AI Act, DSGVO, NIS2, ISO: Welche Kontrollen für Agents in Microsoft 365 mehrfach zählen

Thu, 29 Oct 2026 07:00:00 +0100

📝 Stand: Oktober 2026

Dieser Beitrag ist keine Rechtsberatung. Er ordnet Pflichten aus Gesetzen und Normen den technischen Nachweisen in Microsoft 365 zu. Ob und wie dein Unternehmen betroffen ist, klärst du mit deiner Rechtsabteilung, deinem Datenschutzbeauftragten oder einer Kanzlei.

Die Personalabteilung baut in Copilot Studio einen Agent, der eingehende Bewerbungen liest, mit dem Anforderungsprofil abgleicht und eine Rangliste vorschlägt. Technisch ist das ein Nachmittag Arbeit. Regulatorisch hat dieser Agent mit dem Helfer für die Reisekostenrichtlinie aus Teil 2 wenig gemeinsam.

Der AI Act nennt KI-Systeme, die Bewerbungen analysieren und filtern oder Bewerber bewerten, ausdrücklich als Hochrisiko-Anwendung (Anhang III Nr. 4 Buchst. a). Die Ausnahmen in Art. 6 Abs. 3 für eng begrenzte oder rein vorbereitende Aufgaben gelten nicht, sobald ein System Profiling betreibt (Verordnung (EU) 2024/1689). Eine Rangliste von Menschen auf Basis ihrer Unterlagen dürfte genau das sein. Gleichzeitig verarbeitet der Agent personenbezogene Daten, läuft in einem Tenant, der in regulierten Branchen oft unter NIS2 fällt, und soll in die bestehende ISO-27001-Zertifizierung passen. In diesem vierten und letzten Teil der Serie geht es darum, daraus ein gemeinsames Kontrollset zu machen statt fünf getrennter Projekte.

Gesetze, Normen und Nachweise

Gökhan Adamhanoglu beschreibt die KI-Regulierung in der EU als System aus zwei Ebenen: Gesetze legen fest, was eine Organisation schuldet, Normen beschreiben, wie sie das betreibt und belegt. Für Unternehmen, die Agents in Microsoft 365 bauen und betreiben, ergänze ich eine dritte Ebene. Auditoren und Aufsichtsbehörden fragen am Ende nach Belegen: Wer hat den Agent freigegeben, was hat er wann getan, wer hat seine Ausgabe geprüft? Diese Belege entstehen im Tenant, also in der Agent Registry, im Audit-Log, in Entra und in Defender.

Ein Beispiel: Der AI Act verlangt, die Protokolle eines Hochrisiko-Systems mindestens sechs Monate aufzubewahren. Eine Managementsystem-Norm verlangt, solche Vorgaben festzulegen und zu überwachen. Purview Audit liefert den Datensatz. Wer die drei Ebenen einmal verbindet, nutzt denselben Nachweis für mehrere Regelwerke.

Welche Regelwerke für M365-Agents zählen

Der AI Act unterscheidet Anbieter, die ein KI-System entwickeln, und Betreiber, die es unter ihrer Aufsicht nutzen. Für alle Betreiber gilt die Pflicht zur KI-Kompetenz aus Art. 4. Seit 2. August 2026 gelten außerdem die Transparenzpflichten aus Art. 50. Die eigentlichen Betreiberpflichten aus Art. 26 betreffen nur Hochrisiko-Systeme. Der Digital Omnibus on AI, Verordnung (EU) 2026/1744, hat diese Pflichten für Anhang III auf den 2. Dezember 2027 verschoben.

Die DSGVO greift, sobald der Agent personenbezogene Daten verarbeitet. Eine Datenschutz-Folgenabschätzung ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt. Art. 35 Abs. 3 Buchst. a nennt ausdrücklich die systematische und umfassende Bewertung persönlicher Aspekte einschließlich Profiling, auf die Entscheidungen gestützt werden (DSGVO). Ein Agent, der Bewerber vorsortiert, fällt nach meinem Verständnis darunter.

NIS2 gilt in Deutschland seit dem 6. Dezember 2025 über das neu gefasste BSI-Gesetz (BSI). KI kommt darin nicht vor. § 30 BSIG verlangt aber Risikomanagement für die IT-Systeme, die eine Einrichtung für ihre Dienste nutzt, § 32 regelt die Meldepflichten und § 38 macht die Geschäftsleitung verantwortlich. Einen Agent mit Zugriff auf das Personalsystem behandle ich deshalb wie jedes andere IT-System, das dort liest (meine fachliche Einschätzung).

ISO/IEC 27001 und ISO/IEC 42001 sind Managementsystem-Normen. ISO baut solche Normen auf einer gemeinsamen Harmonized Structure mit gleichen Grundkapiteln auf, damit sich mehrere Managementsysteme integrieren lassen (ISO). Wer ein ISMS nach 27001 betreibt, muss für ein KI-Managementsystem nach 42001 also kein zweites System daneben aufbauen. Neu dazu kommen KI-spezifische Anforderungen, etwa die Bewertung der Auswirkungen eines KI-Systems auf Betroffene.

Data Act, Cyber Resilience Act und Maschinenverordnung spielen für die meisten Leser keine Rolle. Der Cyber Resilience Act erfasst Produkte, die im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt werden, ein Agent für den Eigengebrauch gehört nicht dazu. Der Data Act regelt vor allem Daten vernetzter Produkte und den Wechsel zwischen Cloud-Diensten, die Maschinenverordnung physische Maschinen. Wer Agents an Kunden verkauft oder in Produkte einbaut, muss neu bewerten.

Betreiber oder Anbieter?

Anbieter ist nach Art. 3 Nr. 3 AI Act, wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Die Inbetriebnahme umfasst ausdrücklich den Eigengebrauch (Art. 3 Nr. 11). Nach Art. 25 wird ein Betreiber außerdem zum Anbieter, wenn er seinen Namen auf ein Hochrisiko-System setzt, es wesentlich verändert oder den Zweck eines Systems, auch eines KI-Systems mit allgemeinem Verwendungszweck, so ändert, dass es zum Hochrisiko-System wird.

Nach meiner Lesart des Wortlauts: Wer Microsoft 365 Copilot zum Zusammenfassen von E-Mails nutzt, ist Betreiber eines Systems, das Microsoft anbietet. Wer in Copilot Studio einen eigenen Agent zur Bewerberauswahl baut, entwickelt ein eigenes KI-System mit einem Zweck aus Anhang III und nimmt es unter eigenem Namen in Betrieb. Vieles spricht dafür, dass das Unternehmen für diesen Agent Anbieter eines Hochrisiko-Systems ist und zugleich sein Betreiber. Die Leitlinien der Kommission zur Einstufung liegen erst als Entwurf vor. Bis dahin würde ich die Rolle für jeden Agent mit einem Zweck aus Anhang III schriftlich festhalten und rechtlich prüfen lassen.

Anbieter brauchen unter anderem ein Qualitätsmanagementsystem, eine technische Dokumentation, eine Konformitätsbewertung und eine Registrierung (Art. 16). Für Anhang III Nr. 4 ist die Konformitätsbewertung eine interne Kontrolle ohne benannte Stelle (Art. 43 Abs. 2). Für das Qualitätsmanagementsystem gibt es seit dem 14. Oktober 2026 eine harmonisierte Norm: EN 18286:2026 ist mit dem Durchführungsbeschluss (EU) 2026/2274 im Amtsblatt zitiert. Sie begründet eine Konformitätsvermutung. Oft ist die günstigste Kontrolle aber eine andere: den Zweck des Agents so zu schneiden, dass er gar nicht in Anhang III fällt. Ein Agent, der Bewerbern Fragen zum Verfahren beantwortet, bewertet niemanden und fällt nach meiner Einschätzung nicht unter Anhang III Nr. 4.

Die Grundrechte-Folgenabschätzung nach Art. 27 betrifft nur öffentliche Stellen, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber bestimmter Systeme aus Anhang III Nr. 5 (Kreditwürdigkeit, Lebens- und Krankenversicherung). Für den HR-Agent eines normalen Unternehmens bleibt die DSFA das zentrale Dokument. Wo Art. 27 greift, erlaubt der Omnibus Querverweise auf die DSFA (Art. 27 Abs. 4 neu).

Die Überschneidungen als gemeinsame Kontrollen

Die Matrix ist meine eigene Zuordnung: ein voller Punkt für eine ausdrückliche Anforderung, ein Ring für eine mittelbare.

Inventar und Verantwortung. Die DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten, § 30 Abs. 2 Nr. 9 BSIG Konzepte für die Verwaltung von IKT-Systemen, ISO 27001 ein Inventar der Werte. Der AI Act setzt es voraus, denn Betreiberpflichten erfüllt man nur für Systeme, die man kennt. Ein Eintrag pro Agent mit Owner, Zweck, Zone, Einstufung nach Anhang III und Rolle als Betreiber oder Anbieter deckt alle vier ab.

Risikobewertung. DSFA, Risikoanalyse nach § 30 Abs. 2 Nr. 1 BSIG und die Risikobewertung der beiden ISO-Normen fragen in weiten Teilen dasselbe. Art. 26 Abs. 9 AI Act verlangt, die Angaben des Anbieters für die DSFA zu nutzen. Ich führe dafür pro Agent ein Dokument mit gemeinsamem Kern und kurzen Abschnitten je Regelwerk.

Protokollierung. Mindestens sechs Monate nach Art. 26 Abs. 6, dazu die Daten für eine Meldung nach § 32 BSIG. Purview Audit (Standard) hält Einträge 180 Tage vor, knapp an der Untergrenze. Mit Audit (Premium) lassen sich Aufbewahrungsrichtlinien bis zu einem Jahr anlegen, mit Zusatzlizenz bis zu zehn Jahren (Microsoft Learn).

Menschliche Aufsicht. Art. 26 Abs. 2 verlangt natürliche Personen mit Kompetenz, Schulung und Befugnis, Art. 22 DSGVO begrenzt ausschließlich automatisierte Entscheidungen. Technisch gehört die Freigabe in den Flow, der die Aktion ausführt, wie in Teil 3 beschrieben. Dazu gehört eine benannte Rolle, die die Rangliste prüft und verwerfen darf.

Datenschutz und Zugriff. Zugriffskontrolle steht in § 30 BSIG, in Art. 32 DSGVO und in ISO 27001. Der AI Act verlangt vom Betreiber, dass Eingabedaten unter seiner Kontrolle relevant und repräsentativ sind (Art. 26 Abs. 4). In M365 heißt das: Endbenutzer-Anmeldeinformationen, Sensitivity Labels und DLP.

Vorfallmeldung. Drei Meldewege: § 32 BSIG mit Erstmeldung nach 24 Stunden, Art. 33 DSGVO mit 72 Stunden und Art. 26 Abs. 5 AI Act mit unverzüglicher Information von Anbieter und Behörde bei schwerwiegenden Vorfällen. Ein gemeinsamer Incident-Prozess fragt deshalb früh, ob ein Agent beteiligt war.

Information der Betroffenen. Arbeitnehmervertretung und Beschäftigte sind vor dem Einsatz eines Hochrisiko-Systems am Arbeitsplatz zu informieren (Art. 26 Abs. 7), Personen, über die das System mitentscheidet, ebenfalls (Abs. 11). Dazu kommen die Informationspflichten der DSGVO und Art. 50 Abs. 1: Wer als Anbieter einen Agent baut, der mit Menschen spricht, muss das erkennbar machen.

Schulung und KI-Kompetenz. Nach dem neu gefassten Art. 4 müssen Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern, ein bestimmtes Niveau wird nicht verlangt. § 30 Abs. 2 Nr. 7 BSIG fordert Schulungen, § 38 Abs. 3 regelmäßige Schulungen der Geschäftsleitung, beide ISO-Normen Kompetenznachweise. Eine Schulung für Maker und Owner bedient alle drei.

Welches M365-Werkzeug welchen Nachweis liefert

Registry, Identität und Laufzeitschutz beschreibe ich in Teil 3 ausführlicher. Für den Nachweis zählt: Die Agent Registry im Microsoft 365 Admin Center führt das Inventar, mit den Owner-Regeln aus Teil 2 (Microsoft Learn). Entra Agent ID mit Sponsor belegt, wer für den Agent geradesteht (Microsoft Learn).

Purview liefert die meisten Nachweise. Prompts und Antworten von Copilot-Studio-Agents landen im Unified Audit Log, DSPM zeigt Datenrisiken in KI-Interaktionen, DLP und Sensitivity Labels wirken auch für Agents (Microsoft Learn). Compliance Manager bringt Premium-Vorlagen für den EU AI Act, ISO/IEC 42001, ISO/IEC 23894 und das NIST AI RMF mit, daneben eine Vorlage für ISO/IEC 27001:2022 (Microsoft Learn). Für die DSFA gibt es Priva Privacy Assessments, derzeit als Preview (Microsoft Learn).

Defender führt ein eigenes Agent-Inventar und fasst Warnungen zu Agents in Incidents zusammen (Microsoft Learn). Daraus speist sich eine Meldung nach § 32 BSIG. Für die menschliche Aufsicht bleiben die Genehmigungen in Agent Flows aus Teil 3.

Microsoft ist für Copilot, Copilot Chat, Copilot Studio und Foundry nach ISO/IEC 42001 zertifiziert. Kunden dürfen das in der eigenen Bewertung verwenden, die eigene Umsetzung braucht aber eine eigene Prüfung (Microsoft Learn). Im Lieferantenmanagement ist das Zertifikat ein guter Nachweis, über den eigenen HR-Agent sagt es nichts aus.

Wer die Nachweise liefert

Die drei Modelle aus Teil 1 bestimmen auch, wer welche Belege beibringen muss.

Beim intrinsischen Modell (Agent Builder) liefert Microsoft die Nachweise für die Plattform, etwa das ISO-42001-Zertifikat. Die eigene Organisation belegt, was im Tenant passiert: Inventar und Owner in der Registry, die Einstellungen zum Teilen und die Berechtigungen auf den Wissensquellen.

Beim konfigurierbaren Modell (Copilot Studio) belegt die Konfiguration, wer sie vornimmt: Umgebungen, Datenrichtlinien, Freigaben zur Veröffentlichung und die Historie der Pipelines. Liegt das beim Dienstleister, gehören diese Nachweise zu seiner Leistung, zum Beispiel als regelmäßiger Bericht, den der Kunde ohne eigenen Admin-Zugriff prüfen kann.

Beim expliziten Modell (Foundry) liefert die Organisation fast alles selbst, von der Modellwahl über Evaluierungen bis zur technischen Dokumentation. Compliance Manager kann Evaluierungsergebnisse aus Foundry automatisch in eine Bewertung übernehmen (Microsoft Learn). Fällt der Agent unter Anhang III, kommen die Anbieterpflichten aus dem Abschnitt oben dazu.

Der Dienstleister selbst taucht in mehreren Regelwerken auf. § 30 Abs. 2 Nr. 4 BSIG verlangt Maßnahmen zur Sicherheit der Lieferkette, ausdrücklich einschließlich der Beziehungen zu Diensteanbietern. Für Managed Service Provider, die selbst unter NIS2 fallen, verweist § 30 Abs. 3 BSIG auf die technischen Anforderungen aus dem Durchführungsrechtsakt der Kommission. Verarbeitet der Dienstleister personenbezogene Daten im Auftrag, muss er nach Art. 28 Abs. 3 Buchst. h DSGVO alle Informationen zum Nachweis bereitstellen und Überprüfungen ermöglichen. Und nach Art. 3 Nr. 3 AI Act ist Anbieter auch, wer ein KI-System entwickeln lässt und unter eigenem Namen in Betrieb nimmt. Baut ein Dienstleister den Bewerber-Agent im Auftrag, liegt die Anbieterrolle nach meiner Lesart beim Kunden, solange der Agent unter dessen Namen läuft. Der Vertrag sollte dann festlegen, welche Unterlagen der Dienstleister für die technische Dokumentation liefert.

Fristen, die Betreiber kennen sollten

Die KI-Kompetenz ist seit dem 2. Februar 2025 Pflicht, in der neuen Fassung seit dem Inkrafttreten des Omnibus am 27. Juli 2026. NIS2 gilt seit dem 6. Dezember 2025 ohne allgemeine Übergangsfrist, Art. 50 seit dem 2. August 2026. Der 2. Dezember 2026 betrifft Betreiber kaum: Dann greifen zwei neue Verbote in Art. 5 und eine Übergangsfrist für Anbieter generativer Systeme bei der maschinenlesbaren Kennzeichnung.

Für den HR-Agent zählt der 2. Dezember 2027. Ab dann gelten die Hochrisiko-Pflichten für Anhang III, einschließlich Art. 26. KI in regulierten Produkten nach Anhang I folgt am 2. August 2028. Nach Art. 111 Abs. 2 erfasst die Verordnung Hochrisiko-Systeme, die vorher in Betrieb gehen, nur bei erheblichen Änderungen ihres Designs. Bei Agents, deren Anweisungen und Wissensquellen sich ständig ändern, würde ich mich darauf nicht verlassen.

Was Microsoft nicht abnimmt

Microsoft liefert Werkzeuge und Nachweise, die Verantwortung für den rechtskonformen Betrieb bleibt bei der eigenen Organisation. Die Compliance-Manager-Vorlagen beschreiben Maßnahmen, deren Umsetzung jemand belegen muss, und kosten Premium-Lizenzen. Die automatische Bewertung von Agents in Compliance Manager setzt auf Microsoft Foundry auf, eine solche Anbindung für Copilot-Studio-Agents beschreibt Microsoft nicht.

Mehrere Bausteine sind noch Preview, darunter die Bedrohungserkennung für Agents in Defender und Priva Privacy Assessments. Agents aus dem Agent Builder haben keine Entra Agent ID. Einiges findet in keinem Portal statt: die Entscheidung, ob ein Agent in Anhang III fällt, die Information der Arbeitnehmervertretung, die Verantwortung der Geschäftsleitung nach § 38 BSIG und die Frage, wer im Unternehmen Anbieter-Pflichten tragen kann.

Fünf Dinge, die du morgen prüfen kannst

Geh die Agent Registry durch und markiere jeden Agent, der Menschen bewertet, sortiert oder über sie mitentscheidet.
Halte für diese Agents schriftlich fest, ob dein Unternehmen Betreiber oder Anbieter ist, und lass das rechtlich prüfen.
Prüfe in Purview, wie lange Audit-Einträge zu Copilot- und Agent-Interaktionen aufbewahrt werden, und ob 180 Tage für dich reichen.
Sieh nach, welche Compliance-Manager-Vorlagen lizenziert sind, und ergänze die bestehende ISO-27001-Bewertung um die Vorlage für den AI Act oder ISO 42001.
Ergänze den Incident-Prozess um die Frage, ob ein Agent beteiligt war, und um die Meldewege aus DSGVO und AI Act neben § 32 BSIG.

Microsoft Purview on DR.365