Microsoft ändert KI-Daten-Policy: Verlässt Ihr M365-Controlling die Schweiz?

Ein stilles Update mit grossen Folgen

In der Hektik der täglichen KI-Ankündigungen gehen die wirklich kritischen Nachrichten oft unter. So auch in der Woche vom 24. August 2026: Microsoft hat eine weitreichende Änderung an den Datenverarbeitungsrichtlinien seiner Microsoft 365 Suite vorgenommen. Wie Fachmedien wie der "Daily Tech Reader" berichteten, wurde OpenAI als sogenannter "auto-enabled subprocessor" (automatisch aktivierter Unterauftragsverarbeiter) für bestimmte KI-Funktionen in M365-Diensten klassifiziert.

Was technisch und unscheinbar klingt, hat für Schweizer Unternehmen enorme Sprengkraft. Diese Änderung bedeutet, dass Ihre Unternehmensdaten, zum Beispiel aus Excel-Tabellen im Controlling oder vertraulichen Dokumenten im Management, zur Verarbeitung an die Infrastruktur von OpenAI weitergeleitet werden können. Und dies geschieht standardmässig, wenn Sie als Administrator nicht aktiv widersprechen.

Warum das für Schweizer Unternehmen kritisch ist

Für Schweizer Fach- und Führungskräfte, insbesondere in den Bereichen Finanzen, IT und Recht, sollten nun die Alarmglocken läuten. Die Gründe dafür sind vielschichtig und direkt mit dem Schweizer Geschäftsumfeld verknüpft:

1. Datenstandort und DSG: Das revidierte Schweizer Datenschutzgesetz (DSG) verlangt strikte Transparenz und Kontrolle über den Speicher- und Verarbeitungsort von Personendaten. Eine automatische Weitergabe an einen Drittanbieter wie OpenAI, dessen Server-Standorte nicht zwingend in Ländern mit einem von der Schweiz als adäquat eingestuften Datenschutzniveau liegen, ist hochproblematisch. Sie als Unternehmen bleiben in der Verantwortung und müssen nachweisen können, wo Ihre Daten verarbeitet werden.

1. FINMA-Regulierung: Für Finanzdienstleister sind die Implikationen noch gravierender. Das FINMA-Rundschreiben 2018/3 "Outsourcing Banken und Versicherer" stellt klare Anforderungen an die Auslagerung von Geschäftsprozessen. Eine unkontrollierte Datenweitergabe an einen weiteren Unterauftragsverarbeiter, der nicht Teil Ihrer ursprünglichen Risikobewertung und Ihres Vertrags mit Microsoft war, kann eine Verletzung dieser aufsichtsrechtlichen Vorgaben darstellen.

1. Verlust der Datenhoheit: Die strategische Kontrolle über die eigenen Daten ist ein zentraler Wettbewerbsvorteil. Diese stille Änderung untergräbt diese Kontrolle. Ohne eine bewusste Entscheidung werden Geschäftsgeheimnisse, Finanzpläne und Strategiepapiere potenziell auf einer externen Infrastruktur verarbeitet, was die Angriffsfläche für Cyberattacken vergrössert und die Governance erschwert.

Die Herausforderung liegt in der mangelnden Transparenz. Solche Änderungen werden oft tief in den Nutzungsbedingungen oder Admin-Portalen versteckt. Wer nicht aktiv danach sucht, erfährt erst davon, wenn es zu spät ist.

Konkrete Handlungsempfehlung: Prüfen Sie Ihre Einstellungen jetzt

Untätigkeit ist hier keine Option. Wir empfehlen Ihnen dringend, die folgenden Schritte umgehend einzuleiten:

• Informieren Sie Ihre IT-Leitung: Machen Sie Ihre IT- und Compliance-Verantwortlichen auf diese Änderung aufmerksam. Oft sind es die Fachabteilungen wie das Controlling, die die Sensitivität der Daten am besten einschätzen können.

• Überprüfen Sie das M365 Admin Center: Ihre Administratoren müssen sich sofort im Microsoft 365 Admin Center anmelden. Dort sollten sie die Einstellungen zur Datenverarbeitung und zu den Unterauftragsverarbeitern (Subprocessors) genau prüfen.

• Deaktivieren Sie die automatische Weitergabe: Suchen Sie gezielt nach der Option, die OpenAI als Subprocessor aktiviert. Deaktivieren Sie diese Einstellung, bis Ihr Unternehmen eine formelle Risikobewertung durchgeführt hat. Dokumentieren Sie diesen Schritt für Ihre Compliance-Unterlagen.

• Passen Sie Ihre interne KI-Policy an: Dieser Vorfall zeigt exemplarisch, warum eine klare, unternehmensweite KI-Strategie und -Governance unerlässlich ist. Es reicht nicht, nur die Nutzung von ChatGPT zu regeln. Sie müssen die KI-Funktionen in Ihren Standard-Tools wie M365 genauso kritisch bewerten.

Dieser Fall ist ein Weckruf. Die Integration von KI in etablierte Software-Suiten bringt nicht nur Effizienzgewinne, sondern auch neue, versteckte Risiken für Compliance und Datensouveränität. Nur wer die Funktionsweise und die Datenflüsse versteht, kann die Kontrolle behalten und die enormen Potenziale der KI sicher für sich nutzen. Eine fundierte KI-Strategie ist keine akademische Übung, sondern eine betriebswirtschaftliche Notwendigkeit.