Wer GitHub Copilot im Unternehmensalltag einsetzt, ohne die richtigen Einstellungen vorzunehmen, riskiert mehr als er ahnt: Microsoft kann Interaktionsdaten standardmäßig für das KI-Training verwenden – mit handfesten datenschutzrechtlichen Konsequenzen für Firmen in der EU.
GitHub Copilot: Microsoft verwendet Nutzerdaten für KI-Training – Handlungsbedarf für Unternehmen
Microsoft hat in den Nutzungsbedingungen von GitHub Copilot klargestellt, dass Interaktionsdaten standardmäßig für das Training von KI-Modellen verwendet werden können. Für Unternehmen, die den Code-Assistenten produktiv einsetzen, ergeben sich daraus konkrete datenschutzrechtliche und strategische Fragen. Wer die entsprechenden Einstellungen nicht aktiv anpasst, stimmt der Datennutzung implizit zu.
Was Microsoft erfasst – und unter welchen Bedingungen
Laut den GitHub-Nutzungsbedingungen können sogenannte User Engagement Data – darunter Prompts, Vorschläge und Nutzerinteraktionen – zur Verbesserung der Copilot-Modelle herangezogen werden. Diese Praxis betrifft primär Nutzer, die über persönliche Konten oder kleinere Pläne auf den Dienst zugreifen.
Für Unternehmenskunden mit einem GitHub Copilot for Business- oder Enterprise-Abonnement gilt hingegen eine andere Regelung: Microsoft erklärt ausdrücklich, dass diese Daten nicht für das Modelltraining verwendet werden.
Der entscheidende Punkt liegt weniger im Produkt selbst als in der gewählten Lizenz und den konfigurierten Einstellungen.
Wer Copilot im geschäftlichen Kontext ohne entsprechende Enterprise-Lizenz betreibt, läuft Gefahr, dass Codeausschnitte, interne Kommentare oder proprietäre Logik in Trainingsdatensätzen landen.
Datenschutzrechtliche Einordnung
Aus Sicht der DSGVO ist die Lage komplex. Personenbezogene Daten dürfen nur auf Basis einer klaren Rechtsgrundlage verarbeitet werden. Wenn Entwickler im Rahmen ihrer beruflichen Tätigkeit Prompts eingeben, die etwa Kundendaten, interne Systembezeichnungen oder Geschäftslogik enthalten, kann dies durchaus als verarbeitungspflichtige Information gelten.
Unternehmen mit Sitz oder Niederlassung in der EU sind verpflichtet, die Datenflüsse ihrer eingesetzten SaaS-Werkzeuge vollständig zu dokumentieren und zu bewerten. Datenschutzbeauftragte empfehlen in solchen Fällen:
- Den Einsatz von KI-Coding-Assistenten in die bestehenden Verzeichnisse von Verarbeitungstätigkeiten aufzunehmen
- Entsprechende Auftragsverarbeitungsverträge mit Microsoft abzuschließen – für Business- und Enterprise-Kunden in der Regel bereits Teil des Vertragswerks
Technische Gegenmaßnahmen und Konfigurationsoptionen
Für Organisationen, die keine Enterprise-Lizenz nutzen oder nutzen wollen, bietet GitHub auf Konto- und Organisationsebene die Möglichkeit, das Telemetrie- und Trainings-Opt-out zu aktivieren. Diese Einstellung verhindert, dass Snippets und Interaktionsdaten an Microsoft weitergeleitet werden.
Wichtig: Die Opt-out-Option ist nicht standardmäßig aktiviert – sie muss manuell durch Administratoren gesetzt werden.
Zusätzlich empfiehlt sich die Einführung interner Nutzungsrichtlinien, die Entwicklern klar vorgeben, welche Informationen in Copilot-Prompts eingegeben werden dürfen. Der Einsatz sensibler Daten – Zugangsdaten, Kundennummern, interne API-Strukturen – sollte in solchen Richtlinien explizit ausgeschlossen werden.
Marktkontext: Branchenweite Praxis, selektive Transparenz
Das Vorgehen Microsofts ist im Markt für KI-gestützte Entwicklungswerkzeuge keine Ausnahme. Auch andere Anbieter wie Tabnine, Amazon CodeWhisperer oder JetBrains AI nutzen unter bestimmten Tarifen Interaktionsdaten zur Modellverbesserung. Der Unterschied liegt häufig in der Kommunikation: Während einige Anbieter diese Praxis prominent kennzeichnen, finden sich die relevanten Einschränkungen bei anderen erst tief in den Nutzungsbedingungen.
Für deutsche Unternehmen empfiehlt sich eine strukturierte Überprüfung der im Einsatz befindlichen KI-Werkzeuge entlang drei zentraler Fragen:
- Welche Lizenzmodelle werden genutzt?
- Welche Daten fließen wohin?
- Sind die Standardeinstellungen mit den internen Compliance-Anforderungen vereinbar?
Wer GitHub Copilot produktiv einsetzt, sollte den Wechsel auf ein Business- oder Enterprise-Abonnement sowie die explizite Deaktivierung der Trainingsdatennutzung als Mindestmaßnahme betrachten – und diesen Schritt verbindlich dokumentieren.
