Microsoft Copilot und der EU AI Act: Welche Pflichten gelten bei beruflicher Nutzung?

Microsoft Copilot ist ein assistenz-ki in office des Anbieters Microsoft (USA / EU-Datengrenze verfügbar). Wer das Tool beruflich einsetzt, ist im Sinne des EU AI Act in aller Regel Betreiber – und damit von einem überschaubaren, aber verbindlichen Pflichtenkreis betroffen. Diese Seite zeigt konkret, was das für dich bedeutet.

Kurz gesagt

• Deine Rolle: Betreiber. Microsoft ist Anbieter; bei Copilot Studio kannst du zum Anbieter eines eigenen KI-Systems werden.
• Kennzeichnung: Interne Nutzung ist nicht kennzeichnungspflichtig. Sobald du damit gebaute Bots nach außen stellst, gilt Art. 50.
• Größtes Risiko: Copilot greift auf alles zu, was der jeweilige Nutzer im Microsoft-365-Tenant sehen darf. Falsch gesetzte SharePoint-Berechtigungen werden dadurch plötzlich sichtbar – "Oversharing" ist das meistunterschätzte Risiko.
• Seit wann: Die Transparenzpflichten aus Artikel 50 gelten seit dem 2. August 2026.

Wofür Microsoft Copilot typischerweise genutzt wird

In der Praxis begegnet uns Microsoft Copilot vor allem in diesen Situationen:

• Word- und PowerPoint-Entwürfe
• Excel-Auswertungen
• Teams-Meetings zusammenfassen
• Outlook-Antworten vorschlagen

Entscheidend ist nicht das Tool selbst, sondern was mit dem Ergebnis passiert. Ein Entwurf, der nur intern gelesen wird, ist rechtlich etwas völlig anderes als ein Text, der veröffentlicht wird oder in eine Entscheidung über einen Menschen einfließt.

Datenschutz: der Punkt, an dem es meistens klemmt

Copilot greift auf alles zu, was der jeweilige Nutzer im Microsoft-365-Tenant sehen darf. Falsch gesetzte SharePoint-Berechtigungen werden dadurch plötzlich sichtbar – "Oversharing" ist das meistunterschätzte Risiko.

Auftragsverarbeitung: Über die Microsoft Products and Services Data Protection Addendum (DPA) bereits abgedeckt, wenn ein M365-Business-Vertrag besteht.

Die häufigste Stolperfalle

Meeting-Transkripte in Teams sind personenbezogene Daten. Ohne Information der Teilnehmer und ohne Betriebsvereinbarung wird die Aufzeichnung zum Mitbestimmungs- und Datenschutzthema.

Musst du Inhalte aus Microsoft Copilot kennzeichnen?

Interne Nutzung ist nicht kennzeichnungspflichtig. Sobald du damit gebaute Bots nach außen stellst, gilt Art. 50.

Die Grundregel aus Artikel 50: Menschen müssen erkennen können, dass sie mit einer KI sprechen oder KI-generierte Inhalte vor sich haben. Bei Deepfakes – also Bild, Ton oder Video, das real wirkt, es aber nicht ist – gilt die Offenlegungspflicht seit dem 2. August 2026 ausnahmslos. Für Systeme, die schon vorher im Einsatz waren, lief eine Schonfrist bis zum 2. Dezember 2026.

Hinweis zu GPAI-Modellen

Microsoft Copilot basiert auf einem General-Purpose-AI-Modell. Die besonderen GPAI-Pflichten treffen seit dem 2. August 2025 den Anbieter, nicht dich als Nutzer. Für dich ist nur relevant, dass du die Transparenzinformationen des Anbieters kennst und weitergeben kannst.

Fristen im Überblick

Pflicht	Gilt ab	Status
Art. 4 – KI-Kompetenz der Mitarbeiter	2. Februar 2025	gilt bereits
Art. 5 – Verbotene KI-Praktiken	2. Februar 2025	gilt bereits
Pflichten für GPAI-Modelle	2. August 2025	gilt bereits
Art. 50 – Transparenz und Kennzeichnung	2. August 2026	gilt bereits
Kennzeichnung von Bestandssystemen	2. Dezember 2026	Schonfrist läuft
Hochrisiko-Systeme nach Anhang III	2. Dezember 2027	verschoben, gilt ab
KI in regulierten Produkten (Anhang I)	2. August 2028	verschoben, gilt ab

Deine Checkliste für Microsoft Copilot

• Prüfen, ob ein AV-Vertrag mit dem Anbieter besteht.
• In den Einstellungen das Training mit deinen Daten deaktivieren, soweit möglich.
• Schriftlich festlegen, welche Daten nicht eingegeben werden dürfen.
• Mitarbeiter kurz unterweisen und die Unterweisung dokumentieren – das erfüllt Artikel 4.
• Veröffentlichte KI-Inhalte auf Kennzeichnungspflicht prüfen.
• Das Tool in ein einfaches KI-Inventar eintragen.

Wie du jetzt konkret weitermachst

Der schnellste Weg zu einer belastbaren Einschätzung führt über den kostenlosen Selbstcheck. Du beantwortest 12 kurze Fragen zu deinem tatsächlichen KI-Einsatz und bekommst sofort eine persönliche Auswertung – mit den Handlungsfeldern, die wirklich zu dir passen, statt allgemeiner Hinweise.

In der Auswertung findest du außerdem die passenden Arbeitshefte zu deinen Handlungsfeldern, mit denen du die Umsetzung Schritt für Schritt erledigst. Und wenn du deine Punkte abgearbeitet hast, kannst du dir dort dein kostenloses Badge für die eigene Website holen.

Häufige Fragen

Ist die Nutzung von Microsoft Copilot nach dem EU AI Act erlaubt?

Ja. Microsoft Copilot ist kein verbotenes System nach Artikel 5. Erlaubt heißt aber nicht pflichtfrei: Als Betreiber musst du die KI-Kompetenz deiner Mitarbeiter sicherstellen und die Transparenzpflichten nach Artikel 50 einhalten.

Muss ich Texte oder Bilder aus Microsoft Copilot kennzeichnen?

Interne Nutzung ist nicht kennzeichnungspflichtig. Sobald du damit gebaute Bots nach außen stellst, gilt Art. 50.

Brauche ich einen AV-Vertrag für Microsoft Copilot?

Über die Microsoft Products and Services Data Protection Addendum (DPA) bereits abgedeckt, wenn ein M365-Business-Vertrag besteht. Sobald personenbezogene Daten verarbeitet werden, ist er nach Artikel 28 DSGVO Pflicht.

Ist Microsoft Copilot ein Hochrisiko-KI-System?

In der normalen Anwendung nein. Hochrisiko wird es durch den Einsatzzweck: Wer Microsoft Copilot zur Bewertung von Bewerbern, zur Kreditvergabe oder in vergleichbaren Bereichen nach Anhang III einsetzt, fällt unter die strengeren Regeln, die ab dem 2. Dezember 2027 greifen.

Passend dazu

• KI-Chatbot kennzeichnen 2026: Pflicht, Hinweistexte und Beispiele
• EU AI Act für Rechtsanwälte: Welche KI-Pflichten gelten in der Anwaltskanzlei?
• Claude Datenschutz 2026: Ist Anthropic Claude im Unternehmen DSGVO-konform?
• KI-Kennzeichnungspflicht auf Instagram, Facebook, TikTok und LinkedIn: Was Unternehmen 2026 unbedingt wissen müssen
• Microsoft Copilot Datenschutz 2026: DSGVO und AI Act im Unternehmen richtig umsetzen
• AI Act Selbstcheck – in 12 Fragen zur Einschätzung
• KI-Kennzeichnungspflicht nach Artikel 50
• AI Act Risikoklassen: Ist deine KI Hochrisiko?

Stand: September 2026. Der Digital Omnibus ist am 27. Juli 2026 in Kraft getreten und hat die Hochrisiko-Pflichten verschoben. Die Transparenzpflichten nach Artikel 50 gelten seit dem 2. August 2026 unverändert. Dieser Beitrag ist eine allgemeine Orientierung und ersetzt keine Rechtsberatung im Einzelfall.