Copilot Flex Routing:
Was EU-Admins jetzt wissen müssen

Inhaltsverzeichnis

Ab dem 17. April 2026 aktiviert Microsoft eine Funktion, die Copilot-Verarbeitung außerhalb der EU ermöglicht – standardmäßig und ohne aktive Zustimmung. Was dahintersteckt und wo Sie handeln müssen.

Microsoft hat mit MC1269223 eine Änderung angekündigt, die für alle EU- und EFTA-Tenants mit aktivem Microsoft 365 Copilot relevant ist: Ab dem 17. April 2026 wird Flex Routing standardmäßig aktiviert.

Copilot Flex Routing bedeutet: Wenn die KI-Infrastruktur innerhalb der EU Data Boundary ausgelastet ist, kann das sogenannte LLM-Inferencing – also die eigentliche Verarbeitung Ihrer Copilot-Anfrage durch das Sprachmodell – außerhalb der EU stattfinden. Konkret: in den USA, Kanada oder Australien.

Was viele unterschätzen: Zum Zeitpunkt des Inferencing ist die Anfrage bereits vollständig zusammengestellt. Das bedeutet, das gebündelte Paket aus Ihrer Eingabe, relevanten E-Mails, Dokumenten, Kalendereinträgen und Metadaten – alles, was Copilot über Microsoft Graph zusammengeführt hat – verlässt in diesem Moment die EU. Auch wenn es nur Sekunden dauert.

Der Ablauf einer Copilot-Anfrage lässt sich in fünf Schritte unterteilen:

Ein Benutzer stellt eine Frage – in Teams, Word oder Outlook. Copilot ruft daraufhin über Microsoft Graph relevante Unternehmensdaten ab: E-Mails, Dokumente, Kalendereinträge, Chatverläufe. Diese Daten werden zusammen mit der ursprünglichen Anfrage zu einem Kontext-Paket gebündelt. In Schritt vier – dem Inferencing – verarbeitet das Sprachmodell dieses Paket und generiert eine Antwort. Genau hier greift Flex Routing: Bei Kapazitätsengpässen kann dieser Schritt außerhalb der EU stattfinden. Schritt fünf ist die Rückgabe der Antwort an den Benutzer; die Speicherung verbleibt innerhalb der EU.

Microsoft sichert zu: Daten werden verschlüsselt übertragen und gespeichert. Ruhende Daten verbleiben in der EU Data Boundary. Die Verarbeitung außerhalb der EU ist temporär.

Was Microsoft nicht zusichert: dass in diesem Moment keine personenbezogenen Daten die EU verlassen. Die Frage, die Datenschutzbeauftragte und Auditoren stellen werden, lautet nicht „Waren die Daten verschlüsselt?” – sondern „Können Sie nachweisen, dass keine Verarbeitung außerhalb der EU stattgefunden hat?” Wenn Flex Routing aktiv war und die Entscheidung nicht dokumentiert ist, lautet die ehrliche Antwort: nein.

Die EU Data Boundary ist die vertragliche Grundlage, auf der viele Unternehmen den Einsatz von Microsoft 365 Copilot gegenüber Datenschutzbeauftragten, Betriebsräten und Auditoren begründen. Flex Routing ist eine bewusste, dokumentierte Ausnahme von dieser Grundlage – aktiviert für Kapazitätsengpässe, standardmäßig eingeschaltet.

Für Unternehmen in regulierten Branchen – Finanzdienstleistungen (DORA), kritische Infrastrukturen (NIS2), Gesundheitswesen, öffentlicher Sektor – ist das in den meisten Szenarien keine akzeptable Ausgangssituation. Nicht wegen fehlender Verschlüsselung, sondern wegen fehlender Nachweisbarkeit.

Gleichzeitig gibt es mit MC1269241 eine zweite Änderung in derselben Woche: Microsoft aktiviert Anthropic-Modelle (Claude) als Subprozessoren für Copilot in Word, Excel und PowerPoint. EU-, EFTA- und UK-Tenants haben dies standardmäßig deaktiviert, da die Verarbeitung außerhalb der EU Data Boundary stattfindet. Beide Änderungen müssen separat bewertet und dokumentiert werden.

Sie haben zwei Optionen: Copilot Flex Routing erlauben oder unterbinden.

Wer Flex Routing erlaubt, akzeptiert, dass Inferencing bei Spitzenlast außerhalb der EU stattfinden kann. Das ist nur dann vertretbar, wenn DSGVO, NIS2 und DORA keine bindenden Anforderungen darstellen – und diese Entscheidung schriftlich dokumentiert wurde.

Wer Flex Routing nicht erlaubt, stellt sicher, dass das LLM-Inferencing stets innerhalb der EU Data Boundary bleibt. Der mögliche Trade-off: leicht erhöhte Latenz bei echter Spitzenlast.

Die Einstellung finden Sie im M365 Admin Center unter

Copilot → Einstellungen → Flexibles Inferencing bei Spitzenlastzeiten.

Sie benötigen dafür die Rolle KI-Administrator oder Globaler Administrator. Wichtig: Änderungen benötigen bis zu sieben Tage, um vollständig wirksam zu werden. Prüfen Sie außerdem das Power Platform Admin Center – Dynamics 365 und Copilot Studio haben dort eine separate Einstellung.

Unabhängig davon, wie Sie entscheiden: Halten Sie Datum, Entscheidungsträger und Rechtsgrundlage schriftlich fest. Das ist DSFA-relevant und wird bei Audits explizit nachgefragt.

Copilot Flex Routing ist ein Symptom: Microsoft hat in der EU schlicht nicht genug KI-Infrastruktur für Spitzenlastzeiten. Das wird sich ändern. Am 12. März 2026 erfolgte der Spatenstich für Hyperscale-Rechenzentren in Bergheim, Bedburg und Elsdorf im Rheinischen Revier – eine Investition von 3,2 Milliarden Euro. Mehr EU-Kapazität bedeutet mittelfristig weniger Situationen, in denen Microsoft auf Flex Routing zurückgreifen muss.

Der realistische Zeitrahmen bis zur vollen Betriebsbereitschaft: frühestens 2028. Bis dahin bleibt der Admin-Toggle die einzige Stellschraube, die Ihnen heute zur Verfügung steht.

Flex Routing ist kein technischer Randfall – es ist eine Compliance-Entscheidung, die Ihr Unternehmen aktiv treffen muss. Microsoft hat den Schalter bereitgestellt und auf Standard „AN” gesetzt. Wer ihn nicht bewusst umlegt und dokumentiert, hat nicht entschieden. Er hat durch Unterlassen zugestimmt.

Wenn Sie Unterstützung bei der Bewertung Ihrer Copilot-Compliance-Situation benötigen, sprechen Sie das amexus-Team gerne an.