Kurz gesagt: Wer Microsoft 365 Copilot beruflich nutzt, ist Betreiber eines KI-Systems im Sinne der KI-Verordnung (Artikel 3 Nummer 4). Copilot ist kein Hochrisiko-System, deshalb sind die Pflichten überschaubar: Mitarbeitende im Umgang mit KI unterstützen und das dokumentieren (Artikel 4), Datenschutz und Geschäftsgeheimnisse im Blick behalten, und bei veröffentlichten Inhalten die Kennzeichnungsregeln des Artikels 50 kennen. Eine Registrierung, ein Beauftragter oder eine Zertifizierung sind nicht vorgeschrieben.
Das gilt seit dem 2. Februar 2025 (Artikel 4) beziehungsweise seit dem 2. August 2026 (Artikel 50), unabhängig davon, ob Sie Copilot bewusst eingeführt haben oder ob er mit dem Lizenzpaket einfach da war.
Microsoft ist Anbieter von Copilot und trägt die Anbieterpflichten, etwa die maschinenlesbare Kennzeichnung erzeugter Inhalte (Artikel 50 Absatz 2). Ihr Unternehmen ist Betreiber, weil es das System in eigener Verantwortung beruflich verwendet. Eine Ausnahme entsteht, wenn Sie mit Copilot Studio eigene Agenten bauen und unter eigenem Namen einsetzen: Wer ein KI-System entwickelt oder entwickeln lässt und es zur Eigenverwendung in Betrieb nimmt, ist Anbieter dieses Systems (Artikel 3 Nummer 3 und Nummer 11). Bei einem internen Assistenten ohne Hochrisiko-Zweck bleibt das folgenlos bis auf Artikel 4 und die Transparenzregeln; ein Agent, der Bewerbungen vorsortiert, wäre dagegen ein Hochrisiko-System nach Anhang III Nummer 4.
Sie ergreifen Maßnahmen, um die KI-Kompetenz aller Mitarbeitenden zu unterstützen, die Copilot nutzen. Seit dem 27. Juli 2026 verlangt die Vorschrift Unterstützung, kein garantiertes Niveau. Ein Zertifikat ist nicht vorgeschrieben; eine kurze, dokumentierte Unterweisung mit Nachweis reicht in der Regel. Ein direktes Bußgeld gibt es nicht, fehlende Nachweise wiegen aber bei jedem anderen Verstoß schwerer.
Bild-, Ton- oder Videoinhalte, die echten Personen, Orten oder Gegenständen ähneln und fälschlich echt wirken, müssen Sie als künstlich erzeugt offenlegen. Dasselbe gilt für KI-Texte, die Sie veröffentlichen, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung.
Die KI-Verordnung ersetzt die DSGVO nicht. Personenbezogene Daten in Copilot brauchen eine Rechtsgrundlage, bei Cloud-Diensten einen Auftragsverarbeitungsvertrag, bei Entscheidungen mit rechtlicher Wirkung greift Artikel 22 DSGVO. Für Beschäftigtendaten gilt zusätzlich § 26 BDSG, bei technischer Überwachung § 87 Absatz 1 Nummer 6 BetrVG.
Für die normale Büroarbeit mit Copilot (Texte entwerfen, Mails zusammenfassen, Besprechungsnotizen, Excel-Auswertungen) gibt es keine Hochrisiko-Pflichten, keine Registrierung in der EU-Datenbank und keine Kennzeichnungspflicht für interne Dokumente. Ein Text, den Copilot vorformuliert und ein Mensch verantwortet, muss nicht als KI-Text gekennzeichnet werden, es sei denn, er wird veröffentlicht, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, und niemand hat ihn redaktionell geprüft.
Drei Konstellationen verdienen einen zweiten Blick. Erstens Personalentscheidungen: Wer Copilot Bewerbungen bewerten, Leistungen von Mitarbeitenden beurteilen oder Kündigungen vorbereiten lässt, verwendet KI in einem Anhang-III-Bereich (Nummer 4); die Hochrisiko-Pflichten gelten dafür ab dem 2. Dezember 2027, Artikel 22 DSGVO und das Mitbestimmungsrecht des Betriebsrats gelten heute. Wer ein Allzweckwerkzeug so einsetzt, ändert seine Zweckbestimmung und wird nach Artikel 25 Absatz 1 Buchstabe c selbst Anbieter des Hochrisiko-Systems, mit allen Anbieterpflichten. Zweitens Besprechungsaufzeichnungen mit Transkription: Das ist keine Emotionserkennung, aber eine technische Einrichtung, die Verhalten erfassen kann, also mitbestimmungspflichtig. Drittens Daten: Copilot arbeitet mit allem, worauf der Nutzer Zugriff hat. Fehlende Berechtigungskonzepte in SharePoint werden mit Copilot sichtbar; das ist ein Datenschutzthema, kein KI-VO-Thema, aber es fällt Ihnen zuerst auf die Füße.
Sie müssen nicht raten und nichts bezahlen, um zu erfahren, wo Sie stehen. Der Check stellt Ihnen 15 einfache Fragen in vier Blöcken, ohne Fachjargon. Am Ende sehen Sie eine Ampel-Einordnung, die betroffenen Pflichten mit Artikelverweis und den Bußgeldrahmen für Ihre Unternehmensgröße. Keine Anmeldung, keine E-Mail-Abfrage; bei der kostenlosen Auswertung bleiben Ihre Antworten in Ihrem Browser.
15 Fragen, sofortiges Ergebnis. Ohne Anmeldung.
Die drei Schritte oben gehen schnell, wenn Vorlagen, Richtlinie und Unterweisung fertig vorliegen; genau das liefert der Report, zugeschnitten auf Ihre Antworten aus dem Check. Wer das prüffähig braucht, etwa um intern Ruhe zu haben oder einem Steuerberater oder Anwalt eine strukturierte Grundlage zu geben, kann im Anschluss an den Fragebogen den ausführlichen Report bestellen: Einstufung mit Fundstellen, priorisierter Maßnahmenplan, Bußgeldrahmen mit KMU-Staffelung, druckfertige Vorlagen (KI-Nutzungsrichtlinie, KI-Inventar, Schulungsnachweis) und eine Unterweisung zur KI-Kompetenz nach Artikel 4 mit Verständnistest und Teilnahmebestätigung. Einmalig 149 Euro, ein Angebot ausschließlich für Unternehmer im Sinne des § 14 BGB.
Sehen Sie vorher, was Sie bekommen: Beispiel-Report als PDF, ein Musterreport für eine fiktive Beispiel GmbH (Analyseteil vollständig, Vorlagen und Unterweisung gekürzt).
Nein. Eine Registrierungspflicht besteht nur für Anbieter von Hochrisiko-Systemen und für bestimmte Ausnahmefälle nach Artikel 49. Betreiber von Copilot registrieren nichts.
Nein. Die Verordnung schreibt keine solche Rolle vor. Sie schreibt Maßnahmen zur KI-Kompetenz vor (Artikel 4), und dafür sollte eine Person verantwortlich sein.
Nein. Artikel 50 Absatz 4 betrifft veröffentlichte Texte zu Themen öffentlichen Interesses ohne redaktionelle Verantwortung und Deepfakes. Geschäftskorrespondenz ist davon nicht erfasst.
Nicht als solches. Hochrisiko wird ein Einsatz erst durch den Zweck, etwa Bewertung von Bewerbern oder Mitarbeitenden (Anhang III Nummer 4). Dafür gelten die Pflichten ab dem 2. Dezember 2027.
Herstellerschulungen helfen, ersetzen aber nicht die betriebliche Unterweisung, die Ihren Einsatzkontext, Ihre Datenregeln und Ihre Ansprechpersonen abdeckt. Dokumentieren Sie beides.
Was Artikel 4 verlangt, was reicht, wie Sie es dokumentieren.
Was seit dem 2. August 2026 gilt und was am 2. Dezember 2027 folgt.
Welcher Höchstbetrag für Ihr Unternehmen nach Artikel 99 gilt.
Was für externe KI-Dienste zusätzlich gilt.
Diese Seite ist eine Orientierungshilfe auf Basis der Verordnung (EU) 2024/1689 in der Fassung der Verordnung (EU) 2026/1744 und ersetzt keine Rechtsberatung.
Stand: September 2026