Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / Copilot einschalten ist kein Zauber: Verträge, Lizenzen, Berechtigungen und Purview-Governance in Microsoft 365 (KI-Synchronfassung)

Transcript

Copilot einschalten ist kein Zauber: Verträge, Lizenzen, Berechtigungen und Purview-Governance in Microsoft 365 (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

• 0:00
  Alle denken, Microsoft Copilot müsse man nur einschalten und schon geschieht Magie.
• 0:04
  Falsch.
• 0:05
  In Wirklichkeit schließen Sie ein großes Sprachmodell direkt an den Blutkreislauf Ihrer Unternehmensdaten an.
• 0:10
  Bühne frei für Copilot.
• 0:12
  Es kombiniert große Sprachmodelle mit Ihren Inhalten aus Microsoft Graph und den Microsoft 365 Apps, die Sie täglich nutzen.
• 0:18
  E-Mails, Chats, Dokumente, alles fließt als Input hinein.
• 0:21
  Die Frage ist nicht, ob es funktioniert, sondern was Sie damit gerade in Ihrem Tenant entfesselt haben.
• 0:25
  Es geht um weit mehr. Verträge, Lizenzen, Datenschutz, technische Kontrollen und Governance.
• 0:31
  Verpassen Sie einen Aspekt, haben Sie ein Labyrinth ohne Landkarte gebaut.
• 0:34
  Seien Sie also ehrlich, was genau passiert, wenn Sie Copilot aktivieren und wer trägt die Verantwortung für die Folgen für die Folgen?
• 0:39
  Verträge, die unsichtbare Hand am Schalter.
• 0:41
  Verträge, die unsichtbare Hand, die jeden Schalter führt, den Sie zu betätigen glauben.
• 0:46
  Auch wenn die Admin-Konsole wie ein mächtiges Dashboard wirkt, liegt die wahre Verkabelung in trockenem Rechtstext.
• 0:51
  Copilot steht nicht allein. Es unterliegt den Microsoft-Produktbedingungen und dem Microsoft-Datenschutz-Adendum.
• 0:57
  Diese Dokumente sind kein Kleingedrucktes. Sie sind die Basis für Datenresidenz, Verarbeitungsverpflichtungen und Datenschutzvorgaben in Schützwerk.
• 1:03
  Mit anderen Worten, bevor Sie einen Schalter umlegen, hat der Vertrag die Spielregeln bereits festgelegt.
• 1:07
  Legen wir die Illusion ab.
• 1:09
  Die Microsoft-Produktbedingungen bestimmen, was Sie tun dürfen, wo Ihre Daten physisch liegen dürfen und vor allem, wem die Copilot-Ergebnisse gehören.
• 1:15
  Das Datenschutz-Adendum regelt Kontrollen, insbesondere im Hinblick auf die DSGVO und ähnliche Rahmenbedingungen und definiert Microsofts Rolle als Auftragsverarbeiter.
• 1:25
  Diese Rahmenwerke sind keine inspirierenden Compliance-Poster. Sie sind bindend.
• 1:30
  Ignorieren Sie diese, umgehen Sie nicht die Regeln, sondern erhöhen nur das Compliance-Risiko, denn Ihre technischen Einstellungen müssen mit diesen Verpflichtungen im Einklang stehen.
• 1:39
  Das ist keine technische Spitzfindigkeitsanstruktur. Verträge sind Verpflichtungen. Technische Kontrollen sind die Durchsetzungsmechanismen.
• 1:43
  Sie können Aufbewahrungsrichtlinien, Verschlüsselung und Berechtigungen bis zur Erschöpfung konfigurieren.
• 1:49
  Wenn Sie nicht mit den im DPA und den Produktbedingungen verankerten Verpflichtungen übereinstimmen, sind Sie angreifbar.
• 1:56
  Ein Vertrag ist nichts, das man einfach umgehen kann. Ist der Startschuss.
• 2:00
  Ohne ihn ist Ihre Bereitstellung nicht korrekt. Sie improvisieren mit rechtlichen Haftungsrisiken.
• 2:05
  Hier ist eine Sorge, die ich ständig höre. Trainiert Microsoft heimlich seine LLMs mit unseren Geschäftsdaten.
• 2:10
  Die vertragliche Antwort lautet, Prompts, Antworten und Microsoft Graph-Daten, die von Co-Pilot genutzt werden, fließen nicht in die Basismodelle von Microsoft zurück.
• 2:17
  Dies ist sowohl in den Produktbedingungen als auch im DPA formal festgeschrieben.
• 2:20
  Ihre E-Mails dienen nicht als Übungsmaterial für das Gehirn der KI.
• 2:24
  Microsoft hat Schutzmaßnahmen entwickelt, um genau das zu verhindern.
• 2:26
  Falls Sie das nicht wussten, herzlichen Glückwunsch. Sie haben sich über ein Problem gesorgt, das der Vertrag bereits gelöst hat.
• 2:30
  Um den Punkt zu verdeutlichen, denken Sie an das Beispiel einer Fitnessstudio-Mitgliedschaft.
• 2:33
  Sie dachten, Sie melden sich nur für ein Laufband an. Aber der Vertrag legt stillschweigend die Öffnungszeiten, die Einschränkungen bei den Geräten und ja, auch den Teil mit der Kleidung in der Sauna fest.
• 2:42
  Sie können nicht behaupten, das Lesen übersprungen zu haben. Das Fitnessstudio setzt es trotzdem durch.
• 2:46
  Microsoft arbeitet auf die gleiche Weise. Infrastruktur und rechtliches Grundgerüst. Keine Improvisation auf dem Spielplatz.
• 2:50
  Diese Vereinbarung bestimmt, wo Daten gespeichert werden.
• 2:53
  Die Datenresidenz ist keine philosophische Abstraktion.
• 2:56
  Regulierungsbehörden setzen Sie mit brutaler Klarheit durch.
• 2:57
  Zum Beispiel werden Co-Pilot-Anfragen von EU-Kunden innerhalb der EU-Datengrenze beschränkt.
• 3:02
  Außerhalb der EU können Anfragen über Rechenzentren in anderen globalen Regionen geleitet werden.
• 3:06
  Dies ist in der Produktbestimmung genau festgelegt.
• 3:08
  Überrascht, dass Ihre Dateien Grenzen überschreiten können?
• 3:11
  Dieser Schock kommt nur, wenn Sie versäunen zu lesen, was Sie unterschrieben haben.
• 3:14
  Das Eigentum an Ergebnissen wird ebenfalls von vornherein geregelt.
• 3:16
  Die von Co-Pilot generierten Präsentationen gehören standardmäßig Ihnen nicht aufgrund digitaler Großzügigkeit,
• 3:21
  sondern weil die Produktbestimmungen das KI-System angewiesen haben, auf jegliche IP-Ansprüche zu verzichten.
• 3:25
  Und dann gibt es noch die DSGVO und mehr.
• 3:28
  Benachrichtigungen bei Datenpannen, Audits zur Nutzung von Unterauftragsverarbeitern, alles steht im AVV.
• 3:32
  Das Fazit ist nicht theoretischer Natur.
• 3:34
  Wenn Ihre Einführung diese Abhängigkeiten nicht berücksichtigt,
• 3:36
  werden Ihre technischen Kontrollen zu einer aufwendigen Fassade beeindruckend, aber hohl.
• 3:40
  Der Vertrag bestimmt die Architektur und erst dann erhalten die Schalter und Richtlinien, die Sie konfigurieren,
• 3:44
  tatsächliches Compliance-Gewicht.
• 3:46
  Die treffende Metapher betrachten Sie Co-Pilot nicht als eine Steckdose,
• 3:49
  an die Sie beiläufig etwas anschließen, sondern als Teil eines Stromnetzes.
• 3:52
  Der Bauplan dieses Netzes, der Schaltplan, existiert lange,
• 3:55
  bevor Sie den Toaster einstecken.
• 3:57
  Wenn der Plan falsch ist, erzeugt jeder technische Schritt danach Instabilität.
• 4:01
  Verträge sind dieser Schaltplan.
• 4:02
  Der Admin-Schalter ist nur das Einstecken am Endpunkt.
• 4:05
  Und seien wir präzise, ein Benutzer freizuschalten ist keine beiläufige Entscheidung.
• 4:08
  Das Aktivieren von Co-Pilot setzt die Verpflichtungen in Kraft,
• 4:10
  die bereits in diesen Dokumenten kodiert sind.
• 4:12
  Identität, Berechtigung, Verschlüsselung, Aufbewahrung, alles operiert nachgelagert.
• 4:16
  Vertragliche Bedingungen sind Governance auf Atomara-Ebene.
• 4:18
  Bevor Sie eine Rolle zuweisen oder eine Aufbewahrungsrichtlinie festlegen,
• 4:21
  hat der Vertrag bereits Zuständigkeit, Eigentum und Compliance-Status geklärt.
• 4:25
  Hier ist also das Fazit.
• 4:26
  Bevor Sie anfangen, Lizenzen in Ihrer Belegschaft zu verteilen, halten Sie ihn an.
• 4:30
  Setzen Sie sich mit der Rechtsverteilung.
• 4:31
  Überprüfen Sie, ob Ihr AVV und die Abdeckung durch die Produktbestimmung dokumentiert sind.
• 4:34
  Planen Sie alle regionspezifischen Residenzverpflichtungen wie zum BDEU-Datengrenzen ein
• 4:38
  und legen Sie Ihre Basisverpflichtungen fest.
• 4:40
  Erst dann ist es sinnvoll, die IT mit der Zuweisung von Co-Pilot-Lizenzenzen zu beginnen.
• 4:43
  Sobald die Grundlage anerkannt ist, liegt der nächste Schritt auf der Hand.
• 4:47
  Was steuern diese Lizenzen und Rollenzuweisungen eigentlich, wenn man sie aktiviert,
• 4:50
  abgesehen vom Papierkram?
• 4:52
  Genau hier kommen die wirklichen Schlösser ins Spiel.
• 4:55
  Lizenzen und Rollen sind die Schlösser an jeder Tür.
• 4:58
  Sie denken wahrscheinlich, eine Lizenz sei ein magischer Schlüssel.
• 5:01
  Man kauft eine, verteilt sie, die Nutzer geben Prompts ein
• 5:03
  und plötzlich schreibt Co-Pilot-E-Mails wie ein überkoffinierter Praktikant.
• 5:07
  Falsch gedacht.
• 5:08
  Eine Co-Pilot-Lizenz ist kein Generalschlüssel.
• 5:11
  Es ist eher wie eine Baugenehmigung mit einem Türsteher.
• 5:13
  Die Genehmigung definiert, was rechtmäßig existieren darf
• 5:16
  und der Türsteher bestimmt, wer hinter die Absperrung darf.
• 5:18
  Wer Lizenzen nur als Freischaltcode betrachtet,
• 5:20
  hat das System bereits grundlegend missverstanden.
• 5:23
  Hier ist die Klarstellung, die sie sich einprägen müssen.
• 5:26
  Lizenzen aktivieren Co-Pilot-Funktionen,
• 5:28
  aber Co-Pilot zeigt nur Daten an,
• 5:29
  für die ein Nutzer über Microsoft Graph bereits eine Berechtigung hat.
• 5:33
  Berechtigungen werden durch die Identität ihres Tenants
• 5:34
  und unserer RBRC-Einstellung durchgesetzt.
• 5:36
  Die Lizenz sagt, ja, diese Person darf Co-Pilot nutzen.
• 5:39
  Aber unsere RBRC sagt, nein,
• 5:40
  sie kann weiterhin nicht die privaten Ordner des Finanzchefs öffnen,
• 5:43
  es sei denn, sie konnte es vorschauen.
• 5:44
  Ohne diese Unterscheidung geraten Leute wegen phantomhafter Risiken
• 5:46
  in Panik oder ignorieren schlimmstenfalls die Serialen Gefahren.
• 5:50
  Die Lizenzierung an sich ist grob, aber notwendig.
• 5:52
  Co-Pilot ist ein Add-on
• 5:53
  für bestehende Microsoft 365-Pläne.
• 5:55
  Es ist nicht in Standardpaketen enthalten,
• 5:57
  man entscheidet sich aktiv dafür.
• 5:58
  Die Zuweisung einer Lizenz erweitert keine Berechtigungen,
• 6:00
  sie gewährt lediglich die Funktionalität in Word, Excel,
• 6:03
  Outlook und dem Rest der Suite.
• 6:04
  Und hier liegt die operative Norm.
• 6:06
  Manche Funktionen erfordern zusätzliche Lizenzen,
• 6:08
  wie Purview für Compliance-Kontrollen
• 6:10
  oder Defender-Add-ons für zusätzliche Sicherheitsschleusen.
• 6:13
  Versuchen Sie, Co-Pilot ohne Kenntnis
• 6:14
  dieser Abhängigkeiten zu betreiben
• 6:16
  und Ihr Rollout ist so stabil wie ein Gerüst auf Wackelpudding.
• 6:19
  Lassen Sie uns nun das gefährlichste Missverständnis ausräumen.
• 6:21
  Wenn Sie Co-Pilot-Lizenzen leichtfertig vergeben,
• 6:23
  Sie also einfach im Unternehmen verteilen,
• 6:25
  ohne unsere RBRC zu prüfen können,
• 6:27
  Nutzer alles abfragen, worauf Sie ohnehin schon Zugriff haben.
• 6:30
  Das bedeutet, wenn Ihre Berechtigungshygiene
• 6:32
  nachlässig ist, wird der Praktikant zwar nicht magisch
• 6:34
  zum globalen Administrator,
• 6:35
  aber er kann sensible Dokumente finden,
• 6:37
  die versehentlich für alle zugänglich sind.
• 6:40
  Wenn Sie umfassende Lizenzen mit lockeren Rollen kombinieren,
• 6:42
  ist eine Gefährdung nicht nur hypothetisch, sondern garantiert.
• 6:44
  Nutzer brauchen keine bösen Absichten,
• 6:46
  um Lecks zu verursachen,
• 6:46
  sie brauchen nur ein Suchfeld und zu viel geerbten Zugriff.
• 6:49
  Rollen sind das, was das Gerüst zusammenhält.
• 6:50
  Die rollenbasierte Zugriffskontrolle bestimmt,
• 6:52
  welche Zugriffsebene eine Identität hat.
• 6:55
  Vergeben Sie Co-Pilot-Lizenzen ohne Rollenbegrenzung,
• 6:57
  geben Sie den Leuten im Grunde KI-gestützte Taschenlampen
• 7:00
  für dunkle Flure, die Sie eigentlich gar nicht betreten sollten.
• 7:02
  Richtig angewendet hält unsere RBRC Co-Pilot in seinem Bereich.
• 7:05
  Finanzmitarbeiter können nur Finanzdatensätze abfragen.
• 7:08
  Das Marketing kann Entwürfe nur aus Kampagnenmaterial erstellen.
• 7:11
  Admins verwalten Einstellungen,
• 7:12
  jedoch nur innerhalb der strengen von ihnen gesetzten Grenzen.
• 7:15
  Co-Pilot spiegelt das Verzeichnis getreu,
• 7:16
  wie der Erläuf nicht amok, es sei denn,
• 7:17
  ihr Verzeichnis tut dies bereits.
• 7:19
  Denken Sie sich zwei Organisationen.
• 7:21
  Die erste glaubt Fairness,
• 7:22
  bedeutet identische Lizenzen mit identischem Zugriff.
• 7:24
  Jeder erhält denselben Co-Pilot-Umfang.
• 7:26
  Edler Gedanke, katastrophales Ergebnis.
• 7:28
  Co-Pilot stürzt sich nun fröhlich auf Vertragsbibliotheken,
• 7:31
  Personalakten und E-Mail-Verläufe der Geschäftsführung,
• 7:33
  weil diese versehentlich übermäßig freigegeben wurden.
• 7:35
  Die zweite folgt Disziplin.
• 7:37
  Lizenzen entsprechen dem Bedarf
• 7:38
  und Rollen definieren strenge Zonen.
• 7:41
  Finanzthemen bleiben im Finanzbereich Marketing und Marketing,
• 7:44
  die IT sitzt am Rand.
• 7:46
  Benutzer halten Co-Pilot für intelligent,
• 7:48
  doch in Wahrheit spiegelt er nur
• 7:49
  eine disziplinierte Informationsarchitektur wieder, wieder.
• 7:51
  Hier ist ein praktischer Tipp zum Überleben.
• 7:53
  Hören Sie auf, Lizenzen manuell Platz für Platz du zu weisen.
• 7:56
  Nutzen Sie stattdessen gruppenbasierte Lizenzzuweisung.
• 7:58
  Das ist effizient
• 7:59
  und zwingt Sie dazu, Gruppenmitgliedschaften zu überprüfen.
• 8:02
  Wenn Sie diese Mitgliedschaften nicht prüfen,
• 8:03
  können Lizenzen in Bereiche gelangen, in die Sie nicht gehören.
• 8:06
  Und denken Sie daran,
• 8:07
  Co-Pilot-Lizenzen können nicht auf mandantenübergreifende Gastkonten ausgeweitet werden.
• 8:10
  Nein, der Berater mit Gmail-Login erhält kein Co-Pilot in Ihrer Umgebung.
• 8:14
  Versuchen Sie nicht, dies zu umgehen.
• 8:15
  Das System wird Sie blockieren,
• 8:17
  und ausnahmsweise ist das ein Geschenk.
• 8:18
  Betrachten Sie Lizenzen als Reisepässe.
• 8:20
  Sie markieren, wer an die Grenze gehört,
• 8:22
  aber Pässe garantieren Bürgern keinen freien Zugang zum gesamten Kontinent.
• 8:25
  Visa und Aufenthaltserlaubnisse sorgen für die Einschränkung.
• 8:27
  Rollen sind Ihre Visa.
• 8:29
  Zusammen bilden Sie Strukturen an den Grenzen.
• 8:30
  Ignorieren Sie Rollen,
• 8:31
  und Sie sind der Tourist der lauthals bei der Einwanderungsbehörde,
• 8:33
  die Staatsbürgerschaft vor.
• 8:34
  Im besten Fall amüsant, im schlimmsten Fall gefährlich.
• 8:36
  Die Eleganz liegt darin,
• 8:37
  dass rollenbasierte Zugriffskontrolle RBAC bei korrekte Architektur unsichtbar wird.
• 8:41
  Benutzer glauben Co-Pilot, kenne Sie.
• 8:42
  Stimmt nicht.
• 8:43
  Co-Pilot spiegelt einfach das Sicherheitsgitter wieder,
• 8:45
  das bereits im Microsoft-Ram von 65 kreiert ist.
• 8:47
  Bieten Sie starke Berechtigungen,
• 8:48
  und Co-Pilot spiegelt Disziplin wieder.
• 8:50
  Bieten Sie Chaos, und Co-Pilot spiegelt Chaos wieder.
• 8:53
  Der Spiegel ist neutral, Ihr Design ist es nicht.
• 8:56
  Deshalb fungieren Lizenzen und Rollen zusammen
• 8:58
  als stille Schlösser in Ihrer Organisation.
• 9:00
  Wenn es richtig gemacht wird, bemerzen.
• 9:01
  Wird es schlecht gemacht,
• 9:02
  bemerken Sie es erst, wenn Co-Pilot Dokumente anzeigt,
• 9:04
  die kein Praktikant je sehen sollte.
• 9:07
  Und das wirft das nächste Problem auf.
• 9:09
  Was konsumiert Co-Pilot eigentlich
• 9:10
  in diesen verschlossenen Räumen?
• 9:11
  Die Antwort?
• 9:13
  Ein Buffet aus Ihren E-Mails,
• 9:14
  Ihren Dokumenten und jeder vergessenen,
• 9:16
  übermäßig freigegebenen Datei,
• 9:17
  die Sie herumliegen ließen.
• 9:19
  Datenfreilegung.
• 9:20
  Co-Pilot Speiseplan ist Ihre gesamte Organisation.
• 9:22
  Lassen Sie uns also darüber sprechen,
• 9:23
  was passiert, sobald Co-Pilot anfängt zu tun.
• 9:25
  Datenfreilegung ist nicht theoretisch.
• 9:27
  Es ist die tägliche Konsequenz daraus,
• 9:29
  dass Co-Pilot von eben jenem Verzeichnis fressen darf,
• 9:31
  das Sie konstruiert haben.
• 9:33
  Microsoft 365 Co-Pilot bezieht Inhalte über Microsoft Graph
• 9:36
  und präsentiert nur Material,
• 9:37
  für das ein Benutzer bereits mindestens Leseberechtigungen hat.
• 9:39
  Der semantische Index und das Grounding
• 9:41
  respektieren identitätsbasierte Zugriffsgänzen,
• 9:44
  was bedeutet, dass die KI nicht in Bereiche vordringt,
• 9:46
  in die sie nicht gehört.
• 9:47
  Sie zeigt lediglich auf,
• 9:48
  was Ihr Sicherheitsmodell bereits sichtbar macht,
• 9:50
  oft auf Wegen, die Sie nicht erwartet haben.
• 9:52
  Und doch ist genau das die Gefahr.
• 9:53
  Co-Pilot beugt keine Berechtigung
• 9:54
  und erspiegelt sie wieder.
• 9:55
  Wenn die Bibliotheken Ihres Teams
• 9:56
  mit jeder Zugriff und durchsetzt sind,
• 9:58
  wird Co-Pilot diese problemlos
• 9:59
  in eine Zusammenfassung einbeziehen.
• 10:01
  Wenn Ihr SharePoint nachlässig konfiguriert ist,
• 10:03
  wird Co-Pilot diese Daten in Entwürfe integrieren.
• 10:06
  Benutzer suchen selten in den unaufgeräumten Ecken
• 10:08
  Ihres Tenants, doch Co-Pilot unterscheidet da nicht.
• 10:11
  Er greift auf den gesamten Index zu.
• 10:12
  Und dieser Index ist Ihr Werk,
• 10:13
  nicht das von Microsoft.
• 10:14
  Betrachten Sie Co-Pilot als ein Bibliothekar
• 10:16
  mit absolutem Gedächtnis.
• 10:18
  Herkömmliche Mitarbeiter vergessen
• 10:19
  den unverschlossenen Aktenschrank im Keller.
• 10:21
  Co-Pilot vergisst nicht,
• 10:22
  er durchsucht den Index.
• 10:23
  Das peinliche Memo,
• 10:24
  das Sie in einem weit offenen Ordner abgelegt haben,
• 10:25
  ist nicht mehr vergessen,
• 10:26
  sondern jederzeit abrufbereit.
• 10:27
  Noch einmal, keine böse Absicht,
• 10:29
  nur Effizienz,
• 10:29
  angewandt auf das digitale Chaos,
• 10:30
  das Sie selbst geschaffen haben.
• 10:32
  Nun, Berechtigungen allein sind nicht die ganze Gleichung.
• 10:33
  Hier kommen Vertraulichkeitsbezeichnungen im Spiel.
• 10:35
  Das ist keine Dekoration,
• 10:36
  Sie steuern den Schutz.
• 10:37
  Wenn eine Datei als vertraulich eingestuft
• 10:39
  und verschlüsselt ist,
• 10:40
  muss Co-Pilot dies respektieren.
• 10:43
  Und hier ist das entscheidende Detail.
• 10:45
  Wenn Bezeichnungen eine Verschlüsselung erzwingen
• 10:46
  oder Extraktionsrechte erfordern,
• 10:48
  verarbeitet Co-Pilot Inhalte nur,
• 10:49
  wenn der Benutzer sowohl diese
• 10:50
  als auch Extraktionsrechte besitzt.
• 10:52
  Wenn nicht, wird Co-Pilot blockiert.
• 10:53
  Bezeichnungen werden zudem vererbt.
• 10:55
  Wenn Co-Pilot also eine neue Präsentation
• 10:57
  basierend auf einer sensiblen Datei erstellt,
• 10:58
  werden die Bezeichnungen
• 10:59
  und die Schutzmaßnahmen automatisch übertragen.
• 11:01
  Kein menschliches Eingreifen erforderlich.
• 11:03
  Das ist gut so,
• 11:04
  denn wenn Sie darauf angewiesen sind,
• 11:05
  dass Endbenutzer daran denken,
• 11:06
  jedes abgeleitete Dokument zu kennzeichnen,
• 11:08
  vertrauen Sie auf Menschen im Kampf gegen die Entropie.
• 11:10
  Statistisch gesehen verlieren Sie.
• 11:11
  Regulatorische Rahmenbedingungen verstärken Sie.
• 11:13
  Die DSGVO interessiert es nicht,
• 11:14
  dass die Berechtigungen es erlaubt haben.
• 11:16
  HIPA kümmert es nicht,
• 11:17
  dass jemand versehentlich Krankenakten
• 11:18
  für ein Marketingteam freigegeben hat.
• 11:21
  ISO zuckt nicht mit den Schultern,
• 11:22
  wenn Prozesse inkonsistent sind.
• 11:24
  Regulierungsbehörden interessieren sich
• 11:25
  für Zugriffsoberflächen.
• 11:25
  Wenn Ihre Berechtigungskonfiguration ermöglicht,
• 11:28
  dass personenbezogene Daten über Co-Pilot erscheinen,
• 11:30
  ist Ihr Compliance-Status gefährdet.
• 11:32
  Zu behaupten,
• 11:33
  die KI hätte nur Berechtigungen wiedergespiegelt,
• 11:34
  ist so, als würde man argumentieren,
• 11:35
  man dürfe keinen Strafzettel für zu schnelles Fahren bekommen,
• 11:37
  weil der Fuß von all das Fahren bekommen,
• 11:38
  weil der Fuß von allein auf das Gaspedal gedrückt hat.
• 11:40
  Gesetze sehen das anders
• 11:41
  und vereinfachen auch die Regeln zur Datenresidenz nicht.
• 11:44
  Für EU-Kunden leitet Microsoft die Co-Pilot-Verarbeitung
• 11:46
  bei Bedarf durch die EU-Datengrenze.
• 11:48
  Aber, und das ist entscheidend,
• 11:50
  Web-Suchanfragen an Bing
• 11:51
  sind von den EU-Datengarantien ausgenommen.
• 11:55
  Wer davon ausgeht,
• 11:58
  dass alle Daten gleichermaßen geschützt sind,
• 11:59
  liegt bereits falsch.
• 12:00
  Regulierungsbehörden werden die Nuancen bemerken,
• 12:02
  selbst wenn sie sich nicht die Mühe gemacht haben, sie zu lesen.
• 12:03
  Das ist mit der Speicherung.
• 12:05
  Co-Pilot-Prompts, Minantworten und Aktivitätsprotokolle
• 12:07
  fließen nicht in irgendeine Trainingsanlage für LLMs ab.
• 12:10
  Sie werden innerhalb der Microsoft 365 Servicegrenze gespeichert,
• 12:13
  wo Aufbewahrung und Löschung
• 12:14
  natürlich mit Purview verwaltet werden können.
• 12:16
  Können.
• 12:17
  Admins können Purview, Inhaltssuche und Aufbewahrungsrichtlinien nutzen,
• 12:20
  um diesen Verlauf zu steuern.
• 12:22
  Und Microsoft ist hierbei ausdrücklich.
• 12:23
  Graph-Prompts und Antworten
• 12:24
  trainieren nicht die Basismodelle von Co-Pilot.
• 12:26
  Das Quartalsmemo Ihres CEO wird nicht heimlich aufgenommen,
• 12:29
  um die KI eines anderen zu verbessern.
• 12:31
  Wie fangen Sie also an, den Schadensradius zu begrenzen?
• 12:34
  Führen Sie eine Berechtigungsprüfung durch,
• 12:35
  entfernen Sie jeder Gruppen
• 12:36
  und führen Sie dann Purview Data Security Posture Management Assessments,
• 12:40
  DSPM, aus, um Dateien und Bibliotheken zu finden,
• 12:42
  die ungeschützt in übermäßig geteilten Bereichen liegen.
• 12:45
  Denn ob Sie es bemerken oder nicht,
• 12:46
  Co-Pilot ist autorisiert,
• 12:47
  alle Berechtigungen anzuzeigen,
• 12:48
  die Sie versehentlich zugelassen haben.
• 12:50
  So zu tun, als wäre es anders, wird Sie nicht redet.
• 12:52
  Natürlich können Sie die Verantwortung
• 12:53
  nicht allein an Purview auslagern.
• 12:55
  Purview ist ein Filter, ja,
• 12:56
  aber Filter funktionieren nur,
• 12:57
  wenn Sie die Daten von Anfang an korrekt klassifizieren.
• 13:00
  Falsch oder gar nicht gekennzeichnete Inhalte bedeuten,
• 13:02
  dass der Filter versagt.
• 13:03
  Co-Pilot ist nicht gierig, er ist regelkonform.
• 13:05
  Er ist regelkonform.
• 13:06
  Was Sie in den Antworten von Co-Pilot sehen,
• 13:08
  ist ein Spiegelbild Ihrer Berechtigungshygiene.
• 13:10
  Wenn diese Hygiene intakt ist,
• 13:12
  wirken die Erkenntnisse ordentlich und relevant.
• 13:13
  Wenn sie nachlässig ist,
• 13:14
  zeigt Co-Pilot die Versäumnisse mit Freude auf.
• 13:16
  Und wenn die Durchsetzung schließlich
• 13:18
  sich mit all dieser Offenlegung kollidiert,
• 13:20
  wird es interessant.
• 13:21
  Co-Pilot versucht vielleicht,
• 13:22
  eine saubere Antwort zu liefern,
• 13:23
  wird aber mitten im Satz von einer Compliance-Regel unterbrochen,
• 13:25
  die Ihnen den Boden und den Füßen wegzieht.
• 13:26
  Kein Fehler, kein Versagen der KI.
• 13:28
  Das ist das Ausüben von Autorität durch Sicherheitskontrollen.
• 13:31
  Das führt uns zur eigentlichen Geschichte.
• 13:33
  Wie die zugrunde liegenden Tools-Admin-Center,
• 13:35
  Purview, Defender tatsächlich koordinieren,
• 13:36
  um Co-Pilot-Antworten zu drosseln,
• 13:38
  zu überwachen und abzufangen.
• 13:39
  Sie denken, Sie legen nur einen Schalter um,
• 13:40
  aber in Wirklichkeit haben Sie gerade ein Orchester dirigiert.
• 13:43
  Technische Kontrollen,
• 13:44
  die Sinfonie hinter dem Schalter.
• 13:48
  Wo 365 Admin-Center aussieht, ist Dirigenten.
• 13:51
  Sie betätigen keinen Schalter.
• 13:52
  Sie geben einem integrierten Compliance-System genau vor,
• 13:54
  wie es sich verhalten soll.
• 13:56
  Admin-Center, Purview und Defender
• 13:58
  sind keine separaten Apps, die Hintergrundmusik spielen.
• 14:01
  Sie sind Instrumente in einer eng orchestrierten Aufführung.
• 14:03
  Hier ist die Besetzungsliste mit präzisen Stellenbeschreibungen.
• 14:06
  Das Admin-Center ist das Mandanten-Kontrollsystem, das Stromnetz.
• 14:08
  Es verwaltet Lizenzzuweisungen,
• 14:10
  Co-Pilot-Einstellungen auf Mandantenebene
• 14:12
  und die Aktivierung von Plaggen.
• 14:13
  Admins konfigurieren, wer Co-Pilot erhält,
• 14:15
  legen Update-Kanäle fest und verwalten die Basisbedingungen.
• 14:17
  Purview ist die Zollkontrolle an der Grenze.
• 14:20
  Es klassifiziert, kennzeichnet und prüft alles,
• 14:22
  was durch den Microsoft Graph fließt.
• 14:24
  Es erzwingt Aufbewahrungsrichtlinien,
• 14:26
  wendet Data Loss Prevention, DLP an,
• 14:27
  deckt Risiken durch Data Security Posture Management
• 14:29
  für KI-DSPM auf und protokolliert jede Aktion
• 14:32
  in Audit Trails, Audit Trails.
• 14:35
  Und dann gibt es Defender, den Exekutivarm.
• 14:37
  Speziell bietet Microsoft Defender
• 14:38
  vor Endpoint-Laufzeitüberwachung,
• 14:40
  Alarmierung und Endpunkt, DLP.
• 14:42
  Es überwacht das Verhalten,
• 14:43
  blockiert riskante Aktionen wie das Einfügen
• 14:45
  sensibler Daten in KI-Tools
• 14:47
  von Drittanbietern
• 14:47
  und stoppt Co-Pilot-Inhalte bei Regelverstößen.
• 14:50
  Das ist kein Fehler,
• 14:50
  sondern die praktische Umsetzung von Richtlinien.
• 14:52
  Der durchschnittliche Administrator
• 14:53
  macht die fatale Annahmeinsolation.
• 14:55
  Sie behandeln diese Tools,
• 14:56
  als ob jedes in einer versiegelten Box lebt.
• 14:58
  Das stimmt.
• 14:58
  Sie überschneiden sich ständig.
• 15:00
  Das Admin-Center kann Co-Pilot aktivieren,
• 15:02
  aber ohne Purview-Labels und Richtlinien
• 15:04
  fließen Inhalte ohne Klassifizierung.
• 15:06
  Purview erstellt die Regeln,
• 15:08
  aber ohne die Durchsetzung
• 15:08
  durch Defender schlüpfen Verstöße einfach hindurch.
• 15:10
  Betrachten Sie einen Teil als optional
• 15:12
  und Sie verwalten keine Compliance,
• 15:13
  sondern organisieren das Chaos.
• 15:15
  Denken Sie sich das vor.
• 15:16
  Sie stellen Lizenzen im Admin-Center bereit,
• 15:18
  konfigurieren aber nie
• 15:19
  die Purview-Vertraulichkeits-Labels.
• 15:21
  Co-Pilot indiziert fröhlich offene Dateien
• 15:23
  und plötzlich können Ihre Praktikanten
• 15:24
  über vertrauliche M&A-Strategie-Dokumente stolper.
• 15:27
  Oder betrachten Sie zu aggressive
• 15:28
  Defender-DLP-Einstellungen.
• 15:30
  Der Benutzer fordert eine Co-Pilot-Zusammenfassung
• 15:32
  des Quartalsumsatzes an,
• 15:33
  aber die zugrunde liegende Datei
• 15:34
  enthält als eingeschränkt klassifizierte Kontonummer.
• 15:37
  Defender unterbricht die Ausgabe sofort.
• 15:38
  Der Mitarbeiter beschwert sich,
• 15:40
  dass Co-Pilot defekt sei.
• 15:41
  Das ist es nicht.
• 15:42
  Defender hat genau das durchgesetzt,
• 15:43
  was ihm vorgegeben hat.
• 15:44
  Laufzeitüberwachung ist keine willkürliche Sabotage.
• 15:46
  Es ist die natürliche Konsequenz
• 15:47
  falsch abgestimmter Richtlinien,
• 15:49
  engst er also am Säure-Rinner.
• 15:50
  Das Admin-Center schreibt das Gesetz,
• 15:51
  Purview kontrolliert die Fracht
• 15:52
  und Defender erzwingt dies zur Laufzeit.
• 15:54
  Es sind nicht drei Tools,
• 15:55
  die nur zusammengeschraubten.
• 15:56
  Es sind drei Dimensionen
• 15:57
  einer einzigen Compliance-Engine.
• 15:59
  Wenn einer dieser Teile
• 15:59
  falsch konfiguriert oder ignoriert wird,
• 16:01
  ist das Ergebnis Chaos,
• 16:02
  keine Governance.
• 16:03
  Nun zu den konkreten technischen Taktiken,
• 16:04
  die Sie tatsächlich befolgen sollten.
• 16:06
  Erster Schritt.
• 16:07
  Aktivieren Sie die einheitliche
• 16:08
  Audit-Protokollierung in Purview
• 16:09
  und schalten Sie
• 16:10
  Data Security Posture Management für KI ein.
• 16:12
  DSPM-Scan nach übermäßig freigegebenen Dateien
• 16:15
  oder Schattendaten,
• 16:15
  die Co-Pilot möglicherweise aufdecken könnte.
• 16:18
  Und mit einem Klick können Sie automatisch
• 16:19
  Richtlinien generieren,
• 16:20
  um offensichtliche Sicherheitslücken zu schließen.
• 16:22
  Zweiter Schritt.
• 16:22
  Wenden Sie Vertraulichkeitslabels konsistent an
• 16:24
  und kombinieren Sie diese mit Purview-DLP-Richtlinien,
• 16:27
  die Co-Pilot die Verarbeitung
• 16:28
  hochvertraulicher Daten vollständig untersagen.
• 16:30
  Kombinieren Sie dies mit Aufbewahrungsregeln,
• 16:32
  damit Prompts und Antworten
• 16:33
  eine Lebenszykluskontrolle unterliegen.
• 16:34
  Dritter Schritt.
• 16:35
  Verstärken Sie den Perlometer.
• 16:36
  Nutzen Sie bedingten Zugriff
• 16:37
  und Multifaktor-Authentifizierung
• 16:39
  auf Identitätsebene
• 16:40
  und stellen Sie Defender Endpoint DLP
• 16:41
  auf jedem Gerät bereit.
• 16:42
  Auf diese Weise können Mitarbeiter
• 16:43
  Sicherheitsbarrieren nicht durch das Kopieren
• 16:45
  und Einfügen sensibler Antworten
• 16:46
  in nicht genehmigte KI-Tools
• 16:47
  von Drittanbietern um.
• 16:48
  Diese drei Schritte sichern das Ökosystem
• 16:50
  bei Richtlinien, Klassifizierung
• 16:51
  und Laufzeit gleichzeitig ab.
• 16:53
  Vergessen Sie nicht die stilleren Arbeitstiere.
• 16:55
  Die Aufbewahrungs- und E-Discovery-Funktionen
• 16:57
  von Purview stellen sicher,
• 16:57
  dass Sie Regeln nicht nur durchsetzen,
• 16:58
  sondern auch belegen können.
• 17:00
  Wenn Regulierungsbehörden
• 17:01
  mit Klemmbrettern vor der Tür stehen
• 17:02
  und Nachweise fordern,
• 17:03
  benötigen Sie durchsuchbare Audit-Loks
• 17:04
  und einen abrufbaren Verlauf
• 17:05
  der Kopilot-Nutzung.
• 17:06
  Das ist keine dekorative Compliance,
• 17:07
  das ist eine Überlebensfrage.
• 17:09
  Communication Compliance
• 17:10
  fügt eine weitere Kontrollinstanz hinzu,
• 17:12
  um riskante Prompts
• 17:13
  oder potenzielles Fehlverhalten
• 17:14
  bei der Kopilot-Abfrage zu erkennen.
• 17:16
  Ignorieren Sie dies,
• 17:17
  sind Sie blind gegenüber einem Missbrauch,
• 17:18
  der sich in Ihrem Tenor zusammenbaut.
• 17:20
  Man neigt immer dazu,
• 17:20
  Compliance als etwas zu betrachten,
• 17:22
  das man Systeme einfach überstülpt.
• 17:24
  Das ist falsch.
• 17:25
  Diese Kontrollen sind das Betriebssystem
• 17:26
  für Copilot-Governance.
• 17:28
  Lizenzierung, Klassifizierung,
• 17:29
  Aufbewahrung, Blockierung und Protokollierung
• 17:30
  ergänzen nicht nur die Funktionsweise
• 17:31
  von Copilot, Sie definieren sie.
• 17:33
  Copilot existiert nicht im Luftleeren Raum.
• 17:35
  Es existiert nur innerhalb der Richtlinien,
• 17:37
  Labels und Leitplanken,
• 17:38
  die Sie in die Umgebung integriert haben.
• 17:40
  Das bringt uns zum eigentlichen Kernproblem.
• 17:41
  Technische Kontrollen
• 17:42
  lassen sich präzise einstellen,
• 17:43
  aber Ihre Wirksamkeit prallt
• 17:44
  auf einen schwer berechenbaren Faktor,
• 17:46
  den Menschen.
• 17:47
  Sie können perfekte Aufbewahrungsrichtlinien,
• 17:49
  lückenlose DLP-Regeln
• 17:50
  und eine solide Durchsetzung
• 17:51
  durch Defender konfigurieren.
• 17:53
  Doch was passiert,
• 17:54
  sobald Governance
• 17:56
  niemand liest?
• 17:58
  Genau hier zeigt sich leider
• 17:58
  die wahre Zerbrechlichkeit von Kontrollen.
• 18:01
  Governance in der Praxis
• 18:02
  Regeln versus Realität.
• 18:03
  Governance in der Praxis
• 18:04
  ist der Punkt,
• 18:05
  an dem die Theorie auf die Realität trifft
• 18:07
  und meistens scheitert.
• 18:08
  Richtlinien auf dem Papier
• 18:08
  sind zerbrechlich.
• 18:09
  Sie verteilen sie,
• 18:10
  veranstalten eine Townhall-Versammlung,
• 18:12
  feiern den Erfolg
• 18:12
  und innerhalb weniger Tage
• 18:13
  sind sie unter ungelesenen E-Mails begraben.
• 18:15
  Governance, die nicht systemgesteuert ist,
• 18:17
  ist überhaupt keine Governance.
• 18:18
  Es ist ein Märchen zu gucken.
• 18:19
  Wenn Sie Regeln wollen,
• 18:20
  die wirklich funktionieren,
• 18:21
  müssen diese direkt in die Tools
• 18:22
  fest eingebaut sein,
• 18:23
  die Ihre Mitarbeiter bereits nutzen.
• 18:25
  Andernfalls basieren Ihre Kontrollen
• 18:27
  auf dem Ehrenwort
• 18:28
  und die Mitarbeiter
• 18:28
  behandeln sie auch dementsprechend.
• 18:30
  Governance ist keine Dekoration
• 18:31
  und kein Wunschding.
• 18:32
  Sie ist die Übersetzungsebene,
• 18:34
  die abstrakte Compliance-Anforderungen nimmt,
• 18:36
  wie den Schutz personenbezogener Daten
• 18:37
  oder die Einschränkung sensibler Zugriffe
• 18:38
  und sie in tatsächliche,
• 18:39
  vom System erzwungene Verhaltensweisen umwandelt.
• 18:42
  Ohne sie sind Richtlinien
• 18:42
  nur leere Rhetorien.
• 18:43
  Mit ihr werden Regeln unvermeidlich.
• 18:46
  Ein durch Purview angewendetes
• 18:47
  Aufbewahrungslabel ist aussagekräftiger
• 18:48
  als jedes HR-Mail-Mod,
• 18:49
  da das System dem Nutzer
• 18:50
  keinen Deaktivierungsbutton bietet.
• 18:51
  Governance ist also wie der Untertitel
• 18:53
  bei einem fremdsprachigen Film.
• 18:54
  Die Mitarbeiter müssen nicht erst
• 18:55
  überzeugt werden, um zu verstehen,
• 18:56
  was passiert.
• 18:57
  Das System erzwingt das Verständnis
• 18:58
  durch sein Design.
• 19:00
  Nehmen wir die lächerlich nutzlose Anweisung,
• 19:02
  teilen Sie keine sensiblen Dateien
• 19:03
  mit Co-Pilot.
• 19:04
  Das klingt streng,
• 19:05
  hat aber die abschreckende Wirkung
• 19:06
  eines Zettels,
• 19:07
  auf dem ist keine Kekse
• 19:08
  vor einem Teller voller Kekse steht.
• 19:11
  Konfigurieren Sie stattdessen
• 19:11
  eine DLP-Richtlinie in Purview,
• 19:13
  die gezielt auf die Microsoft-Copilot-Umgebung
• 19:15
  ausgerichtet ist.
• 19:16
  Das bedeutet,
• 19:17
  wenn Co-Pilot auf eine streng vertrauliche Datei trifft,
• 19:19
  kann es diese weder zusammenfassen
• 19:20
  noch verarbeiten, völlig egal,
• 19:22
  wie höflich oder ahnungslos
• 19:23
  der Mitarbeiter danach fragt.
• 19:25
  Das ist kein Vorschlag,
• 19:26
  das ist eine fest in das System
• 19:27
  integrierte Ablehnung.
• 19:28
  Vergleicht man das
• 19:29
  mit allgemeinen Sensibilisierungskampagnen,
• 19:31
  ist der Unterschied offensichtlich.
• 19:32
  Das eine sagt Nutzern,
• 19:33
  was sie nicht tun sollen,
• 19:34
  das andere macht die verbotene Aktion
• 19:35
  technisch unmöglich.
• 19:36
  Die Art und Metapher
• 19:37
  lassen Sie uns diese verkürzen.
• 19:39
  Nutzern zu sagen,
• 19:40
  sie sollen keine Daten teilen,
• 19:41
  ist wie das Aufstellen
• 19:41
  von Tempolimaging.
• 19:42
  Das Konfigurieren von
• 19:43
  Standardvertraulichkeitslabels,
• 19:45
  Autolabeling und DLP-Richtlinien
• 19:46
  für Co-Pilot
• 19:47
  ist wie der Einbau eines Tempobegrenzers,
• 19:49
  der das Auto bei 100 km h abriegelt.
• 19:51
  Dirk.
• 19:51
  Aber welche Variante
• 19:52
  bevorzugt die Regierungswelle?
• 19:53
  Diejenige, die menschliche Entscheidung
• 19:54
  aus der Gleichung streichten.
• 19:55
  Und ehrlich gesagt auch tut sie.
• 19:57
  Nutzen Sie nun
• 19:57
  Microsoft's Governance Tools,
• 19:59
  denn diesmal sind sie
• 19:59
  wirklich nützlich.
• 20:00
  Purview, Autolabeling
• 20:01
  und Standardvertraulichkeitslabels
• 20:03
  erzwingen eine Klassifizierung,
• 20:04
  selbst wenn Mitarbeiter
• 20:05
  es vergessen, sehr gessen.
• 20:07
  Aufbewahrungsrichtlinien
• 20:08
  wenden automatisch Zeitpläne an,
• 20:09
  damit vergessene Dateien
• 20:10
  nicht ewig bestehen bleiben.
• 20:12
  Communication Compliance
• 20:13
  fungiert dabei
• 20:13
  als Überwachungssystem.
• 20:14
  Es kann Co-Pilot-Prompts
• 20:16
  und Antworten scannen,
• 20:16
  um unangemessene Daten
• 20:17
  zu kennzeichnen,
• 20:18
  die in die KI eingespeist werden.
• 20:19
  Das ist kein Übergriff,
• 20:20
  das ist das absolute Minimum.
• 20:22
  Und Purview DSPM für KI
• 20:23
  gibt Ihnen Einblick
• 20:24
  in die Datennutzung von Co-Pilot
• 20:25
  mit Einklickbereinigungsrichtlinien
• 20:26
  die riskante Offenlegung unterbinden.
• 20:28
  Zusammen schließen Sie
• 20:29
  die Lücke zwischen dem,
• 20:30
  was Sie beabsichtigt haben
• 20:31
  und dem, was das System durchsetzt.
• 20:32
  Das ist wichtig,
• 20:33
  denn das schwächste Glied
• 20:34
  ist vorhersehbar, der Mensch.
• 20:36
  Compliance-Beauftragte
• 20:37
  schreiben Regeln,
• 20:38
  Administratoren konfigurieren Tools
• 20:39
  und Mitarbeiter ignorieren
• 20:41
  alles, sobald sie beschäftigt sind.
• 20:43
  Communication Compliance
• 20:44
  kann Menschen nicht davon abhalten,
• 20:45
  etwas Unbedachtes zu versuchen,
• 20:46
  aber es kann den Versuch
• 20:47
  erfassen und Telemetrie generieren.
• 20:48
  DSPM verlässt sich
• 20:49
  nicht auf guten Willen.
• 20:50
  Es findet übermäßig geteilte Daten
• 20:52
  und liefert Ihnen Richtlinien
• 20:53
  zur automatischen Korrektur.
• 20:54
  Diese Tools bitten
• 20:55
  nicht um Disziplin,
• 20:56
  Sie erzwingen Sie.
• 20:57
  Natürlich besteht Governance
• 20:58
  nicht nur aus Tools,
• 20:59
  sondern auch aus Struktur.
• 21:00
  Eine vernünftige Einführung
• 21:01
  um fast einen funktionsübergreifenden
• 21:02
  KI-Rat
• 21:03
  oder ein Kompetenzzentrum.
• 21:04
  Ein Gremium,
• 21:05
  in dem Recht, Sicherheit,
• 21:06
  Personalwesen und IT
• 21:07
  zusammenkommen,
• 21:07
  um Regeln mit technischen Kontrollen
• 21:09
  abzustimmen.
• 21:10
  Microsofts Leitfaden drängt darauf
• 21:12
  und es ist kein optionales Theater.
• 21:13
  Ohne Abstimmung
• 21:14
  druckt die eine Seite
• 21:15
  vage Richtlinien,
• 21:16
  während die andere
• 21:17
  völlig andere Realitäten
• 21:18
  konfiguriert.
• 21:19
  Governance ist nicht nur
• 21:20
  eine technische Grenze,
• 21:21
  es ist organisatorische Choreografie.
• 21:23
  Der Vergleich zwischen
• 21:24
  zwei fiktiven Unternehmen
• 21:25
  verdeutlicht den Punkt.
• 21:27
  Unternehmen A
• 21:27
  erstellt eine schicke
• 21:28
  einseitige Richtlinie.
• 21:29
  Nutzen Sie Co-Pilot
• 21:30
  verantwortungsbewusst.
• 21:32
  Unternehmen B
• 21:32
  konfiguriert Purview-Vorlagen,
• 21:34
  um Co-Pilot den Zugriff
• 21:35
  auf unklassifizierte Daten
• 21:36
  komplett zu sperren.
• 21:37
  Sechs Monate später
• 21:38
  Unternehmen A
• 21:39
  Kemp verzweifelt gegen ein Leck,
• 21:40
  nachdem sensible Dateien
• 21:41
  in Co-Pilot-Zusammenfassungen
• 21:42
  auftauchten.
• 21:43
  Unternehmen B nicht.
• 21:44
  Beide hatten Governance,
• 21:45
  aber nur eines
• 21:46
  behandelte Governance
• 21:46
  als System.
• 21:47
  Spoiler,
• 21:48
  Theater scheitert
• 21:48
  Automatisierung gewinnen.
• 21:49
  Die notwendige
• 21:50
  Schlussfolgerung ist direkt.
• 21:51
  Governance lebt nicht
• 21:52
  in PDFs, Postern
• 21:53
  oder obligatorischen
• 21:54
  Schulungsfolien.
• 21:55
  Sie lebt in technischen
• 21:56
  Kontrollen,
• 21:56
  die Benutzer nicht
• 21:57
  umgehen können.
• 21:58
  An die Wand
• 21:58
  geäftete Richtlinien
• 21:59
  mögen offiziell aus.
• 22:00
  Konfigurierte Purview-Regeln,
• 22:01
  DLP-Blockaden
• 22:02
  und Vertraulichkeitsbezeichnungen
• 22:03
  sind es tatsächlich.
• 22:05
  Awareness-Kampagnen
• 22:06
  sind das Gewürz,
• 22:06
  die Durchsetzung
• 22:07
  ist das Wesentliche.
• 22:08
  Und ja,
• 22:09
  Benutzerschulungen
• 22:09
  sind wichtig,
• 22:10
  aber wenn Ihre Strategie
• 22:11
  darauf beruht,
• 22:11
  dass Mitarbeiter
• 22:12
  Sie mal an die Regeln halten,
• 22:13
  haben Sie bereits verloren.
• 22:14
  Governance in der Praxis
• 22:15
  läuft also darauf hinaus.
• 22:16
  Übersetzen Sie jede Anforderung
• 22:17
  in eine systemgestützte Regel,
• 22:19
  die läuft,
• 22:19
  ob die Benutzer
• 22:20
  mitwirken oder nicht.
• 22:21
  Nur dann überlebt Compliance
• 22:22
  den Kontakt mit der Realität.
• 22:23
  Und wenn diese
• 22:25
  automatisierten Grenzen bestehen,
• 22:27
  fungiert Copilot
• 22:27
  nicht nur als KI-Assistent,
• 22:29
  sondern als Demonstration
• 22:30
  Ihres Governance-Modells
• 22:31
  in Echtzeit,
• 22:32
  in Echtzeit.
• 22:33
  Das führt uns
• 22:34
  zu der umfassenderen Erkenntnis,
• 22:35
  dass die Aktivierung
• 22:35
  von Copilot
• 22:36
  nicht nur künstliche Intelligenz
• 22:37
  freischaltet,
• 22:38
  sondern ein ganzes Kontrollsystem
• 22:39
  aus Verträgen,
• 22:39
  Berechtigungen,
• 22:40
  Datenbeschränkungen,
• 22:41
  Datenbeschränkungen
• 22:41
  und Governance
• 22:42
  in Gang setzt.
• 22:43
  Und genau dieses Gesamtbild
• 22:44
  müssen wir uns als nächstes ansehen.
• 22:46
  Der Copilot-Schalter
• 22:47
  aktiviert nie nur eine KI,
• 22:48
  sondern eine Compliance-Maschinerie.
• 22:50
  Dieser eine Klick
• 22:51
  wirkt sich auf Verträge,
• 22:52
  Lizenzen, Datenschutzmaßnahmen
• 22:53
  und Durchsetzungsregeln aus.
• 22:55
  Betrachten Sie es
• 22:55
  als magische Automatisierung
• 22:56
  und Sie haben das System
• 22:57
  missverstanden.
• 22:58
  Sie haben damit gleichzeitig
• 22:58
  Recht, Richtlinien
• 22:59
  und Sicherheit ausgelöst.
• 23:00
  Wenn Copilot funktionieren soll,
• 23:02
  ohne Risiken auszulösen,
• 23:03
  prüfen Sie diese Woche
• 23:04
  drei Punkte in Ihrem Tenant.
• 23:06
  Führen Sie eine Purview-DSPM
• 23:07
  für KI-Bewertungen durch
• 23:08
  und wenden Sie die
• 23:09
  Ein-Klick-Lösungen an,
• 23:10
  weisen Sie Lizenzen
• 23:11
  gruppenbasiert mit RBAC
• 23:12
  und Entrascoping zu
• 23:14
  und aktivieren Sie Purview-Audit,
• 23:15
  Aufbewahrung und DLP
• 23:16
  zum Schutz sensibler Daten.
• 23:17
  Wenn Ihnen das
• 23:19
  mühsame Fehlersuche
• 23:20
  erspart hat,
• 23:21
  abonnieren Sie.
• 23:22
  Ihr zukünftiges
• 23:22
  Admin-Ich würde es Ihnen danken.
• 23:24
  Denken Sie daran,
• 23:24
  Microsoft hat die Kontrollen
• 23:25
  und Anleitungen für Copilot
• 23:26
  bereits integriert.
• 23:27
  Konfiguren Sie diese
• 23:28
  und Compliance macht aus der KI,
• 23:30
  die als Bedrohung wahrgenommen wird,
• 23:31
  eine zuverlässigen
• 23:31
  und disziplinierten Helfer.