Pexon Consulting | 8 Min. Lesezeit | 16.07.2026
TL;DR
Rollen Sie Microsoft 365 Copilot nicht breit an alle aus. Starten Sie einen strukturierten 6-Monats-Pilot mit rund 25 Mitarbeitenden, mit Governance ab Tag eins und über 500 Datenpunkten zur Messung. Wir bei Pexon (80 Mitarbeitende, Microsoft Partner) begleiten diesen Weg und liefern einen belastbaren Wertnachweis vor der Skalierung.
Das Problem: Ihre Leute nutzen schon KI, nur nicht Ihre
Die unbequeme Wahrheit zuerst: In Ihrem Unternehmen arbeiten heute Menschen mit generativer KI, ob Sie es freigegeben haben oder nicht. 68 Prozent der Beschäftigten greifen laut aktuellen Erhebungen 2026 zu nicht genehmigten KI-Tools am Arbeitsplatz, ein Sprung von 41 Prozent im Jahr 2023. Ein großer Teil davon läuft über private Accounts, vorbei an jeder Unternehmenskontrolle.
Das ist Shadow AI. Und sie ist kein Randphänomen der Marketingabteilung. Sicherheitsforscher berichten, dass gerade Führungskräfte zu den intensivsten Nutzern gehören. Wenn ein Projektleiter das Angebot der nächsten Ausschreibung in ein privates ChatGPT-Fenster kopiert, damit es „mal drübergeht“, dann verlässt ein vertrauliches Dokument Ihr Haus ohne Vertrag, ohne Protokoll, ohne Rückholmöglichkeit.
Die Governance-Lücke verschärft das Bild. Nur 18 Prozent der Organisationen haben überhaupt eine formale KI-Sicherheitsrichtlinie. Der IBM Cost of a Data Breach Report 2025 beziffert KI-bezogene Datenpannen auf über 6,5 Millionen US-Dollar im Schnitt, rund 22 Prozent teurer als klassische Vorfälle. Das ist der Preis des Nichtstuns.
Unsere Position dazu ist klar: Sie können Shadow AI nicht verbieten, Sie können sie nur überflüssig machen. Ein offizieller, gut governter Copilot ist das wirksamste Gegenmittel. Aber und hier liegt der zweite Fehler nicht als Gießkanne über die gesamte Belegschaft.
Warum der Big-Bang-Rollout scheitert
Der Reflex vieler IT-Leiter ist verständlich: Budget freigeben, Lizenzen für alle kaufen, ausrollen, Haken dran. Wir raten davon ab, und zwar aus drei Gründen.
Erstens die Adoption. Eine Copilot-Lizenz, die niemand nutzt, ist teurer Stillstand. Ohne Begleitung landen viele Nutzer nach zwei Wochen wieder in ihren alten Gewohnheiten. Wer breit ausrollt, zahlt für Regale voller ungenutzter Werkzeuge.
Zweitens der fehlende Wertnachweis. Nach einem flächendeckenden Rollout kann Ihnen niemand sagen, ob sich die Investition rechnet. Es gibt keine Vergleichsgruppe, keine Baseline, keine belastbaren Zahlen. Sie haben Geld ausgegeben und hoffen.
Drittens die Governance. Ein Rollout an 800 Menschen, bevor Sensitivity Labels und Berechtigungen sauber sitzen, verwandelt Copilot in eine Suchmaschine für schlecht geschützte Dateien. Copilot sieht alles, worauf der Nutzer Zugriff hat auch die Gehaltsliste im falsch berechtigten SharePoint. Was zuvor niemand fand, findet Copilot in Sekunden.
Die Lizenzkosten machen die Rechnung noch deutlicher. Wer die reinen Add-on-Preise mit Alternativen vergleichen will, findet in unserer Kostenanalyse zu Copilot und Open-Source-Optionen die Details. Der Punkt bleibt: Erst Wert beweisen, dann skalieren.
Der 6-Monats-Pilot mit 25 Mitarbeitenden
Statt Gießkanne empfehlen wir eine klar abgegrenzte Kohorte. Etwa 25 Mitarbeitende, bewusst quer über Rollen und Abteilungen gewählt, nicht nur die üblichen Technik-Enthusiasten. Sie brauchen Skeptiker in der Gruppe, sonst messen Sie nur den Effekt bei Menschen, die KI ohnehin lieben.
Der Pilot läuft sechs Monate, weil kürzere Zeiträume die Realität verzerren. Die erste Euphorie hält vier Wochen. Was danach übrig bleibt, ist die echte Nutzung. Diese echte Nutzung wollen Sie messen, nicht den Neuheitseffekt.
Jede Phase wird von Use-Case-Workshops begleitet. Das ist der Hebel, den die meisten unterschätzen: Copilot scheitert selten an der Technik und fast immer daran, dass Menschen nicht wissen, welche ihrer täglichen Aufgaben sich überhaupt eignen. Ein guter Workshop macht aus „kann ich mal fragen“ konkrete, wiederholbare Arbeitsabläufe.
Am Ende steht keine Meinung, sondern eine Entscheidung auf Datenbasis. Entweder der Wertbeitrag trägt die Skalierung, dann rollen Sie mit klarem Business Case aus. Oder er trägt nicht, dann haben Sie 25 Lizenzen statt 800 verbrannt.
Governance von Tag eins: DLP, Sensitivity Labels, Audit
Governance ist kein Nachlauf, den man erledigt, wenn der Pilot gut lief. Sie ist Teil der Einführung, sonst richten Sie in den ersten Wochen genau den Schaden an, den Sie verhindern wollten. Copilot erbt die Berechtigungen Ihres Tenants. Ist der Zugriff schlampig, wird Copilot zum Verstärker jeder Alt-Sünde.
Drei Bausteine gehören vor den ersten Prompt, nicht danach:
Berechtigungen und Sensitivity Labels. Bevor Copilot Ihre Daten durchsucht, muss klar sein, wer auf was zugreifen darf. Sensitivity Labels aus Microsoft Purview klassifizieren Dokumente und steuern, was Copilot verwenden und wie es Ergebnisse ausgeben darf. Vertrauliches bleibt vertraulich, auch wenn die KI es findet.
Data Loss Prevention. DLP-Richtlinien verhindern, dass sensible Inhalte über Copilot in falsche Kanäle wandern. Das ist die technische Absicherung gegen das Szenario, das Sie bei Shadow AI fürchten, nur eben unter Ihrer Kontrolle.
Audit und Nachvollziehbarkeit. Jede Copilot-Interaktion wird protokolliert. Sie sehen, wer wann welche Art von Anfrage gestellt hat. Das ist nicht Überwachung um ihrer selbst willen, sondern Voraussetzung für Compliance und für den Nachweis gegenüber Datenschutz und Betriebsrat.
Genau diese Bausteine bilden das Fundament einer belastbaren KI-Governance für den gesamten Datenbestand. Der Pilot ist der ideale Anlass, dieses Fundament sauber zu legen, solange der Blast Radius noch 25 Personen groß ist und nicht die ganze Firma.
Was der Pilot messen muss
Ein Pilot ohne Messung ist nur ein verlängerter Testlauf. Wir instrumentieren die Kohorte über mehr als 500 Datenpunkte, damit die Skalierungsentscheidung auf Fakten steht, nicht auf Anekdoten. Drei Dimensionen zählen:
Adoption. Nutzen die Leute Copilot wirklich, oder liegt die Lizenz brach? Wie oft, in welchen Anwendungen, für welche Aufgaben? Die Nutzungskurve nach Woche vier trennt echte Integration vom Neuheitseffekt.
Zeitersparnis. Wie viel Zeit spart eine Rolle konkret, gemessen an definierten Aufgaben? Das Verkaufsteam beim Angebotsentwurf, der Support bei der Ticket-Zusammenfassung, das Controlling bei der Excel-Analyse. Der neue Excel-Agent aus dem 2026 Release Wave 1 baut ganze Tabellen aus einem Gespräch, das lässt sich messen.
Wertbeitrag. Zeitersparnis ist nicht gleich Wert. Ein eingesparter Klick beim Meeting-Protokoll wiegt anders als ein schneller fertiges Kundenangebot. Die Auswertung gewichtet nach Geschäftsrelevanz, damit der Business Case nicht an aufgehübschten Minutenzählungen hängt.
Aus diesen Daten entsteht am Monat sechs keine Präsentation voller Superlative, sondern eine nüchterne Rechnung: Kosten pro Nutzer gegen belegten Wert pro Rolle. Erst wenn diese Rechnung aufgeht, skalieren Sie.
Was Copilot 2026 kostet
Damit die Rechnung stimmt, hier die aktuellen Listenpreise (Stand September 2026, zzgl. MwSt., Add-on auf eine bestehende M365-Lizenz):
Wichtig für Ihre Planung: Die zeitlich befristeten Mengenrabatte sind zum 30. Juni 2026 ausgelaufen, Verträge kehren bei der nächsten Verlängerung zum Listenpreis zurück. Für 25 Pilot-Nutzer im Enterprise-Tarif reden wir über rund 650 Euro pro Monat, ein überschaubarer Einsatz gegen die 6,5-Millionen-Dollar-Frage einer KI-Datenpanne.
Häufig gestellte Fragen
Was kostet Microsoft 365 Copilot pro Nutzer?
Der Enterprise-Tarif liegt bei 26,00 Euro pro Nutzer und Monat bei Jahresbindung (27,30 Euro bei monatlicher Zahlung) als Add-on auf E3, E5 oder Business Premium, die Business-Variante bei 18,20 Euro. Voraussetzung ist eine gültige M365-Lizenz im selben Tenant. Die agentische Cowork-Funktion wird zusätzlich nutzungsbasiert pro Aufgabe abgerechnet.
Warum nicht gleich an alle ausrollen?
Weil Sie ohne Pilot weder Adoption noch Wertbeitrag kennen und Governance-Lücken sofort produktiv werden. Ein Big-Bang-Rollout kostet volle Lizenzen für ungewisse Nutzung. Der Pilot mit 25 Leuten liefert die Datenbasis, um mit einem belegten Business Case zu skalieren statt auf Hoffnung.
Wie verhindert Copilot das Shadow-AI-Risiko?
Ein offizieller Copilot im eigenen Tenant macht private ChatGPT-Accounts überflüssig. Firmendaten bleiben unter Purview-Kontrolle, DLP-Richtlinien greifen, jede Interaktion wird protokolliert. Sie verbieten Shadow AI nicht, Sie ziehen ihr die Grundlage weg, indem Sie ein besseres, sicheres Werkzeug bereitstellen.
Sieht Copilot Daten, die ein Nutzer nicht sehen sollte?
Copilot erbt exakt die Berechtigungen des jeweiligen Nutzers. Ist der Zugriff im Tenant sauber gesetzt, sieht Copilot nur Erlaubtes. Ist er schlampig, macht Copilot Lücken sichtbar. Genau deshalb gehören Berechtigungsprüfung und Sensitivity Labels vor den Start, nicht danach.
Wie lange dauert die Einführung?
Rechnen Sie mit sechs Monaten vom Setup bis zur belastbaren Skalierungsentscheidung. Monat eins ist Vorbereitung und Governance, die Monate zwei bis fünf sind Nutzung und Messung, Monat sechs bringt Auswertung und Business Case. Danach entscheiden Sie mit Zahlen, ob und wie Sie ausrollen.
Nächster Schritt
Verwandte Themen
