Darf ich Copilot
in der Praxis nutzen?

Mit privatem Microsoft-Konto nicht für Patientendaten, dort fehlt der Auftragsverarbeitungsvertrag und das Training ist standardmäßig an. Mit Unternehmenskonto hängt die Antwort für die Kassenpraxis daran, ob der genutzte Dienst im C5-Bericht steht, den Microsoft im Service Trust Portal vorlegt, und ob die Verpflichtungskette nach § 203 StGB, einschließlich der Zusatzvereinbarung für Berufsgeheimnisträger, bis zu Microsofts Support dokumentiert ist. Ohne Patientenbezug können Sie Copilot wie jeden anderen Assistenten nutzen.

Microsoft lässt Azure nach BSI C5:2020 prüfen, zusammen mit SOC 2 Typ 2, und legt daneben einen C5-Bericht für Microsoft 365 vor. Beide Berichte liegen im Service Trust Portal, das eine Anmeldung verlangt. Welche Dienste im Prüfumfang stehen, listet der Bericht in seinen Anlagen, und der Prüfzeitraum steht auf dem Deckblatt; der letzte Azure-Bericht, den Microsoft öffentlich nennt, trägt den Stichtag 31. März 2025. Ob Microsoft 365 Copilot oder Azure OpenAI in Ihrer Region darunter sind, lesen Sie dort nach, bevor Sie es annehmen.

Nein. Die EU Data Boundary beantwortet, wo verarbeitet wird. § 393 SGB V verlangt daneben ein aktuelles C5-Testat der datenverarbeitenden Stelle für die Basiskriterien, eine Niederlassung im Inland und die Umsetzung der Kundenkriterien aus dem Prüfbericht durch die Praxis. Standort und Testat sind zwei Fragen.

Beim Transfer ja, weil Microsoft im Data Privacy Framework gelistet ist und OpenAI nicht, und weil eine EU-Region wählbar ist. Beim Modell selbst ändert sich nichts. Für die Kassenpraxis bleibt der Nachweis, dass Azure OpenAI in der gewählten Region im C5-Prüfumfang steht, und die Verpflichtung nach § 203 StGB bis zum Support der Plattform. Das Abuse Monitoring kann eine menschliche Sichtung durch Microsoft-Prüfer auslösen, abstellbar nur auf Antrag.

Weil sie nach Microsofts eigener Angabe derzeit von der EU Data Boundary ausgenommen sind. Für EU-Kunden sind sie deshalb standardmäßig aus. Wer sie einschaltet, verlässt den Rahmen, den die EU Data Boundary für den Rest von Copilot zusagt, und in der Variante mit Datenaufbewahrung verarbeitet Anthropic außerhalb des Microsoft-Vertrags.

Dass Copilot in Outlook und Word genauso Patientendaten sieht wie der Mensch davor. Ein Arztbrief, der in Word liegt, ist für Copilot zugänglich, sobald jemand ihn in den Prompt zieht. Die Regel aus Art. 4 EU AI Act, Maßnahmen für die KI-Kompetenz des Teams, trifft hier den Alltag, weil das Tool in den Programmen steckt, die ohnehin jeden Tag offen sind.