Flex Routing für Copilot: Was Admins jetzt prüfen müssen

Microsoft hat mit Flex Routing eine neue Konfigurationsoption für Microsoft 365 Copilot eingeführt, die regelt, ob LLM-Inferencing bei Spitzenlast die EU Data Boundary verlassen darf. Die meisten haben das Update mitbekommen – aber ein Detail wird oft übersehen: Bei neuen Tenants ist Flex Routing standardmäßig aktiviert, bei bestehenden Tenants kann der Default je nach Tenant variieren. Höchste Zeit für einen kurzen Check.

Was Flex Routing eigentlich ist

Flex Routing erlaubt es Microsoft, das LLM-Inferencing für Microsoft 365 Copilot bei Spitzenlast außerhalb der EU Data Boundary durchzuführen – konkret in den USA, Kanada oder Australien. Inferencing ist der Verarbeitungsschritt, in dem das KI-Modell den Prompt ausführt und eine Antwort produziert.

Wichtig dabei: Daten bleiben verschlüsselt – in transit und at rest. Die at-rest-Speicherung erfolgt weiterhin innerhalb der EU Data Boundary, mit Ausnahme begrenzter pseudonymisierter Daten, die für Sicherheits- und Betriebszwecke außerhalb gespeichert werden können. Die eigentliche Inferencing-Verarbeitung ist also der Punkt, der bei aktivem Flex Routing die EU verlassen kann.

Der eigentliche Aufreger: der Default

Das ist der Punkt, den sich jeder Admin auf den Schirm holen sollte: Bei eligible Tenants, die nach dem 25. März 2026 erstellt wurden, ist Flex Routing standardmäßig aktiviert. Bei Tenants, die vor diesem Datum existierten, hängt der Default vom jeweiligen Tenant ab – Microsoft verweist hier auf das Message Center für die individuelle Information (MC1269223).

Wer ist betroffen?

Flex Routing ist verfügbar für Kunden mit Sign-up-Location in einem EU- oder EFTA-Land. Eine Ausnahme: Tenants mit gekauften Multi-Geo-Capabilities sehen die Einstellung nicht und können sie auch nicht konfigurieren – selbst wenn der Tenant in der EU/EFTA registriert ist.

Wichtig zu wissen: Die Einstellung im Microsoft 365 Admin Center gilt für Microsoft 365 Copilot und Copilot Chat. Für Copilot-Erfahrungen in Dynamics 365, Power Platform und Copilot Studio gibt es eine separate Einstellung im Power Platform Admin Center, die standardmäßig der M365-Einstellung folgt – aber im Power Platform Admin Center auch restriktiver gesetzt werden kann.

So prüft und konfiguriert man Flex Routing

Die Konfiguration ist erfreulich einfach. Voraussetzung ist die Rolle „AI Administrator" in Entra ID:

• Im Microsoft 365 Admin Center anmelden
• Zu Copilot → Settings → Flexible inferencing during peak load periods navigieren
• Wählen zwischen „Allow flex routing during periods of peak load" und „Do not allow flex routing"

Wer „Do not allow" wählt, stellt sicher, dass das LLM-Inferencing auch bei Spitzenlast innerhalb der EU Data Boundary bleibt. Microsoft weist explizit darauf hin, dass in diesem Fall alle bestehenden Datenverarbeitungs- und Datenresidenz-Verpflichtungen weiter gelten.

Warum das für regulierte Unternehmen relevant ist

Für Banken, Versicherungen, KRITIS-Betreiber und Behörden ist die Frage „Wo wird mein Prompt verarbeitet?" keine akademische. Sie steht im Verarbeitungsverzeichnis, in der DSFA, in Auditierungsvorschriften:

• Verarbeitungsverzeichnis aktualisieren. Wer Copilot mit „Verarbeitung in der EU" dokumentiert hat, braucht entweder die Default-Änderung oder ein Update der Doku.
• Drittlandtransfer dokumentieren. Bei aktivem Flex Routing greifen Standardvertragsklauseln und Transfer Impact Assessment für die USA, Kanada, Australien.
• Branchenspezifische Anforderungen prüfen. BaFin, KRITIS-Verordnung und sektorale Regulierung können strengere Anforderungen als die DSGVO stellen.
• Power Platform Admin Center mitprüfen. Wer Copilot in Dynamics oder Power Platform nutzt, sollte beide Settings konsistent konfigurieren.

Performance vs. strikte EU-Verarbeitung – die ehrliche Abwägung

Microsoft hat Flex Routing nicht aus Zufall eingeführt. Bei Spitzenlast kann die strikte EU-Verarbeitung zu längeren Antwortzeiten oder im Extremfall zu Fehlern führen. Wer Flex Routing deaktiviert, akzeptiert dieses Performance-Risiko bewusst.

Für regulierte Unternehmen ist das in der Regel die richtige Entscheidung – Compliance schlägt Performance. Für andere Unternehmen kann die Abwägung anders ausfallen. Wichtig ist nur: Es soll eine bewusste Entscheidung sein, nicht ein übersehener Default.