Kurzantwort: M365 Copilot sollte erst in einem Treuhandbüro starten, wenn die Zugriffsrechte in Microsoft 365, SharePoint und Teams überprüft wurden. Microsoft beschreibt Copilot als Zugriff auf Inhalte, die für den jeweiligen Nutzer bereits erreichbar sind. Zu breit geteilte Mandatsordner bleiben damit ein Risiko.
Copilot macht Berechtigungen sichtbar
Microsoft beschreibt Copilot als Nutzung von Microsoft-Graph-Inhalten, auf die der jeweilige Nutzer bereits berechtigt zugreifen kann. Für den Rollout ist deshalb entscheidend, welche Inhalte Mitarbeitende heute bereits lesen dürfen. Wenn Ordner, Teams oder Seiten zu breit geteilt sind, kann ein KI-Assistent Informationen schneller auffindbar, zusammenfassbar und kombinierbar machen.
Ein Treuhandbüro sollte deshalb vor dem Pilot nicht nur die KI-Einstellungen ansehen. Es sollte die Informationsarchitektur prüfen: Mandatsbereiche, externe Freigaben, alte Projektteams, Gruppenmitgliedschaften, Besitzrechte und sensible Ablagen. Die sauberste Copilot-Policy hilft nicht, wenn die darunterliegenden Berechtigungen nicht zum Mandatsprinzip passen.
Die vier Prüfbereiche vor dem Pilot
- Mandatsstruktur: Sind Mandatsakten logisch getrennt und nur für die zuständigen Personen erreichbar?
- Freigaben: Gibt es offene Links, externe Gäste oder Vererbungen, die niemand mehr aktiv überprüft?
- Gruppen und Eigentümer: Hat jedes Team und jeder sensible Bereich einen verantwortlichen Eigentümer?
- Lebenszyklus: Werden abgeschlossene Mandate, ehemalige Mitarbeitende und alte Kollaborationsräume sauber bereinigt?
Warum altes Oversharing vor Copilot sichtbar wird
In vielen M365-Umgebungen entstehen über Jahre Teams, Freigabelinks und Projektordner. Was früher nur mit genauer Kenntnis eines Ablageorts auffindbar war, wird mit einer Such- oder Zusammenfassungsfunktion leichter nutzbar. Das ist kein Fehler von Copilot. Es ist der Moment, in dem das bestehende Berechtigungsmodell seine Konsequenzen zeigt.
Der Pilot ist deshalb eine Gelegenheit, Altlasten gezielt zu beheben: externe Gäste kontrollieren, alte SharePoint-Bereiche bereinigen, Eigentümer nachtragen und öffentliche Links schliessen. Eine Lizenzierung ohne diese Vorarbeit kann den Nutzen zwar starten, aber die Governance-Schuld vergrössern.
Ein Pilot mit klarer Grenze
Der erste Pilot braucht keinen Zugriff auf das gesamte Unternehmen. Wählen Sie eine kleine Gruppe, wenige eindeutig freigegebene Arbeitsbereiche und konkrete Aufgaben: Entwürfe aus eigenen, geprüften Vorlagen, Meeting-Zusammenfassungen ohne Mandatsinhalte oder die Suche in einer bewusst kuratierten Fachbibliothek.
Definieren Sie zugleich, welche Ergebnisse nie ohne menschliche Prüfung verwendet werden: steuerliche Einschätzungen, Vertrags- oder Revisionsaussagen, Lohn- und Sozialversicherungsfragen sowie Mandantenkommunikation. Eine Antwort, die plausibel klingt, ist kein Nachweis für Aktualität, richtigen Kanton oder richtigen Sachverhalt.
Kontrollen, die im Alltag wirken
Richten Sie für den Pilot eine monatliche Kurzprüfung ein: Welche Bereiche wurden genutzt? Welche sensiblen Inhalte wurden auffindbar? Welche Antworten waren unvollständig oder falsch? Welche Freigabe musste zurückgenommen werden? Daraus entsteht ein überprüfbarer Verbesserungszyklus statt eines einmaligen Rollout-Projekts.
Zusätzlich brauchen Mitarbeitende eine einfache Regel: Keine vertraulichen Informationen in nicht freigegebene KI-Tools kopieren und keine Copilot-Ausgabe ungeprüft extern versenden. Die Regel muss zusammen mit Beispielen aus der täglichen Treuhandarbeit erklärt werden – nicht als allgemeiner IT-Hinweis in einem PDF verschwinden.
Testfälle vor der Ausweitung
Prüfen Sie nicht nur, ob Copilot eine freundliche Zusammenfassung schreiben kann. Gute Testfälle enthalten absichtlich unvollständige Quellen, veraltete Informationen, nicht zugängliche Dokumente und grenzwertige Berechtigungen. Das Team muss beobachten, wie das System reagiert und ob die Schutzmechanismen tatsächlich greifen.
Dokumentieren Sie auch die Grenzen: Welche Fragen darf der Pilot nicht beantworten? Welche Ablagen bleiben ausgeschlossen? Wer entscheidet über die Ausweitung? Ein Pilot ohne dokumentierte Fehlersignale ist meist kein kontrollierter Pilot, sondern ein breiter Rollout mit kleinerer Nutzergruppe.
Häufige Fragen
Sieht Copilot alles, was in Microsoft 365 liegt?
Copilot arbeitet im Rahmen der bestehenden Identität und Berechtigungen. Deshalb muss vor dem Rollout geprüft werden, welche Inhalte über diese Berechtigungen erreichbar sind.
Reicht eine Copilot-Lizenz für einen sicheren Einsatz?
Nein. Lizenz und technische Konfiguration sind nur ein Teil. Informationsarchitektur, Berechtigungen, Aufbewahrung, Schulung und fachliche Freigaben gehören ebenfalls dazu.
Wo sollte ein Pilot beginnen?
Bei einer kleinen, klar abgegrenzten Nutzergruppe und bewusst kuratierten Arbeitsbereichen – nicht bei allen Mandatsakten gleichzeitig.
Quellen und Prüfbasis
Hinweis: Dieser Beitrag ist eine praktische Orientierung und keine Rechtsberatung. Die Beurteilung eines konkreten Mandats hängt von Daten, Vertrag, Rolle, Konfiguration und allfälligen besonderen Geheimhaltungspflichten ab.
Transparenz zur Erstellung: Dieser Beitrag wurde mit KI-Unterstützung erstellt und einer redaktionellen Quellen- und Plausibilitätsprüfung unterzogen. Er wurde nicht durch eine externe Rechtskanzlei begutachtet und ersetzt keine verbindliche Rechtsberatung.
KI-Einsatz im Treuhandbüro kontrolliert freigeben
Das KI-Governance-Audit prüft Datenklassen, Berechtigungen und Freigaben für Ihren konkreten KI-Workflow – Festpreis CHF 2'900, Ergebnis in 14 Tagen.
Audit ansehen