Ein KI Company Brain macht freigegebenes Organisationswissen über Suche und generierte Antworten zugänglich. Es ist kein allwissendes System: Qualität und Zugriff hängen von Quellen, Retrieval, Berechtigungen und Aktualität ab.

Die fachlichen Angaben wurden am 8. September 2026 geprüft. Für Datenresidenz sind die aktuellen Microsoft-Seiten zu Copilot Studio, Microsoft 365 Copilot und Azure OpenAI massgeblich.

Fünf Schichten

1. Wissensquellen

Dazu gehören SharePoint, OneDrive, freigegebene Fachsysteme, Datenbanken, Dokumente und APIs. Vor der technischen Integration sind Verantwortlichkeit, Aktualität, Aufbewahrung und zulässiger Personenkreis zu klären.

2. Retrieval und Index

Dokumente werden typischerweise aufbereitet, in Abschnitte zerlegt und suchbar gemacht. Vektorsuche ist eine Möglichkeit, aber nicht für jede Quelle zwingend: strukturierte Daten können über kontrollierte Funktionen oder APIs abgefragt werden. Chunk-Grössen oder ein bestimmtes Embedding-Modell sind keine allgemeingültige Vorgabe; sie müssen mit repräsentativen Fragen evaluiert werden.

3. Sprachmodell

Das Modell formuliert aus dem gelieferten Kontext eine Antwort. Azure OpenAI und Modelle in Microsoft Foundry sind regions- und deploymentabhängig verfügbar. Eine Produktbezeichnung allein belegt keine Schweizer Datenresidenz.

4. Orchestrierung und Sicherheit

Die Orchestrierung wählt Quellen und Tools, führt Schritte aus und protokolliert den Ablauf. Zugriffskontrolle muss an jeder Datenquelle und beim Retrieval durchgesetzt werden. Copilot Studio kann bei unterstützten SharePoint-Szenarien die Identität und Berechtigungen der angemeldeten Person berücksichtigen (SharePoint als Wissensquelle). Für eine eigene Azure-AI-Search-Lösung ist die Berechtigungsfilterung dagegen ausdrücklich zu entwerfen und zu testen; eine pauschale automatische Übernahme aller SharePoint-Rechte ist nicht zugesichert.

5. Oberfläche und Zielgruppe

Ein internes Microsoft-365-Canvas ist nicht automatisch ein externes Portal. Copilot Studio führt die unterstützten Publikationskanäle separat auf. Für anonyme oder externe Zielgruppen sind Identität, Einwilligung, Datenfreigabe und Lizenzierung eigenständig zu planen.

Datenquellen und Datenschutz

E-Mail, HR-Dokumente, Sitzungsprotokolle und CRM-Daten können besonders schützenswerte oder vertrauliche Angaben enthalten. «Im Tenant vorhanden» bedeutet nicht «für den Agenten zulässig». Definieren Sie Positivlisten für Quellen, testen Sie Berechtigungen mit unterschiedlichen Rollen und protokollieren Sie nur, was für Betrieb und Audit erforderlich ist.

Das revidierte DSG gilt seit September 2023. Bei Bekanntgabe ins Ausland sind insbesondere Art. 16 ff. DSG und die Angemessenheit beziehungsweise geeignete Garantien zu prüfen; Betroffene müssen unter den gesetzlichen Voraussetzungen informiert werden. Der EDÖB-Leitfaden erläutert diese Prüfung.

Datenresidenz: keine pauschale Schweiz-Garantie

• Copilot Studio: Microsoft nennt Switzerland North und Switzerland West für die Azure-Geografie Schweiz und hält Kundendaten grundsätzlich in der gewählten Geografie. Die Dokumentation nennt aber Ausnahmen für globale, externe und Microsoft-365-gestützte Dienste.
• Microsoft 365 Copilot: Verpflichtungen richten sich nach Tenant, Produktbedingungen und den jeweiligen Microsoft-365-Workloads. Nicht jede Datenart liegt zwingend am selben Ort.
• Azure OpenAI / Foundry: Regionale Standard-Deployments verarbeiten innerhalb der gewählten Geografie; Global- und Data-Zone-Deployments können anders routen. Modelle und Tools sind nicht in jeder Schweizer Region verfügbar.
• Replit: Laut Replit-Dokumentation laufen publizierte Apps auf Replit-Infrastruktur. Die primäre Hosting-Region ist USA; Enterprise-Kunden können EU-Hosting anfragen. Das ist keine Schweizer Datenresidenz.

Darum muss eine Architektur die konkreten Dienste, Deployment-Typen, Konnektoren, Logs und Subprozessoren dokumentieren. Die Aussage «Tenant auf Switzerland North stellen» ist für Microsoft 365 keine allgemeine Konfigurationsanweisung.

Betrieb

Ein produktiver Wissensagent braucht Qualitätsmessung, Quellenverantwortliche, automatisierte Aktualisierung, Rollenprüfungen, Incident-Prozess und Rückmeldemöglichkeit. Aussagen über Einsparungen sind erst nach einer gemessenen Baseline und einem vergleichbaren Betriebszeitraum zulässig.

Fazit

Beginnen Sie mit Daten und Rechten, nicht mit dem Modell. Erst wenn Zielgruppe, Quellen, Identität, Residenz und Qualitätskriterien feststehen, lässt sich die passende Plattform bestimmen.

Weiterführend: Plattformvergleich · Kontakt aufnehmen