27.03.2026 AI Engineering 5 Minuten Lesezeit

Work IQ: Agenten im Organisationskontext verankern

Microsoft Work IQ verankert Copilot und Agenten in der realen Arbeitsweise einer Organisation: Projekte, Mitwirkende, Dokumente, Muster. Der Beitrag erklärt den Unterschied zwischen Kontextschicht und Data Lake, warum Berechtigungen zur Abfragezeit aufgelöst werden müssen, was CVE-2025-32711 offengelegt hat und welche sechs Punkte Teams vor der Einführung prüfen sollten.

Warum generisches RAG im Unternehmen scheitert

Die meisten Assistenten für den Arbeitsplatz entstehen nach demselben Muster. Dokumente exportieren, in Chunks zerlegen, einbetten, Vektoren speichern, die besten Treffer abrufen. Für ein Produkthandbuch trägt das Verfahren, denn dort steht die Antwort tatsächlich an einer Stelle. Für die Frage, was letzte Woche zum Kunden Meier entschieden wurde, trägt es nicht. Diese Antwort steht in keinem einzelnen Dokument.

Sie liegt im Schnittpunkt aus einem Teams-Thread, einem Besprechungsprotokoll, zwei Anhängen und der Tatsache, dass die fragende Person im Vertrieb arbeitet und nicht in der Rechtsabteilung. Generisches RAG behandelt ein Unternehmen als Texthaufen. Ein Unternehmen ist ein Graph aus Personen, Projekten und Zugriffsrechten, der sich täglich ändert. Das Abrufproblem ist real, aber nachrangig. Schwieriger ist die Frage, zu welchem Ausschnitt der Organisation eine Frage überhaupt gehört.

Eine Aufgabe kommt an — der Agent plant den nächsten Schritt. 1/4

Was Work IQ tatsächlich ist

Microsoft hat Work IQ am 18. November 2025 auf der Ignite vorgestellt, als Intelligenzschicht hinter Microsoft 365 Copilot und dessen Agenten. Microsoft nennt drei Bausteine: Arbeitsdaten aus E-Mails, Dateien, Besprechungen und Chats; ein Gedächtnis für Stil, Präferenzen, Gewohnheiten und Abläufe einer Person; und Inferenz, die beides verbindet und die nächste sinnvolle Aktion vorschlägt. Der Zugang läuft über Copilot Studio oder über APIs für Pro-Code-Agenten.

Nichts davon ist ein neuer Datenspeicher. Work IQ ist der Name für die Schicht oberhalb von Microsoft Graph und dem semantischen Index von Copilot. Graph gewährt Zugriff. Der semantische Index liefert eine kombinierte lexikalische und semantische Karte der Tenant-Inhalte. Work IQ ist die Interpretationsfläche darüber. Für die Bewertung ist der Unterschied entscheidend: Sie kaufen keinen Index, Sie kaufen eine Deutung davon.

Kontextschichten statt Data Lakes

Das Data-Lake-Muster verschiebt zuerst alles an einen Ort und klärt die Bedeutung danach. Eine Kontextschicht dreht das um. Die Daten bleiben, wo sie liegen; Identität, Beziehung und Berechtigung werden zur Abfragezeit aufgelöst. Die Microsoft 365 Copilot Retrieval API zeigt das Muster in der Praxis. Sie ist seit dem 20. November 2025 allgemein verfügbar und liefert Textauszüge aus SharePoint, OneDrive und Copilot-Konnektoren aus demselben hybriden Index, der auch Copilot speist, ohne separaten Vektorspeicher.

Eine Abfrage liefert höchstens 25 Auszüge. Chat- und Search-API sind am selben Datum in die Public Preview gegangen, mit Client-Bibliotheken für .NET, Python und TypeScript. Der Kompromiss gehört offen benannt. Sie geben die Kontrolle über Chunking, Embedding-Modell und Ranking ab und erben die Abdeckungslücken eines Index, den Sie nicht gebaut haben. Dafür pflegen Sie keine zweite Kopie Ihres Unternehmens mehr, die veraltet und ausläuft.

Berechtigungsgrenzen sind das Produkt

Ergebnisse werden zur Abfragezeit gegen Microsoft Entra ID berechtigungsgefiltert und tragen Metadaten der Vertraulichkeitsbezeichnung. Dass die Filterung zur Abfragezeit und nicht zur Indexzeit stattfindet, ist der tragende Punkt. Ein einmal gebauter Index kodiert die Zugriffslisten von gestern. Wird eine Ordnerberechtigung entzogen, muss sich innerhalb von Minuten ändern, was der Assistent sagt, nicht erst beim nächsten vollständigen Crawl.

Microsoft hat die Grundierung mit Governance verbunden. Agent 365 und Entra Agent ID sind am 18. November 2025 in die Public Preview gegangen und geben jedem Agenten eine eigene Verzeichnisidentität. Aktionen werden damit zurechenbar und entziehbar wie ein Benutzerkonto. Wir betrachten das als Mindestmaß. Ein Agent ohne eigene Identität lässt sich nicht auditieren, und ein nicht auditierbarer Agent hat in der Nähe von Gehalts- oder Vertragsdaten nichts zu suchen.

Was permission-aware Grounding nicht löst

Berechtigungsfilterung beantwortet, ob eine Person ein Dokument sehen darf. Sie beantwortet nicht, ob dieser Inhalt eine Antwort beeinflussen sollte. CVE-2025-32711, offengelegt am 11. Juni 2025 und mit CVSS 9.3 bewertet, hat die Lücke konkret gemacht. Eine einzige E-Mail mit verborgenen Anweisungen brachte Microsoft 365 Copilot dazu, privilegierte Tenant-Daten in eine Antwort zu ziehen und abfließen zu lassen, ohne dass die Empfängerin die Nachricht je geöffnet hätte.

Die Forscher nannten das Muster LLM Scope Violation. Jedes abgerufene Element lag innerhalb der Berechtigungsgrenze der Nutzerin. Die Grenze hielt, das Vertrauensmodell nicht. Microsoft hat serverseitig nachgebessert. Das zweite ungelöste Problem heißt Oversharing. Berechtigungsbewusstes Grounding fördert die SharePoint-Site treu zutage, die vor drei Jahren für die gesamte Organisation geöffnet wurde. Es behebt das nicht. Es macht es in Gesprächsgeschwindigkeit sichtbar.

Was Teams vor der Einführung prüfen müssen

Bevor wir einem Kunden eine Kontextschicht für Organisationswissen empfehlen, prüfen wir sechs Punkte. Die Antworten kommen aus dem Tenant, nicht vom Hersteller. Vier davon lassen sich an einem Nachmittag mit einem Testkonto und einer Stoppuhr messen. Die Ausgangslage beim Oversharing meist nicht, und genau sie entscheidet, ob das Projekt eine sechswöchige Integration oder eine sechsmonatige Aufräumaktion wird.

Keine dieser Fragen betrifft die Modellqualität. Fehler bei der Grundierung sind bei Arbeitsplatzassistenten selten Denkfehler des Modells. Es sind Konfigurationsfehler der Organisation, die eine flüssige Antwort unsichtbar macht. Ein Pilot mit zehn Personen bringt sie nicht ans Licht, weil zehn Personen den fraglichen Ordner ohnehin sehen dürfen. Ein Rollout auf zweitausend bringt sie ans Licht, und dann gehört der Assistent bereits zum Arbeitsalltag.

Prüfpunkt	Zu beantwortende Frage
Aktualität der Rechte	Wie lange zitiert der Assistent eine Datei nach dem Entzug noch
Index-Abdeckung	Welche Ablagen liegen ganz außerhalb des semantischen Index
Oversharing-Ausgangslage	Wie viele Sites stehen heute dem gesamten Tenant offen
Reichweite des Gedächtnisses	Ist abgeleitetes Gedächtnis nutzerbezogen und löschbar
Agentenidentität	Hat jeder Agent eine eigene Identität und Protokollspur
Nicht vertrauenswürdige Eingaben	Wird externer Inhalt markiert und von Werkzeugaufrufen ferngehalten

Die Schicht überdauert den Produktnamen

Zum heutigen Stand ist die Entwicklerfläche schmaler als die Ankündigung. Retrieval ist allgemein verfügbar, Chat und Search sind in der Preview, und die weiter gefassten Work-IQ-Schnittstellen aus dem November 2025 sind noch kein stabiler Vertrag. Wer heute darauf baut, sollte mindestens einen Schnittstellenwechsel einplanen und die Aufrufe hinter einer eigenen Fassade kapseln.

Drei Entwicklungen halten wir für das kommende Jahr für wahrscheinlich. Organisationskontext wird zur Beschaffungsfrage statt zum Feature, und Einkauf wird fragen, über wessen Graph ein Assistent überhaupt schließt. Die Aktualität von Berechtigungen wird messbar und irgendwann vertraglich zugesichert. Und die Grenze zwischen Kontextschicht und Agentenlaufzeit verschwimmt, denn ein handelnder Agent braucht dieselbe Grundierung wie ein antwortender.

Wir setzen auf die Schicht, nicht auf den Hersteller. Das Muster wird jeden Produktnamen überdauern: in der realen Organisation verankern, Berechtigungen zur Abfragezeit auflösen, jedem Agenten eine Identität geben und nicht vertrauenswürdige Eingaben auch dann als solche behandeln, wenn sie innerhalb der Grenze ankommen.