Copilot Flex Routing | Datenexporte in die USA stoppen!

Mit allem kann ich zurechtkommen. Aber dass Microsoft das folgende nun vorhat, entspricht so nicht den bisherigen Aussagen und ich bin gespannt, was die EU-Kommission dazu sagen wird.

Denn Microsoft bricht das Versprechen der EU-Datengrenze (EU Data Boundary) für Copilot-Dienste ein Stück weit auf. Ab dem 17. April 2026 wird das sogenannte „Flex Routing“ standardmäßig aktiviert, wodurch LLM-Inferencing-Prozesse bei Kapazitätsengpässen automatisch in Regionen außerhalb der EU (USA, Kanada oder Australien) verschoben werden können.

Für Dich als Administrator in regulierten Branchen oder Unternehmen mit strikten Souveränitätsvorgaben bedeutet dieser neue „Opt-out“-Ansatz akuten Handlungsbedarf, da Microsoft die Verantwortung für die Einhaltung geografischer Compliance-Regeln nun faktisch auf die Tenant-Verantwortlichen abwälzt.

Hinter dem Flex Routing steht ein physikalisches Skalierungsproblem: Microsoft verteilt die LLM-Rechenlast dynamisch über globale Rechenzentren, um Timeouts und Performance-Einbußen bei GPU-Engpässen innerhalb Europas effektiv zu vermeiden. Dadurch wird zwar eine konstante Verfügbarkeit des Dienstes garantiert, doch die bisherige strikte geografische Bindung der Datenverarbeitung wird in Spitzenzeiten aufgehoben. Während die eigentlichen Daten „at rest“ weiterhin in der EU gespeichert bleiben, verlassen sie für den flüchtigen Moment des Inferencings die EU-Datengrenze; zudem können pseudonymisierte Betriebsdaten zu Diagnosezwecken im Ausland landen – ein erhebliches Verstoßrisiko für Organisationen, die unter NIS2, DORA oder strengen DSGVO-Interpretationen operieren.

Für neu angelegte Tenants, die nach dem 25. März 2026 erstellt wurden, hat Microsoft das Feature bereits ab Werk scharf geschaltet. Bei sämtlichen Bestandstenants wird die automatische Umleitung in Drittstaaten ab dem 17. April 2026 wirksam, sofern du nicht proaktiv intervenierst. Da technische Konfigurationsänderungen an dieser zentralen Stelle laut offiziellen Angaben bis zu einer vollen Woche für die systemweite Umsetzung benötigen, müssen Administratoren sofort handeln, um eine kurzzeitige Compliance-Lücke bei der Datenverarbeitung zu vermeiden.

Melde dich zunächst mit einem Konto, das über die Rolle „KI-Administrator“ oder „Globaler Administrator“ verfügt, im Microsoft 365 Admin Center an. Navigiere dort im linken Seitenmenü zum Bereich „Copilot“ und wähle anschließend den Unterpunkt „Einstellungen“, um zu den spezifischen KI-Konfigurationen deines Tenants zu gelangen. Suche in der Liste der verfügbaren Optionen den Eintrag „Flexrouting während Spitzenlastzeiten“.

Schritt 2: Konfiguration der Datenverarbeitung

Wähle hier explizit die Option „DO NOT ALLOW FLEX ROUTING“ aus und speichere die Änderung ab. Dadurch erzwingst du technisch, dass sämtliche LLM-Inferencing-Prozesse strikt innerhalb der EU-Datengrenze verbleiben, nimmst jedoch bewusst in Kauf, dass es bei massiver regionaler Überlastung zu merklichen Performance-Einbußen oder temporären Dienstverzögerungen kommen kann.

Dieses Vorgehen von Microsoft hebelt das Prinzip „Privacy by Default“ aus und zwingt uns Admins in eine reaktive Rolle. Wer die Souveränität seiner Daten ernst nimmt, muss diese Einstellung umgehend prüfen. Es ist sicherer, eine verzögerte KI-Antwort zu riskieren, als unkontrollierte Datenflüsse in Drittstaaten zu legitimieren, die im Ernstfall keinem Audit standhalten.