Copilot-Agenten inventarisieren: was ins KI-Register gehört

Inhalt in Kürze

• Agenten entstehen ohne IT-Projekt. Wer Copilot Studio benutzen darf, baut in einer Mittagspause einen Assistenten, der SharePoint-Inhalte liest.
• Eine Registerpflicht aus Art. 26 KI-VO gibt es nicht. Die Norm gilt nach Abs. 1 nur für Hochrisiko-Systeme. Der Grund für ein Verzeichnis liegt woanders.
• Sieben Felder je Agent reichen — entscheidend ist die Spalte „Datenquellen”, nicht die schöne Beschreibung.
• Der Copilot-Nutzungsbericht liefert nur Zahlen, weil Microsoft die Kennungen mandantenweit anonymisiert.

Ein Agent ist schnell gebaut: Datenquelle auswählen, ein paar Anweisungen schreiben, veröffentlichen. Fünfzehn Minuten. Was dabei entsteht, ist ein KI-System, das auf Firmeninhalte zugreift — und in keiner Liste steht.

Warum niemand mitbekommt, dass ein Agent entstanden ist

Klassische Software durchläuft eine Beschaffung. Ein Agent nicht. Er wird in einer vorhandenen Lizenz gebaut, kostet nichts extra, wird über einen Teams-Kanal geteilt und heißt „Angebots-Helfer”.

Drei Dinge fallen dabei regelmäßig unter den Tisch:

• Die Datenquellen. Ein Agent, der „alle SharePoint-Inhalte" lesen darf, sieht auch die Personalablage, wenn deren Berechtigungen nie aufgeräumt wurden.
• Die Weitergabe. Der Agent wird geteilt, kopiert, umbenannt. Der Ersteller weiß nach vier Wochen nicht mehr, wer ihn benutzt.
• Der Ausstieg. Wenn der Ersteller das Unternehmen verlässt, bleibt der Agent. Er ist niemandem zugeordnet und wird von niemandem gepflegt.

Was die KI-Verordnung an dieser Stelle wirklich verlangt

Hier wird viel behauptet, deshalb sauber getrennt.

Art. 26 der KI-Verordnung gilt ausschließlich für Betreiber von Hochrisiko-Systemen. Das steht in Absatz 1. Ein selbstgebauter Assistent, der Angebotstexte vorschlägt, ist keines. Die praktisch einschlägigen Absätze für Betreiber sind Abs. 6 — die Aufbewahrung der vom System erzeugten Protokolle — und Abs. 7, die Information der betroffenen Beschäftigten und ihrer Vertretung. Eine Registerpflicht enthält Art. 26 nicht; Abs. 8 betrifft nur Behörden und Unionsstellen.

Der Grund für ein Verzeichnis liegt woanders:

Dazu kommt die Aufsichtspraxis: Die Orientierungshilfe „Künstliche Intelligenz und Datenschutz” der Datenschutzkonferenz vom 06.05.2024 hält in Abschnitt 2.2 fest, eigenmächtige KI-Nutzung durch Beschäftigte sei „Realität in vielen Unternehmen”; nötig seien „klare interne Weisungen …, die erteilt und dokumentiert werden”. Ein Inventar schreibt die Konferenz nicht vor — ohne Bestand lässt sich eine Weisung aber schlecht erteilen.

Sieben Felder je Agent — mehr braucht der Anfang nicht

1. Name und Zweck. Ein Satz, der einem Außenstehenden erklärt, wofür der Agent da ist.
2. Verantwortliche Person. Nicht „IT", sondern ein Name. Wer nicht zugeordnet ist, wird nicht gepflegt.
3. Datenquellen. Welche Sites, Postfächer, Laufwerke. Das ist die wichtigste Zeile.
4. Nutzerkreis. Einzelperson, Abteilung oder alle — und ob der Agent geteilt werden darf.
5. Berechtigungen. Der tatsächliche Umfang, nicht die Absicht. „Mail lesen" gehört ausgeschrieben.
6. Personenbezug. Ja oder nein, und wenn ja: welche Kategorien. Daraus folgt der Eintrag ins Verarbeitungsverzeichnis.
7. Freigabestand. Genehmigt, geduldet oder blockiert — mit Datum.

Wie Sie daraus ein prüfbares Verzeichnis machen, steht Schritt für Schritt in der Anleitung zum KI-Register.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „KI sicher einsetzen — Der Leitfaden für Geschäftsführer” (93 Seiten) ausführlich behandelt. Jetzt herunterladen →

Wie Sie finden, was niemand gemeldet hat

Die Liste der Unternehmensanwendungen im Microsoft-365-Mandanten ist der ehrlichste Ausgangspunkt: Sie zeigt, welche Anwendungen mit Firmenkonten verbunden sind, welche Berechtigungen erteilt wurden und wer zugestimmt hat.

Genau diese Angaben liest der Schatten-KI-Radar in Hugo KI aus und gleicht sie gegen einen gepflegten Dienstekatalog ab. Aus einem Fund wird mit einem Klick ein vorbelegter Registereintrag — Name, Anbieter, Rolle als Betreiber, Datenkategorien aus dem Berechtigungsumfang. Was der Radar nicht tut: Inhalte lesen. Was jemand einer KI geschrieben hat, ist technisch nicht vorgesehen.

Deshalb bleibt die organisatorische Seite unverzichtbar. Wer den Bestand kennt, aber keine Regel hat, hat nur eine schönere Liste. Den Rahmen dafür liefert eine KI-Nutzungsrichtlinie, die auch benennt, wer neue Agenten freigibt.

Aus der Praxis

Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, wie Unternehmen ihren Datenschutz umsetzen – ohne dabei den Geschäftsbetrieb einzustellen.

Nils OehmichenDatenschutzberater bei frag.hugo

Bei Agenten heißt das konkret: nicht abschalten, sondern zuordnen. Ein Assistent, der die Angebotsvorlagen kennt, spart echte Zeit. Ein Assistent, der nebenbei die Personalablage indexiert, ist derselbe Assistent mit einer falschen Datenquelle — und das ist eine Einstellung, keine Grundsatzentscheidung.

Ihr nächster Schritt

Nehmen Sie sich eine Stunde und beantworten Sie drei Fragen: Wer in Ihrem Haus darf Agenten bauen? Welche Datenquellen stehen dabei zur Auswahl? Und wer bekommt eine Meldung, wenn ein neuer Agent veröffentlicht wird? Wenn eine der Antworten „weiß ich nicht” lautet, fangen Sie dort an. Den größeren Zusammenhang beschreibt der Beitrag Schatten-KI im Mittelstand; welche Risikoklasse Ihr Einsatz hat, klärt das kostenlose Werkzeug zur AI-Act-Einstufung.

Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.

Häufige Fragen (FAQ)

Verlangt die KI-Verordnung ein Register für Copilot-Agenten?

Nein. Art. 26 KI-VO gilt nach seinem Absatz 1 nur für Betreiber von Hochrisiko-Systemen und enthält auch dort keine Registerpflicht. Ein Verzeichnis brauchen Sie trotzdem: für das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO und als Grundlage der Schulungspflicht aus Art. 4 KI-VO.

Was gehört zu einem Copilot-Agenten ins Register?

Name und Zweck, wer ihn gebaut hat, welche Datenquellen er liest, wer ihn benutzen darf, welche Berechtigungen er hat, ob personenbezogene Daten betroffen sind und der Freigabestand. Sieben Felder reichen für den Anfang.

Wie findet man Agenten, von denen niemand weiß?

Über die Liste der Unternehmensanwendungen im Microsoft-365-Mandanten: Welche Dritt-Apps sind mit Firmenkonten verbunden, welche Berechtigungen haben sie, wer hat zugestimmt. Der Schatten-KI-Radar in Hugo KI liest genau diese Angaben aus und ordnet sie einem Dienstekatalog zu.

Zeigt der Copilot-Nutzungsbericht, wer Copilot benutzt?

Nur als Zahl. Microsoft anonymisiert die Kennungen in diesen Berichten mandantenweit. Sie sehen also, wie viele Personen Copilot benutzen, nicht welche — es sei denn, ein Administrator schaltet die Anonymisierung im Mandanten ab.

Was ist der Unterschied zwischen einem Agenten und einer Dritt-App?

Ein Agent wird im eigenen Mandanten gebaut und greift auf eigene Inhalte zu; das Datenschutzthema ist die Berechtigung. Eine Dritt-App gehört einem fremden Anbieter, dem jemand Zugriff erteilt hat; dort kommt die Frage nach Rechtsgrundlage und Auftragsverarbeitung dazu.