertrag mit Microsoft deckt die Verarbeitung ab, aber nicht die Frage, ob die Kundenliste, der Entwurf des Sozialplans oder die Patentskizze überhaupt in einen Prompt gehört. Diese Entscheidung fällt täglich am Arbeitsplatz, ohne Datenschutzbeauftragten.

Für Sie als Verantwortlichen heißt das: Sie brauchen neben dem AVV eine Regel, welche Datenklassen in welches System dürfen, und eine technische Grenze, die diese Regel durchsetzt. Ein Blatt mit Richtlinien hält niemanden auf. Die Nutzung ist bequem, und bequem gewinnt.

Eigene KI: volle Kontrolle über Ihre Daten, aber nicht umsonst

Eine eigene KI-Infrastruktur läuft dort, wo Sie es bestimmen: im eigenen Rechenzentrum oder bei einem europäischen Anbieter, der weder dem CLOUD Act noch einem anderen Drittstaatengesetz unterliegt. Sie entscheiden, welche Daten das Modell sieht, wie lange Eingaben gespeichert werden und ob ein Protokoll jede Anfrage festhält. Für regulierte Bereiche, etwa Versicherer oder Finanzdienstleister, ist dieses Protokoll oft der Punkt, an dem Copilot scheitert: Was gefragt wurde und welche Quellen die Antwort gespeist haben, lässt sich dort nur eingeschränkt nachvollziehen.

Die Grenze benennen wir offen. Eine eigene KI braucht Betrieb: Modelle aktualisieren, Sicherheitslücken schließen, Kapazität planen. Wer das nicht leisten kann und keinen Partner dafür hat, ist mit Copilot und einem strengen Berechtigungskonzept besser bedient als mit einem Eigenbetrieb, der nach einem Jahr verwaist.

Kosten: Abo je Kopf gegen Investition in eigene Infrastruktur

Copilot wird je Nutzer und Monat abgerechnet, so lange Sie es nutzen; die Summe wächst mit der Belegschaft, und Sie erwerben nichts. Eine eigene KI kostet zu Beginn mehr und danach Betrieb, unabhängig von der Kopfzahl. Ab welcher Nutzerzahl sich das dreht, hängt von Ihrem Fall ab, und niemand kann Ihnen diese Zahl ohne Blick auf Ihre tatsächliche Nutzung nennen. Wer sie trotzdem verspricht, rät.

Was sich nachweisen lässt und was nicht

Mit einer eigenen KI können Sie belegen, dass Eingaben und Dokumente Ihr Unternehmen nicht verlassen haben, mit Protokoll und Speicherort auf Ihrer Seite. Mit Copilot belegen Sie, dass Microsoft es vertraglich zugesichert hat. Das ist ein Unterschied, wenn ein Kunde, ein Wirtschaftsprüfer oder eine Aufsicht fragt. Beide Wege sind vertretbar. Nur bei einem davon antworten Sie selbst.

Prüfen Sie zuerst, was heute in Prompts landet

Bevor Sie zwischen Copilot und eigener KI entscheiden, sollten Sie wissen, welche Daten Ihre Mitarbeiter bereits in KI-Werkzeuge eingeben, mit oder ohne Lizenz. Fragen Sie in zwei Abteilungen offen nach und schreiben Sie die Datenklassen auf. Mit dieser Liste buchen Sie den kostenlosen Potenzial-Check. In einer halben Stunde ordnen wir gemeinsam ein, welche Daten in eine eigene KI gehören, welche bei Copilot gut aufgehoben sind und wie eine technische Grenze zwischen beiden aussieht.