„Copilot ist doch nur ChatGPT mit Microsoft-Logo.“ Der Satz fällt in fast jedem Erstgespräch mit einem Schweizer KMU, das über Microsoft 365 Copilot nachdenkt. Er klingt einleuchtend, und er ist falsch: Er verstellt den Blick darauf, was das Produkt tatsächlich tut und warum die Einführung mehr braucht als eine zugewiesene Lizenz.

Microsoft 365 Copilot liest bei einer Antwort keine allgemeinen Trainingsdaten aus dem Internet. Es liest, was in Ihrem eigenen Microsoft-365-Tenant liegt: E-Mails, SharePoint-Dokumente, Teams-Chats, Kalendereinträge. Das macht Copilot nützlicher als einen öffentlichen Chatbot, und die Einführung anspruchsvoller. Wer die eigenen Firmendaten anzapft, muss vorher wissen, wer worauf Zugriff hat und was das rechtlich bedeutet.

Was Copilot wirklich tut: ein Orchestrator, kein eigenständiger Chatbot

Ein reines Sprachmodell, wie es hinter dem öffentlichen ChatGPT steckt, kennt nur zwei Dinge: das, womit es trainiert wurde, und das, was Sie ihm gerade in den Prompt schreiben. Es weiss nichts über die Offerte, die letzte Woche an einen Kunden ging, nichts über die Ferienregelung im Personalhandbuch, nichts über die Frist im aktuellen Bauprojekt. Fragen Sie ein solches Modell danach, erfindet es eine Antwort oder verweigert sie.

Microsoft 365 Copilot funktioniert anders. Es verbindet ein Sprachmodell mit den Inhalten im Microsoft Graph, also mit E-Mails, Chats, Dokumenten, Kalendern und Kontakten, und mit den Apps, in denen Ihr Team ohnehin arbeitet. Bevor das Sprachmodell antwortet, sucht eine vorgelagerte Komponente die passenden Inhalte aus Ihrem Tenant zusammen und reicht sie mit. Microsoft nennt diesen Vorab-Schritt Grounding: erst abrufen, dann generieren. Das Sprachmodell formuliert damit auf Basis echter Inhalte, nicht aus dem, was irgendwo im Training vorkam.

Damit diese Suche auch über hunderttausende Dokumente hinweg schnell geht, baut Copilot für jeden lizenzierten Nutzer einen sogenannten Semantic Index auf, eine Landkarte, die nicht nach exakten Wörtern sucht, sondern nach Bedeutung. Eine Anfrage nach „offenen Fristen“ findet damit auch ein Dokument, in dem nur „Termin bis Ende März“ steht. Ohne zugewiesene Copilot-Lizenz baut dieser Index für einen Nutzer gar nicht erst auf. Für diesen Nutzer gibt es dann über Copilot keinen Zugriff auf die eigenen Firmeninhalte, nicht bloss eine abgespeckte Version davon.

Ein Detail, das in Verkaufsgesprächen gerne untergeht: Dieser Index arbeitet nicht in Echtzeit. Von einem Nutzer im eigenen Postfach erstellte Inhalte werden nahezu sofort erfasst, neue Dokumente auf einer geteilten SharePoint-Site dagegen nur einmal pro Tag. Lädt jemand am Morgen ein Vertragsdokument auf eine Projekt-Site hoch und fragt eine Stunde später Copilot danach, kann die Antwort lauten, es existiere nicht. Das ist keine Fehlfunktion, sondern ein veralteter Indexstand. Wer das nicht weiss, sucht den Fehler an der falschen Stelle, meist bei den Berechtigungen.

Was der Index einem Nutzer zeigt, hängt an einer zweiten, unabhängigen Schicht: den Berechtigungen, die in Ihrem Tenant schon heute gelten. Diese Schicht entscheidet, ob eine Copilot-Einführung zum Fortschritt wird oder zum Datenschutzproblem. Ein grosses Berechtigungsprojekt braucht deshalb aber nicht automatisch jedes Unternehmen vor dem ersten Rollout, wie der übernächste Abschnitt zeigt.

Die Einführungslücke: was zwischen Lizenz und nützlichem Copilot liegt

Zwischen „wir haben jetzt eine Copilot-Lizenz“ und „unser Team arbeitet spürbar schneller“ liegt eine Reihe von Entscheidungen, die keine einzelne Quelle für Sie beantwortet. Microsofts eigene Dokumentation erklärt die Technik. Ob Ihre SharePoint-Freigaben für einen Rollout taugen, steht dort nicht. Das Schweizer Datenschutzgesetz regelt die Pflichten eines Verantwortlichen, sagt aber nichts darüber, welche Copilot-Funktion für Ihre Branche überhaupt etwas bringt. Ein Preisblatt wiederum zeigt einen Betrag pro Nutzer und Monat, aber keinen Anwendungsfall, der diesen Betrag wieder hereinspielt.

Vier Dinge braucht es, um aus der Lizenz einen echten Nutzen zu machen, und an jedem hängt eine andere Art von Wissen.

Zuerst die Lizenzbasis. Copilot Business setzt eine bestehende Microsoft-365-Geschäftslizenz voraus, Business Basic, Standard, Premium oder Apps for Business. Wie viele Copilot-Lizenzen Sie zusätzlich brauchen und was das kostet, hängt von Ihrer Nutzerzahl und dem gewählten Vertragsmodell ab. Diese Zahlen ändern sich schneller, als ein Artikel aktuell bleiben kann, weshalb sie hier bewusst fehlen: Prüfen Sie den aktuellen Stand direkt bei Microsoft oder in einem konkreten Angebot.

Dann die Berechtigungen. Weiter oben ging es um den Semantic Index, der einem Nutzer nur zeigt, was er ohnehin schon sehen darf. Genau das kippt zum Problem, wenn diese Freigaben in Ihrem Tenant schon vor Copilot zu offen vergeben waren, etwa eine SharePoint-Site, auf die „alle“ Zugriff haben und auf der zufällig Lohndaten liegen.

Copilot und Oversharing

Ein verbreiteter Einwand lautet, Copilot sei ein Datenschutzrisiko, weil es plötzlich Inhalte findet, an die vorher praktisch niemand kam. Microsofts eigene Beschreibung des Mechanismus dreht die Kausalität um: Copilot zeigt einem Nutzer ausschliesslich, was dieser bereits mit seinen bestehenden Rechten öffnen dürfte, es umgeht keine Berechtigung. Das eigentliche Risiko liegt in Freigaben, die schon vor Copilot zu offen vergeben waren und die vorher praktisch niemand durchsuchte.

Copilot deckt dieses Risiko auf, statt es zu schaffen. Microsoft empfiehlt deshalb ausdrücklich eine Berechtigungsprüfung vor dem Rollout, nicht als Reaktion danach.

Die dritte Grösse ist das Recht. Seit dem 1. September 2023 gilt in der Schweiz das revidierte Datenschutzgesetz. Ihr Unternehmen ist als Verantwortlicher für die Bearbeitung von Personendaten in der Pflicht, Microsoft übernimmt als Auftragsbearbeiter einen Teil davon vertraglich. Was das für Ihre konkreten Daten bedeutet, hängt von deren Art ab, und dafür braucht es im Zweifel eine eigene Prüfung statt einer allgemeinen Einschätzung.

Und schliesslich der Anwendungsfall selbst. „Wir führen jetzt KI ein“ ist kein Plan, ein Angebots-Assistent oder ein Firmenwissens-Agent für eine Abteilung schon. Ein Rechnungseingang, der sich im Treuhandbüro automatisieren lässt, sieht anders aus als ein Submissionsvergleich im Architekturbüro oder eine Rapport-Erfassung im Handwerksbetrieb. Beispiele nach Branche zeigen, wie unterschiedlich das je nach Tätigkeit aussieht.

Vier Fragen, vier unterschiedliche Fachgebiete, und keine davon beherrscht ein Sprachmodell allein. Heisst das, jedes Unternehmen muss dieselbe Vorarbeit in derselben Tiefe leisten?

Wann sich die Vorarbeit lohnt, und wann Sie sie sich sparen können

Es gibt eine Schwelle, unterhalb derer sich die vier Fragen aus dem letzten Abschnitt fast von selbst beantworten. Ein Betrieb mit einer Handvoll Nutzern, einem aufgeräumten Tenant ohne wild gewachsene Freigaben und ohne durchgehend schützenswerte Personendaten kann die Add-on-Lizenz oft binnen einer Stunde nach Microsofts eigener Anleitung zuweisen. Es gibt hier keine echte Lücke zu schliessen, weil kaum Fragmente existieren, die zusammengeführt werden müssten.

Oberhalb dieser Schwelle sieht die Rechnung anders aus. Sobald Berechtigungen über Jahre gewachsen und nicht mehr im Überblick sind, sobald Mandats-, Patienten- oder Lohndaten im Spiel sind, oder sobald unklar ist, welche der vier Fragen für Ihre Branche überhaupt zutrifft, wird aus einer Stunde Zuweisungsarbeit ein Projekt mit mehreren Beteiligten. Ein Treuhandbetrieb mit vierzig Mitarbeitenden und laufenden Mandaten liegt nach dieser Logik so gut wie immer oberhalb dieser Schwelle. Ein Zwei-Personen-Planungsbüro mit übersichtlicher Ablage kann durchaus darunter liegen.

Weiter oben stand die Frage, ob deshalb jedes Unternehmen vor dem ersten Rollout ein grosses Berechtigungsprojekt braucht. Jetzt lässt sich das beantworten: nein. Was zählt, ist die eigene Grösse und die Art der Daten, nicht eine pauschale Regel für alle KMU. Der ROI-Schätzer auf der Startseite gibt eine erste grobe Grössenordnung, wie viel Zeit sich in Ihrem Fall realistisch sparen liesse, das ersetzt aber keine Prüfung Ihrer eigenen Ausgangslage.

Offen bleibt der praktische Teil: wie diese Prüfung im Alltag aussieht, egal auf welcher Seite der Schwelle Sie stehen.

Der pragmatische Fahrplan: vier Schritte vor dem ersten Rollout

Hand schreibt eine Checkliste auf einem Klemmbrett, im Hintergrund ein Laptop
Die Bestandsaufnahme vor dem Rollout entscheidet oft mehr als die Technik selbst.

Vor der ersten zugewiesenen Lizenz lohnen sich vier Schritte, in dieser Reihenfolge.

  1. 1

    Lizenzbasis und Nutzerkreis klären

    Prüfen Sie, welche bestehende Microsoft-365-Geschäftslizenz Sie haben und ob sie das Copilot-Add-on trägt. Legen Sie danach fest, wer in einer ersten Phase wirklich Zugriff braucht, meist eine kleine Gruppe statt der ganzen Belegschaft.

  2. 2

    Berechtigungen durchsehen, bevor der Schalter umgelegt wird

    Das ist dieselbe Berechtigungsschicht, die weiter oben über Fortschritt oder Datenschutzproblem entschieden hat. Copilot zeigt nur, was ohnehin freigegeben ist. Eine zu offene SharePoint-Site mit sensiblen Unterlagen gehört vor dem Rollout geschlossen, nicht danach entdeckt.

  3. 3

    Einen einzigen, eng geschnittenen Anwendungsfall wählen

    „Wir führen jetzt KI ein“ lässt sich nicht umsetzen, ein Angebots-Assistent oder ein Firmenwissens-Agent für eine Abteilung schon. Ein enger Fall lässt sich in Tagen einführen und zeigt schnell, ob der Nutzen real ist.

  4. 4

    Mit einer kleinen Gruppe starten, beobachten, dann erweitern

    Eine Lizenz ohne eingeübte Prompt-Praxis bringt wenig. Zeigt sich nach vier bis sechs Wochen, dass die erste Gruppe spürbar Zeit spart, wissen Sie, ob sich ein zweiter Anwendungsfall lohnt.

Technisch ist keiner der vier Schritte kompliziert. Übersprungen wird meistens die Bestandsaufnahme davor, nicht die Technik. Welche Quellen die Aussagen in diesem Artikel stützen und was hier bewusst nicht behandelt wird, steht im letzten Abschnitt.

Woher diese Einschätzungen stammen

Die Aussagen zu Copilots Funktionsweise in diesem Artikel, vom Orchestrator-Aufbau über Grounding und Semantic Index bis zur täglichen statt sofortigen Indexierung von SharePoint-Inhalten und dem Oversharing-Mechanismus, stammen aus einer Faktenbasis, die für ein technisches Fachbuch zu Microsoft 365 Copilot für IT-Dienstleister aufgebaut wurde. Jede dieser Aussagen wurde einzeln gegen Microsofts eigene Dokumentation auf Microsoft Learn geprüft, mit Stand 28. Juni 2026. Der praktische Fahrplan im vorletzten Abschnitt stützt sich auf ein internes Vorgehens-Playbook der LAN Computer Systems AG für Copilot-Einführungen bei Schweizer KMU, Stand 24. April 2026.

Was dieser Artikel bewusst nicht abdeckt: eine aktuelle Zahl zu Copilot-Lizenzkosten. Microsoft hat an den Aktionspreisen für die Schweiz in den letzten Monaten mehrfach geschraubt, ein Betrag, der beim Schreiben stimmt, kann bei Ihrer Anfrage schon überholt sein. Prüfen Sie den aktuellen Preis direkt bei Microsoft oder in einem konkreten Angebot. Ebenfalls nicht abgedeckt ist eine rechtliche Einzelfallprüfung zu Datenresidenz und nDSG-Konformität für Ihr Unternehmen, dafür braucht es Ihre eigene Datenschutzberatung oder eine dedizierte Prüfung vor dem Rollout.

Stand dieses Artikels: 8. September 2026.