Copilot von Microsoft 365

Ist der Dienst mit der DSGVO vereinbar?

Vielleicht kommen Ihnen folgende Aussagen bekannt vor: „ChatGPT ersetzt zukünftig viele Routinetätigkeiten“. Oder auch diese: „Wenn Sie sich jetzt nicht mit KI beschäftigen, verpassen Sie den Anschluss“.

Gefühlt dreht sich seit einem Jahr alles um das Thema KI, niemand kann der Künstlichen Intelligenz entfliehen.

So jedenfalls die veröffentlichte Meinung, die wir in unserer „Berater-Echokammer“ wahrnehmen – und aus unserer Informationsblase leiten wir das heutige Thema ab: Microsoft Copilot.

Der Tech-Gigant Microsoft hat die KI-Technologie von OpenAI mit der Copilot-Funktion von Microsoft 365 in seine Dienste integriert. Dieser Service zielt darauf ab, die Produktivität von Mitarbeiterinnen und Mitarbeitern zu steigern und gleichzeitig komplexe Aufgaben zu vereinfachen.

Bei der Nutzung des Microsoft-Copiloten werden potenziell eine erhebliche Menge an personenbezogenen Daten verarbeitet – womit wir beim Thema dieser CoCo News wären.

Aber der Reihe nach.

Beginnen wir mit einem kurzen „Feature Deep Dive“, um die Möglichkeiten dieses neuen Software-Werkzeugs besser zu verstehen.

Welche Funktionen hat der Copilot von Microsoft 365?

Der Copilot von Microsoft 365 dient in erster Linie als KI-basierte Assistenzfunktion, die in die Microsoft 365 Suite integriert ist. Diese Suite umfasst eine Vielzahl von Programmen, darunter bekannte Anwendungen wie Word, Excel, PowerPoint und Outlook.

Das Besondere an Copilot ist, dass es direkt auf die spezifischen Daten, die in Microsoft 365 eines Unternehmens gespeichert sind, zugreifen kann, um daraus seine Antworten zu generieren.

Daneben gibt es zahlreiche weitere Funktionen, die Microsoft auf dieser Seite zusammengefasst hat.

Welche datenschutzrechtlichen Risiken bestehen bei Copilot?

Bei der Nutzung von Copilot sind mehrere datenschutzrechtliche Aspekte zu beachten, da das Programm auf eine Vielzahl von Unternehmensdaten zugreift, darunter E-Mails, Dokumente und Chat-Nachrichten. Es besteht die Gefahr, dass personenbezogene Daten ohne ausreichenden Schutz verarbeitet und möglicherweise ungewollt weitergegeben werden.

Zugriff auf sensible Daten: Microsoft hat für die Analyse in Copilot Zugriff auf alle Daten, die in den Microsoft-Cloud-Diensten eines Kunden, wie Azure und Microsoft 365, gespeichert sind. Dies birgt das Risiko, dass Unbefugte auf sensible Unternehmensinhalte zugreifen und diese nutzen.
Fehlende Rechtsgrundlagen für die Datenverarbeitung: Mit dem Einsatz von Copilot können verschiedene Auswertungen auf der Grundlage vorhandener Daten durchgeführt werden, die eine eigene Rechtsgrundlage erfordern würden. Dazu gehören das Scannen des Arbeitsverhaltens und die Erstellung entsprechender Analysen, die Optimierung von Kundendaten für Marketingzwecke und die automatische Transkription von Teams-Calls für die inhaltliche Auswertung, ohne dass die Teilnehmer/innen davon wissen.
Erhöhte Gefahr von Datenpannen: Auch die Sicherheit der gespeicherten Daten kann durch Copilot berührt werden. Durch unberechtigte Abfragen der Nutzer:innen besteht die Gefahr, dass geschützte Informationen das Unternehmen verlassen, wodurch Meldepflichten der DSGVO ausgelöst werden. Neben besonders geschützten Unternehmensdaten können hier auch Infos zu Beschäftigten oder Kundendaten betroffen sein.

Datenschutz-Folgenabschätzung jetzt durchführen lassen

Als Beratungsdienstleister und externer Datenschutzbeauftragter führen wir professionelle Datenschutz-Folgeabschätzungen in Ihrem Unternehmen durch und Unterstützen Sie bei der Lösung von Risikofaktoren.

Was sollten Sie organisatorisch beachten?

Awareness / Sensibilisierung: Fördern Sie das Datenschutzbewusstsein durch regelmäßige Schulungen zu den Risiken und Best Practices im Umgang mit KI und personenbezogenen Daten. Solche Maßnahmen stärken die Datenschutzkultur im Unternehmen.
Richtlinie zur Nutzung von KI im Unternehmen: Erstellen Sie klare Richtlinien für die Entwicklung, Implementierung und Überwachung von KI-Systemen. Diese sollten Verantwortlichkeiten, Datenverarbeitungsprozesse und Maßnahmen bei Datenpannen umfassen, um Compliance und Rechenschaftspflicht sicherzustellen.
Prüfung des AV-Vertrags von KI-Tools: Stellen Sie sicher, dass Auftragsverarbeitungsverträge mit KI-Dienstleistern alle notwendigen Datenschutzmaßnahmen und rechtlichen Anforderungen enthalten. Prüfen Sie auch Regelungen zu Audits und Haftung.

Jörg ter Beek

Datenschutzexperte & DSB

Sie benötigen Hilfe bei der Umsetzung der DSGVO?

Als Datenschutzbeauftragter unterstützen wir Sie gerne bei der Umsetzung der gesetzlichen Vorgaben.

Datenschutz Newsletter

Kostenloser Newsletter mit lesenswerten Neuigkeiten zum Datenschutz und Best-Practices zur Umsetzung.

Ihre Vorteile mit Cortina Consult

Cortina Consult hilft Unternehmen dabei, die Anforderungen des Datenschutzes im Unternehmen umzusetzen – digital, so einfach wie möglich, zu fixen Konditionen.