Microsoft Copilot Datenschutzrichtlinie
Laut Richtlinie bleiben HR-Daten in HR. 200 Personen können den Ordner öffnen.
Eine Copilot-Datenschutzrichtlinie ist eine Aussage über Berechtigungen, und in einem typischen Mandanten passen die Berechtigungen nicht zum Dokument: Gehaltsordner für das ganze Unternehmen freigegeben, sensible Websites von Copilot indiziert, Agenten, die niemand registriert hat, lesen E-Mails. 1Security zeigt, welche Websites, Dateien und Agenten Copilot tatsächlich erreicht, beschränkt hinter einem Prüffenster, was die Richtlinie verbietet, und behält die Zahlen, die belegen, dass die Richtlinie eingehalten wird.
Das Problem
Die Richtlinie wurde geschrieben. Die Berechtigungen wurden nie befragt.
Copilot respektiert Ihre Berechtigungen von Haus aus - das heißt, Ihre Berechtigungen sind die Richtlinie. Es liest, was der angemeldete Benutzer ohnehin öffnen kann, also ist jeder alte Freigabelink, jede zu breite Gruppe und jede vergessene Website einen gut formulierten Prompt von einer Zusammenfassung entfernt. Ein typischer Benutzer erreicht bereits Hunderttausende Dateien.
Eine Richtlinie, die sagt "Copilot darf keine HR- oder Gehaltsdaten ausgeben", ist also in dem Moment gebrochen, in dem 200 Personen den Ordner mit der Gehaltsrunde technisch öffnen können - ganz ohne Prompt-Filter. In den Mandanten, mit denen wir uns verbinden, tragen 20-40 % der Dateien mit sensiblen Inhalten keine Vertraulichkeitsbezeichnung, und Dutzende von Copilot indizierte Websites halten Kartennummern, Ausweisdaten oder Gesundheitsdaten.
Copilot respektiert Ihre Berechtigungen von Haus aus, also liegt die mandantenseitige Hälfte jeder Datenschutzrichtlinie - was diese Berechtigungen Copilot lesen lassen - bei Ihnen. Die Richtlinie durchzusetzen heißt, diese Reichweite zu kartieren, zu entfernen, was sie nicht umfassen sollte, und die Lücke laufend zu messen, statt sie in einer generierten Antwort neu zu entdecken.
In der Praxis
Vom Dokument zum durchgesetzten Zustand in vier Schritten.
Wie eine Copilot-Datenschutzrichtlinie in 1Security zu etwas Messbarem wird.
- 01
Kartieren, was Copilot heute lesen kann
Öffnen Sie Websites, filtern Sie auf Copilot aktiviert + mit vertraulichen Daten, sortieren Sie nach Erkennungen. Öffnen Sie Agenten, um jeden Copilot-Agenten zu sehen, den Mitarbeiter gebaut oder installiert haben, mit Reichweite in Dateien, Websites, Benutzern und E-Mails und einem Flag für sensible Daten. Zusammen ist das die Liste der Stellen, an denen Richtlinie und Realität auseinandergehen - typischerweise 30-80 Websites und eine Handvoll Agenten, die niemand auf einer Liste hatte.
- 02
Beschränken, was die Richtlinie verbietet
Erklären Sie die Richtlinie im Produkt: Markieren Sie die sensiblen Typen, die sie nennt - HR-Daten, Gehälter, Gesundheitsdaten - als für KI gesperrt, und jeder Agent, jede App und jeder Benutzer, die sie noch erreichen, steht als Verstoß auf der Liste, mit der Erklärung im Protokoll. Aktivieren Sie dann die vorgeschlagenen Automatisierungen: die organisationsweite Copilot-Suche auf den sensiblen Websites blockieren, "Jeder"- und organisationsweite Links ablaufen lassen, und arbeiten Sie die Verstöße ab. Jede stellt pro Ressource einen Vorschlag hinter ein 72-Stunden-Prüffenster, bevor sich etwas ändert.
- 03
Die Richtlinie als Zahl messen
Der vorgefertigte Trend "Exposition sensibler Daten gegenüber Copilot" zählt exponierte sensible Dateien Woche für Woche, und Vertraulichkeitsbezeichnungen zeigt die reale Abdeckung pro Bezeichnung - so wird "unsere Datenschutzrichtlinie wird durchgesetzt" zu einem Diagramm, das das Datenschutzbüro in einen Bericht setzen kann, nicht zu einem Absatz, von dem Sie hoffen, dass er stimmt.
- 04
Die Nachweise behalten
Copilot- und KI-Agenten-Aktivität sind Einträge in den Aktivitätsprotokollen, aufbewahrt bis zu drei Jahre auf Standardlizenzen - deutlich über der Sechs-Monats-Grenze des EU AI Act, mit einer Aufbewahrungsbestätigung im Nachweispaket des Agenten. Wenn der Datenschutzbeauftragte oder eine Aufsichtsbehörde fragt, was die KI berührt hat und wer darauf zugreifen konnte, ist die Antwort ein Filter und ein Export, keine Untersuchung.
Was dahinter steckt
Drei Teile der Plattform hinter der Richtlinie.
Die Durchsetzung der Datenschutzrichtlinie läuft auf Fähigkeiten, über die Sie ausführlich nachlesen können.
Copilot-Sicherheit
Jeder KI-Agent inventarisiert, seine Reichweite in Dateien, Websites, Benutzern und E-Mails quantifiziert - vor dem Rollout, nicht nach der ersten schlechten Antwort.
Funktion erkunden →SharePoint-Governance
Die Websites, die Copilot indiziert, geordnet nach sensiblen Inhalten und Exposition, mit gestaffelten Automatisierungen auf Website-Ebene, um die Copilot-Suche dort zu blockieren, wo die Richtlinie es vorgibt.
Funktion erkunden →Reporting
Bezeichnungsabdeckung, Expositionszahlen und KI-Aktivität als lebende, exportierbare Zahlen für das Datenschutzbüro und den Auditor.
Funktion erkunden →
FAQ
Häufige Fragen.
Ist das die Copilot-Datenschutzrichtlinie von Microsoft?
Nein. Microsofts eigene Dokumentation ist die Autorität dafür, wie Copilot mit Prompts, Antworten und Chatverlauf umgeht. Diese Seite behandelt die ergänzende Hälfte: die Steuerung dessen, was Copilot in Ihrem eigenen Mandanten lesen kann - entschieden durch die Berechtigungen, die Sie ohnehin verwalten.
Sendet 1Security selbst unsere Inhalte an eine KI?
Nein. Datei- und E-Mail-Inhalte werden in die Analyse gestreamt und verworfen; behalten werden nur Erkennungstyp, Trefferzahl und Konfidenz, und die gefundenen Werte selbst werden nie in die Datenbank geschrieben. Die Erkennung ist deterministisch, und in der Standardkonfiguration sieht kein KI-Dienst eines Drittanbieters Dateiinhalte.
Copilot respektiert bereits Berechtigungen. Warum braucht es mehr?
Weil die Berechtigungen das Problem sind. Copilot zeigt nur, was der angemeldete Benutzer ohnehin sehen kann, also steckt das Risiko in Jahren angesammelter Vergaben, Links und Gruppenmitgliedschaften. Eine Datenschutzrichtlinie durchzusetzen heißt, diese Reichweite zu korrigieren, und dafür braucht es eine Karte davon.
Brauchen wir dafür eine Premium-Lizenz oder Purview?
Nein. Die Erkennung sensibler Daten ist die eigene Engine von 1Security, auf Standardlizenzen für Microsoft 365. Wenn Sie Purview betreiben, werden dessen Bezeichnungen und Erkennungen synchronisiert und daneben angezeigt, und die Abdeckungslücke wird gegen sie gemessen.
Machen Sie die Datenschutzrichtlinie im Mandanten wahr.
Verbinden Sie schreibgeschützt und sehen Sie, was Copilot heute erreicht. Dann beschränken Sie, was die Richtlinie verbietet - mit einem Prüffenster vor jeder Änderung, auf Standard-Microsoft-Lizenzen.
Oder hoffen Sie weiter, dass die Berechtigungen zum Dokument passen.