„Sollen wir unsere Unternehmensdaten an Copilot senden?“ Das ist die häufigste Frage von Unternehmensentscheidern. Die Antwort erfordert, die Architektur von Copilot zu verstehen. In diesem Beitrag behandeln wir die Datenverarbeitungsprinzipien von Microsoft und eine Bewertung aus KVKK-Sicht.
01. Wohin gehen die Daten?
Copilot sendet den Nutzerbefehl und die relevanten Unternehmensdaten (Grounding) an den Azure OpenAI Service. Nachdem die Antwort erzeugt ist, werden die Daten nicht gespeichert; die Protokollierung ist minimal und dient nur der Fehlerdiagnose.
02. Wird nicht im Modelltraining verwendet
Microsoft garantiert vertraglich, dass die Enterprise-Copilot-Daten nicht im Training des GPT-Modells verwendet werden. Das ist der größte Unterschied zum „Consumer“-ChatGPT.
03. KVKK-Bewertung
Copilot ist aus KVKK-Sicht in der Position eines „Auftragsverarbeiters“. Das Unternehmen unterzeichnet als Verantwortlicher mit Microsoft einen Datenverarbeitungsvertrag. Der Vertrag klärt die Rechte zu Datenspeicherung, -löschung und -zugriff.
04. Datenansiedlung
Azure OpenAI verarbeitet im Rahmen der EU Data Boundary innerhalb der EU. Für die Türkei ist eine gesonderte Bewertung nötig; in kritischen Branchen (Verteidigung, öffentlicher Sektor) eine sorgfältigere Analyse.
05. Klassifizierung und DLP
Nutzt Ihr Unternehmen Microsoft Purview, können sensible Informationen (Vertraulichkeitslabels) bei der Verarbeitung durch Copilot regelbasiert blockiert werden. Zum Beispiel werden als „Vertraulich“ gekennzeichnete Dokumente nicht in die KI-Zusammenfassung einbezogen.