Microsoft 365 Copilot einführen: der Fahrplan

Wer Microsoft 365 Copilot einführen will, beginnt nicht mit der Lizenz, sondern mit dem Tenant. Copilot greift auf E-Mails, Dateien, Chats und Kalender zu, und zwar genau mit den Rechten des jeweiligen Nutzers. Was über Jahre an Freigaben, Gruppen und Altdaten gewachsen ist, wird damit auf einen Schlag durchsuchbar.

Anwendungsfälle je Abteilung festlegen

Eine Einführung ohne benannte Anwendungsfälle endet in unregelmäßiger Nutzung. Der erste Schritt ist deshalb eine kurze Erhebung der wiederkehrenden Aufgaben mit Text, Tabellen, Besprechungen und Recherche je Abteilung. Typische Kandidaten:

• Geschäftsführung und Assistenz: Zusammenfassungen langer E-Mail-Verläufe, Vorbereitung von Besprechungen aus Kalender und Dokumenten.
• Vertrieb: Angebotsentwürfe auf Basis früherer Angebote, Zusammenfassung von Kundenkontakten.
• Buchhaltung und Controlling: Erläuterung von Formeln in Excel, Aufbereitung von Zahlen für Berichte.
• Personal: Entwürfe für Stellenanzeigen, Zusammenfassung von Richtlinien.
• IT und Projektleitung: Protokolle aus Teams-Besprechungen, Statusberichte, Dokumentationsentwürfe.

Je Abteilung reichen zwei bis drei konkrete Fälle. Sie bestimmen später, wer in die Pilotgruppe gehört, was geschult wird und woran sich der Nutzen messen lässt.

Berechtigungen bereinigen und Daten klassifizieren

Copilot nutzt die bestehenden Berechtigungen des Tenants eins zu eins. Das Problem liegt anders herum: Viele Nutzer haben Zugriff auf mehr, als sie wissen. Eine SharePoint-Bibliothek, die vor Jahren für „Jeder außer externe Benutzer” freigegeben wurde, oder ein Teams-Kanal mit Gehaltslisten fielen bisher nicht auf, weil niemand danach gesucht hat. Mit Copilot genügt eine Frage.

Vor dem Start gehören daher folgende Punkte auf die Liste:

• Freigaben auf Organisationsebene in SharePoint und OneDrive auf tatsächlichen Bedarf zurückführen
• Verwaiste Teams und Gruppen ohne Besitzer oder mit ehemaligen Mitgliedern bereinigen
• Sicherheitsgruppen mit Zugriff auf Personal-, Finanz- und Geschäftsführungsdaten prüfen
• Nicht mehr benötigte Gastkonten entfernen
• Standard für neue Freigabelinks auf „bestimmte Personen” setzen
• Archivierung und Löschfristen für Altdaten festlegen

Diese Bereinigung ist der aufwendigste Teil der Einführung und zugleich der mit dem größten Sicherheitsgewinn, unabhängig von Copilot.

Der zweite Baustein ist die Klassifizierung. Sensitivity Labels aus Microsoft Purview kennzeichnen Dokumente und E-Mails nach Schutzbedarf. Copilot berücksichtigt diese Labels: Verschlüsselte Inhalte ohne Leserecht des Nutzers bleiben außen vor, Antworten übernehmen das Label der Quelle. Für den Einstieg genügt ein Schema mit drei oder vier Stufen und automatischer Kennzeichnung für offensichtliche Fälle wie Personalnummern oder Bankverbindungen.

Datenschutz und Mitbestimmung klären

Microsoft sichert zu, dass Unternehmensdaten, Prompts und Antworten nicht zum Training der Basismodelle verwendet werden. Die Verarbeitung findet innerhalb der Dienstgrenze von Microsoft 365 statt, für europäische Kunden im Rahmen der EU Data Boundary. Auf Unternehmensseite sind drei Dinge zu erledigen:

1. Verarbeitungsverzeichnis ergänzen. Copilot ist eine neue Verarbeitungstätigkeit. Zweck, Datenkategorien, Rechtsgrundlage und Löschfristen gehören ins Verzeichnis nach Datenschutz-Grundverordnung, je nach Bewertung des Datenschutzbeauftragten ergänzt um eine Datenschutz-Folgenabschätzung.
2. Betriebsrat einbeziehen. Ein System, das Arbeitsweise und Kommunikation der Beschäftigten auswerten könnte, unterliegt in Deutschland der Mitbestimmung nach § 87 BetrVG. Eine Betriebsvereinbarung mit Zweck, Grenzen und Auswertungsverboten schafft Klarheit.
3. Nutzungsrichtlinie formulieren. Sie legt fest, was mit Copilot erstellt werden darf und dass Ergebnisse vor Weitergabe geprüft werden, denn Antworten wirken überzeugend, sind aber nicht immer richtig. Eine Seite genügt, wenn sie konkret ist.

Vier Phasen bis zum Betrieb

Die Dauer der Einführung hängt vom Zustand des Tenants ab, nicht von der Zahl der Lizenzen.

Phase	Inhalt	Ergebnis
Vorbereitung	Anwendungsfälle, Berechtigungen, Labels, Datenschutz, Mitbestimmung	Freigegebener Tenant, Nutzungsrichtlinie, Betriebsvereinbarung
Pilot	10 bis 20 Personen, feste Anwendungsfälle, wöchentlicher Austausch	Bewertete Anwendungsfälle, Schulungsunterlagen
Rollout	Wellen je Abteilung, Schulung vor Lizenzvergabe, Ansprechpartner je Bereich	Alle vorgesehenen Nutzer aktiv
Betrieb	Nutzung auswerten, Berechtigungen prüfen, Richtlinie fortschreiben	Fester Prüfrhythmus, Verantwortliche benannt

Die Pilotgruppe sollte gemischt sein: Personen mit hoher Affinität zu neuen Werkzeugen und skeptische Personen. Jeder Teilnehmer führt mindestens einen der benannten Anwendungsfälle regelmäßig aus und hält die Erfahrungen fest.

Die Schulung besteht aus zwei Teilen: der Arbeitsweise (Aufbau eines Prompts, Einbinden von Kontext, Grenzen) und dem abteilungsspezifischen Üben der eigenen Anwendungsfälle mit echten Dokumenten. Kurze Einheiten von 60 bis 90 Minuten mit anschließender Übungsphase haben sich in unseren Projekten besser bewährt als ganztägige Veranstaltungen.

Gemessen wird an den definierten Anwendungsfällen: ob der Fall regelmäßig mit Copilot bearbeitet wird, wie die Nutzer die Qualität bewerten und welche Nacharbeit anfällt.

Das Wichtigste in Kürze

• Copilot findet alles, worauf ein Nutzer Zugriff hat. Die Bereinigung der Berechtigungen vor der Lizenzvergabe ist der wichtigste Schritt.
• Zwei bis drei benannte Anwendungsfälle je Abteilung entscheiden über Pilotgruppe, Schulung und Messung des Nutzens.
• Verarbeitungsverzeichnis, Betriebsvereinbarung und Nutzungsrichtlinie gehören in die Vorbereitung, nicht in den Betrieb.

Wie DEVACON Unternehmen bei Tenant, Berechtigungen und Lizenzierung unterstützt, beschreibt die Seite Microsoft 365.