Ein schlanker Freigabeprozess
- Anwendungsfall beschreiben: Problem, Zielgruppe, erwarteter Nutzen und nicht erlaubte Nutzung festhalten.
- Datenquelle begrenzen: Nur die Sites, Bibliotheken, Dateien, Mails oder Datensätze benennen, die wirklich gebraucht werden.
- Rollen zuordnen: Fachliche Verantwortung, technische Administration, Datenschutz/Sicherheit und Freigabe für Außenwirkung unterscheiden.
- Ausgabe klassifizieren: Entwurf, interne Information, Entscheidungsvorlage oder externe Aktion sind unterschiedliche Risikostufen.
- Human-in-the-loop festlegen: Versand, Löschung, Berechtigungsänderung, Veröffentlichung und verbindliche Zusage brauchen eine passende Bestätigung.
- Pilot messen: Fehler, fehlende Quellen, falsche Empfänger und unnötige Zugriffe dokumentieren.
- Rückweg definieren: Ablauf pausieren, Agent deaktivieren, letzte Änderung zurücknehmen und betroffene Personen informieren können.
Prompts für Governance und Kontrolle
Freigabeblatt vorbereiten
> Erstelle für diesen Copilot-Anwendungsfall ein Freigabeblatt mit Ziel, Datenquellen, Nutzergruppen, erlaubten Ausgaben, verbotenen Aktionen, Risiken, Prüfschritt und Rückweg. Verwende nur die bereitgestellten Angaben und markiere fehlende Informationen.
Risiko einer Automation prüfen
> Prüfe den folgenden Ablauf auf Datenzugriff, Außenwirkung, irreversible Aktionen, personenbezogene Daten und fehlende Freigaben. Ordne jeden Punkt als „vor Start klären“, „menschlich prüfen“ oder „für diesen Ablauf nicht zulässig“ ein. Ändere den Ablauf nicht.
Agentenaktion begrenzen
> Erstelle eine Tabelle mit den Spalten Quelle, Rolle, erlaubte Aktion, erforderliche Bestätigung, Protokollierung und Rücknahme. Nimm keine Aktion als erlaubt an, wenn die nötige Berechtigung oder Freigabe nicht ausdrücklich belegt ist.
Pilot auswerten
> Fasse die Pilotbeobachtungen zusammen. Trenne tatsächliche Fehler, fehlende Quellen, Bedienprobleme und ungeklärte Risiken. Schlage keine Produktivfreigabe vor, solange ein kritischer Punkt offen ist.
Automatisierung: erst Entwurf, dann Aktion
Ein robuster Ablauf trennt Vorbereitung und Wirkung:
Bei Agent Builder oder Copilot Studio kommen zusätzlich Wissensquellen, Connectoren, Rollen, Aktionen und deren jeweilige Berechtigungen hinzu. Die konkrete Verfügbarkeit und Administration muss im eigenen Mandanten geprüft werden; eine allgemeine Anleitung ersetzt keine Konfiguration.
- Copilot erstellt einen Entwurf oder eine Klassifizierung.
- Eine Person prüft Quelle, Empfänger, Ton, Zahlen und sensible Inhalte.
- Ein System übernimmt nur die bestätigten Daten.
- Eine Aktion mit Außenwirkung erfolgt erst nach der dafür vorgesehenen Freigabe.
- Ergebnisse, Änderungen und Fehler werden so dokumentiert, dass der Ablauf pausiert und nachvollzogen werden kann.
Kompakte Checkliste für die Seite des Unternehmens
- Gibt es einen benannten fachlichen Eigentümer?
- Ist der erlaubte Datenbereich kleiner oder gleich dem notwendigen Datenbereich?
- Sind überfreigegebene oder veraltete Inhalte geprüft?
- Ist klar, ob nur ein Entwurf oder eine echte Aktion entsteht?
- Ist die Freigabe für Mailversand, Veröffentlichung, Löschung oder Rechteänderung definiert?
- Werden sensible Daten und Aufbewahrungsregeln berücksichtigt?
- Gibt es Protokollierung, einen Stopppunkt und einen Rückweg?
- Sind Lizenz, Region, Rollout und aktuelle Microsoft-Dokumentation geprüft?
Was offen bleibt
Kein einzelner Hinweis auf einer Website kann die Sicherheit eines Microsoft-365-Mandanten garantieren. Das Ergebnis hängt von den tatsächlich vergebenen Rechten, Datenquellen, Richtlinien, Lizenzen, aktivierten Funktionen und der konkreten Prozessgestaltung ab.