SharePoint Online und KI-Bereitschaft: Die Lizenz kaufen Sie an einem Tag, die vorbereitete Umgebung nicht

Wenn in Unternehmen heute von „KI-Bereitschaft“ die Rede ist, dreht sich die Debatte meist schnell um Lizenzen. Was Copilot kostet, wer ihn bekommt, wann wir ihn kaufen. Das ist verständlich – eine Lizenz ist ein greifbarer Posten im Budget und lässt sich in einer einzigen Besprechung entscheiden. Genau deshalb ist sie aber eine irreführende Abkürzung. Die Lizenz kaufen Sie an einem Tag. Eine Umgebung, in der KI richtig und sicher antwortet, kaufen Sie nicht an einem Tag – sie muss aufgebaut werden.

Der Sommer 2026 hat diesen Unterschied so sichtbar gemacht wie nie zuvor. KI ist in SharePoint keine optionale Ergänzung mehr, sondern Teil der Plattform: Die neue SharePoint Experience wird flächendeckend abgeschlossen und bringt KI-Funktionen direkt in die Umgebung, Copilot in SharePoint (der Nachfolger des Knowledge Agent aus dem Vorjahr) startet in der Preview, Administratoren haben einen KI-Assistenten im Admin Center erhalten, und für Entwickler öffnen sich die SharePoint Copilot Apps. Die Frage lautet nicht mehr, ob KI an Ihre Daten in SharePoint gelangt. Sie lautet: Was findet sie dort, wenn sie hinkommt?

Wie KI an die Inhalte in SharePoint gelangt

KI-Bereitschaft wird oft auf „Copilot-Bereitschaft“ verengt. Das ist aber nur ein Ausschnitt. Wenn Sie sich ansehen, wie KI heute tatsächlich an SharePoint-Inhalte gelangt, erkennen Sie drei große Kategorien – und jede davon hat mehrere Ausprägungen:

1. KI, die Microsoft in die Plattform eingebaut hat. An der Spitze Microsoft 365 Copilot mit Volllizenz – ein Chat, der über den semantischen Index in den Unternehmensdaten verankert ist, plus Integration in Word, Excel, Outlook und Teams. Daneben Copilot Chat, der heute im Microsoft 365-Abonnement enthalten ist: Für sich genommen ist er in Webdaten verankert, die nutzungsbasierte Abrechnung (Pay-as-you-go) schaltet aber auch den Chat über Unternehmensdaten frei. Und direkt in SharePoint dann Copilot in SharePoint (Nachfolger des Knowledge Agent), der SharePoint Admin Agent für Administratoren und KI-Insights zu den Governance-Berichten. Ein eigenes Kapitel ist die Content-KI aus SharePoint Premium (früher Syntex) – sie klassifiziert Dokumente und extrahiert Metadaten; aus den Inhalten antwortet sie nicht, sondern reichert sie an und hilft der Bereitschaft damit eher.
2. Agenten, die Sie selbst auf der Plattform bauen. SharePoint-Agenten – Assistenten, die in einer bestimmten Website oder Bibliothek verankert sind – sowie deklarative oder vollständig eigene Agenten aus Copilot Studio, einschließlich der Orchestrierung mehrerer Agenten. Sie funktionieren sowohl mit voller Copilot-Lizenz als auch ohne, mit Abrechnung nach tatsächlichem Verbrauch.
3. KI-Lösungen außerhalb des Copilot-Ökosystems. Microsoft öffnet nach und nach Schnittstellen, über die auch KI-Anwendungen außerhalb von Copilot an SharePoint-Inhalte gelangen – von Such-APIs mit Security Trimming bis zur neueren Copilot Retrieval API. In diese Kategorie gehört auch unsere Anwendung EasyPortal 365 AI Chat: Sie liest SharePoint über die Standard-Suchschnittstelle, sieht also immer nur das, was der angemeldete Benutzer sehen darf, und benötigt keine Copilot-Lizenzen.

Die einzelnen Wege unterscheiden sich in Preis, Möglichkeiten und Einführungstempo. Eines haben sie aber gemeinsam, und das ist die ganze Pointe dieses Artikels: Alle lesen dieselben Daten und alle respektieren dasselbe Berechtigungsmodell. Keiner von ihnen hat ein eigenes Urteil darüber, was sensibel, was veraltet und was die offizielle Version ist. All das übernehmen sie aus dem Zustand Ihrer Umgebung.

Was genau „KI in SharePoint“ ist und warum sie jetzt anders heißt

Die häufigste Frage, die wir zu diesem Thema bekommen, lautet schlicht: Was ist das eigentlich, die KI in SharePoint? Die Antwort hat sich Mitte 2026 geändert, und zwar auch im Namen – nennen wir sie also genau beim Namen.

Microsoft hat die Funktion zunächst unter dem Namen AI in SharePoint veröffentlicht und später in Copilot in SharePoint umbenannt (in der Dokumentation steht es schwarz auf weiß: „previously referred to as AI in SharePoint“). Beides ist also dasselbe, und beides wird noch eine Weile nebeneinander laufen. Praktisch bedeutet das einen Assistenten direkt in SharePoint: Sie fragen in natürlicher Sprache nach Inhalten der Website, lassen sich eine Seite, eine Liste oder eine Bibliothek erstellen, starten einen Ablauf über die Inhalte.

Was Sie dabei wissen sollten, bevor Sie einen Plan darauf aufbauen:

• Sie benötigen eine Microsoft 365 Copilot-Lizenz, und zwar pro Benutzer. Die Funktion selbst ist darin ohne Aufpreis enthalten – in der Preview wie nach der Einführung in den Regelbetrieb. Ohne Copilot-Lizenz hat der Benutzer sie nicht.
• Seit Mitte Juni 2026 ist sie von selbst eingeschaltet. Die Preview wurde von „Opt-in“ auf Opt-out umgestellt: Lizenzierte Benutzer erhalten sie automatisch, der Administrator muss nichts tun. Wer sie früher ausgeschaltet hat, behält diese Einstellung.
• Ausgeschaltet wird per PowerShell, nicht im Admin Center. Über Set-SPOTenant -KnowledgeAgentScope (AllSites, IncludeSelectedSites, ExcludeSelectedSites, NoSites) und eine Liste von Websites mit einer Obergrenze von 100 Einträgen. Die Parameternamen behalten vorerst die ursprüngliche Bezeichnung aus der Preview.
• Restricted Content Discovery wird respektiert. Auf einer Website mit RCD erscheinen weder der Assistent noch KI-Aktionen – unabhängig davon, wie Sie die Verfügbarkeit eingestellt haben. Genau deshalb steht RCD in unserem Monatsplan weiter unten.
• In der Preview gelten Nutzungslimits pro Benutzer, täglich und wöchentlich. Sie werden nicht organisationsweit geteilt; wer das Limit ausschöpft, kann die Funktion vorübergehend nicht nutzen, und das System teilt es ihm mit.
• Das Modell wählen Sie nicht selbst. Es läuft auf einem Modell von OpenAI, das Microsoft verwaltet und im Lauf der Zeit ändern kann.
• Nicht jede Sprache gehört automatisch zu den geprüften Sprachen. Unterstützt werden nur Sprachen, die sowohl auf der Liste von SharePoint als auch auf der Liste von Microsoft 365 Copilot stehen; für alle anderen schreibt Microsoft ausdrücklich, dass die Funktion nicht getestet ist und die Ergebnisse abweichen können.

Was das praktisch bedeutet

Haben Sie Copilot-Lizenzen für das ganze Unternehmen, haben Sie diese KI-Schicht schlicht schon und kaufen nichts hinzu – es bleibt nur zu entscheiden, auf welchen Websites Sie sie haben wollen. Interessanter ist die zweite Frage: Was ist mit den Menschen, die keine Copilot-Lizenz haben? In vielen Unternehmen ist das in der Regel keine Minderheit, sondern die Mehrheit – und genau dort entscheidet sich, ob KI ein Privileg weniger bleibt oder zum Werkzeug für das ganze Team wird.

Für sie gibt es zwei Wege: nach Verbrauch abgerechnete Agenten oder eine Lösung außerhalb des Copilot-Ökosystems – zum Beispiel unsere Anwendung für sichere KI über Unternehmensdokumente, die SharePoint über die Standard-Suchschnittstelle liest, keine Copilot-Lizenzen benötigt und für das ganze Unternehmen nach tatsächlicher Nutzung abgerechnet wird.

Für welchen Weg Sie sich auch entscheiden – ausnahmslos gilt, worum es im Rest dieses Artikels geht: Er liest dieselben Daten über dieselben Berechtigungen.

KI verstärkt den Zustand Ihrer Umgebung

Eines muss man hier ganz deutlich sagen: KI in SharePoint schafft kein einziges neues Sicherheits- oder Qualitätsproblem. Sie verstärkt nur die, die Sie bereits haben.

Nehmen Sie einen typischen Mandanten, der zehn Jahre organisch gewachsen ist. Darin gibt es Teamwebsites ohne Besitzer, Dokumente, die für „Jeder außer externen Benutzern“ freigegeben sind, Links vom Typ „Jeder mit dem Link“, 2022 erstellt und vergessen, drei Versionen derselben Richtlinie in verschiedenen Bibliotheken und Hunderte Gigabyte Inhalte aus längst abgeschlossenen Projekten. Solange sich nur Menschen in dieser Umgebung bewegten, gab es einen natürlichen Schutz: Etwas zu finden, an das man nicht hätte kommen sollen, kostete Mühe. Man musste wissen, wo man suchen muss.

KI beseitigt diese natürliche Barriere. Sie beantwortet eine Frage in Sekunden und setzt die Antwort aus allem zusammen, worauf der Fragende technisch Zugriff hat – unabhängig davon, ob irgendjemand von diesem Zugriff weiß. Microsoft selbst bezeichnet Oversharing – also zu breit freigegebene Inhalte – seit Langem als Problem Nummer eins bei der Einführung von Copilot und widmet ihm einen eigenen Implementierungs-Blueprint. Und dieselbe Wirkung hat KI auf die Qualität: Geben Sie ihr keinen Hinweis darauf, was aktuell und offiziell ist, setzt sie die Antwort ohne Weiteres aus einem fünf Jahre alten Entwurf zusammen. Selbst das beste Sprachmodell erkennt den Unterschied zwischen einer gültigen Richtlinie und ihrer verwaisten Kopie nicht – es sei denn, Ihre Umgebung sagt es ihm.

Deshalb lässt sich KI-Bereitschaft nicht kaufen. Man kann sie aber recht genau messen.

Fünf Fragen, die Ihre Bereitschaft prüfen

Wenn wir bei Kunden beurteilen, wie bereit ihr SharePoint für KI ist, geht es im Kern immer um fünf Fragen. Sie gelten unabhängig davon, welchen Weg zur KI Sie wählen.

1. Wissen Sie, wer tatsächlich worauf zugreifen kann?

Nicht „wer zugreifen sollte“ – wer zugreifen kann. Das sind zwei verschiedene Dinge, und der Unterschied zwischen ihnen ist genau das, was KI sichtbar macht. Konkret: wo überall organisationsweite Freigaben verwendet werden, wie viele aktive Links „Jeder mit dem Link“ es gibt, welche Websites eine unterbrochene Berechtigungsvererbung haben und wer Zugriff über Gruppen hat, von denen niemand weiß, wer darin ist.

Das SharePoint Admin Center hat dafür heute die Data Access Governance-Berichte – einschließlich einer Übersicht der Websites mit organisationsweit freigegebenen Inhalten und der Aktivität von Freigabelinks. Das neuere Content Management Assessment fasst das alles in einer geführten Bewertung mit Empfehlungen zusammen, die sich alle 30 Tage wiederholen lässt, um den Trend zu verfolgen.

2. Weiß Ihre Umgebung, was sensibel ist?

Berechtigungen sagen, wer an Inhalte herankommt. Sie sagen aber nichts darüber, was diese Inhalte sind. Ein Vertrag, eine Gehaltsabrechnung und eine Einladung zur Weihnachtsfeier können in derselben Bibliothek mit denselben Rechten liegen – und für die KI sind sie gleichwertig, solange keine Klassifizierung sie unterscheidet.

Das praktische Werkzeug dafür sind Vertraulichkeitsbezeichnungen (Sensitivity Labels): Bezeichnungen, die mit dem Dokument wandern und an die weitere Schutzmaßnahmen anknüpfen – Verschlüsselung, Verbot externer Freigabe, Ausschluss aus KI-Antworten über DLP-Richtlinien. Entscheidend ist, die automatische Bezeichnung einzurichten, denn Tausende bestehender Dokumente wird niemand von Hand kennzeichnen.

3. Sind die Inhalte, die die KI findet, die richtigen?

Das ist die am meisten unterschätzte Säule. KI antwortet aus dem, was existiert – und in einer zehn Jahre gewachsenen Umgebung existiert vor allem Ballast. Inaktive Websites, Dokumente namens „final_v3_WIRKLICH_final“, Kopien von Kopien. Jedes veraltete Dokument, das nicht existieren müsste, ist ein Kandidat für eine falsche Antwort.

Die Lösung ist der Lebenszyklus von Inhalten: Regeln für inaktive Websites, Archivierung (archivierte Inhalte verschwinden aus KI-Antworten, bleiben aber für Compliance auffindbar), Aufbewahrungsrichtlinien für kontrolliertes Löschen. Weniger Ballast bedeutet messbar bessere Antworten – hier lässt sich KI-Qualität buchstäblich durch Aufräumen „kaufen“.

4. Erkennt die KI, was offiziell ist?

Fragt ein Benutzer nach der aktuellen Reiserichtlinie, sollte die Antwort von der Personal-Website kommen, nicht aus einer Arbeitskopie in der Teamwebsite eines Projekts. Die KI erkennt das aber nicht von selbst – sie braucht ein Signal. In SharePoint dienen dazu die Kennzeichnung maßgeblicher Quellen, eine durchdachte Informationsarchitektur und Metadaten. Und umgekehrt: Websites, die in KI-Antworten nichts zu suchen haben (Rechtsangelegenheiten, M&A, Unterlagen der Geschäftsleitung), lassen sich über Restricted Content Discovery gezielt aus der KI-Suche ausschließen – ohne dass Sie jemandem die Berechtigungen ändern.

5. Wem gehört das, und wie wird es gemessen?

Die vier vorigen Punkte sind kein Projekt, das irgendwann abgeschlossen ist. Es sind Betriebsdisziplinen – und ohne Besitzer zerfällt jede von ihnen innerhalb eines Jahres. Jemand muss es in der Stellenbeschreibung haben, dass die Governance-Berichte gelesen werden, dass das Assessment wiederholt wird, dass die Regeln für das Anlegen von Websites auch für neue Teams gelten und dass jemand Ausnahmen genehmigt. In einem kleineren Unternehmen ist das meist die Rolle des IT-Managers, in einem größeren eine eigene Verantwortung. Ohne sie bleibt von der KI-Bereitschaft ein einmaliges Aufräumen, das in einem Jahr niemand mehr erkennt. Wie Sie eine solche Veränderung aus der Führungsposition steuern – Phasen, Rollen und Entscheidungen, die Ihnen die IT nicht abnehmen kann –, behandeln wir im dritten Teil unserer Manager-Serie.

Was Sie noch diesen Monat schaffen

Nichts davon erfordert ein Jahresprojekt. Ein vernünftiger erster Monat sieht so aus:

1. Führen Sie das Assessment oder die Data Access Governance-Berichte aus und sehen Sie sich die Ergebnisse für die meistgenutzten Websites an. Innerhalb einer Stunde wissen Sie, wo das größte Risiko liegt – typischerweise organisationsweite Freigaben dort, wo sie nichts zu suchen haben.
2. Verschärfen Sie die Standardeinstellungen für Freigaben. Standardlinktyp „Bestimmte Personen“, Ablauf von Links, Einschränkung von „Jeder mit dem Link“. Eine einzige Änderung im Admin Center, die ab morgen die Entstehung neuen Oversharings bremst.
3. Nehmen Sie Websites, die nicht dorthin gehören, aus der Reichweite der KI. Bestimmen Sie die 3–5 Websites mit den sensibelsten Inhalten und schalten Sie dort Restricted Content Discovery ein.
4. Kennzeichnen Sie maßgebliche Inhalte. Wählen Sie die Websites, die offizielle Quelle von Unternehmensinformationen sind – Intranet, HR, Richtlinien –, und sorgen Sie dafür, dass sie als maßgeblich gekennzeichnet und gepflegt sind.
5. Benennen Sie einen Besitzer. Ein Satz in einer Rollenbeschreibung, der darüber entscheidet, ob Ihre Umgebung in einem Jahr in besserem oder schlechterem Zustand ist als heute.

Und wo bleiben die Lizenzen?

Bewusst erst hier. Ein Teil der genannten Werkzeuge gehört zu SharePoint selbst, ein anderer Teil (Data Access Governance im vollen Umfang, Restricted Content Discovery, Lebenszyklusrichtlinien, das Assessment) gehört zu SharePoint Advanced Management, das ein Mandant heute mit Copilot-Lizenzen erhält, und Klassifizierung mit DLP erfordert den entsprechenden Microsoft Purview-Plan. Das Lizenzpuzzle haben wir ausführlich in einem eigenen Artikel auseinandergenommen.

Entscheidend ist aber: Bereitschaft ist keine Belohnung für einen Lizenzkauf. Selbst wenn Sie sich entscheiden, den vollen Copilot nicht einzuführen und einen anderen Weg zur KI zu gehen – über Pay-as-you-go-Agenten oder über eine eigene oder Partnerlösung wie unseren AI Chat –, gelten die fünf Fragen oben unverändert. KI, die Berechtigungen respektiert, ist genau so sicher, wie gesund diese Berechtigungen sind. Und KI, die aus Ihren Inhalten antwortet, ist genau so gut, wie diese Inhalte sind.

Was Sie mitnehmen sollten

1. KI ist in SharePoint eine Schicht der Plattform, keine Funktion, die Sie einschalten. Es führen mehrere Wege dorthin – alle lesen aber dieselben Daten über dieselben Berechtigungen.
2. KI schafft keine neuen Probleme, sie verstärkt die bestehenden. Oversharing, Ballast und fehlende Klassifizierung waren auch vor der KI ein Problem. Mit KI werden sie bei der ersten Frage sichtbar.
3. KI-Bereitschaft misst man nicht an der Zahl der Lizenzen, sondern am Zustand der Umgebung. Und den können Sie in einer Stunde ermitteln – die Berichte dafür haben Sie bereits im Admin Center.

---

Dieser Artikel ist in Zusammenarbeit von EasyPortal 365 und Aricoma Enterprise Applications entstanden, einem autorisierten Partner von EasyPortal 365. Beide Teams helfen Unternehmen, ihre Microsoft 365-Umgebung auf einen sicheren KI-Einsatz vorzubereiten – vom Audit über Governance bis zum Betrieb. Wenn Sie wissen möchten, wie es um Ihre Umgebung steht, melden Sie sich bei uns – eine 30-minütige Beratung anhand Ihrer Berichte ist der schnellste Weg zu Klarheit.

Im nächsten Teil wird es praktisch: wie das Content Management Assessment Schritt für Schritt abläuft, wie Sie seine Ergebnisse lesen und welche Befunde Sie zuerst angehen sollten.