ChatGPT, Copilot oder eigene KI?

Worum es geht

Es gibt drei Wege, KI ins Unternehmen zu holen: einen allgemeinen KI-Assistenten wie ChatGPT, Claude oder Gemini, Copilot in Microsoft 365 oder eine eigene KI-Anwendung für eine bestimmte Aufgabe. Die drei schließen sich nicht aus. Viele Unternehmen nutzen zwei davon nebeneinander.

Die Kernaussage dieses Artikels: Entscheiden Sie nach der Aufgabe, nicht nach dem Werkzeug. Wie viel internes Wissen braucht die Aufgabe, wie oft kommt sie vor und wo liegen die Daten heute? Ob ein Weg datenschutzgerecht ist, hängt dann weniger vom Produkt ab als von Vertrag, Einstellungen und Regeln.

Der Artikel richtet sich an Geschäftsführung, IT-Verantwortliche und alle, die eine Entscheidung vorbereiten. Sie finden unten eine Entscheidungshilfe, ein durchgespieltes Beispiel und eine Prüfliste, mit der Sie jedes Werkzeug vor der Freigabe prüfen können.

Allgemeine KI-Assistenten

ChatGPT, Claude oder Gemini sind vielseitig: Entwürfe schreiben, zusammenfassen, übersetzen, Ideen sammeln. Sie kennen Ihr Unternehmen aber nur aus dem, was Sie in die Eingabe schreiben oder hochladen. Für den Einsatz im Team braucht es ein geschäftliches Konto mit passendem Vertrag.

Am Beispiel von OpenAI lässt sich zeigen, worauf es ankommt. Für ChatGPT Business, ChatGPT Enterprise und die API-Plattform gibt OpenAI an, geschäftliche Daten standardmäßig nicht zum Training zu verwenden. Für diese drei bietet OpenAI einen Zusatz zur Datenverarbeitung an, also einen Vertrag zur Auftragsverarbeitung. Daten aus den Versionen für Einzelpersonen nutzt OpenAI nach eigener Angabe auch für das Training.

Zwei Punkte gehören vor der Einführung geklärt. In ChatGPT Business können Workspace-Admins die Gespräche der Nutzerinnen und Nutzer einsehen, exportieren und löschen. Sagen Sie Ihrem Team offen, wer das kann und wofür. Außerdem bestimmen die Admins, wie lange Gespräche aufbewahrt werden. Gelöschte Gespräche entfernt OpenAI nach eigener Angabe innerhalb von 30 Tagen, von gesetzlichen und wenigen weiteren Ausnahmen abgesehen.

Copilot in Microsoft 365

Wenn Ihr Unternehmen mit Microsoft 365 arbeitet, kann Copilot mit der kostenpflichtigen Copilot-Lizenz auf Dokumente, Mails und Termine zugreifen, und zwar mit den Rechten der jeweiligen Person. Das ist praktisch, setzt aber eine saubere Rechtevergabe voraus: Was jemand sehen darf, findet auch Copilot. Microsoft schreibt dazu, dass Copilot nur Unternehmensdaten anzeigt, für die die jeweilige Person mindestens Anzeigeberechtigungen hat.

Zum Datenschutz macht Microsoft folgende Angaben: Eingaben, Antworten und die über Microsoft Graph abgerufenen Daten werden nicht zum Training der zugrunde liegenden Sprachmodelle verwendet. Für Nutzerinnen und Nutzer aus der EU bleibt der Datenverkehr innerhalb der EU-Datengrenze. Ausgenommen sind derzeit Modelle von Anthropic, die als Unterauftragsverarbeiter bereitgestellt werden. Ob solche Drittanbietermodelle genutzt werden, entscheiden die Administratoren. Microsoft hat das Produkt inzwischen in „Microsoft Copilot“ umbenannt, in Lizenzen taucht teils noch der alte Name auf.

Ein einfacher Test vor dem Start: Eine Person ohne Sonderrechte fragt Copilot nach Gehältern, Personalakten oder Kündigungen. Was dabei auftaucht, ist für sie schon heute auffindbar. Schränken Sie solche Freigaben in SharePoint, OneDrive und Teams ein, bevor Copilot für alle kommt.

Eine eigene KI-Anwendung

Eine eigene Anwendung ist auf eine Aufgabe zugeschnitten, etwa Angebote aus Ihren Vorlagen entwerfen oder Fragen neuer Kolleginnen und Kollegen aus dem Handbuch beantworten. Sie arbeitet mit Ihrem Wissen, kann die Quelle ihrer Antworten zeigen und auf Wunsch in der EU betrieben werden.

Häufig verbindet eine solche Anwendung ein Sprachmodell mit einer Sammlung Ihrer eigenen Dokumente. Fachlich heißt das Retrieval Augmented Generation, kurz RAG. Die Datenschutzkonferenz hat dazu im Oktober 2025 eine Orientierungshilfe veröffentlicht. Danach lassen sich in der Dokumentensammlung bewährte Rechte- und Rollenkonzepte umsetzen, im Sprachmodell selbst dagegen nicht. Die Methode kann falsche Antworten in gewissem Umfang verringern und erlaubt es in vielen Fällen, das Sprachmodell im eigenen Haus zu betreiben.

Wer eine solche Anwendung entwickeln lässt und unter eigenem Namen einsetzt, gilt nach der KI-Verordnung als Anbieter. Für die meisten Anwendungen bedeutet das wenige zusätzliche Pflichten, es gehört aber in die Planung.

So entscheiden Sie

Drei Fragen helfen bei der Zuordnung einer konkreten Aufgabe:

• Wenn die Aufgabe ohne interne Unterlagen auskommt, etwa ein Entwurf für einen Fachartikel, reicht ein allgemeiner Assistent.
• Wenn die nötigen Unterlagen schon in Outlook, Teams oder SharePoint liegen und die Rechte stimmen, spart Copilot das Hochladen.
• Wenn dieselbe Aufgabe jede Woche wiederkehrt, feste Vorlagen hat und das Ergebnis nachvollziehbar sein muss, prüfen Sie eine eigene Anwendung.

Ein Beispiel: dieselbe Aufgabe auf drei Wegen

Ein Planungsbüro mit 15 Mitarbeitenden schreibt jede Woche mehrere Angebote. Grundlage sind eine Anfrage per Mail, Textbausteine für Leistungen und frühere Angebote.

Mit einem allgemeinen Assistenten kopiert jemand die Anfrage ohne Kundennamen und die passenden Textbausteine in die Eingabe und bittet um einen Entwurf. Das funktioniert. Die Qualität hängt jedes Mal davon ab, welche Bausteine die Person auswählt und mitschickt.

Mit Copilot lautet die Eingabe etwa: „Entwirf ein Angebot auf Basis der Anfrage von heute und unserer Vorlage ‚Angebot Planung‘.“ Copilot findet Mail und Vorlage selbst, sofern die Person darauf zugreifen darf. Die Qualität hängt davon ab, wie aufgeräumt die Ablage ist.

Mit einer eigenen Anwendung wählt das Team die Anfrage aus. Die Anwendung kennt alle freigegebenen Bausteine, schlägt die passenden vor und zeigt, aus welcher Vorlage jeder Absatz stammt. Der Aufwand für die Entwicklung kann sich lohnen, weil die Aufgabe jede Woche wiederkehrt.

In allen drei Fällen prüft ein Mensch den Entwurf, bevor er das Haus verlässt.

Prüfliste vor der Freigabe

Diese Fragen können Sie jedem Anbieter stellen, ob Assistent, Copilot oder Entwicklungspartner:

• Gibt es ein geschäftliches Konto, das wir zentral verwalten?
• Ist ein Vertrag zur Auftragsverarbeitung abgeschlossen oder abschließbar?
• Ist das Training mit unseren Eingaben ausgeschlossen, standardmäßig oder per Einstellung?
• Wo werden die Daten verarbeitet und welche Modelle oder Unterauftragnehmer sind beteiligt?
• Wie lange werden Eingaben und Ergebnisse gespeichert und wer bei uns kann sie einsehen?
• Bei Copilot zusätzlich: Sind die Freigaben in SharePoint, OneDrive und Teams geprüft?

Halten Sie die Antworten je Werkzeug mit Datum fest. So sehen Sie bei Änderungen des Anbieters, was neu zu prüfen ist.

Nächste Schritte

• Schreiben Sie die fünf Aufgaben auf, für die Ihr Team KI am häufigsten nutzen würde und ordnen Sie jede mit den drei Wenn-Fragen einem Weg zu.
• Gehen Sie für den gewählten Weg die Prüfliste durch.
• Wenn Copilot in Frage kommt, machen Sie den Rechte-Test mit einer Person ohne Sonderrechte.
• Wenn eine Aufgabe nach eigener Anwendung aussieht, beschreiben Sie sie auf einer Seite: Eingang, Unterlagen, gewünschtes Ergebnis, wer prüft.

Mehr dazu, welche Daten in eine Eingabe gehören, steht im Artikel KI und DSGVO. Wie ein solches Projekt abläuft, beschreibt der Artikel Wie ein KI-Projekt abläuft. Welche Aufgabe kostet in Ihrem Unternehmen jede Woche am meisten Zeit?

Häufige Fragen

Quellen

1. Microsoft: Daten, Datenschutz und Sicherheit für Microsoft 365 Copilot
2. Microsoft: Überblick über Copilot
3. OpenAI: Datenschutz für Unternehmen
4. Orientierungshilfe zu generativen KI-Systemen mit RAG-Methode, Datenschutzkonferenz (DSK), Oktober 2025

Stand: 01.10.2026. Dieser Artikel ersetzt keine Rechtsberatung.