KI im Vergleich: Microsoft Copilot und Alternativen
Microsoft Copilot, ChatGPT, Claude, Gemini, europäische Anbieter und chinesische Modelle im direkten Vergleich: Leistung, Preise, Datenschutz und Eignung für Schulen, Weiterbildung, gemeinnützige Organisationen und Unternehmen.
!Wichtiger Hinweis
Diese Übersicht ist eine fachliche Einordnung nach bestem Wissen, Stand 01.10.2026. Die Inhalte sind mit Unterstützung von KI entstanden. Fehler und veraltete Angaben sind nicht ausgeschlossen; maßgeblich sind die verlinkten Quellen der Anbieter. Die Übersicht ist keine Rechtsberatung und ersetzt weder die Prüfung durch die oder den Datenschutzbeauftragten noch die Beratung durch eine Rechtsanwältin oder einen Rechtsanwalt. Vor dem Einsatz eines KI-Werkzeugs sind die Angaben für den eigenen Einzelfall rechtlich zu prüfen.
Drei Grundregeln für die Wahl der KI
Der Tarif entscheidet, nicht der Anbieter
Kostenlose und private Tarife (ChatGPT Free/Plus, Claude Pro/Max, Gemini-App) haben keinen Auftragsverarbeitungsvertrag und nutzen Eingaben teils zum Training. Für personenbezogene Daten kommen nur Business-, Enterprise- und Bildungstarife infrage.
Mit Microsoft 365 ist Copilot Chat der Einstieg
Copilot Chat ist in fast allen Microsoft-365-Lizenzen ohne Aufpreis enthalten, mit Microsoft-AVV und ohne Training. Die bezahlte Lizenz lohnt sich, wenn Copilot mit den eigenen Mails, Dateien und Meetings arbeiten soll.
Schulen haben eigene Lösungen
Die Länderplattform AIS.chat (früher telli) ist für öffentliche Schulen kostenlos. Copilot Chat und Gemini for Education sind für Schüler ab 13 nutzbar, brauchen aber Konfiguration und schulische Freigabe.
In fünf Fragen zur passenden KI
Die Empfehlung aktualisiert sich bei jeder Auswahl. Sie ersetzt keine Datenschutz-Folgenabschätzung, zeigt aber, welche Angebote überhaupt infrage kommen.
Empfehlung
Alle Angebote im Überblick
Eine Zeile anklicken öffnet den Steckbrief mit Stärken, Grenzen, Datenschutzdetails und Quellen.
| Angebot | Preis | AVV | Training mit Eingaben | Datenverarbeitung | Mindestalter | Stärke |
|---|
AVV = Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. USD-Preise sind Listenpreise der Hersteller; der Euro-Preis hängt vom Wechselkurs ab.
Was passiert mit Daten, die in eine KI eingegeben werden?
Sechs typische Situationen aus dem Arbeitsalltag. Für jede zeigt die Übersicht, welche Daten betroffen sind, was die Angebotsgruppen damit machen und welche Inhalte ins Training eines KI-Modells gelangen könnten.
iWas „Training mit Eingaben“ bedeutet
- Eingegebene Texte, hochgeladene Dateien, Bilder und Sprachaufnahmen sowie die Antworten der KI können genutzt werden, um künftige Modelle zu verbessern.
- Bei einigen Anbietern lesen Menschen ausgewählte Chats, etwa zur Qualitätskontrolle. Die Gemini-App speichert geprüfte Chats bis zu drei Jahre, Claude bei erteilter Zustimmung bis zu fünf Jahre.
- Einmal trainierte Inhalte lassen sich nicht gezielt wieder entfernen. Dass ein Modell Bruchstücke wörtlich wiedergibt, ist selten, aber in Studien nachgewiesen.
- Auch ohne Training bestehen Risiken: Speicherung für Verlauf und Missbrauchskontrolle, Unterauftragsverarbeiter, Zugriff ausländischer Behörden und falsch gesetzte Berechtigungen im eigenen Unternehmen.
Einordnung ohne Rechtsberatung, Stand 01.10.2026.
Microsoft Copilot im Detail
Seit 2026 heißt Microsoft 365 Copilot nur noch „Microsoft Copilot“, die kostenlose Variante „Microsoft Copilot Chat“. Die Adresse ist copilot.cloud.microsoft. Alle Varianten mit Firmen- oder Schulkonto arbeiten im eigenen Microsoft-365-Tenant der Organisation.
Varianten und Preise
| Variante | Voraussetzung | Preis |
|---|---|---|
| Copilot ChatChat mit Websuche und Datei-Upload, ohne Zugriff auf eigene Mails und Dateien | Business, E3/E5, A1/A3/A5, F1/F3 | enthalten |
| Copilot Businessvolle Copilot-Funktionen, höchstens 300 Nutzer | Business Basic, Standard, Premium | 18,20 €Aktion 15,60 € bis 31.12.2026 |
| Copilot (Enterprise) | E3/E5, Business, Office 365 E1/E3/E5 | 26,00 €27,30 € bei monatlicher Zahlung im Jahresabo |
| Microsoft 365 E7 | E5 + Copilot + Entra Suite + Agent 365 | über CERTNET |
| Copilot für BildungLehrkräfte, Personal, Schüler ab 13 | A1, A3 oder A5 | 18 USD |
Bundles „Business Standard/Premium mit Copilot“ ab 20,36 € bzw. 27,73 €. Gemeinnützige Organisationen erhalten auf Copilot (Enterprise) einen Rabatt, für Copilot Business bisher nicht. Listenpreise Microsoft Deutschland, netto.
Was die bezahlte Lizenz zusätzlich kann
- Antworten auf Basis der eigenen Mails, Dateien, Chats und Besprechungen (Microsoft Graph)
- Volle Integration in Word, Excel, PowerPoint, Outlook, Teams und OneNote
- Researcher und Analyst für mehrstufige Recherchen und Datenauswertungen
- Agenten mit Zugriff auf Firmendaten, eigene Agenten in Copilot Studio
- Wahl zwischen GPT- und Claude-Modellen in einzelnen Funktionen
Neues Abrechnungsmodell: Am 25.09.2026 angekündigt. Der Lizenzpreis bleibt gleich. Erweiterte Funktionen wie Cowork, Code und neueste Spitzenmodelle laufen künftig nutzungsbasiert über Copilot Credits . Ab 02.11.2026 ist Pay-as-you-go bei neuen Copilot-Business-Lizenzen über CSP standardmäßig aktiv.
Wann Daten die EU Data Boundary verlassen können
Copilot verarbeitet Daten grundsätzlich in der EU, mit Microsoft-AVV und ohne Training. Vier Ausnahmen sollten Admins kennen:
Checkliste vor der Einführung
- Berechtigungen in SharePoint, OneDrive und Teams bereinigen. Copilot zeigt alles, was ein Nutzer sehen darf, auch versehentlich freigegebene Inhalte.
- Websuche, Anthropic-Modelle und Flex Routing bewusst ein- oder ausschalten und die Entscheidung dokumentieren.
- Datenschutz-Folgenabschätzung durchführen, Betriebs- oder Personalrat beteiligen.
- KI-Richtlinie schreiben und Mitarbeitende schulen (KI-Kompetenz nach Art. 4 EU AI Act).
- Aufbewahrung von Copilot-Verläufen in Microsoft Purview festlegen.
- Schulen: Tenant als K-12 kennzeichnen und für Schüler das Attribut ageGroup pflegen, sonst bleibt Copilot Chat für 13- bis 17-Jährige gesperrt.
- Private Microsoft-Konten im Firmennetz sperren (Tenant Restrictions v2), damit niemand auf den Consumer-Copilot ausweicht.
DSGVO, Aufsichtsbehörden und EU AI Act
AVV und Folgenabschätzung
Wer personenbezogene Daten in eine KI gibt, braucht einen Auftragsverarbeitungsvertrag. Bei umfangreicher Verarbeitung oder sensiblen Daten zusätzlich eine Datenschutz-Folgenabschätzung. Bei Anbietern außerhalb der EU muss der Drittlandtransfer abgesichert sein.
Microsoft 365 und die Aufsicht
Die Datenschutzkonferenz bewertete Microsoft 365 im November 2022 kritisch. Der Hessische Datenschutzbeauftragte hält Microsoft 365 seit November 2025 unter Bedingungen für datenschutzkonform nutzbar. Copilot war nicht Gegenstand dieser Prüfung.
Orientierungshilfen der DSK
Die Datenschutzkonferenz hat Orientierungshilfen zu KI und Datenschutz (2024), zu technischen und organisatorischen Maßnahmen (2025) und zu KI mit Zugriff auf eigene Dokumente (RAG, 2025) veröffentlicht. Die letzte betrifft direkt Copilot mit Firmendaten.
KI-Kompetenz
Organisationen, die KI einsetzen, sollen die KI-Kompetenz ihrer Mitarbeitenden fördern. Die Pflicht wurde 2026 abgeschwächt, Schulung und Nutzungsregeln bleiben aber der übliche Nachweis. Details zum EU AI Act
Hochrisiko: Bildung und Personal
KI für Notenvergabe, Zulassung oder Personalentscheidungen gilt als Hochrisiko-Anwendung. Die Pflichten wurden auf Dezember 2027 verschoben. Bis dahin gilt: Keines der verglichenen Werkzeuge für solche Entscheidungen einsetzen.
Vorgaben der Länder
Ob Microsoft 365, Google Workspace oder KI-Werkzeuge an Schulen erlaubt sind, regelt jedes Bundesland. Vor der Einführung die Vorgaben des Kultusministeriums und der Landesdatenschutzbehörde prüfen.
Was zu tun ist und wie es nachgewiesen wird
Die KI-Verordnung (EU) 2024/1689 gilt für alle Organisationen, die KI einsetzen. Schulen, Bildungsträger, Vereine und Unternehmen, die Copilot, ChatGPT oder ähnliche Werkzeuge nutzen, sind dabei in aller Regel „Betreiber“, nicht „Anbieter“. Für Betreiber sind die Pflichten überschaubar, wenn der Einsatz nicht in einen Hochrisiko-Bereich fällt.
iAnbieter oder Betreiber?
Anbieter entwickeln ein KI-System oder bringen es unter eigenem Namen in Verkehr, etwa Microsoft, OpenAI oder Google. Betreiber setzen ein KI-System in eigener Verantwortung beruflich ein. Wer ein fremdes System unter eigenem Namen anbietet oder seinen Zweck wesentlich ändert, etwa einen Chatbot zu einem Bewerberfilter umbaut, kann selbst zum Anbieter werden (Art. 25) und hat dann deutlich mehr Pflichten.
Zeitplan
- 01.08.2024KI-Verordnung tritt in Kraft.
- 02.02.2025Verbotene KI-Praktiken (Art. 5) und Pflicht zur KI-Kompetenz (Art. 4) gelten.
- 02.08.2025Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (z. B. GPT, Claude, Gemini) und Sanktionsregeln gelten.
- 27.07.2026Änderungsverordnung (EU) 2026/1744 („Digital Omnibus“) tritt in Kraft: Art. 4 wird neu gefasst, Hochrisiko-Fristen werden verschoben.
- Ende 07/2026Deutsches Durchführungsgesetz (KI-MIG) in Kraft. Die Bundesnetzagentur ist zentrale Marktüberwachungsbehörde.
- 02.08.2026Transparenzpflichten (Art. 50) gelten, die Aufsichtsbehörden beginnen mit der Kontrolle.
- 02.12.2026Übergangsfrist für die maschinenlesbare Kennzeichnung bei bestehenden Systemen endet. Neue Verbote für nicht einvernehmliche intime Deepfakes gelten.
- 02.12.2027Pflichten für Hochrisiko-Einsätze nach Anhang III gelten, darunter Bildung und Beschäftigung (vorher 02.08.2026).
- 02.08.2028Pflichten für Hochrisiko-KI in regulierten Produkten (Anhang I) gelten.
Pflichten für Betreiber
KI-Kompetenz
Maßnahmen ergreifen, die die KI-Kompetenz der Beschäftigten und anderer Personen fördern, die in ihrem Auftrag KI nutzen, z. B. Dienstleister. Seit dem 27.07.2026 heißt es „Entwicklung unterstützen“ statt „ausreichendes Niveau sicherstellen“. Die Pflicht besteht weiter, ein bestimmtes Niveau jeder einzelnen Person muss aber nicht garantiert werden.
Interne Aufzeichnung genügt: wer wann mit welchen Inhalten geschult wurde. Ein Zertifikat ist nicht vorgeschrieben, ein bestimmtes Format auch nicht.
Verbotene Praktiken
Keine Emotionserkennung bei Beschäftigten oder in Bildungseinrichtungen (Ausnahme: medizinische oder Sicherheitsgründe), kein Social Scoring, keine manipulativen Techniken, keine Kategorisierung nach sensiblen biometrischen Merkmalen.
Liste der eingesetzten KI-Systeme (KI-Inventar) mit kurzer Prüfung; Verbote in der KI-Richtlinie festhalten.
Transparenz
KI-erzeugte oder -veränderte Bilder, Videos und Audios (Deepfakes) als solche kennzeichnen. KI-Texte, die die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse informieren, kennzeichnen, außer sie wurden redaktionell geprüft und jemand trägt die Verantwortung. Betroffene informieren, wenn Emotionserkennung eingesetzt wird.
Kennzeichnungsregel in der KI-Richtlinie, Freigabeprozess für Veröffentlichungen.
Hochrisiko-Einsatz
- Nutzung gemäß Betriebsanleitung des Anbieters
- Menschliche Aufsicht durch geschulte Personen mit Entscheidungsbefugnis
- Betrieb überwachen, bei Risiken stoppen und melden
- Beschäftigte und Betriebs- bzw. Personalrat vor Inbetriebnahme informieren
- Betroffene über Entscheidungen informieren, auf Verlangen erläutern (Art. 86)
- Protokolle mindestens 6 Monate aufbewahren
- Benennung der Aufsichtspersonen
- Datenschutz-Folgenabschätzung
- Nachweis der Information von Beschäftigten
Grundrechte-Folgenabschätzung
Vor dem ersten Hochrisiko-Einsatz bewerten, welche Grundrechte betroffen sein können, welche Personengruppen betroffen sind und welche Maßnahmen Risiken mindern.
Dokumentierte Folgenabschätzung; das Ergebnis wird der Marktüberwachungsbehörde mitgeteilt.
Ist der eigene Einsatz Hochrisiko?
Kein Hochrisiko
- Texte schreiben, übersetzen, zusammenfassen
- Recherche, Ideen, Präsentationen
- Besprechungen protokollieren
- Programmieren, Formeln, Datenanalysen ohne Personenbewertung
Hochrisiko (Anhang III)
- Bewerbungen filtern, bewerten oder ranken
- Entscheidungen über Beförderung, Kündigung, Aufgabenverteilung
- Leistungs- oder Verhaltensüberwachung von Beschäftigten
- Noten, Zulassung, Einstufung, Prüfungsaufsicht (Proctoring)
Verboten
- Stimmungs- oder Emotionsanalyse von Beschäftigten, z. B. in Videokonferenzen
- Emotionserkennung bei Schülerinnen und Schülern
- Social Scoring von Personen
- Manipulative Techniken, die Schwächen ausnutzen
Dasselbe Werkzeug kann je nach Zweck unterschiedlich eingestuft werden: Copilot für Texte ist kein Hochrisiko, Copilot für ein Bewerber-Ranking schon. Eine erste Einstufung bietet der KI-Service-Desk der Bundesnetzagentur.
Pflichtinhalte der KI-Kompetenz
Einen festen Lehrplan gibt es nicht. Nach den Fragen und Antworten der EU-Kommission sollten Maßnahmen mindestens abdecken:
- Allgemeines Verständnis von KI: was sie ist, wie sie funktioniert, Chancen und Gefahren
- Die Rolle der eigenen Organisation als Anbieter oder Betreiber
- Die Risiken der konkret eingesetzten Systeme, z. B. erfundene Antworten (Halluzinationen) bei ChatGPT oder Copilot
- Zuschnitt auf Vorwissen, Aufgaben und Einsatzkontext der jeweiligen Personen
Ein bloßer Verweis auf die Bedienungsanleitung des Herstellers reicht nach Einschätzung der Kommission meist nicht aus.
Nachweis-Mappe
Für eine Prüfung durch die Aufsicht hat sich diese Dokumentation bewährt. Gesetzlich vorgeschrieben ist keine bestimmte Form.
- KI-Inventar: welche Werkzeuge, wofür, wer nutzt sie
- Risikoeinstufung je Einsatzzweck
- KI-Richtlinie mit erlaubten Werkzeugen, verbotenen Einsätzen und Kennzeichnungsregeln
- Schulungsnachweise: Teilnehmende, Datum, Inhalte, ggf. Testergebnis
- Bei Hochrisiko zusätzlich: Protokolle, Aufsichtspersonen, Information der Beschäftigten, Folgenabschätzungen
Optional, aber hilfreich
- KI-Beauftragte Person: nicht vorgeschrieben, bündelt aber Zuständigkeit und Dokumentation.
- ISO/IEC 42001: internationale Norm für KI-Managementsysteme, für größere Organisationen.
- Verhaltenskodizes (Art. 95): freiwillige Anwendung von Anforderungen auch auf Nicht-Hochrisiko-Systeme.
- AI Pact der EU-Kommission: freiwillige Selbstverpflichtung zu Governance, Risikokartierung und KI-Kompetenz.
- Betriebs- oder Dienstvereinbarung: regelt den KI-Einsatz mit der Arbeitnehmervertretung; bei Überwachungsmöglichkeit ohnehin mitbestimmungspflichtig. Mehr dazu
- Praxisbeispiele der Kommission: Sammlung von Umsetzungen zur KI-Kompetenz.
Aufsicht und Bußgelder
- Zuständig in Deutschland ist die Bundesnetzagentur, für Finanz- und Medienbereiche die jeweilige Fachaufsicht. Die DSGVO gilt parallel weiter.
- Verbotene Praktiken: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes.
- Verstöße gegen Betreiber- und Transparenzpflichten: bis 15 Mio. € oder 3 %.
- Falsche Angaben gegenüber Behörden: bis 7,5 Mio. € oder 1 %.
- Für kleine und mittlere Unternehmen gilt jeweils der niedrigere Betrag.
- Für Art. 4 (KI-Kompetenz) sieht die EU-Verordnung kein eigenes Bußgeld vor. Fehlende Schulung kann aber ins Gewicht fallen, wenn nach einem anderen Verstoß oder einem Schaden geprüft wird, ob die Organisation sorgfältig gehandelt hat.
iKI-Kompetenz mit CERTNET nachweisen
Selbstlernkurs mit sechs Modulen (KI-Grundlagen, EU AI Act, KI-Tools sicher nutzen inkl. Microsoft Copilot, Datenschutz, Ethik und Bias, Prüfungsvorbereitung), Online-Prüfung mit 30 Fragen und personalisiertem Zertifikat. Für Teams gibt es eine Teilnehmerübersicht für die Dokumentation. Das Zertifikat ist gesetzlich nicht vorgeschrieben, belegt die Maßnahmen nach Art. 4 aber nachvollziehbar.
Preise netto zzgl. MwSt.
Zum Angebot auf eu-ai-act.certnet.euBetriebs- und Dienstvereinbarung zum KI-Einsatz
Wo ein Betriebsrat, Personalrat oder eine Mitarbeitervertretung besteht, ist eine Vereinbarung zum KI-Einsatz meist nicht nur sinnvoll, sondern Voraussetzung für die Einführung. Sie schafft Klarheit für Beschäftigte und Leitung und macht die Einführung planbar.
Warum eine Vereinbarung sinnvoll ist
Mitbestimmung ist oft Pflicht
Technische Einrichtungen, die objektiv geeignet sind, Leistung oder Verhalten zu überwachen, sind mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Das Bundesarbeitsgericht hat das für Office 365 bestätigt. Copilot im eigenen Tenant erzeugt Protokolle und Nutzungsberichte und fällt deshalb in aller Regel darunter. Ohne Einigung kann das Gremium die Einführung stoppen lassen.
Frühe Information ist vorgeschrieben
Der Arbeitgeber muss den Betriebsrat rechtzeitig über geplante Arbeitsverfahren einschließlich des Einsatzes von Künstlicher Intelligenz unterrichten (§ 90 BetrVG). Muss das Gremium den KI-Einsatz beurteilen, gilt ein Sachverständiger als erforderlich (§ 80 Abs. 3 BetrVG).
Klarheit für die Beschäftigten
Eine Vereinbarung legt fest, was erlaubt ist und dass keine Leistungskontrolle stattfindet. Das baut Vorbehalte ab und verhindert, dass Beschäftigte auf private KI-Konten ausweichen.
Datenschutz absichern
Eine Betriebsvereinbarung kann die Verarbeitung von Beschäftigtendaten regeln. Sie muss aber selbst alle Anforderungen der DSGVO erfüllen und wird von Gerichten voll überprüft (EuGH, Urteil vom 19.12.2024, C-65/23). Als alleinige Rechtsgrundlage ist sie deshalb nicht zu empfehlen; AVV, Folgenabschätzung und technische Maßnahmen bleiben nötig.
Vorbereitung auf den EU AI Act
Ab 02.12.2027 müssen Arbeitgeber vor dem Einsatz von Hochrisiko-KI, etwa bei der Bewerberauswahl, Arbeitnehmervertretung und Beschäftigte informieren (Art. 26 Abs. 7). Eine bestehende Vereinbarung schafft dafür den Rahmen und dokumentiert die Schulungen zur KI-Kompetenz.
Auswahlrichtlinien
Werden Richtlinien für Einstellungen, Versetzungen oder Kündigungen mit KI-Unterstützung erstellt, bleibt das Mitbestimmungsrecht bestehen (§ 95 Abs. 2a BetrVG).
Wer zuständig ist
| Organisation | Gremium und Instrument | Hinweise |
|---|---|---|
| Unternehmen und Vereine mit Betriebsrat | Betriebsrat nach BetrVG · Betriebsvereinbarung | Bei zentral verwaltetem Microsoft 365 für mehrere Betriebe ist der Gesamtbetriebsrat zuständig (BAG, 08.03.2022, 1 ABR 20/21). Bei Tendenzbetrieben wie Wohlfahrtsverbänden bleibt die Mitbestimmung nach § 87 in der Regel bestehen. |
| Behörden, Kommunen, öffentliche Schulen | Personalrat · Dienstvereinbarung | Für den Bund gilt § 80 Abs. 1 Nr. 21 BPersVG, für Länder und Kommunen das jeweilige Landespersonalvertretungsgesetz. Für Lehrkräfte ist meist ein Personalrat auf Landes- oder Bezirksebene zuständig, für das Verwaltungspersonal des Schulträgers der kommunale Personalrat. |
| Kirchliche Träger | Mitarbeitervertretung nach MAVO oder MVG-EKD · Dienstvereinbarung | Das evangelische Mitarbeitervertretungsrecht erfasst schon Maßnahmen, die zur Überwachung geeignet sind. Es gilt eigenes kirchliches Datenschutzrecht (KDG bzw. DSG-EKD) mit eigener Aufsicht. |
| Organisationen ohne Gremium | Keine Vereinbarung möglich · KI-Richtlinie | Regeln per Weisungsrecht (§ 106 GewO) in einer KI-Richtlinie festlegen. Die Richtlinie ist keine Rechtsgrundlage für die Datenverarbeitung; Informationspflichten nach Art. 13 DSGVO gelten weiter. |
Ein Arbeitsgericht hat 2024 entschieden, dass das bloße Erlauben von ChatGPT über private Konten im Browser nicht mitbestimmungspflichtig ist, weil der Arbeitgeber keine Nutzungsdaten erhält (ArbG Hamburg, 16.01.2024, 24 BVGa 1/24). Auf Copilot im eigenen Tenant lässt sich das nicht übertragen. Eine höchstrichterliche Entscheidung speziell zu KI-Assistenten gibt es noch nicht.
Was geregelt werden sollte
Gegenstand und Geltungsbereich
- Welche KI-Systeme und Funktionen erfasst sind (z. B. Copilot Chat, Copilot, Agenten, Teams-Zusammenfassungen)
- Für welche Beschäftigten und Standorte die Vereinbarung gilt
- Wie neue Funktionen und Updates aufgenommen werden: Microsoft ändert Copilot monatlich, deshalb über Anlagen und eine Änderungsmitteilung an das Gremium
Zwecke, erlaubte und ausgeschlossene Einsätze
- Erlaubte Anwendungsfälle, z. B. Texte, Recherche, Zusammenfassungen
- Ausgeschlossen: Leistungs- und Verhaltenskontrolle, Emotionserkennung, Personalentscheidungen allein auf KI-Basis
- Hochrisiko-Einsätze (Bewerberauswahl, Beurteilungen) nur nach gesonderter Vereinbarung
Keine Leistungs- und Verhaltenskontrolle
- Keine personenbezogene Auswertung von Nutzungsdaten, Prompts und Antworten
- Nutzungsberichte nur zusammengefasst und anonym, mit Mindestgruppengröße
- Verwertungsverbot: Daten, die entgegen der Vereinbarung gewonnen wurden, dürfen nicht für arbeitsrechtliche Maßnahmen genutzt werden
Protokolle und Zugriffe
- Zugriff auf Protokolle, Purview und eDiscovery nur bei konkretem Anlass, im Vier-Augen-Prinzip und dokumentiert
- Information des Gremiums über jeden Zugriff
- Aufbewahrungs- und Löschfristen für Copilot-Verläufe
Besprechungen
- Transkription und KI-Zusammenfassung vorher ankündigen
- Widerspruchsmöglichkeit für Teilnehmende
- Keine Auswertung von Redeanteilen oder Stimmungen einzelner Personen
- Löschfristen für Transkripte
Datenschutz und Konfiguration
- Welche Datenkategorien eingegeben werden dürfen, besondere Kategorien nur nach Freigabe
- Tenant-Einstellungen als Anlage: Websuche, Claude-Modelle, Flex Routing, Agenten
- Bereinigung der Berechtigungen vor dem Start, Datenschutz-Folgenabschätzung als Anlage
Qualifizierung
- Schulung vor der Freischaltung, während der Arbeitszeit (KI-Kompetenz nach Art. 4 EU AI Act)
- Dokumentation der Schulungen
- Ansprechpersonen für Fragen
Verantwortung und Kennzeichnung
- Ergebnisse der KI vor Verwendung prüfen, die Verantwortung bleibt beim Menschen
- Kennzeichnung KI-erzeugter Inhalte nach Art. 50 EU AI Act
- Keine Nachteile für Beschäftigte, die KI-Fehler melden
Kontrolle, Laufzeit und Anpassung
- Kontrollrechte des Gremiums, Einsicht in die Konfiguration
- Gemeinsame Auswertung nach einer festen Frist, z. B. sechs Monate
- Befristete Pilotphase, Kündigung und Nachwirkung
Bewährtes Vorgehen
- Früh informieren: Das Gremium vor den Entscheidungen zur Tenant-Konfiguration einbinden.
- Pilot vereinbaren: Befristete Pilotvereinbarung für eine kleine Gruppe, mit Einsichtsrechten für das Gremium.
- Rahmenvereinbarung abschließen: Allgemeine KI-Grundsätze in der Vereinbarung, konkrete Systeme und Einstellungen in Anlagen.
- Schulen und starten: Freischaltung erst nach der Schulung.
- Auswerten: Nach sechs Monaten gemeinsam prüfen und Anlagen anpassen.
Typische Anlagen
- Liste der freigegebenen KI-Systeme und Funktionen
- Beschreibung der Tenant-Konfiguration (Websuche, Modelle, Agenten, Protokollierung)
- Rollen- und Berechtigungskonzept für Protokollzugriffe
- Datenschutz-Folgenabschätzung
- Schulungskonzept und Nachweise
- KI-Richtlinie für die Beschäftigten
Mit dem Aufbau „Rahmenvereinbarung plus Anlagen“ müssen neue Werkzeuge und Funktionen nicht jedes Mal neu verhandelt werden.
iUnterstützung durch CERTNET
CERTNET richtet Microsoft 365 und Copilot so ein, wie es die Vereinbarung vorsieht, dokumentiert die Konfiguration als Anlage und schult Beschäftigte, Leitung und Gremium. Die rechtliche Gestaltung der Vereinbarung gehört in die Hände einer Fachanwältin oder eines Fachanwalts für Arbeitsrecht.
Anleitungen zu Microsoft Copilot
Schritt-für-Schritt-Lektionen aus dem CERTNET-Lernportal.
- Basis-InformationenVarianten und Lizenzen
- Wie funktioniert Copilot?Semantischer Index und Microsoft Graph
- Datenschutz und DatensicherheitAVV, Berechtigungen, EU-Datengrenze
- Mit Copilot interagierenPrompts, Arbeitsdaten und Web
- Copilot kennenlernen und lernenKurse und Lernangebote
- Copilot-Lizenz zuweisenFür die Administration
- Copilot startenBrowser, App, Microsoft-365-Apps
- Grundlegende Copilot-FunktionenPraxisbeispiele
- Copilot-AgentenResearcher, Cowork, eigene Agents
- Copilot in WordEntwerfen und überarbeiten
- Copilot in ExcelAnalysen, Formeln, Diagramme
- Copilot in PowerPointPräsentationen erstellen und bearbeiten
- Copilot in OutlookE-Mails, Coaching, Termine
- Copilot in TeamsBesprechungen, Chats, Kanäle
iBeratung, Lizenzen und Einführung
Die CERTNET GmbH ist Microsoft Cloud Solution Provider für Bildungseinrichtungen, gemeinnützige Organisationen und Unternehmen. Lizenzen für Copilot und Microsoft 365 zu Bildungs- und Non-Profit-Konditionen, Einrichtung des Tenants und Schulungen kommen aus einer Hand.
CERTNET GmbH · Forstfeldstraße 2 · 34123 Kassel · +49 561 81679120 · info@certnet.de