Microsoft aktiviert Copilot-Datenverarbeitung außerhalb der EU standardmäßig

Mit „Flex Routing“ kann Microsoft 365 Copilot KI-Anfragen europäischer Kunden in den USA, Kanada oder Australien verarbeiten. Die Funktion ist für neue Mandanten seit März 2026 standardmäßig aktiviert. Wer das nicht will, muss selbst handeln. Microsoft hat eine neue Funktion namens Flex Routing für Microsoft 365 Copilot eingeführt. Sie erlaubt, Inferenz bei Spitzenlast außerhalb der EU-Datengrenze durchzuführen. Inferenz bezeichnet den Verarbeitungsschritt, bei dem ein KI-Modell eine Eingabe verarbeitet und eine Antwort erzeugt, etwa das Zusammenfassen von Dokumenten oder das Beantworten von Fragen. Diese Verarbeitungsschritte können laut Microsoft-Dokumentation bei aktiviertem „Flex Routing“ in den USA, Kanada oder Australien stattfinden. Betroffen sind Kunden mit Sitz in der Europäischen Union oder der Europäischen Freihandelsassoziation (EFTA). Microsoft betont, dass die Daten während der Übertragung und im Ruhezustand verschlüsselt bleiben. Ruhende Daten würden weiterhin innerhalb der EU-Datengrenze gespeichert. Eingeschränkte pseudonymisierte Daten können allerdings aus Sicherheits- und Betriebsgründen auch außerhalb der EU liegen. Die Verarbeitung außerhalb der EU findet laut Microsoft nur in begrenzten Zeiträumen statt und läuft nicht kontinuierlich. Standardmäßig aktiviert: Opt-out statt Opt-in Für neue Mandanten, die nach dem 25. März 2026 erstellt wurden, ist „Flex Routing“ bereits standardmäßig aktiviert. Bei bestehenden Mandanten soll die Funktion ebenfalls automatisch eingeschaltet werden, sofern Administratoren nicht aktiv widersprechen. Der Datenschutzanbieter Proton kritisiert diese Entscheidung. Die Default-Aktivierung sei ein Warnsignal. Forschung zeige, dass die meisten Nutzer Standardeinstellungen weder überprüfen noch ändern. Proton schreibt dazu: Wenn Datensouveränität etwas wäre, das dem Unternehmen für seine europäischen Kunden wichtig ist, hätte es Flex Routing nicht automatisch implementiert. Die Compliance-Last liege damit vollständig beim Kunden. Unternehmen müssten Änderungen ihrer Anbieter selbst überwachen, deren Auswirkungen bewerten und Einstellungen entsprechend anpassen. Gespeichert in der EU heißt nicht verarbeitet in der EU Proton weist darauf hin, dass Verschlüsselung bei Übertragung und Speicherung allein nicht ausreicht, um Anforderungen aus DSGVO, NIS2 oder dem Digital Operational Resilience Act (DORA) zu erfüllen. Die Verarbeitung sei der Punkt, an dem Daten tatsächlich zugänglich gemacht werden müssen. Prompts, E-Mails, Dateien und Metadaten würden für die Inferenz zusammengestellt und an das Modell gesendet. Mit „Flex Routing“ könne dieses Paket außerhalb der EU verarbeitet werden. Wo Daten verarbeitet werden, sei entscheidend, so Proton. Auch dann, wenn sie auf dem Weg dorthin und zurück verschlüsselt seien. Wie kann man „Flex Routing“ ausschalten? Wer sicherstellen will, dass KI-Anfragen innerhalb der EU verarbeitet werden, muss Flex Routing manuell deaktivieren. Laut Microsoft-Dokumentation funktioniert das so: Im Microsoft 365 Admin Center als Administrator mit der Rolle „KI-Administrator“ anmelden. Zu Copilot, dann Einstellungen, dort alle Optionen einblenden und dann zu „Flex-Routing während Spitzenlastzeiten“ navigieren. Die Option „Flexrouting nicht zulassen“ auswählen. Proton empfiehlt darüber hinaus, grenzüberschreitende Implikationen unter DSGVO und branchenspezifischen Regeln zu prüfen. Unternehmen sollten KI-spezifische Datenflüsse auditieren und klären, wo Daten tatsächlich verarbeitet werden, nicht nur, wo sie gespeichert sind.

Microsoft aktiviert Copilot-Datenverarbeitung außerhalb der EU standardmäßig

heise KI PROKI VERSTEHEN UND ANWENDEN

heise KI PRO
KI VERSTEHEN UND ANWENDEN