Microsoft 365 mit KI verbinden: Copilot, Plattform und Rechte

Wer Microsoft 365 mit KI verbinden will, sitzt auf dem wichtigsten Wissensbestand des Unternehmens: Angebote und Verträge in SharePoint, Arbeitsstände in OneDrive, Absprachen in Outlook und Teams. Die Frage ist 2026 nicht mehr, ob KI darauf zugreifen kann, sondern mit welchem Werkzeug und mit welchen Rechten.

Dieser Leitfaden ordnet Microsoft 365 Copilot und KI-Plattformen ein, beschreibt fünf Einsatzfelder und erklärt die Anbindung über Microsoft Graph samt Berechtigungen. Zum Schluss folgen Datenschutz und die typischen Stolpersteine bei der Einrichtung. Er richtet sich an IT-Leitung, Datenschutz und Fachbereiche, die gemeinsam entscheiden.

Microsoft 365 Copilot passt, wenn Beschäftigte vor allem in Word, Excel, PowerPoint, Outlook und Teams schneller arbeiten sollen. Eine KI-Plattform passt, wenn Prozesse über Microsoft 365 hinausgehen, mehrere Modelle gesteuert werden sollen oder eigene Anwendungen entstehen.

Copilot arbeitet direkt in den Microsoft-365-Anwendungen und nutzt die Inhalte, auf die die jeweilige Person Zugriff hat. Über Konnektoren lassen sich weitere Quellen einbinden. Als persönlicher Schreib- und Rechercheassistent ist das oft die einfachste Lösung.

Die Wahl ist selten ein Entweder-oder. Viele Unternehmen setzen Copilot Chat oder Copilot für die tägliche Büroarbeit ein und nutzen eine Plattform für Abläufe, die Microsoft 365 mit Fachsystemen verbinden. Wie sich spezialisierte Suchlösungen davon abgrenzen, zeigt der Beitrag Enterprise Search mit KI.

Bewährt haben sich fünf Einsatzfelder: Wissenssuche, E-Mail und Termine, Besprechungsprotokolle, Dokumente und Benachrichtigungen in Teams. In allen fünf bereitet die KI vor, und Menschen entscheiden.

Beschäftigte stellen eine Frage in natürlicher Sprache. Die KI sucht passende Dokumente, liest die relevanten Abschnitte und antwortet mit Link zur Quelle. Statt Ordnerstrukturen zu durchsuchen, prüfen sie nur noch die genannten Dokumente. Wie Confluence-Inhalte in dieselbe Antwort kommen, zeigt der Beitrag zur Confluence KI-Suche.

Die KI fasst lange E-Mail-Verläufe zusammen, entwirft Antworten und stellt vor einem Termin die relevanten Mails und Dokumente zusammen. Versendet wird erst nach Prüfung durch die Person, in deren Namen die Mail rausgeht.

Aus Besprechungsaufnahmen entstehen Transkript und Zusammenfassung mit Entscheidungen und Aufgaben. Was dabei rechtlich gilt und was Teams selbst mitbringt, beschreibt der Beitrag Meeting-Protokolle mit KI.

Die KI erzeugt Word-, Excel- oder PowerPoint-Dateien, etwa Angebotsentwürfe, Auswertungen oder Präsentationsgerüste, und legt sie in OneDrive ab. So beginnt die Arbeit nicht mit einem leeren Dokument, sondern mit einem prüfbaren Entwurf.

Wiederkehrende Ergebnisse wie ein Wochenbericht, eine Zusammenfassung neuer Tickets oder ein Hinweis aus einer Auswertung gehen als Nachricht in einen Teams-Kanal. Das Team sieht die Information dort, wo es ohnehin arbeitet.

Microsoft Graph ist die zentrale Schnittstelle von Microsoft 365. Über einen Endpunkt erreichen Anwendungen SharePoint, OneDrive, Outlook, Kalender und Teams, jeweils mit den Berechtigungen, die in Microsoft Entra ID freigegeben sind.

Für eine eigene Anbindung registrieren Sie eine Anwendung in Microsoft Entra ID. Der Ablauf in Kurzform:

1. Im Microsoft Entra Admin Center unter „App-Registrierungen“ eine neue Registrierung anlegen, in der Regel für Konten nur aus Ihrem Organisationsverzeichnis, und die Umleitungs-URI eintragen, die Ihre KI-Plattform vorgibt.
2. Unter „API-Berechtigungen“ die benötigten Microsoft-Graph-Berechtigungen hinzufügen, delegiert oder als Anwendung.
3. Die Administratorzustimmung erteilen, wenn die Berechtigungen sie erfordern.
4. Ein Zertifikat oder einen geheimen Clientschlüssel anlegen und das Ablaufdatum dokumentieren, damit die Anbindung nicht unbemerkt ausfällt.
5. Bei Sites.Selected die gewünschten Websites ausdrücklich für die Anwendung freigeben. Ohne diese Zuweisung hat sie keinen Zugriff.

Welche Berechtigungen typischerweise gebraucht werden, zeigt die folgende Übersicht. Vergeben Sie nur, was ein Anwendungsfall wirklich benötigt.

Mit delegierten Rechten sieht die KI nie mehr als die angemeldete Person. Mit Anwendungsberechtigungen sieht sie, was der Anwendung freigegeben wurde, unabhängig davon, wer fragt.

Microsoft beschreibt das für delegierte Zugriffe so: Die Rechte von Anwendung und Person werden geschnitten, die Anwendung kann die Rechte der Person nie überschreiten. Zugriffe ohne angemeldete Person gelten laut Microsoft Learn als höheres Risiko, delegierte Zugriffe sind vorzuziehen, wo es möglich ist.

• Delegiert: geeignet für Wissenssuche und persönliche Postfächer. Jede Person meldet sich an, idealerweise per Single Sign-On. Wie das mit Entra ID sauber funktioniert, zeigt der Beitrag Single Sign-On für KI-Plattformen.
• Anwendung: geeignet für klar abgegrenzte Bestände wie eine Handbuch-Website, die alle nutzen dürfen. Begrenzen Sie den Zugriff mit Sites.Selected und legen Sie in der Plattform über Rollen fest, wer die Anbindung verwenden darf.

Unabhängig davon gilt: Die KI findet auch, was in SharePoint zu weit freigegeben ist. Prüfen Sie vor dem Start Freigaben wie „Jeder außer externen Benutzern“ auf vertraulichen Websites.

Sie lässt sich DSGVO-konform betreiben, wenn Datenflüsse, Verträge und Rechte geklärt sind. Wichtig ist ein realistisches Bild: Für eine Antwort ruft die Plattform Inhalte über Microsoft Graph ab und übergibt Textauszüge an das freigegebene Modell.

• Verträge: Mit Microsoft besteht Ihr eigener Vertrag. Für die KI-Plattform brauchen Sie einen Auftragsverarbeitungsvertrag, in dem Hosting- und Modellanbieter als Unterauftragsverarbeiter aufgeführt sind. Plotdesk arbeitet mit einem DSGVO-konformen AVV und EU-Datenresidenz.
• Modelle und Regionen: Legen Sie pro Team fest, welche Modelle welcher Anbieter Microsoft-365-Inhalte verarbeiten dürfen.
• Protokollierung: Audit-Logs zeigen, wer wann welche Anbindung genutzt hat.
• Prompt Injection: E-Mails und Dokumente können versteckte Anweisungen an die KI enthalten. Schreibende Aktionen sollten deshalb bestätigt werden. Hintergründe liefert der Beitrag Prompt Injection und LLM-Sicherheit.

Einen Überblick über die Pflichten aus DSGVO und KI-Verordnung gibt der Compliance-Guide zu DSGVO und EU AI Act. Stand: September 2026; dieser Überblick ersetzt keine Rechtsberatung.

Die meisten Probleme entstehen nicht in der KI, sondern in Rechten, Richtlinien und Datenbeständen. Diese sechs Punkte sollten Sie vorab prüfen.

Plotdesk verbindet eine KI-Plattform mit einem Umsetzungsteam für den Mittelstand. Für Microsoft-365-Umgebungen stehen dafür getrennte Bausteine bereit, die zu Ihrem Rechtekonzept passen:

• SharePoint und OneDrive: jeweils als App, entweder über eine App-Registrierung mit Anwendungsberechtigungen oder per OAuth mit den Rechten der angemeldeten Person; bei SharePoint auf Wunsch über die bestehende SSO-Anmeldung.
• Outlook: Postfach und Kalender werden über die Plattformfunktion für E-Mail und Kalender verbunden.
• Anmeldung und Rechte: Single Sign-On mit Microsoft Entra ID, Rollen und mehr als 40 Berechtigungen.
• Teams: Die Teams-App sendet Ergebnisse als Nachricht in einen Kanal. Sie liest keine Kanäle oder Chats mit.
• Dokumente und Besprechungen: Word-, Excel- und PowerPoint-Dateien erzeugen, hochgeladene Besprechungsaufnahmen transkribieren und zusammenfassen.
• Betrieb und Modelle: dedizierte Instanz in der EU oder im eigenen Tenant, etwa in Ihrem Azure-Tenant, mit mehr als 100 Modellvarianten aus zehn Provider-Typen, darunter Azure AI Foundry und Azure OpenAI.

Über Plotdesk Connect kommen lokale Systeme wie ERP, Fileserver oder AS/400 hinzu. So verbinden Antworten Microsoft-365-Inhalte mit Fachdaten, statt an der Grenze des Tenants zu enden.

Welche Einsatzfelder zuerst kommen, klären wir in der KI-Potenzialanalyse anhand von 1.200+ Use Cases in 15 Branchen. Danach folgen Proof of Value, produktive Lösung und systematischer Ausbau. Mit Rechtekonzept, Pilotgruppe und Feinschliff steht das erste Ergebnis im Betrieb typischerweise nach rund vier Wochen.

Die folgenden Antworten decken die Fragen ab, die IT-Leitung und Datenschutz am häufigsten stellen.

Microsoft 365 mit KI zu verbinden, ist technisch gut gelöst: Microsoft Graph, Entra ID und fein steuerbare Berechtigungen bilden eine solide Grundlage. Ob Copilot, eine KI-Plattform oder beides passt, entscheidet sich an den Prozessen, nicht an der Technik.

Copilot ist stark bei der persönlichen Produktivität in den Office-Anwendungen. Sobald Microsoft-365-Inhalte mit ERP, Confluence oder Fachsystemen zusammenkommen, mehrere Modelle gesteuert werden sollen oder Ergebnisse im Betrieb messbar sein müssen, ist eine Plattform wie Plotdesk die passendere Wahl. Beginnen Sie mit engen Rechten, einer Pilotgruppe und einem messbaren Einsatzfeld.