NIS2 on DR.365

AI Act, DSGVO, NIS2, ISO: Welche Kontrollen für Agents in Microsoft 365 mehrfach zählen

Thu, 29 Oct 2026 07:00:00 +0100

📝 Stand: Oktober 2026

Dieser Beitrag ist keine Rechtsberatung. Er ordnet Pflichten aus Gesetzen und Normen den technischen Nachweisen in Microsoft 365 zu. Ob und wie dein Unternehmen betroffen ist, klärst du mit deiner Rechtsabteilung, deinem Datenschutzbeauftragten oder einer Kanzlei.

Die Personalabteilung baut in Copilot Studio einen Agent, der eingehende Bewerbungen liest, mit dem Anforderungsprofil abgleicht und eine Rangliste vorschlägt. Technisch ist das ein Nachmittag Arbeit. Regulatorisch hat dieser Agent mit dem Helfer für die Reisekostenrichtlinie aus Teil 2 wenig gemeinsam.

Der AI Act nennt KI-Systeme, die Bewerbungen analysieren und filtern oder Bewerber bewerten, ausdrücklich als Hochrisiko-Anwendung (Anhang III Nr. 4 Buchst. a). Die Ausnahmen in Art. 6 Abs. 3 für eng begrenzte oder rein vorbereitende Aufgaben gelten nicht, sobald ein System Profiling betreibt (Verordnung (EU) 2024/1689). Eine Rangliste von Menschen auf Basis ihrer Unterlagen dürfte genau das sein. Gleichzeitig verarbeitet der Agent personenbezogene Daten, läuft in einem Tenant, der in regulierten Branchen oft unter NIS2 fällt, und soll in die bestehende ISO-27001-Zertifizierung passen. In diesem vierten und letzten Teil der Serie geht es darum, daraus ein gemeinsames Kontrollset zu machen statt fünf getrennter Projekte.

Gesetze, Normen und Nachweise

Gökhan Adamhanoglu beschreibt die KI-Regulierung in der EU als System aus zwei Ebenen: Gesetze legen fest, was eine Organisation schuldet, Normen beschreiben, wie sie das betreibt und belegt. Für Unternehmen, die Agents in Microsoft 365 bauen und betreiben, ergänze ich eine dritte Ebene. Auditoren und Aufsichtsbehörden fragen am Ende nach Belegen: Wer hat den Agent freigegeben, was hat er wann getan, wer hat seine Ausgabe geprüft? Diese Belege entstehen im Tenant, also in der Agent Registry, im Audit-Log, in Entra und in Defender.

Ein Beispiel: Der AI Act verlangt, die Protokolle eines Hochrisiko-Systems mindestens sechs Monate aufzubewahren. Eine Managementsystem-Norm verlangt, solche Vorgaben festzulegen und zu überwachen. Purview Audit liefert den Datensatz. Wer die drei Ebenen einmal verbindet, nutzt denselben Nachweis für mehrere Regelwerke.

Welche Regelwerke für M365-Agents zählen

Der AI Act unterscheidet Anbieter, die ein KI-System entwickeln, und Betreiber, die es unter ihrer Aufsicht nutzen. Für alle Betreiber gilt die Pflicht zur KI-Kompetenz aus Art. 4. Seit 2. August 2026 gelten außerdem die Transparenzpflichten aus Art. 50. Die eigentlichen Betreiberpflichten aus Art. 26 betreffen nur Hochrisiko-Systeme. Der Digital Omnibus on AI, Verordnung (EU) 2026/1744, hat diese Pflichten für Anhang III auf den 2. Dezember 2027 verschoben.

Die DSGVO greift, sobald der Agent personenbezogene Daten verarbeitet. Eine Datenschutz-Folgenabschätzung ist Pflicht, wenn eine Verarbeitung voraussichtlich ein hohes Risiko birgt. Art. 35 Abs. 3 Buchst. a nennt ausdrücklich die systematische und umfassende Bewertung persönlicher Aspekte einschließlich Profiling, auf die Entscheidungen gestützt werden (DSGVO). Ein Agent, der Bewerber vorsortiert, fällt nach meinem Verständnis darunter.

NIS2 gilt in Deutschland seit dem 6. Dezember 2025 über das neu gefasste BSI-Gesetz (BSI). KI kommt darin nicht vor. § 30 BSIG verlangt aber Risikomanagement für die IT-Systeme, die eine Einrichtung für ihre Dienste nutzt, § 32 regelt die Meldepflichten und § 38 macht die Geschäftsleitung verantwortlich. Einen Agent mit Zugriff auf das Personalsystem behandle ich deshalb wie jedes andere IT-System, das dort liest (meine fachliche Einschätzung).

ISO/IEC 27001 und ISO/IEC 42001 sind Managementsystem-Normen. ISO baut solche Normen auf einer gemeinsamen Harmonized Structure mit gleichen Grundkapiteln auf, damit sich mehrere Managementsysteme integrieren lassen (ISO). Wer ein ISMS nach 27001 betreibt, muss für ein KI-Managementsystem nach 42001 also kein zweites System daneben aufbauen. Neu dazu kommen KI-spezifische Anforderungen, etwa die Bewertung der Auswirkungen eines KI-Systems auf Betroffene.

Data Act, Cyber Resilience Act und Maschinenverordnung spielen für die meisten Leser keine Rolle. Der Cyber Resilience Act erfasst Produkte, die im Rahmen einer Geschäftstätigkeit auf dem Markt bereitgestellt werden, ein Agent für den Eigengebrauch gehört nicht dazu. Der Data Act regelt vor allem Daten vernetzter Produkte und den Wechsel zwischen Cloud-Diensten, die Maschinenverordnung physische Maschinen. Wer Agents an Kunden verkauft oder in Produkte einbaut, muss neu bewerten.

Betreiber oder Anbieter?

Anbieter ist nach Art. 3 Nr. 3 AI Act, wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt. Die Inbetriebnahme umfasst ausdrücklich den Eigengebrauch (Art. 3 Nr. 11). Nach Art. 25 wird ein Betreiber außerdem zum Anbieter, wenn er seinen Namen auf ein Hochrisiko-System setzt, es wesentlich verändert oder den Zweck eines Systems, auch eines KI-Systems mit allgemeinem Verwendungszweck, so ändert, dass es zum Hochrisiko-System wird.

Nach meiner Lesart des Wortlauts: Wer Microsoft 365 Copilot zum Zusammenfassen von E-Mails nutzt, ist Betreiber eines Systems, das Microsoft anbietet. Wer in Copilot Studio einen eigenen Agent zur Bewerberauswahl baut, entwickelt ein eigenes KI-System mit einem Zweck aus Anhang III und nimmt es unter eigenem Namen in Betrieb. Vieles spricht dafür, dass das Unternehmen für diesen Agent Anbieter eines Hochrisiko-Systems ist und zugleich sein Betreiber. Die Leitlinien der Kommission zur Einstufung liegen erst als Entwurf vor. Bis dahin würde ich die Rolle für jeden Agent mit einem Zweck aus Anhang III schriftlich festhalten und rechtlich prüfen lassen.

Anbieter brauchen unter anderem ein Qualitätsmanagementsystem, eine technische Dokumentation, eine Konformitätsbewertung und eine Registrierung (Art. 16). Für Anhang III Nr. 4 ist die Konformitätsbewertung eine interne Kontrolle ohne benannte Stelle (Art. 43 Abs. 2). Für das Qualitätsmanagementsystem gibt es seit dem 14. Oktober 2026 eine harmonisierte Norm: EN 18286:2026 ist mit dem Durchführungsbeschluss (EU) 2026/2274 im Amtsblatt zitiert. Sie begründet eine Konformitätsvermutung. Oft ist die günstigste Kontrolle aber eine andere: den Zweck des Agents so zu schneiden, dass er gar nicht in Anhang III fällt. Ein Agent, der Bewerbern Fragen zum Verfahren beantwortet, bewertet niemanden und fällt nach meiner Einschätzung nicht unter Anhang III Nr. 4.

Die Grundrechte-Folgenabschätzung nach Art. 27 betrifft nur öffentliche Stellen, private Einrichtungen, die öffentliche Dienste erbringen, sowie Betreiber bestimmter Systeme aus Anhang III Nr. 5 (Kreditwürdigkeit, Lebens- und Krankenversicherung). Für den HR-Agent eines normalen Unternehmens bleibt die DSFA das zentrale Dokument. Wo Art. 27 greift, erlaubt der Omnibus Querverweise auf die DSFA (Art. 27 Abs. 4 neu).

Die Überschneidungen als gemeinsame Kontrollen

Die Matrix ist meine eigene Zuordnung: ein voller Punkt für eine ausdrückliche Anforderung, ein Ring für eine mittelbare.

Inventar und Verantwortung. Die DSGVO verlangt ein Verzeichnis der Verarbeitungstätigkeiten, § 30 Abs. 2 Nr. 9 BSIG Konzepte für die Verwaltung von IKT-Systemen, ISO 27001 ein Inventar der Werte. Der AI Act setzt es voraus, denn Betreiberpflichten erfüllt man nur für Systeme, die man kennt. Ein Eintrag pro Agent mit Owner, Zweck, Zone, Einstufung nach Anhang III und Rolle als Betreiber oder Anbieter deckt alle vier ab.

Risikobewertung. DSFA, Risikoanalyse nach § 30 Abs. 2 Nr. 1 BSIG und die Risikobewertung der beiden ISO-Normen fragen in weiten Teilen dasselbe. Art. 26 Abs. 9 AI Act verlangt, die Angaben des Anbieters für die DSFA zu nutzen. Ich führe dafür pro Agent ein Dokument mit gemeinsamem Kern und kurzen Abschnitten je Regelwerk.

Protokollierung. Mindestens sechs Monate nach Art. 26 Abs. 6, dazu die Daten für eine Meldung nach § 32 BSIG. Purview Audit (Standard) hält Einträge 180 Tage vor, knapp an der Untergrenze. Mit Audit (Premium) lassen sich Aufbewahrungsrichtlinien bis zu einem Jahr anlegen, mit Zusatzlizenz bis zu zehn Jahren (Microsoft Learn).

Menschliche Aufsicht. Art. 26 Abs. 2 verlangt natürliche Personen mit Kompetenz, Schulung und Befugnis, Art. 22 DSGVO begrenzt ausschließlich automatisierte Entscheidungen. Technisch gehört die Freigabe in den Flow, der die Aktion ausführt, wie in Teil 3 beschrieben. Dazu gehört eine benannte Rolle, die die Rangliste prüft und verwerfen darf.

Datenschutz und Zugriff. Zugriffskontrolle steht in § 30 BSIG, in Art. 32 DSGVO und in ISO 27001. Der AI Act verlangt vom Betreiber, dass Eingabedaten unter seiner Kontrolle relevant und repräsentativ sind (Art. 26 Abs. 4). In M365 heißt das: Endbenutzer-Anmeldeinformationen, Sensitivity Labels und DLP.

Vorfallmeldung. Drei Meldewege: § 32 BSIG mit Erstmeldung nach 24 Stunden, Art. 33 DSGVO mit 72 Stunden und Art. 26 Abs. 5 AI Act mit unverzüglicher Information von Anbieter und Behörde bei schwerwiegenden Vorfällen. Ein gemeinsamer Incident-Prozess fragt deshalb früh, ob ein Agent beteiligt war.

Information der Betroffenen. Arbeitnehmervertretung und Beschäftigte sind vor dem Einsatz eines Hochrisiko-Systems am Arbeitsplatz zu informieren (Art. 26 Abs. 7), Personen, über die das System mitentscheidet, ebenfalls (Abs. 11). Dazu kommen die Informationspflichten der DSGVO und Art. 50 Abs. 1: Wer als Anbieter einen Agent baut, der mit Menschen spricht, muss das erkennbar machen.

Schulung und KI-Kompetenz. Nach dem neu gefassten Art. 4 müssen Anbieter und Betreiber Maßnahmen ergreifen, um die KI-Kompetenz ihres Personals zu fördern, ein bestimmtes Niveau wird nicht verlangt. § 30 Abs. 2 Nr. 7 BSIG fordert Schulungen, § 38 Abs. 3 regelmäßige Schulungen der Geschäftsleitung, beide ISO-Normen Kompetenznachweise. Eine Schulung für Maker und Owner bedient alle drei.

Welches M365-Werkzeug welchen Nachweis liefert

Registry, Identität und Laufzeitschutz beschreibe ich in Teil 3 ausführlicher. Für den Nachweis zählt: Die Agent Registry im Microsoft 365 Admin Center führt das Inventar, mit den Owner-Regeln aus Teil 2 (Microsoft Learn). Entra Agent ID mit Sponsor belegt, wer für den Agent geradesteht (Microsoft Learn).

Purview liefert die meisten Nachweise. Prompts und Antworten von Copilot-Studio-Agents landen im Unified Audit Log, DSPM zeigt Datenrisiken in KI-Interaktionen, DLP und Sensitivity Labels wirken auch für Agents (Microsoft Learn). Compliance Manager bringt Premium-Vorlagen für den EU AI Act, ISO/IEC 42001, ISO/IEC 23894 und das NIST AI RMF mit, daneben eine Vorlage für ISO/IEC 27001:2022 (Microsoft Learn). Für die DSFA gibt es Priva Privacy Assessments, derzeit als Preview (Microsoft Learn).

Defender führt ein eigenes Agent-Inventar und fasst Warnungen zu Agents in Incidents zusammen (Microsoft Learn). Daraus speist sich eine Meldung nach § 32 BSIG. Für die menschliche Aufsicht bleiben die Genehmigungen in Agent Flows aus Teil 3.

Microsoft ist für Copilot, Copilot Chat, Copilot Studio und Foundry nach ISO/IEC 42001 zertifiziert. Kunden dürfen das in der eigenen Bewertung verwenden, die eigene Umsetzung braucht aber eine eigene Prüfung (Microsoft Learn). Im Lieferantenmanagement ist das Zertifikat ein guter Nachweis, über den eigenen HR-Agent sagt es nichts aus.

Wer die Nachweise liefert

Die drei Modelle aus Teil 1 bestimmen auch, wer welche Belege beibringen muss.

Beim intrinsischen Modell (Agent Builder) liefert Microsoft die Nachweise für die Plattform, etwa das ISO-42001-Zertifikat. Die eigene Organisation belegt, was im Tenant passiert: Inventar und Owner in der Registry, die Einstellungen zum Teilen und die Berechtigungen auf den Wissensquellen.

Beim konfigurierbaren Modell (Copilot Studio) belegt die Konfiguration, wer sie vornimmt: Umgebungen, Datenrichtlinien, Freigaben zur Veröffentlichung und die Historie der Pipelines. Liegt das beim Dienstleister, gehören diese Nachweise zu seiner Leistung, zum Beispiel als regelmäßiger Bericht, den der Kunde ohne eigenen Admin-Zugriff prüfen kann.

Beim expliziten Modell (Foundry) liefert die Organisation fast alles selbst, von der Modellwahl über Evaluierungen bis zur technischen Dokumentation. Compliance Manager kann Evaluierungsergebnisse aus Foundry automatisch in eine Bewertung übernehmen (Microsoft Learn). Fällt der Agent unter Anhang III, kommen die Anbieterpflichten aus dem Abschnitt oben dazu.

Der Dienstleister selbst taucht in mehreren Regelwerken auf. § 30 Abs. 2 Nr. 4 BSIG verlangt Maßnahmen zur Sicherheit der Lieferkette, ausdrücklich einschließlich der Beziehungen zu Diensteanbietern. Für Managed Service Provider, die selbst unter NIS2 fallen, verweist § 30 Abs. 3 BSIG auf die technischen Anforderungen aus dem Durchführungsrechtsakt der Kommission. Verarbeitet der Dienstleister personenbezogene Daten im Auftrag, muss er nach Art. 28 Abs. 3 Buchst. h DSGVO alle Informationen zum Nachweis bereitstellen und Überprüfungen ermöglichen. Und nach Art. 3 Nr. 3 AI Act ist Anbieter auch, wer ein KI-System entwickeln lässt und unter eigenem Namen in Betrieb nimmt. Baut ein Dienstleister den Bewerber-Agent im Auftrag, liegt die Anbieterrolle nach meiner Lesart beim Kunden, solange der Agent unter dessen Namen läuft. Der Vertrag sollte dann festlegen, welche Unterlagen der Dienstleister für die technische Dokumentation liefert.

Fristen, die Betreiber kennen sollten

Die KI-Kompetenz ist seit dem 2. Februar 2025 Pflicht, in der neuen Fassung seit dem Inkrafttreten des Omnibus am 27. Juli 2026. NIS2 gilt seit dem 6. Dezember 2025 ohne allgemeine Übergangsfrist, Art. 50 seit dem 2. August 2026. Der 2. Dezember 2026 betrifft Betreiber kaum: Dann greifen zwei neue Verbote in Art. 5 und eine Übergangsfrist für Anbieter generativer Systeme bei der maschinenlesbaren Kennzeichnung.

Für den HR-Agent zählt der 2. Dezember 2027. Ab dann gelten die Hochrisiko-Pflichten für Anhang III, einschließlich Art. 26. KI in regulierten Produkten nach Anhang I folgt am 2. August 2028. Nach Art. 111 Abs. 2 erfasst die Verordnung Hochrisiko-Systeme, die vorher in Betrieb gehen, nur bei erheblichen Änderungen ihres Designs. Bei Agents, deren Anweisungen und Wissensquellen sich ständig ändern, würde ich mich darauf nicht verlassen.

Was Microsoft nicht abnimmt

Microsoft liefert Werkzeuge und Nachweise, die Verantwortung für den rechtskonformen Betrieb bleibt bei der eigenen Organisation. Die Compliance-Manager-Vorlagen beschreiben Maßnahmen, deren Umsetzung jemand belegen muss, und kosten Premium-Lizenzen. Die automatische Bewertung von Agents in Compliance Manager setzt auf Microsoft Foundry auf, eine solche Anbindung für Copilot-Studio-Agents beschreibt Microsoft nicht.

Mehrere Bausteine sind noch Preview, darunter die Bedrohungserkennung für Agents in Defender und Priva Privacy Assessments. Agents aus dem Agent Builder haben keine Entra Agent ID. Einiges findet in keinem Portal statt: die Entscheidung, ob ein Agent in Anhang III fällt, die Information der Arbeitnehmervertretung, die Verantwortung der Geschäftsleitung nach § 38 BSIG und die Frage, wer im Unternehmen Anbieter-Pflichten tragen kann.

Fünf Dinge, die du morgen prüfen kannst

Geh die Agent Registry durch und markiere jeden Agent, der Menschen bewertet, sortiert oder über sie mitentscheidet.
Halte für diese Agents schriftlich fest, ob dein Unternehmen Betreiber oder Anbieter ist, und lass das rechtlich prüfen.
Prüfe in Purview, wie lange Audit-Einträge zu Copilot- und Agent-Interaktionen aufbewahrt werden, und ob 180 Tage für dich reichen.
Sieh nach, welche Compliance-Manager-Vorlagen lizenziert sind, und ergänze die bestehende ISO-27001-Bewertung um die Vorlage für den AI Act oder ISO 42001.
Ergänze den Incident-Prozess um die Frage, ob ein Agent beteiligt war, und um die Meldewege aus DSGVO und AI Act neben § 32 BSIG.

Quellen

Microsofts AI Strategy Roadmap aus Betreibersicht: was trägt und was regulierte Organisationen ergänzen müssen

Tue, 20 Oct 2026 07:00:00 +0200

Im Juli 2026 hat Microsoft ein 66-seitiges E-Book veröffentlicht: The AI Strategy Roadmap, Untertitel How organizations are achieving Frontier Transformation. Als Service Owner für Digital Workplace & AI bei einem IT-Dienstleister, dessen Kunden überwiegend aus regulierten Branchen kommen (KRITIS, NIS2), habe ich es mit einer Frage gelesen: Was trägt im Betrieb, was ist Marketing, und was fehlt?

„Frontier Transformation“ nennt Microsoft den Schritt von einzelnen KI-Use-Cases zu KI, die in den Kernprozessen eines Unternehmens steckt.

Worauf das E-Book beruht

Grundlage sind 70 Interviews von 30 bis 45 Minuten mit Entscheidern aus IT und Fachbereichen, geführt von der Emerald Research Group im Auftrag von Microsoft zwischen dem 23. Februar und dem 13. März 2026. Zweite Quelle ist Microsofts eigener interner Rollout als „Customer Zero“.

Die Tabelle am Anfang nennt sieben typische Hürden: zu viele Ideen ohne klaren Startpunkt, ein ROI, der abstrakt bleibt, fragmentierte Daten, Compliance-Reviews, die die Ausweitung bremsen, Skalierung ohne klare Verantwortung, Nutzer, die dem Agent nicht trauen, und fehlende Skills. Die Antworten der „Frontier Firms“ laufen meist auf dasselbe hinaus: eng anfangen, früh messen, einen Use Case nach dem anderen ausweiten.

Danach definiert das E-Book fünf übergreifende Reifestufen (Exploring, Planning, Implementing, Scaling, Realizing, in der Grafik sinngemäß Erkunden, Planen, Umsetzen, Skalieren, Verankern) und gibt jedem der fünf Werttreiber ein eigenes fünfstufiges Reifegradmodell.

Fünf Treiber über fünf Stufen: meine verdichtete Lesart der Reifegradmodelle aus dem E-Book, in eigenen Worten.

Die fünf Treiber als Selbstcheck

Jeder Treiber kurz zusammengefasst, mit einer Frage für deine eigene Organisation. Die Fragen zielen auf Stufe 3, wo zwischen Pilot und Produktion die meiste Arbeit liegt.

1. Business-Strategie. KI-Vorhaben hängen an Geschäftszielen, werden bewusst finanziert und als Portfolio gesteuert. Das E-Book will zuerst einen engen, messbaren Use Case, priorisiert nach einem einheitlichen Raster. Genannt wird das Microsoft AI Decision Framework, auch BXT-Framework (Business, Experience, Technology). Check für Stufe 3: Tauchen KI-KPIs in deiner regulären Geschäftsplanung auf oder nur im Projektstatus?

2. Technologie und Daten. Datenqualität ist Voraussetzung, und eine gemeinsame, verwaltete Plattform ersetzt den Neubau für jeden Piloten. Kostenmanagement gehört von Anfang an ins Design. Check für Stufe 3: Kannst du die Datenquellen benennen, die ein produktiver Agent nutzen darf, und wem jede davon gehört?

3. KI-Strategie und Erfahrung. Piloten sind vom ersten Tag an instrumentiert, und was funktioniert, wird zur Vorlage für das nächste Team. GenAIOps-Praktiken wie versionierte Prompts und laufende Tests machen aus Experimenten Betrieb. Check für Stufe 3: Wenn sich Prompt oder Modell eines produktiven Agents ändern, gibt es vor dem Go-live einen Testlauf?

4. Organisation und Kultur. Ein Frontier Center of Excellence (CoE) setzt Standards und Leitplanken, ohne jede Lösung selbst zu besitzen, unterstützt von Champions und rollenbasierten Schulungen (das E-Book verweist auf AI Skills Navigator, der inzwischen als Preview im Learning Agent in Copilot steckt). Laut Microsofts Work Trend Index 2026, den das E-Book zitiert, gehen 67 % des realisierten KI-Werts auf organisatorische Faktoren zurück. Check für Stufe 3: Hat dein CoE ein Mandat, ein Budget und eine benannte Leitung, oder ist es ein Jour fixe?

5. Governance und Security. Governance steckt im Lifecycle der Agents: Identitäten, Least Privilege, Monitoring, ein Inventar aller KI-Systeme und eine Prüfung vor jedem Deployment. Check für Stufe 3: Kannst du heute jeden produktiven Agent mit Owner und Berechtigungen auflisten, ohne herumzufragen?

Auf Microsoft Learn gibt es ein verwandtes Reifegradmodell für die Einführung von Agentic AI mit fast denselben fünf Säulen und den Stufen 100 bis 500. Für einen Assessment-Workshop würde ich das nehmen: Jede Säule hat eine eigene, ausführliche Seite.

Was im Betrieb trägt

Datenhygiene ist der kritische Pfad. Microsofts eigene Lehre als Customer Zero: Sind Daten schlecht klassifiziert, dupliziert oder zu breit geteilt, verstärken Agents das Problem. Den Satz würde ich jedem Lenkungskreis zeigen: „For agents, data quality becomes action quality.“ Bei Copilot sehen wir dasselbe: Oversharing, das es seit Jahren gibt, wird an dem Tag sichtbar, an dem ein Agent darin suchen kann. Die konkreten Schritte stehen in meinem Leitfaden zu Oversharing vor dem Rollout.

Der sichere Weg muss der einfache sein. Macht die IT die freigegebenen Wege langsam, weichen Leute auf öffentliche Tools aus und nehmen Firmendaten mit. Das E-Book empfiehlt, Leitplanken direkt in die Werkzeuge einzubauen, mit denen Experimentieren leicht ist, und die IT vom Besitzer jeder Lösung zum Verwalter von Plattform und Daten zu machen. Nach meiner Erfahrung ist das auf Dauer das Einzige, was gegen Schatten-KI hilft. Verbote altern schnell.

Agents brauchen Identitäten und ein Lifecycle-Register. Das E-Book will pro Agent Berechtigungen, Lifecycle-Kontrollen und Monitoring, dazu ein Register, das jeden Agent von der Freigabe bis zur Stilllegung verfolgt. In Microsoft 365 entspricht das Microsoft Entra Agent ID und der Agent-Registry in Agent 365. Über die Lifecycle-Seite und über delegierte Berechtigungen zur Laufzeit habe ich schon geschrieben.

Jeder Agent sollte vor dem Deployment eine Sicherheitsprüfung bekommen. Security-Teams testen vor der Produktion, und laufendes Monitoring sucht danach nach Prompt Injection und unsicheren Tool-Aufrufen. Das ist die Phase Measure aus Microsofts Vier-Phasen-Modell für verantwortungsvolle generative KI, und sie gehört ins Release-Gate.

Wiederverwendung funktioniert am besten, wenn die Leitplanken mitkommen. Vorlagen und Pattern-Bibliotheken sollten die Vorgaben zu Governance, Datenumgang und Evaluierung enthalten, damit ein neues Team die Kontrollen erbt. Microsoft beschreibt, wie eigene Agents vom persönlichen zum unternehmensweiten Einsatz „graduieren“, mit Validierung, Security-Review und gehärteter Integration, bevor sie skalieren. Ob du mit Agent Builder, Copilot Studio oder Foundry baust, entscheidet, wie viel davon du zentral durchsetzen kannst.

Die IT wird Kurator statt Türsteher. Bei Microsoft stellt die IT zertifizierte Datenquellen bereit und betreibt Agent-Memory und Integrationen (APIs, MCP, Konnektoren). Das CoE startete 2023 als Beratungsgruppe und wechselte dann zur Koordination. Ideen prüft es entlang von vier Säulen: Strategy, Architecture, Roadmap und Culture. Ein „Fast Train“ gibt einer vertrauenswürdigen Gruppe früh breiten Zugang unter klaren Leitplanken. Das Modell würde ich übernehmen und die Gruppe klein halten.

Wo es zu glatt ist

Die ROI-Botschaft widerspricht sich. In der Hürden-Tabelle heißt es, es sei schwer, Führungskräfte davon zu überzeugen, dass ein harter ROI-Nachweis nicht das Ziel ist. Ein paar Seiten später sollst du Use Cases wählen, die früh ROI zeigen. In einem reifen Programm kann beides stimmen. Ein Lenkungskreis, der beides hört, sucht sich die Variante aus, die ihm passt.

Enabler oder Ersatz? Laut Change-Management-Kapitel soll klar sein, dass Agents Enabler sind und keine Bedrohung für Arbeitsplätze. Der Zielzustand von Treiber 1 sagt dagegen, Wachstum sei nicht mehr durch Headcount begrenzt, und die Liste der Vorteile verspricht Skalierung ohne proportional mehr Personal. Belegschaft und Betriebsrat lesen beide Sätze. Wenn du das E-Book intern nutzt, entscheide, welche Botschaft du meinst, und bleib dabei.

Die Evidenz ist dünn. Siebzig vom Hersteller beauftragte Interviews plus dessen eigener Rollout beschreiben Muster, belegen aber keine Wirkung. Die 67 % stammen aus Microsofts eigenem Work Trend Index. Zur Orientierung taugt das, als Business Case kaum.

Das Kostenmanagement bleibt vage. Das E-Book will Kosteneffizienz früh im Design und nennt fehlende Kostenmodelle als Lücke beim Skalieren, ohne zu sagen, wie: kein Verrechnungsmodell, keine Stückkosten pro Agent, nichts zur verbrauchsabhängigen Abrechnung. Für einen Dienstleister bleiben Piloten genau hier stecken.

Was für Europa fehlt

Die Regulierungskarte in Treiber 5 zeigt den EU AI Act, das NIST AI RMF, ISO 42001, ISO 23894 und Regelwerke aus mehreren anderen Ländern. Die DSGVO wird einmal erwähnt, neben HIPAA. Drei Dinge, die jedes KI-Projekt in einer regulierten deutschen Organisation prägen, fehlen. Das Folgende ist meine fachliche Einschätzung, keine Rechtsberatung.

Mitbestimmung. Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat mit bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen, und die Rechtsprechung legt „bestimmt“ weit aus: Es reicht, dass sie dazu objektiv geeignet sind. Copilot und Agents, die Nutzung protokollieren, erfüllen das in aller Regel. Seit 2021 nennt § 90 BetrVG den Einsatz von KI ausdrücklich bei den geplanten Arbeitsabläufen, über die der Betriebsrat zu unterrichten ist. Das gehört in Treiber 4: den Betriebsrat schon bei der Planung des ersten Use Case einbinden und eine Betriebsvereinbarung als Teil der Roadmap behandeln.
NIS2. Für betroffene Einrichtungen ist ein Agent ein IT-System wie jedes andere. Risikomanagement, Meldepflichten und die Verantwortung der Geschäftsleitung gelten. In Treiber 5 heißt das: Agent-Inventar und Incident-Prozess müssen Agents abdecken.
DORA. Finanzunternehmen unterliegen seit dem 17. Januar 2025 DORA, einschließlich IKT-Risikomanagement und eines Informationsregisters zu den vertraglichen Vereinbarungen mit IKT-Drittdienstleistern. Jede KI-Plattform und jedes externe Modell ist ein Kandidat für dieses Register. Das betrifft Treiber 2 (Plattformwahl) und Treiber 5 (Nachweise).

Wie sich die Kontrollen aus AI Act, DSGVO, NIS2 und ISO bei Agents überschneiden, beschreibt meine Compliance-Landkarte für Microsoft-365-Agents.

Was ich daraus mitnehmen würde

Für eine Organisation auf der Stufe Planning oder Implementing:

Mit einem messbaren Use Case und einem Menschen in der Schleife starten. Den KPI vor dem Bau festlegen und den Freigabeschritt im Ablauf lassen, bis die Zahlen rechtfertigen, ihn wegzunehmen.
Das Agent-Inventar vor dem zweiten Agent anlegen: Owner, Zweck, Datenquellen, Berechtigungen, nächster Review-Termin. Bei Agent Nummer 30 nachzurüsten ist ein eigenes Projekt.
Das CoE zum „Center of Acceleration“ machen, ein Begriff, den das E-Book selbst verwendet. Messen würde ich es daran, wie schnell ein Team eine sichere Vorlage und eine Entscheidung bekommt, nicht daran, wie viele Anträge es ablehnt.
Datenschutz, Betriebsrat und Informationssicherheit an den Tisch holen, wenn der erste Use Case ausgewählt wird. Beim Go-live können sie nur noch Nein sagen.

Wo bleiben Organisationen im KRITIS- und NIS2-Umfeld typischerweise hängen? Ich würde die meisten zwischen Planning und Implementing verorten: Der erste Use Case ist definiert, aber noch nicht produktiv. Gebremst wird meist von Treiber 4 und 5 gemeinsam. Niemand entscheidet verbindlich, worauf ein Agent zugreifen darf, und Betriebsrat und Informationssicherheit kommen spät dazu, sodass jede Freigabe wieder bei null beginnt. Deshalb stehen die Schritte 2 und 4 vor dem zweiten Agent.

Fazit

Die fünf Treiber liefern ein gemeinsames Vokabular für einen Reifegrad-Check; das Modell auf Microsoft Learn liefert die Details.
Am stärksten ist der operative Teil: Datenhygiene, Agent-Inventar, Prüfung vor dem Deployment und Leitplanken, die in Vorlagen stecken.
Die Aussagen zu ROI und Headcount kritisch lesen, die Evidenz als Herstellerstudie.
In Europa Mitbestimmung, NIS2 und DORA selbst in die Treiber 4 und 5 eintragen.

Quellen

Microsoft: The AI Strategy Roadmap: How organizations are achieving Frontier Transformation (E-Book, PDF, Juli 2026, Englisch)
Microsoft Learn: Agentic AI adoption maturity model
Microsoft Learn: Build an agentic Center of Excellence
Microsoft Learn: Evaluate and prioritize an AI use case with business envisioning (BXT)
Microsoft Learn: Agent registry im Microsoft 365 Admin Center
Microsoft Learn: What are agent identities? (Microsoft Entra Agent ID)
Microsoft Learn: Manage AI Skills Navigator
Betriebsverfassungsgesetz: § 87, § 90 (gesetze-im-internet.de)
EUR-Lex: NIS2-Richtlinie (EU) 2022/2555, DORA-Verordnung (EU) 2022/2554