Microsoft 365 CoPilot und der EU AI Act

## Wenn die Geschäftsführung nach den Regeln für KI fragt Stellen Sie sich eine Geschäftsführungssitzung vor. CoPilot soll eingeführt werden, das Interesse ist groß – dann fällt die Frage: „Und was ist mit dem EU AI Act? Dürfen wir das überhaupt?" Im Raum entsteht Unsicherheit, oft gefolgt von Aktionismus oder Aufschub. Beides lässt sich vermeiden, wenn man die wichtigsten Punkte ruhig einordnet. ## Was der EU AI Act für den CoPilot-Einsatz bedeutet Der EU AI Act schafft erstmals einen verbindlichen Rechtsrahmen für den Einsatz von KI in der EU. Er verfolgt einen **risikobasierten Ansatz**: Je höher das Risiko einer KI-Anwendung für Menschen, desto strenger die Pflichten. Die Kategorien reichen von verbotenen Praktiken über Hochrisiko-Anwendungen und Anwendungen mit Transparenzpflichten bis zu Systemen mit minimalem Risiko. Die Pflichten greifen dabei gestaffelt über mehrere Jahre. > Dieser Beitrag ordnet ein und gibt Orientierung. Eine verbindliche rechtliche Bewertung ersetzt er nicht – dafür ist im Zweifel rechtlicher Rat sinnvoll. ## In welche Risikoklasse Microsoft 365 CoPilot fällt Für die meisten Büro-Anwendungsfälle – Entwürfe, Zusammenfassungen, Recherche, Protokolle – gilt CoPilot als KI mit **begrenztem Risiko**. Entscheidend ist dabei eine oft übersehene Tatsache: **Über die Risikoklasse entscheidet der Anwendungsfall.** Wer CoPilot für alltägliche Aufgaben nutzt, bewegt sich im Bereich geringer Pflichten. Würde ein Unternehmen KI dagegen für sensible Entscheidungen einsetzen – etwa in der Bewerberauswahl –, gälten deutlich strengere Hochrisiko-Anforderungen. Für den typischen Einsatz im Mittelstand stehen damit vor allem **Transparenz** und **AI-Kompetenz** im Vordergrund. ## Die wichtigsten Pflichten: Transparenz, Governance, Datenschutz Drei Bereiche sind für den Alltag besonders relevant: - **Transparenz:** Mitarbeitende sollten wissen, wann sie mit KI-gestützten Funktionen arbeiten und wann Inhalte KI-unterstützt entstehen. Offenheit schafft Vertrauen und beugt Missverständnissen vor. - **Governance:** Klare Verantwortlichkeiten, einfache Freigabeprozesse und ein Verzeichnis der eingesetzten KI-Funktionen geben Orientierung – intern und gegenüber Prüfern. - **Datenschutz:** CoPilot arbeitet mit den Inhalten, auf die der jeweilige Nutzer ohnehin Zugriff hat. Fehlerhafte Berechtigungen werden dadurch sichtbar – ein weiterer Grund, SharePoint-Zugriffe vor dem Rollout zu ordnen. ## AI-Kompetenz: Warum Befähigung zur Pflicht wird Ein Punkt wird häufig unterschätzt: Der EU AI Act erwartet, dass Unternehmen für eine **ausreichende KI-Kompetenz** ihrer Mitarbeitenden sorgen. Wer KI einsetzt, soll verstehen, was das Werkzeug kann, wo seine Grenzen liegen und wie Ergebnisse zu prüfen sind. Befähigung zahlt damit doppelt ein: für die Adoption und für die Regulierung. Schulung und klare Anleitungen sind so kein Zusatz, sondern Teil der Einführung. ## Was das für Geschäftsführung, IT und Datenschutz heißt Für die Geschäftsführung ist der EU AI Act ein Thema der Verantwortung und des Vertrauens – gegenüber Mitarbeitenden, Kunden und Aufsicht. Für die IT geht es um Transparenz und Nachvollziehbarkeit des Einsatzes. Für den Datenschutz um die saubere Grundlage bei Daten und Berechtigungen. Gemeinsam bearbeitet, wird aus einer diffusen Sorge eine überschaubare Aufgabenliste. ## Ein Beispiel aus der Praxis Stellen Sie sich zwei Unternehmen vor. Das erste zögert: „Lieber warten, bis alles geklärt ist." Das zweite nimmt sich einen halben Tag, listet die geplanten CoPilot-Anwendungsfälle, hält fest, wofür KI genutzt wird, und schreibt eine einseitige Nutzungsrichtlinie. Wenige Wochen später startet das zweite Unternehmen kontrolliert – mit klarer Linie und ruhigem Gewissen. Das erste diskutiert noch. ## Was Sie jetzt konkret tun sollten Vor dem Start helfen fünf Schritte: 1. **Verzeichnis anlegen:** Halten Sie fest, welche KI-Funktionen Sie einsetzen und wofür. 2. **Transparenz herstellen:** Informieren Sie Mitarbeitende offen über den Einsatz von CoPilot. 3. **Berechtigungen prüfen:** Ordnen Sie SharePoint- und Teams-Zugriffe vor dem Rollout. 4. **Nutzungsrichtlinie schreiben:** Eine kurze, verständliche Richtlinie gibt Orientierung im Alltag. 5. **AI-Kompetenz aufbauen:** Befähigen Sie Mitarbeitende, Ergebnisse einzuordnen und zu prüfen. ## Typische Fehler beim Umgang mit dem EU AI Act - Den EU AI Act als Grund nehmen, KI ganz aufzuschieben. - In Aktionismus verfallen und überkomplexe Prozesse aufsetzen. - Transparenz gegenüber Mitarbeitenden vergessen. - Berechtigungen und Datenschutz erst nach dem Rollout betrachten. - AI-Kompetenz als „nice to have" behandeln. ## So ordnen Sie CoPilot und EU AI Act pragmatisch ein Ein ruhiger Umgang beginnt mit einer kurzen Standortbestimmung: Welche Anwendungsfälle sind geplant, wie ist die Datenlage, welche Transparenz- und Schulungsschritte braucht es? Aus diesen Antworten entsteht eine schlanke, angemessene Governance – stark genug für Vertrauen, schlank genug für den Alltag. > Governance ist die Voraussetzung für vertrauenswürdigen KI-Einsatz. ## Fazit: Governance schafft vertrauenswürdigen KI-Einsatz Der EU AI Act ist für den typischen CoPilot-Einsatz im Mittelstand gut beherrschbar. Wer Transparenz schafft, Berechtigungen ordnet, eine schlanke Nutzungsrichtlinie aufsetzt und Mitarbeitende befähigt, erfüllt die wesentlichen Erwartungen – und gewinnt zugleich Akzeptanz und Vertrauen. Aus einer regulatorischen Sorge wird so ein Vorsprung. ## Ihr nächster Schritt zu einem geordneten CoPilot-Einsatz Klären Sie Anwendungsfälle, Transparenz und Datenlage, bevor Sie CoPilot breit ausrollen. Eine strukturierte Standortbestimmung mit dem CoPilot Compass zeigt, wo Sie stehen und welche Governance-Schritte als Nächstes sinnvoll sind.