Microsoft 365 Copilot einführen: Checkliste für den Mittelstand

Bevor Sie Microsoft 365 Copilot im Unternehmen freischalten, sollten Sie fünf Dinge erledigen: Berechtigungen in SharePoint, OneDrive und Teams aufräumen, mit einer Pilotgruppe starten, die Beschäftigten schulen, Nutzungsregeln festlegen und vorab bestimmen, woran Sie den Nutzen messen. Der wichtigste Schritt ist das Aufräumen. Copilot findet alles, worauf die angemeldete Person zugreifen darf, auch Dateien, die versehentlich für zu viele Personen freigegeben sind.

Diese Checkliste richtet sich an Geschäftsführung, IT und Projektverantwortliche in Unternehmen mit etwa 20 bis 500 Beschäftigten. Sie gibt den Stand Oktober 2026 wieder. Wo sie Datenschutz und Mitbestimmung berührt, ist sie keine Rechtsberatung.

Was Copilot anders macht als ChatGPT

ChatGPT kennt nur, was Sie hineinkopieren. Microsoft 365 Copilot arbeitet dagegen mit Ihrem Arbeitskonto und kann auf Mails, Teams-Chats, Besprechungen und Dateien zugreifen, und zwar auf alles, wofür die Person eine Berechtigung hat.

Darin liegt der Nutzen: Copilot fasst den Mailverlauf mit einem Lieferanten zusammen, findet das letzte Angebot an einen Kunden oder macht aus einem Besprechungsprotokoll eine Aufgabenliste. Darin liegt aber auch das Risiko. Liegt die Gehaltsliste in einem offenen Teams-Kanal oder die Kalkulation in einem SharePoint-Ordner, den das ganze Unternehmen sehen darf, findet Copilot sie auf Nachfrage. Copilot verursacht dann kein Datenleck, es macht ein vorhandenes sichtbar.

Microsoft bietet Copilot in mehreren Varianten an, die sich darin unterscheiden, ob und wie weit sie auf Ihre Mails, Dateien und Besprechungen zugreifen. Diese Checkliste betrifft vor allem die Variante mit Zugriff auf Ihre Arbeitsdaten. Funktionsumfang, Bezeichnungen und Lizenzbedingungen ändern sich regelmäßig. Aktuelle Preise und Voraussetzungen erfahren Sie bei Microsoft oder Ihrem Microsoft-Partner.

Schritt 1: Ziele und Rahmen klären

Legen Sie vor dem Kauf fest, wofür Copilot eingesetzt werden soll. Drei bis fünf konkrete Anwendungsfälle genügen für den Anfang, zum Beispiel:

• Vertrieb: Gesprächsnotizen zusammenfassen und Angebotsmails vorbereiten.
• Einkauf: Angebote mehrerer Lieferanten in einer Tabelle gegenüberstellen.
• Buchhaltung: Auswertungen in Excel erstellen und Formeln erklären lassen.
• HR: Stellenanzeigen und interne Mitteilungen entwerfen, ausdrücklich ohne Bewertung von Bewerbungen.
• Produktion und Arbeitsvorbereitung: Arbeitsanweisungen verständlich formulieren und Schichtübergaben zusammenfassen.

Klären Sie außerdem früh:

• Datenschutz: Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter prüft den Einsatz, die Vertragsgrundlagen mit Microsoft und ob weitere Schritte wie eine Datenschutz-Folgenabschätzung nötig sind.
• Betriebsrat: Copilot erzeugt Nutzungsdaten und kann Besprechungen auswerten. Ein Mitbestimmungsrecht kommt insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG in Betracht, wenn eine technische Einrichtung geeignet ist, Verhalten oder Leistung zu überwachen. Binden Sie den Betriebsrat vor dem Pilotbetrieb ein.
• Verantwortung: Eine Person steuert das Projekt und ist Ansprechperson für Fragen.

Schritt 2: Berechtigungen aufräumen

Dieser Schritt entscheidet über einen sicheren Einsatz. In vielen Unternehmen sind über Jahre Teams, SharePoint-Websites und Freigabelinks entstanden, die niemand mehr überblickt. Gehen Sie systematisch vor:

• Sensible Bereiche zuerst: Personal, Gehälter, Geschäftsführung, Kalkulation, Verträge, Konstruktionsdaten. Prüfen Sie, wer hier wirklich Zugriff hat.
• Offene Teams und Websites: Öffentliche Teams und Websites, die für alle im Unternehmen freigegeben sind, auf vertrauliche Inhalte prüfen und bei Bedarf auf privat umstellen.
• Unternehmensweite Freigabelinks: Links, die für alle im Unternehmen gelten, durch Freigaben für bestimmte Personen ersetzen.
• OneDrive: Breit geteilte Ordner in persönlichen Ablagen aufspüren, vor allem bei Führungskräften und in HR.
• Verwaiste Bereiche: Teams und Websites ohne aktive Besitzer, alte Projektordner und Konten ehemaliger Beschäftigter bereinigen.
• Gastzugänge: Externe Gäste in Teams prüfen und nicht mehr benötigte Zugänge entfernen.
• Kennzeichnung: Wenn Ihre Lizenz Vertraulichkeitsbezeichnungen enthält, kennzeichnen Sie besonders schützenswerte Dokumente.

Ein einfacher Test vor dem Start: Die IT meldet sich mit einem Testkonto an, das die Rechte einer typischen Sachbearbeiterin hat, und fragt Copilot gezielt nach Begriffen wie „Gehalt“, „Kündigung“, „Marge“ oder „Passwort“. Was dabei auftaucht, wird vor dem Rollout bereinigt.

Microsoft stellt im Admin Center und in Microsoft Purview Werkzeuge bereit, die bei der Suche nach zu weit freigegebenen Inhalten helfen. Welche davon Ihnen zur Verfügung stehen, hängt von Ihrer Lizenz ab.

Schritt 3: Mit einer Pilotgruppe starten

Schalten Sie Copilot zuerst für eine kleine Gruppe frei, etwa 10 bis 20 Personen aus verschiedenen Abteilungen. Sechs bis acht Wochen sind ein sinnvoller Zeitraum, um belastbare Erfahrungen zu sammeln.

Achten Sie bei der Auswahl auf eine gute Mischung:

• Personen, die viel mit Mails, Dokumenten und Besprechungen arbeiten
• mindestens eine Person aus jeder Abteilung, die Copilot später nutzen soll
• auch skeptische Kolleginnen und Kollegen, deren Rückmeldungen besonders wertvoll sind
• eine Person aus IT oder Datenschutz, die auffällige Funde schnell einordnet

Vereinbaren Sie mit der Pilotgruppe einen kurzen wöchentlichen Austausch von etwa 15 Minuten: Was hat geholfen, wo lag Copilot daneben, was ist aufgefallen? Gute Prompts sammeln Sie in einer gemeinsamen Liste. Sie werden später zur Grundlage für das ganze Team.

Schritt 4: Die Beschäftigten schulen

Copilot ist kein Selbstläufer. Wer nicht weiß, wie Sprachmodelle arbeiten, übernimmt plausible, aber falsche Zusammenfassungen und wundert sich über schwache Ergebnisse. Eine Schulung vor der Freischaltung sollte abdecken:

• wie Sprachmodelle Texte erzeugen und warum sie Fehler machen
• wie gute Prompts aufgebaut sind, mit Beispielen aus dem eigenen Arbeitsalltag
• dass Copilot mit den eigenen Berechtigungen arbeitet und was zu tun ist, wenn Inhalte auftauchen, die man nicht sehen sollte
• wie man Quellenangaben öffnet und Ergebnisse prüft
• welche Daten geschützt werden müssen und welche Einsätze ausgeschlossen sind
• typische Risiken wie versteckte Anweisungen in fremden Dokumenten (Prompt Injection) und Deepfake-Betrug

Die Schulung ist zugleich eine Maßnahme nach Art. 4 KI-VO. Seit dem Digital Omnibus verlangt diese Vorschrift von Unternehmen, die KI einsetzen, Maßnahmen zur Unterstützung der KI-Kompetenz ihres Personals. Dokumentieren Sie Art, Inhalt, Umfang und Teilnehmende. Wie das geht, zeigt unser Artikel KI-Kompetenz nachweisen.

Schritt 5: Nutzungsregeln festlegen

Halten Sie die Regeln für Copilot in Ihrer KI-Richtlinie fest. Wichtige Punkte:

• Nur mit dem Arbeitskonto: Copilot mit einem privaten Microsoft-Konto ist für dienstliche Inhalte tabu.
• Ergebnisse prüfen: Zusammenfassungen und Entwürfe werden gelesen, Zahlen und Termine abgeglichen, Quellen geöffnet.
• Besprechungen: Transkription und Zusammenfassung nur, wenn das Unternehmen sie erlaubt und alle Teilnehmenden Bescheid wissen, auch externe Gäste.
• Keine Entscheidungen über Menschen: keine Bewertung von Bewerbungen, Leistung oder Verhalten mit Copilot. KI für die Auswahl von Bewerbungen fällt in den Hochrisiko-Bereich der KI-Verordnung.
• Daten-Ampel: Auch mit Unternehmenskonto gelten die Grenzen für rote Daten aus Ihrer Richtlinie.
• Meldeweg: Wer über Copilot auf Inhalte stößt, die er nicht sehen sollte, meldet das sofort der IT.

Als Grundlage können Sie unser Muster für eine KI-Richtlinie mit zwölf Regeln verwenden.

Schritt 6: Den Nutzen messen

Ob sich Copilot lohnt, zeigt sich nicht am Gefühl, sondern im Vergleich. Messen Sie vor dem Pilotbetrieb, wie lange ausgewählte Aufgaben heute dauern, und wiederholen Sie die Messung nach einigen Wochen. Eine einfache Tabelle genügt:

Ergänzen Sie die Zahlen um eine kurze Befragung der Pilotgruppe: Welche Aufgaben sind leichter geworden? Wo kostet Copilot mehr Zeit, als es spart? Wie oft waren Ergebnisse fehlerhaft?

Microsoft bietet Nutzungsberichte, die zeigen, wie oft Copilot verwendet wird. Werten Sie solche Daten möglichst zusammengefasst aus, nicht pro Person, und stimmen Sie die Auswertung mit dem Datenschutz und gegebenenfalls dem Betriebsrat ab.

Am Ende des Pilots entscheiden Sie: Für welche Rollen lohnt sich eine Lizenz, für welche nicht? Nicht jede Person braucht Copilot. Eine gezielte Vergabe ist oft wirtschaftlicher als eine Lizenz für alle.

Die Checkliste auf einen Blick

1. Drei bis fünf Anwendungsfälle mit den Abteilungen festgelegt
2. Lizenzbasis und Voraussetzungen mit Microsoft oder dem Partner geklärt
3. Datenschutzbeauftragte oder Datenschutzbeauftragter eingebunden
4. Betriebsrat informiert und beteiligt, falls vorhanden
5. Projektverantwortliche Person benannt
6. Berechtigungen für sensible Bereiche geprüft und bereinigt
7. Öffentliche Teams, offene Websites und unternehmensweite Links geprüft
8. Verwaiste Bereiche, alte Konten und Gastzugänge bereinigt
9. Test mit einem typischen Benutzerkonto durchgeführt
10. Pilotgruppe aus mehreren Abteilungen ausgewählt
11. Ausgangswerte für die Nutzenmessung erhoben
12. Schulung vor der Freischaltung durchgeführt und dokumentiert
13. Nutzungsregeln in der KI-Richtlinie ergänzt und bekannt gemacht
14. Meldeweg für überraschende Funde festgelegt
15. Pilot ausgewertet und über den weiteren Rollout entschieden

Schulung und nächste Schritte

Für Schritt 4 können Sie auf einen fertigen Kurs zurückgreifen. Der Selbstlernkurs KI-Kompetenz von Codext erklärt in rund 60 Minuten, wie Copilot und andere Sprachmodelle arbeiten, warum Copilot mit Ihren Berechtigungen arbeitet, wie man gute Ergebnisse bekommt und welche Daten geschützt werden müssen. Sie erhalten Teilnahmebestätigungen, die Nachweis-Dokumentation und einen Generator für Ihre KI-Richtlinie, zum Pauschalpreis ab 290 Euro netto.

Zeigt sich im Pilot, dass ein bestimmter Ablauf mehr braucht als einen Assistenten, etwa die Erfassung von Bestellungen aus Mails, hilft die KI-Automatisierung zum Festpreis: Wir automatisieren einen Geschäftsprozess mit KI, live in drei Wochen, für 4.900 Euro netto. Der Einstieg ist ein kostenloser Automatisierungs-Check von 30 Minuten.

Häufige Fragen

Braucht jede Person im Unternehmen eine Copilot-Lizenz?

Nein. Starten Sie mit den Rollen, die am meisten mit Mails, Dokumenten und Besprechungen arbeiten, und entscheiden Sie nach dem Pilot, wer Copilot wirklich braucht.

Kann Copilot Daten sehen, auf die ich keinen Zugriff habe?

Nein. Copilot greift nur auf Inhalte zu, für die die angemeldete Person eine Berechtigung hat. Das Problem sind Inhalte, die zu weit freigegeben sind. Deshalb steht das Aufräumen der Berechtigungen am Anfang.

Werden unsere Daten zum Training der KI verwendet?

Bei Unternehmenskonten der großen Anbieter ist das vertraglich in der Regel ausgeschlossen. Prüfen Sie die aktuellen Vertragsbedingungen von Microsoft gemeinsam mit Ihrer Datenschutzbeauftragten oder Ihrem Datenschutzbeauftragten.

Muss der Betriebsrat der Einführung zustimmen?

Das hängt vom Einzelfall ab. Ein Mitbestimmungsrecht kommt insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG in Betracht, wenn Copilot oder seine Nutzungsberichte geeignet sind, Verhalten oder Leistung zu überwachen. Eine frühe Einbindung und eine Betriebsvereinbarung schaffen Klarheit.

Ist eine Schulung vor der Einführung vorgeschrieben?

Art. 4 KI-VO verlangt von Unternehmen, die KI einsetzen, Maßnahmen zur Unterstützung der KI-Kompetenz. Eine bestimmte Form ist nicht vorgeschrieben. Eine kurze Schulung vor der Freischaltung ist der naheliegende Weg und verbessert zugleich die Ergebnisse.