Shadow AI und Copilot-Governance: KI-Nutzung ohne Freigabe in den Griff bekommen

Wer in seinem Netzwerk nach KI-Diensten sucht, findet oft mehr, als die IT je freigegeben hat: ein Übersetzungstool im Einkauf, einen Chatbot in der Buchhaltung, eine Browser-Erweiterung, die Mails zusammenfasst. Gleichzeitig plant die Geschäftsführung den Rollout von Microsoft Copilot, der auf alles zugreift, was Mitarbeitende in Microsoft 365 sehen dürfen. Dieser Artikel zeigt, wie du beides in einen Governance-Prozess bringst: erst herausfinden, was läuft, dann steuern, dann Copilot so einführen, dass er nichts offenlegt, was nie für ihn gedacht war.

Was ist Shadow AI, und warum reicht ein Verbot nicht?

Shadow AI (auch Schatten-KI) bezeichnet KI-Tools, die Mitarbeitende im Arbeitsalltag nutzen, ohne dass IT, Informationssicherheit oder Datenschutz sie geprüft haben. Das kann ein kostenloser Chatbot mit privatem Konto sein, ein KI-Add-in im Browser oder eine KI-Funktion, die ein bestehendes SaaS-Produkt nach einem Update plötzlich mitbringt. Die Mechanik ist dieselbe wie bei klassischer Shadow IT, nur sind die Daten, die abfließen, oft sensibler: Verträge, Quellcode, Personalakten, Kundenkorrespondenz.

Wie verbreitet das ist, zeigen zwei Befragungen von Herstellern. WalkMe ließ im Juli 2025 über Propeller Insights 1.000 US-Beschäftigte befragen, die KI im Job nutzen: 78 % gaben an, KI-Tools zu verwenden, die ihr Arbeitgeber nicht bereitgestellt hat. Die Studie "Oh, Behave!" von CybSafe und der National Cybersecurity Alliance (über 7.000 Befragte in sieben Ländern, darunter Deutschland, veröffentlicht 2024) kam zu dem Ergebnis, dass 38 % der KI-Nutzenden sensible Arbeitsinformationen mit KI-Tools teilen, ohne dass der Arbeitgeber davon weiß. Behandle diese Zahlen als Größenordnung, nicht als Messwert für dein Unternehmen. Dein Messwert steht in deinen eigenen Logs.

Ein Verbot löst das Problem nicht, weil der Anlass bleibt. Die Leute wollen schneller Texte schreiben, Tabellen auswerten und Protokolle zusammenfassen. Wenn die freigegebene Alternative fehlt oder umständlich ist, wandert die Nutzung aufs private Smartphone, wo du sie weder siehst noch steuerst. Das Verbot macht aus einem sichtbaren Risiko ein unsichtbares.

Die KI-Nutzungsrichtlinie legt fest, welche Daten in welche Tools dürfen. Sie ist das Regelwerk. Dieser Artikel behandelt den Prozess drumherum: Wie findest du heraus, was tatsächlich genutzt wird, wie hältst du die Tool-Liste aktuell, und wie führst du einen KI-Assistenten ein, der selbst auf deine Unternehmensdaten zugreift?

Wie findest du heraus, welche KI-Tools genutzt werden?

Die allgemeine Methodik zum Aufdecken von Schatten-Anwendungen steht im Artikel Shadow IT aufdecken: Netzwerkanalyse, Cloud Access Security Broker, SSO-Logs, Finanzdaten und Befragung. Für KI-Tools gelten dieselben Wege, mit ein paar Besonderheiten, die hier im Vordergrund stehen.

Proxy-, Firewall- und DNS-Logs

Der schnellste Einstieg ist eine Auswertung der Webzugriffe der letzten 30 Tage. Pflege dir eine Liste bekannter KI-Domains (Chatbots, Bild- und Code-Assistenten, Transkriptionsdienste) und gleiche sie mit den Logs ab. Du erhältst in einem Nachmittag eine erste Rangliste: welche Dienste, wie viele verschiedene Nutzer, wie viel Datenvolumen im Upload.

Zwei Grenzen solltest du kennen. Erstens sagt ein DNS-Eintrag nur, dass ein Dienst aufgerufen wurde, nicht, ob jemand Daten eingegeben hat. Das Upload-Volumen ist der bessere Hinweis, setzt aber eine Firewall oder einen Proxy voraus, der diese Daten mitschreibt. Zweitens sieht dein Netzwerk nur die Geräte im Firmennetz oder mit VPN. Wer im Homeoffice ohne Tunnel arbeitet, taucht nicht auf.

Defender for Cloud Apps und Endpoint-Signale

Wenn du Microsoft Defender einsetzt, deckt Cloud Discovery in Defender for Cloud Apps genau diese Lücke ab. Der Dienst gleicht Verkehrsdaten mit einem Katalog von über 31.000 Cloud-Apps ab und bewertet jede App anhand von mehr als 90 Risikofaktoren (Stand der Microsoft-Learn-Dokumentation, Oktober 2026). Die Daten kommen entweder aus hochgeladenen Firewall- und Proxy-Logs oder über die Integration mit Defender for Endpoint, die auch Geräte außerhalb des Firmennetzes erfasst. Die Voraussetzungen hängen von der Lizenz ab: Du brauchst eine Defender-for-Cloud-Apps-Lizenz und für die Endpoint-Integration Defender for Endpoint Plan 2 oder Defender for Business, das in Microsoft 365 Business Premium enthalten ist.

Ein Haken: Cloud Discovery erkennt nur Apps, die im Katalog stehen. Ein brandneues KI-Tool taucht zunächst nicht auf, du kannst es aber als benutzerdefinierte App nachtragen. Entdeckte Apps lassen sich als nicht genehmigt markieren und über die Endpoint-Integration auf den Geräten blockieren.

Purview und Browser-Signale

Für die Frage "Was wird eigentlich eingegeben?" brauchst du eine Ebene näher am Nutzer. Microsoft Purview kann Besuche auf generativen KI-Seiten erfassen und über Endpoint-DLP warnen oder blockieren, wenn jemand sensible Informationen in eine KI-Seite im Browser einfügt oder hochlädt. Laut Dokumentation setzt das für Drittanbieter-Tools eine Purview-Browser-Erweiterung und in Purview eingebundene Geräte voraus, die Verwaltung dieser Fremd-KI-Interaktionen erfordert zusätzlich die Abrechnung nach Verbrauch (Pay-as-you-go) in Purview. Plane diese Kosten ein, bevor du das Thema im Lenkungskreis versprichst. Microsoft zeigt außerdem im Security Dashboard for AI ein Inventar inklusive nicht verwalteter KI-Agenten; dieses Dashboard ist laut Dokumentation noch in der Preview.

Ohne Microsoft-Stack bleibt der Weg über Secure Web Gateway, Browser-Management und Endpoint-Agenten anderer Hersteller. Das Prinzip bleibt gleich: erst sichtbar machen, dann entscheiden.

Befragung und Beschaffungsdaten

Technik findet die Tools, die über den Browser laufen. Sie findet nicht den Grund. Eine kurze anonyme Befragung (fünf Fragen, zehn Minuten) beantwortet, welche Aufgaben die Leute mit KI erledigen, welche Tools sie nutzen und was ihnen an den freigegebenen fehlt. Die Antworten sind oft aufschlussreicher als die Logs: Wenn 30 Leute ein Transkriptionstool nutzen, hast du kein Disziplinproblem, sondern einen unerfüllten Bedarf.

Ergänze das um zwei Quellen aus dem Alltag: Kreditkartenabrechnungen und Spesen (kleine Abos für KI-Dienste landen dort) und Anmeldungen über "Mit Google anmelden" oder "Mit Microsoft anmelden". Die Logs deines Identity Providers zeigen, welchen Diensten Nutzer ihr Arbeitskonto freigegeben haben.

Datenschutz bei der Erkennung

Du wertest Nutzungsdaten von Beschäftigten aus. Das braucht eine Rechtsgrundlage, Transparenz gegenüber den Mitarbeitenden und gegebenenfalls die Beteiligung des Betriebsrats. Arbeite zunächst mit aggregierten Auswertungen (Tool, Anzahl Nutzer, Datenvolumen) und gehe nur bei einem konkreten Verdacht auf Personenebene. Das ist keine Rechtsberatung, kläre Zweifelsfälle mit deiner Rechtsabteilung oder Kanzlei.

Wie steuerst du Schatten-KI? Das Ampelsystem für KI-Tools

Aus der Bestandsaufnahme entsteht eine Liste von Tools. Jetzt brauchst du für jedes eine Entscheidung. Die Richtlinie kennt drei Kategorien (freigegeben, eingeschränkt, verboten). Im Betrieb brauchst du eine vierte Stufe, damit neu entdeckte Tools nicht automatisch im Graubereich landen: "in Prüfung".

Ampelsystem für KI-Tools

Zwei Regeln machen das System tragfähig. Erstens: Jeder Eintrag in der Tool-Liste trägt eine Begründung und ein Wiedervorlagedatum. KI-Tools ändern ihre Nutzungsbedingungen häufig, eine Freigabe von vor zwölf Monaten sagt wenig. Zweitens: Rot braucht eine Alternative auf der Hinweisseite. Wer beim Sperren nur "Zugriff verweigert" anzeigt, schickt die Leute aufs Handy.

Enterprise-Lizenz statt privatem Konto

Der größte Hebel gegen Schatten-KI ist ein attraktives, freigegebenes Angebot. Der Unterschied zwischen einem privaten Konto und einem Unternehmenskonto ist vertraglich: Bei Enterprise-Angeboten gibt es einen Auftragsverarbeitungsvertrag, definierte Regeln zur Datenspeicherung und meist die Zusage, Eingaben nicht für das Training zu verwenden. Bei Microsoft Copilot gilt laut Microsoft Learn: Prompts, Antworten und über Microsoft Graph abgerufene Daten werden nicht zum Training der Foundation-Modelle verwendet. Die vertraglichen und technischen Zusagen für Copilot und Copilot Chat (Enterprise Data Protection) laufen über die Product Terms und den Data Protection Addendum. Für andere Anbieter musst du dasselbe selbst prüfen, Tarif für Tarif.

Ein Detail, das im Mittelstand gern übersehen wird: Auch bei Anbietern mit Enterprise-Vertrag gilt der Schutz nur, wenn die Mitarbeitenden mit dem Firmenkonto angemeldet sind. Ein Browserprofil mit privatem Login entzieht sich dem Vertrag. Sorge deshalb dafür, dass die Anmeldung mit dem Firmenkonto der Normalfall ist, und schule das Thema ausdrücklich.

Freigabeprozess: von der Meldung zur Ampel

Ein Prozess, der Wochen dauert, erzeugt Shadow AI. Plane einen Fast Track mit festen Prüfpunkten und einer Frist, die dein Team einhalten kann:

1. Antrag: Wer will welches Tool für welchen Zweck mit welchen Daten nutzen? Ein Formular mit fünf Feldern genügt.
2. Datenschutzprüfung: Gibt es einen Auftragsverarbeitungsvertrag? Wo werden die Daten verarbeitet, und gibt es Unterauftragsverarbeiter in Drittländern? Werden Eingaben zum Training verwendet?
3. Sicherheitsprüfung: Anmeldung per Single Sign-on, Verschlüsselung, Zertifizierungen, Löschkonzept, Zugriff durch den Anbieter.
4. Entscheidung: Ampelstufe, zulässige Datenklasse, Zielgruppe, Wiedervorlage.
5. Umsetzung: Freigabe in der Tool-Liste, technische Konfiguration, Information der Nutzer.

Das entlastet auch die Dokumentation. In ISMS Lite legst du ein freigegebenes KI-Tool wie jeden anderen Dienstleister an, mit Kritikalität, Datenschutzbezug, Sicherheitsbewertung und Wiederbewertungstermin, und verknüpfst es mit den Verarbeitungstätigkeiten und Risiken, die daran hängen.

Datenklassifizierung, Labels und DLP als technische Leitplanken

Die Ampel sagt, welches Tool erlaubt ist. Sie sagt nicht, welche Daten hineinfließen. Dafür brauchst du eine Klassifizierung, die Mitarbeitende im Alltag anwenden können. Zwei bis vier Stufen genügen, mehr merkt sich niemand. Die Stufen müssen mit den Ampelstufen verknüpft sein: Rot nimmt keine Daten, Gelb nur öffentliche, Grün bis zur Stufe "intern" oder, nach Prüfung, "vertraulich".

Technisch setzen Sensitivity Labels (Vertraulichkeitsbezeichnungen, die Dokumente kennzeichnen und optional verschlüsseln) und DLP (Data Loss Prevention, regelbasierter Schutz vor Datenabfluss) diese Vorgaben durch. Klassisches DLP stößt bei KI allerdings an Grenzen: Ein Prompt ist ein Freitextfeld, das Kreditkartennummer und Vertragsklausel in derselben Zeile enthalten kann. Die Purview-DLP für Copilot arbeitet deshalb auf zwei Ebenen: Sie kann Prompts mit bestimmten Informationstypen blockieren und Dateien oder Mails mit ausgewählten Labels von der Verarbeitung durch Copilot ausschließen. Wichtige Einschränkung laut Dokumentation: Dateien, die direkt in einen Prompt hochgeladen werden, scannt DLP nicht, geprüft wird nur der getippte Text. Welche Funktionen du nutzen kannst, hängt von deiner Microsoft-365-Lizenz ab, und einzelne Funktionen waren zum Stand der Dokumentation noch in der Preview.

Welche DSGVO-Fragen stellen sich bei KI-Tools?

Für jedes KI-Tool, das personenbezogene Daten verarbeitet, stellen sich dieselben Fragen. Sie gehören in die Prüfung des Freigabeprozesses, nicht in einen Einmal-Workshop.

Auftragsverarbeitung. Sobald ein Anbieter in deinem Auftrag personenbezogene Daten verarbeitet, brauchst du einen AVV nach Art. 28 DSGVO. Bei Enterprise-Angeboten ist er Teil des Vertragswerks, bei Verbraucherkonten gibt es ihn nicht. Das ist der Hauptgrund, warum private Konten für Firmendaten ausscheiden.

Drittlandübermittlung. Wo wird verarbeitet, und wer sind die Unterauftragsverarbeiter? Bei Microsoft Copilot gilt für Kunden in der EU laut Microsoft Learn die EU Data Boundary, mit einer Ausnahme, die du kennen solltest: Modelle von Anthropic, die als Unterauftragsverarbeiter in Copilot-Erlebnissen eingesetzt werden, sind derzeit von der EU Data Boundary ausgenommen. Als Administrator entscheidest du, ob diese Modelle aktiv sind. Prüfe diesen Schalter bewusst und dokumentiere die Entscheidung. Training mit Eingaben. Die Zusage "wir trainieren nicht mit euren Daten" ist eine vertragliche Aussage und gilt je nach Anbieter nur für bestimmte Tarife. Lies die Bedingungen des konkreten Tarifs und halte das Ergebnis mit Datum fest.

Rechtsgrundlage, Transparenz und DSFA. Die Nutzung muss im Verzeichnis der Verarbeitungstätigkeiten stehen. Wenn Copilot Nutzerinteraktionen speichert (Prompt und Antwort liegen laut Microsoft Learn in der Copilot-Aktivitätshistorie und lassen sich über Purview auswerten), betrifft das auch Beschäftigtendaten. Prüfe, ob eine Datenschutz-Folgenabschätzung (DSFA) nötig ist, und beteilige Datenschutzbeauftragten und Betriebsrat früh.

Copilot-Governance: Warum Oversharing vor dem Rollout das eigentliche Risiko ist

Microsoft Copilot ist technisch kein Datenleck. Das Gegenteil trifft eher zu: Laut Microsoft Learn zeigt Copilot nur Daten, auf die der einzelne Nutzer mindestens Leserechte hat, und respektiert dieselben Berechtigungen wie die übrigen Microsoft-365-Dienste. Das Risiko liegt in deinen Berechtigungen. Oversharing (zu weit gefasste Freigaben) war schon immer ein Problem, blieb aber folgenlos, solange niemand die Dokumente fand. Copilot findet sie in Sekunden.

Ein Beispiel aus der Praxis, wie es in einer Firma mit 110 Mitarbeitenden aussehen kann (fiktiv, aber typisch): Die Personalabteilung hat vor drei Jahren eine Gehaltsübersicht in einer SharePoint-Bibliothek abgelegt, die für "Alle außer externen Benutzern" lesbar ist. Niemand hat sie je verlinkt, also hat sie auch niemand gesehen. Am zweiten Tag nach dem Copilot-Rollout fragt ein Vertriebsmitarbeiter nach den "Gehaltsbändern im Unternehmen", und Copilot antwortet mit Zahlen aus genau dieser Datei. Die Berechtigung war immer falsch. Copilot hat den Fehler nur sichtbar gemacht.

Deshalb gehört die Bereinigung vor den Rollout, nicht danach. Microsoft beschreibt das selbst als Blueprint mit drei Säulen: Oversharing beheben, Leitplanken setzen, Regulierung erfüllen. Die folgenden Schritte orientieren sich daran und ergänzen sie um die Praxis im Mittelstand.

Schritt 1: Oversharing finden

Bevor du etwas änderst, brauchst du ein Lagebild. Microsoft nennt dafür zwei Werkzeuge. Die Datenrisiko-Bewertungen in Purview Data Security Posture Management (DSPM) zeigen überteilte Sites mit sensiblen Daten und riskante Freigabelinks. SharePoint Advanced Management (SAM) liefert Berichte zur Datenzugriffs-Governance und eine Inhaltsverwaltungs-Bewertung, die Sites mit zu großen Zielgruppen, Nutzung von "Alle außer externen Benutzern", unterbrochener Vererbung, ungeeigneten Freigaben sowie inaktive oder besitzerlose Sites aufspürt.

Zur Lizenz: SAM-Funktionen für Copilot sind laut Microsoft Learn enthalten, sobald mindestens ein Nutzer in deinem Tenant eine Copilot-Lizenz hat; alternativ gibt es ein Zusatzprodukt "SharePoint Advanced Management Plan 1". Außerdem braucht es eine passende Basislizenz. Die in der Dokumentation genannte Liste führt Office-365- und Microsoft-365-Pläne wie E1, E3, E5 und A5 auf, Business-Pläne nennt sie nicht (Stand Oktober 2026). Prüfe deshalb vor der Planung im Admin Center, was dein Tenant tatsächlich enthält. Für den Überblick über Freigaben und Sharing-Berichte hilft auch der Artikel zu SharePoint und OneDrive sicher konfigurieren.

Schritt 2: Übergangsschutz setzen

Du wirst nicht alles in einer Woche bereinigen. Für die Zeit dazwischen gibt es zwei Mechanismen, von denen einer ausläuft.

Restricted SharePoint Search begrenzte die Suche und Copilot auf eine Positivliste von bis zu 100 Sites. Laut Microsoft Learn ist das Feature in der Abkündigung: Seit dem 31. Juli 2026 wird die Neuaktivierung blockiert. Das Feature war ohnehin nie eine Sicherheitsgrenze und änderte keine Berechtigungen. Wenn du Anleitungen aus dem Jahr 2024 oder 2025 findest, die damit beginnen, gelten sie für neue Aktivierungen nicht mehr.

Restricted Content Discovery (RCD) ist der vorgesehene Nachfolger für diese Übergangsphase. Du schaltest es pro Site ein, und der Inhalt erscheint nicht mehr in der organisationsweiten Suche und in Copilot-Antworten. Die Einschränkungen sind wichtig: RCD ändert keine Berechtigungen, Nutzer mit Zugriff kommen weiterhin direkt an die Inhalte, und selbst bei aktiviertem RCD sieht ein Nutzer weiterhin Inhalte, die er selbst besitzt oder kürzlich geöffnet hat. Auf den betroffenen Sites verschwinden außerdem die KI-Einstiegspunkte. Bei Sites mit mehr als 500.000 Elementen kann die Wirkung laut Dokumentation über eine Woche brauchen. Microsoft betont, dass RCD sparsam und befristet eingesetzt werden soll. Es verschafft dir Zeit, es ersetzt keine Bereinigung.

Schritt 3: Berechtigungen bereinigen

Das ist die eigentliche Arbeit, und sie ist organisatorisch, nicht technisch. Für jede Site mit hohem Risiko:

• Besitzer benennen oder bestätigen. Eine Site ohne Besitzer kann niemand korrigieren.
• Freigaben für "Alle außer externen Benutzer" und Anyone-Links entfernen oder auf konkrete Gruppen begrenzen.
• Unterbrochene Vererbung auf Bibliotheken und Ordnern prüfen und, wo möglich, zurücknehmen.
• Site-Zugriffsüberprüfungen anstoßen, damit die Besitzer selbst bestätigen, wer Zugriff behalten soll.
• Inaktive Sites archivieren oder löschen. Microsoft nennt Archivierung ausdrücklich als Weg, Inhalte von der Verarbeitung durch Copilot auszunehmen.

Die Zuständigkeit liegt bei den Fachbereichen, nicht bei der IT: Nur der Leiter der Personalabteilung weiß, wer das Gehaltsband sehen darf. Das passt zu einem sauberen Berechtigungskonzept mit benannten Eigentümern und regelmäßiger Rezertifizierung. Wenn du eines hast, ist der Copilot-Rollout der Anlass, es durchzusetzen. Wenn nicht, ist er der beste Grund, eines zu schreiben.

Schritt 4: Leitplanken setzen

Nach der Bereinigung sorgst du dafür, dass der Zustand bleibt. Microsoft nennt als sichere Voreinstellungen unter anderem, Restricted Access Control für geschäftskritische Sites schon bei der Bereitstellung zu erzwingen, unternehmensweite Freigabegruppen und Anyone-Links zu beschränken und Sensitivity Labels für Sites beim Anlegen vorzuschreiben. Dazu kommen Standard- und Auto-Labeling für Dateien und Mails (Auto-Labeling gehört je nach Lizenz zu den höheren Plänen) und die DLP-Regeln für Copilot aus dem vorigen Abschnitt.

Zwei technische Details helfen bei der Planung. Wenn ein Label verschlüsselt, muss der Nutzer laut Microsoft Learn neben dem Anzeigerecht auch das EXTRACT-Recht haben, damit Copilot den Inhalt zurückgeben darf. Und mit Aufbewahrungs- und Löschrichtlinien räumst du veraltete Dateien auf, was nach Microsofts Dokumentation auch die Qualität der Copilot-Antworten verbessert. Diese Hygiene sollte ohnehin zu deiner Aufbewahrungsrichtlinie gehören.

Schritt 5: Pilot, Monitoring und Agenten

Rolle Copilot nicht an alle gleichzeitig aus. Starte mit einer Pilotgruppe quer durch die Bereiche (bei 110 Mitarbeitenden sind 10 bis 15 Personen realistisch), lege vorab fest, woran du Erfolg und Probleme misst, und werte aus, bevor du erweiterst. Für die Beobachtung bietet Purview DSPM einen Activity Explorer, in dem du Copilot-Interaktionen und Aktivitäten mit sensiblen Daten prüfst. Im Microsoft-365-Admin-Center gibt es zusätzlich ein Copilot-Sicherheits-Dashboard mit Einblicken zu Oversharing und DLP. Für dieses Dashboard genügt zum Lesen die Rolle Global Reader, für Änderungen braucht es AI Administrator.

Plane außerdem die Agenten ein. Copilot kann externe Quellen über Graph-Konnektoren und Agenten einbinden, und Administratoren können im Admin Center festlegen, welche Agenten im Unternehmen erlaubt sind. Jeder Agent erweitert den Zugriff, deshalb gehört er in dieselbe Ampel wie ein Tool. Die Risiken von Agenten, Prompt Injection und MCP-Servern behandelt der Artikel KI-Agenten absichern.

Dokumentiere schließlich, wie lange Audit-Logs und Copilot-Interaktionen aufbewahrt werden. Microsoft nennt dafür Aufbewahrungsrichtlinien und eDiscovery für die Interaktionen. Die Frist muss zu deinem Löschkonzept und zur Abstimmung mit dem Betriebsrat passen.

Schulung und KI-Kompetenz: Was der AI Act dazu sagt

Technik und Ampel greifen nur, wenn die Leute verstehen, warum. Der Schulungsbedarf ist größer, als viele erwarten: Die erwähnte WalkMe-Umfrage nennt nur 7,5 % der Befragten mit umfassender KI-Schulung, 23 % hatten gar keine. Auch das ist eine US-Herstellerumfrage und kein Wert für deine Belegschaft.

Rechtlich spielt Art. 4 des AI Act hinein, die Pflicht zur KI-Kompetenz. Nach den Änderungen durch den Digital Omnibus, der im Juli 2026 in Kraft trat, sollen Anbieter und Betreiber nach aktuellem Stand Maßnahmen ergreifen, die die Entwicklung der KI-Kompetenz ihres Personals fördern; ein bestimmtes Kompetenzniveau müssen sie nicht mehr garantieren. Die Pflicht ist damit weicher geworden, aber nicht verschwunden. Welche Fristen sich sonst verschoben haben, steht im Artikel AI Act nach dem Digital Omnibus. Prüfe den Wortlaut im Amtsblatt, bevor du dich in einem Audit darauf stützt.

Praktisch heißt das: Eine kurze, rollenbezogene Schulung (45 bis 60 Minuten) vor dem Zugriff auf Copilot, jährlich aufgefrischt, mit Anwesenheitsnachweis. Die Inhalte:

• Welche Tools sind grün, gelb, rot, und woran erkenne ich das?
• Welche Daten gehören in welches Tool, und wie erkenne ich die Klassifizierung?
• Wie prüfe ich KI-Antworten, bevor ich sie weitergebe?
• Was tue ich, wenn Copilot Inhalte zeigt, die ich nicht sehen sollte? (Melden, nicht weiterverbreiten.)
• Wie beantrage ich ein neues Tool?

Der letzte Punkt ist der wichtigste für die Kultur. Wer weiß, dass ein Antrag in zehn Tagen eine Antwort bringt, nutzt nicht heimlich ein Tool. Das gehört in dieselbe Linie wie der Aufbau einer Sicherheitskultur: Mitarbeitende, die Risiken melden dürfen, ohne Ärger zu bekommen, bringen Schatten-KI von selbst ans Licht. Die Lesebestätigung der KI-Richtlinie und die Schulungsteilnahme kannst du in ISMS Lite für Gruppen zuweisen und nachverfolgen, sodass im Audit sichtbar ist, wer wann bestätigt hat.

Checkliste: Copilot-Rollout vorbereiten

Governance und Zuständigkeit

• Verantwortlicher für den Rollout benannt (IT, Informationssicherheit, Datenschutz, Fachbereiche)
• Datenschutzbeauftragter und Betriebsrat eingebunden, DSFA-Pflicht geprüft
• KI-Nutzungsrichtlinie aktuell, Ampelliste mit Wiedervorlagedaten gepflegt
• Entscheidung zu Drittmodellen (etwa Anthropic als Unterauftragsverarbeiter) getroffen und dokumentiert
• Lizenzvoraussetzungen im eigenen Tenant geprüft (Basislizenz, SAM, Purview-Funktionen)

Oversharing finden und beheben

• Datenrisiko-Bewertung in Purview DSPM und Inhaltsverwaltungs-Bewertung in SAM ausgeführt
• Sites mit sensiblen Inhalten (Personal, Finanzen, Geschäftsführung, Verträge) priorisiert
• Für Hochrisiko-Sites vorübergehend Restricted Content Discovery gesetzt
• Freigaben für "Alle außer externen Benutzer" und Anyone-Links entfernt oder eingegrenzt
• Unterbrochene Vererbung geprüft, Besitzer für jede Site benannt
• Site-Zugriffsüberprüfungen durch die Besitzer abgeschlossen
• Inaktive und besitzerlose Sites archiviert oder gelöscht

Leitplanken

• Sensitivity Labels definiert, Standard-Label und Label-Pflicht für neue Sites gesetzt
• DLP-Regeln für Copilot angelegt (Labels ausschließen, sensible Informationstypen in Prompts, Websuche)
• Grenze der DLP bekannt: hochgeladene Dateien in Prompts werden nicht geprüft
• Freigabe von Agenten und Konnektoren im Admin Center geregelt
• Aufbewahrung für Audit-Logs und Copilot-Interaktionen festgelegt

Pilot und Betrieb

• Pilotgruppe (etwa 10 Prozent der Belegschaft) aus mehreren Bereichen bestimmt
• Erfolgskriterien und Meldeweg für unerwartet sichtbare Inhalte festgelegt
• Schulung vor Zugriff abgeschlossen, Teilnahme dokumentiert
• Monitoring über Activity Explorer und Copilot-Dashboard eingerichtet
• Restricted Content Discovery nach Bereinigung wieder entfernt
• Review nach 90 Tagen im Terminplan, Ergebnisse im Management Review

Häufige Fehler bei Shadow AI und Copilot-Rollout

Verbieten statt anbieten. Ein pauschales Verbot ohne freigegebene Alternative verlagert die Nutzung auf private Geräte, wo du nichts mehr siehst. Starte mit dem Angebot und dem Fast Track, sperre erst dann gezielt die roten Tools.

Copilot einschalten und danach aufräumen. Das Oversharing-Problem existiert seit Jahren, Copilot macht es nur sichtbar. Wenn du erst nach dem Rollout bereinigst, lernst du von den Mitarbeitenden, was falsch war, und nicht aus einem Bericht. Der Aufwand ist derselbe, die Folgen sind größer.

Restricted SharePoint Search als Dauerlösung planen. Die Funktion war als Übergang gedacht, ist keine Sicherheitsgrenze und lässt sich seit dem 31. Juli 2026 nicht mehr neu aktivieren. Plane stattdessen mit Berechtigungsbereinigung und befristetem Restricted Content Discovery.

Die Freigabe einmal erteilen und vergessen. KI-Anbieter ändern Bedingungen, Modelle und Unterauftragsverarbeiter laufend. Ohne Wiedervorlage ist die Ampel nach einem Jahr veraltet. Hinterlege für jedes Tool ein Prüfdatum.

Nur Technik, keine Schulung. Wer nicht weiß, warum ein Tool rot ist, nutzt es trotzdem. Und wer Copilot nicht kennt, meldet Fehlfreigaben nicht, weil er sie für normal hält.

Die Erkennung ohne Datenschutz denken. Auswertungen von Nutzungsdaten sind selbst eine Verarbeitung von Beschäftigtendaten. Kläre vor dem ersten Log-Export Zweck, Rechtsgrundlage und Betriebsrat.

Fazit: Erst Sichtbarkeit, dann Ampel, dann Copilot

Shadow AI verschwindet nicht durch Verbote, sondern durch ein freigegebenes Angebot, einen schnellen Prozess und technische Leitplanken, die dieselben Regeln durchsetzen, die in der Richtlinie stehen. Copilot ist dafür der beste Anlass: Er zwingt dich, Berechtigungen aufzuräumen, die schon lange hätten gepflegt werden müssen. Nimm dir als nächsten Schritt die Logs der letzten 30 Tage vor und lass die Defender- oder Proxy-Auswertung laufen, bevor du Tools freigibst oder sperrst.

Wenn du Tool-Liste, Dienstleisterbewertung, Richtlinie und Schulungsnachweise nicht in vier Tabellen pflegen willst, findest du sie in ISMS Lite in einem System, bei dir selbst gehostet.

Weiterführende Artikel

• Microsoft 365 absichern: Die 15 wichtigsten Sicherheitseinstellungen
• Sicherheitskultur aufbauen: Warum Technik allein nicht reicht
• ISO 42001: KI-Managementsystem aufbauen und zertifizieren lassen
• Datenschutz-Folgenabschätzung (DSFA): Wann nötig und wie durchführen
• Internationaler Datentransfer: Standardvertragsklauseln und Angemessenheitsbeschlüsse