Microsoft 365 Copilot einführen: Was vor der Lizenz kommt.

Copilot ist in vielen Unternehmen schon da, bevor jemand entschieden hat, ob es da sein soll. Ein Fachbereich hat Lizenzen gekauft, ein Geschäftsführer hat es auf einer Konferenz gesehen, die IT soll „es einfach freischalten“. Dann passiert eines von zwei Dingen: Die Lizenzen liegen ungenutzt herum, oder Copilot findet Dokumente, die nie jemand hätte finden sollen. Beides ist vermeidbar, wenn man versteht, wie Copilot arbeitet, und die Reihenfolge einhält: erst aufräumen, dann regeln, dann messen, dann lizenzieren.

Wie Copilot an Ihre Daten kommt

Microsoft 365 Copilot ist kein eigenständiges Modell mit eigenem Wissen über Ihr Unternehmen. Es verbindet ein Sprachmodell mit dem Microsoft Graph, also mit allem, was in Exchange, SharePoint, OneDrive und Teams liegt, und beantwortet Fragen auf Basis dessen, was der angemeldete Benutzer sehen darf. Der entscheidende Satz steht in jeder Microsoft-Dokumentation und wird trotzdem überlesen: Copilot respektiert bestehende Berechtigungen. Das klingt beruhigend. Es ist das Gegenteil.

In den meisten Microsoft-365-Umgebungen, die über Jahre gewachsen sind, gibt es zu viele Berechtigungen: SharePoint-Bibliotheken, die „Jeder außer externen Benutzern“ lesen darf, Teams-Kanäle, in denen Verträge aus 2019 liegen, OneDrive-Freigaben an „Personen in Ihrer Organisation“, die niemand widerrufen hat, Gehaltslisten in einem Projektordner, den jemand vor drei Jahren angelegt hat. Bisher hat das niemanden gestört, weil niemand danach gesucht hat. Copilot sucht nicht, es findet. Die Frage „Was verdient eigentlich der Kollege?“ liefert in einer ungepflegten Umgebung eine Antwort.

Das ist kein theoretisches Risiko. In gewachsenen Umgebungen liegen fast immer vertrauliche Inhalte an Stellen, die für alle lesbar sind. Nicht aus Fahrlässigkeit, sondern weil Freigaben in Microsoft 365 leicht erteilt und praktisch nie zurückgenommen werden.

Vor der Lizenz: fünf Hausaufgaben

1. 01
   Überfreigaben finden und schließen

   Microsoft liefert dafür Werkzeuge: Berichte zu Websites mit zu breiten Freigaben in SharePoint Advanced Management, die Einschränkung der SharePoint-Suche auf freigegebene Bereiche während der Bereinigung, Zugriffsüberprüfungen in Entra. Die Arbeit, sie zu nutzen, bleibt beim Unternehmen. Rechnen Sie je nach Größe mit vier bis zwölf Wochen, in denen Websitebesitzer entscheiden müssen, wer was wirklich braucht. Das ist der größte Posten der Einführung und der am meisten unterschätzte.

2. 02
   Sensible Inhalte kennzeichnen

   Vertraulichkeitsbezeichnungen über Microsoft Purview für Personal, Finanzen, Verträge und M&A. Copilot berücksichtigt diese Bezeichnungen und übernimmt sie in erzeugte Inhalte. Ohne Kennzeichnung gibt es keine Steuerung, mit Kennzeichnung lassen sich Bereiche gezielt aus der Verarbeitung ausnehmen.

3. 03
   Regeln auf einer Seite

   Was darf mit KI bearbeitet werden, was nicht? Wer gibt Ergebnisse frei, die das Haus verlassen? Wie wird gekennzeichnet, was KI-erzeugt ist? Eine Seite genügt, aber sie muss existieren, bevor der erste Prompt geschrieben wird, und sie gehört mit Datenschutz und, in Österreich, mit dem Betriebsrat abgestimmt. Systeme, die Nutzungsdaten der Mitarbeitenden auswerten können, berühren die Mitbestimmung.

4. 04
   Anwendungsfälle auswählen

   Nicht „alle bekommen Copilot“, sondern: Wo kostet Schreiben, Zusammenfassen und Suchen heute am meisten Zeit? Drei Fälle reichen für den Start. Was sich in der Praxis zuerst rechnet, steht weiter unten.

5. 05
   Messlatte definieren

   Was muss nach acht Wochen anders sein? Minuten pro Protokoll, Durchlaufzeit eines Angebots, Zahl der Rückfragen bei der Vertragsprüfung. Ohne Zahl vorher gibt es keine Aussage nachher, nur Stimmungsbilder.

Welche Anwendungsfälle sich zuerst rechnen

In projektgetriebenen Unternehmen zeigt sich ein klares Bild. Den größten messbaren Nutzen bringen Aufgaben, die häufig vorkommen, viel Text verarbeiten und ein klares Ergebnisformat haben:

• Besprechungen: Protokoll, Aufgabenliste und Zusammenfassung aus einer Teams-Aufzeichnung. Spart pro Termin zwanzig bis dreißig Minuten Nacharbeit und sorgt dafür, dass Protokolle überhaupt entstehen.
• Posteingang: Lange Mailverläufe zusammenfassen, Antwortentwürfe, Priorisierung. Besonders wirksam bei Führungskräften und in Projektleitungen mit mehreren hundert Mails pro Woche.
• Angebote und Berichte: Erste Fassungen aus Vorlagen und früheren Dokumenten. Der Nutzen liegt nicht im fertigen Text, sondern darin, dass die Fachperson mit einer Fassung beginnt statt mit einem leeren Blatt.
• Suche über Dokumente: „Was haben wir dem Kunden im März zugesagt?“ Die Antwort kommt mit Quellenangabe aus dem Teams-Kanal, in dem der Vertrag liegt. Das ist der Anwendungsfall, der die aufgeräumten Berechtigungen voraussetzt.

Weniger bringt Copilot dort, wo Fachsysteme die Arbeit tragen: in der Buchhaltung, im ERP, in der Konstruktion. Dort braucht es andere Werkzeuge oder eigene Entwicklungen, nicht eine Büro-Lizenz.

Der Pilot: acht Wochen, dann eine Entscheidung

Ein Pilot ohne Enddatum ist ein Dauerzustand. Acht Wochen genügen, um zu wissen, ob Copilot in den gewählten Anwendungsfällen trägt. Die Pilotgruppe besteht aus zwanzig bis dreißig Personen aus zwei Bereichen, die den Nutzen wirklich haben und ehrlich berichten, keine Freiwilligensammlung aus der IT. Was in dieser Zeit zählt: eine kurze wöchentliche Rückmeldung je Teilnehmer, der Blick in die Nutzungsstatistik des Admin-Centers, und die vorher definierten Zahlen.

Die Entscheidung am Ende ist eine von drei: ausrollen, mit angepassten Anwendungsfällen verlängern, oder beenden. Wer nach acht Wochen Lizenzen für alle freigibt, obwohl nur die Hälfte der Pilotgruppe Copilot wöchentlich genutzt hat, kauft Regale voll ungenutzter Software. Die Nutzungsquote in der Pilotgruppe ist der beste Prädiktor für die Nutzungsquote im Unternehmen, und sie liegt ohne Begleitung erfahrungsgemäß deutlich unter der Hälfte.

Schulung ist kein Nachmittag

Die meisten Mitarbeitenden nutzen KI heute so, wie sie Google 2003 genutzt haben: ein Stichwort, ein Blick auf das Ergebnis, fertig. Gute Ergebnisse brauchen gute Fragen, Kontext, Beispiele und die Fähigkeit, das Ergebnis zu prüfen. Das lernt man nicht in einer Stunde Webinar, sondern in der eigenen Arbeit mit jemandem, der zeigt, wie es geht, am eigenen Protokoll, am eigenen Angebot. Rechnen Sie pro Pilotteilnehmer mit zwei bis drei Stunden Begleitung in den ersten Wochen, verteilt auf kurze Einheiten. Das ist der Teil des Budgets, der am häufigsten fehlt und am meisten über den Erfolg entscheidet.

Und der Datenschutz?

Microsoft 365 Copilot verarbeitet Unternehmensdaten innerhalb des eigenen Tenants, unterliegt denselben vertraglichen Zusagen wie die übrigen Microsoft-365-Dienste und nutzt Kundendaten nach Microsofts Zusicherung nicht zum Training der Modelle. Das ist ein anderer Fall als ein privates ChatGPT-Konto, in das jemand einen Kundenvertrag kopiert. Trotzdem gilt: Verarbeitungsverzeichnis ergänzen, Datenschutz-Folgenabschätzung prüfen, die Regeln aus Schritt 3 schriftlich festhalten, Betriebsrat einbinden. Wer das vorher klärt, hat später keine Diskussion. Wer es nachholt, holt es unter Druck nach.

Was es kostet

Die Lizenz kostet einen Listenpreis von rund dreißig Euro pro Nutzer und Monat zusätzlich zur bestehenden Microsoft-365-Lizenz. Bei hundert Nutzern sind das gut 35.000 Euro im Jahr. Die Rechnung dahinter ist einfach: Spart Copilot pro Nutzer mehr als eine Stunde pro Woche, rechnet sich die Lizenz bei fast jedem Gehalt. Spart es nichts, weil die Hälfte der Nutzer es nicht öffnet, rechnet sich keine Lizenz. Deshalb ist die Nutzungsquote die Kennzahl, die nach dem Rollout monatlich auf den Tisch gehört, und deshalb beginnt man mit den Bereichen, in denen der Nutzen nachgewiesen ist, nicht mit allen.

Kurz gesagt

Copilot einzuführen ist zu achtzig Prozent Aufräumarbeit und Führung, zu zwanzig Prozent Technik. Wer die achtzig Prozent macht, bekommt ein Werkzeug, das sich rechnet, und nebenbei eine Microsoft-365-Umgebung, die endlich aufgeräumt ist. Wer sie überspringt, bekommt eine Lizenzrechnung und ein Datenschutzproblem.