Einsatz von Microsoft Copilot und der EU AI Act – Datenschutz für Unternehmen

Die EU-Verordnung über Künstliche Intelligenz (AI Act, Verordnung (EU) 2024/1689) wurde am 13. März 2024 vom Europäischen Parlament und am 21. Mai 2024 vom Rat angenommen und ist am 1. August 2024 in Kraft getreten. Sie schafft erstmals einen einheitlichen Rechtsrahmen für KI-Systeme in der EU und gilt gestaffelt (Art. 113 AI Act): Die Verbote nach Art. 5 und die Vorgaben zur KI-Kompetenz nach Art. 4 gelten seit dem 2. Februar 2025, die Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck seit dem 2. August 2025, die Transparenzpflichten nach Art. 50 grundsätzlich seit dem 2. August 2026. Durch die Änderungsverordnung (EU) 2026/1744 („Digital Omnibus on AI“), in Kraft seit dem 27. Juli 2026, wurden die Pflichten für Hochrisiko-KI-Systeme verschoben: für Systeme nach Anhang III auf den 2. Dezember 2027, für KI in Produkten nach Anhang I auf den 2. August 2028. Unternehmen, die KI-Tools wie Microsoft Copilot nutzen, sollten sich mit den Anforderungen vertraut machen, um Datenschutz, DSGVO-Compliance und KI-Compliance sicherzustellen.

Der AI Act unterscheidet vor allem zwischen Anbietern und Betreibern von KI-Systemen. Wer Microsoft Copilot lediglich im eigenen Unternehmen einsetzt, ist in der Regel Betreiber (Art. 3 Nr. 4 AI Act), nicht Anbieter, und unterliegt daher nicht den Anbieterpflichten (z. B. Art. 16 ff. AI Act für Hochrisiko-Systeme). Die besonderen Betreiberpflichten nach Art. 26 AI Act gelten nur für Hochrisiko-KI-Systeme. Ein allgemeiner Assistent wie Copilot ist nicht per se hochriskant; das kann sich aber ändern, wenn er für Zwecke nach Anhang III eingesetzt wird, etwa zur Auswahl von Bewerbern oder für Entscheidungen über Beschäftigte (Anhang III Nr. 4).

Unabhängig von der Risikoklasse gilt für Betreiber Art. 4 AI Act: In der seit dem 27. Juli 2026 geltenden Fassung müssen Anbieter und Betreiber Maßnahmen treffen, um die KI-Kompetenz der Personen zu fördern, die mit Betrieb und Nutzung der KI-Systeme befasst sind; ein bestimmtes individuelles Kompetenzniveau müssen sie nicht garantieren. Mitarbeitende, die Microsoft Copilot nutzen, sollten daher geschult werden. Transparenzpflichten nach Art. 50 AI Act treffen überwiegend die Anbieter, etwa die Pflicht, KI-Systeme so zu gestalten, dass Menschen erkennen, dass sie mit einer KI interagieren (Art. 50 Abs. 1). Betreiber müssen insbesondere offenlegen, wenn sie Deepfakes erzeugen oder KI-generierte Texte zur Information der Öffentlichkeit über Angelegenheiten von öffentlichem Interesse veröffentlichen, sofern diese nicht menschlich überprüft und redaktionell verantwortet wurden (Art. 50 Abs. 4). Nach unserer Einschätzung gehören darüber hinaus eine zweckgebundene Nutzung, die Einhaltung von DSGVO, Arbeitsrecht und Urheberrecht sowie eine angemessene menschliche Kontrolle zur guten Praxis: Entscheidungen sollten stets von Menschen verantwortet werden. Bei sensiblen Einsatzbereichen wie Personalprozessen ist eine nachvollziehbare Protokollierung empfehlenswert.

Auch wenn der AI Act die DSGVO nicht verändert, ergeben sich wichtige Schnittstellen. Die Nutzung von Microsoft Copilot muss auf einer tragfähigen Rechtsgrundlage beruhen, je nach Zweck etwa auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO, bei besonderen Kategorien personenbezogener Daten zusätzlich auf einer Ausnahme nach Art. 9 Abs. 2 DSGVO. Datenschutzhinweise sollten um KI-spezifische Inhalte ergänzt werden, um den Informationspflichten aus Art. 13 und 14 DSGVO nachzukommen. Betroffenenrechte und Transparenz gemäß Art. 5 Abs. 1 lit. a DSGVO müssen gewahrt bleiben. Unternehmen sollten zudem ihre Auftragsverarbeitungsvereinbarung mit Microsoft prüfen. Für Microsoft 365 Copilot gelten nach Angaben von Microsoft das Microsoft Products and Services Data Protection Addendum (DPA) und die Produktbestimmungen; zu prüfen ist insbesondere, wie die Verarbeitung von Eingaben und Ausgaben, Speicherorte und Unterauftragsverarbeiter geregelt sind.

Aus Sicht der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO ist es empfehlenswert, interne Datenschutzrichtlinien um einen Abschnitt „Einsatz von Künstlicher Intelligenz“ zu erweitern. Darin sollten der Einsatz von Microsoft Copilot, Zweck und Umfang der Nutzung, getroffene Schutzmaßnahmen und der Umgang mit KI-generierten Inhalten klar beschrieben werden. Ergibt die Risikobewertung voraussichtlich ein hohes Risiko, etwa weil besonders sensible Daten mit Hilfe von Copilot verarbeitet werden, ist eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO durchzuführen. Schulungen und Sensibilisierungen der Mitarbeitenden zur sicheren und DSGVO-konformen Nutzung von KI gehören ebenfalls dazu.

Unternehmen, die Microsoft Copilot nutzen, haben damit einen klaren Handlungsrahmen: Auch ohne Anbieterpflichten bestehen Pflichten zur transparenten, sicheren und rechtmäßigen Nutzung. Wer interne Richtlinien anpasst, Vertragswerke prüft und Mitarbeitende schult, erfüllt die wesentlichen Anforderungen aus AI Act und DSGVO und stärkt das Vertrauen von Kunden, Mitarbeitenden und Geschäftspartnern in den verantwortungsvollen Umgang mit Künstlicher Intelligenz.