Wo, wer, warum? Digitale Souveränität entscheidet sich beim Datenzugriff

Digitale Souveränität hat sich für Unternehmen und Behörden im DACH-Raum zu einer zentralen strategischen Herausforderung entwickelt. Der Cloud-Report des Digitalverbandes Bitkom hat etwa ergeben, dass 37 Prozent der Unternehmen einen Cloud-Dienst nutzen würden, der Daten ausschließlich in Deutschland verarbeitet und vor ausländischem Zugriff schützt, selbst wenn sie dafür Nachteile wie einen geringeren Funktionsumfang oder höhere Kosten in Kauf nehmen müssten. Im Vorjahr lag dieser Anteil noch bei 27 Prozent.

Auch auf politischer Ebene gewinnt die Frage nach dem Ort der Datenverarbeitung zunehmend an Gewicht. So hat die EU-Kommission mit dem Cloud and AI Development Act einen Gesetzesvorschlag vorgelegt, der für Behörden und andere öffentliche Stellen vier Souveränitätsstufen für Cloud- und KI-Dienste festlegt. Sie reichen von der Vorgabe, Daten innerhalb der EU zu speichern und zu verarbeiten, bis zur vollständigen Kontrolle über die Software-Lieferkette ohne Einflussnahme aus Drittstaaten.

Ob Einkaufskriterium oder Stufenmodell, beide beantworten vor allem die Frage, wo Daten liegen und wer die zugrunde liegende Infrastruktur kontrolliert. Die gemeinsame deutsch-französische Definition digitaler Souveränität reicht sogar noch ein Stück weiter und verlangt, digitale Technologien selbstbestimmt zu nutzen und zu kontrollieren. Wer zu welchem Zweck und mit welchem Ergebnis auf Daten zugreift, bleibt damit Sache jeder einzelnen Organisation. Die Komplexität dieser Frage nimmt jedoch mit jeder neuen KI-Anwendung noch weiter zu, wodurch sie immer schwieriger zu beantworten ist.

Hunderte Quellen über sämtliche Umgebungen hinweg

Wie zersplittert die Ausgangslage ist, zeigt der AI Trust Gap Report von Denodo. KI-Initiativen greifen demnach im Schnitt auf mehr als 400 originäre Datenquellen zu, bei 16 Prozent der für diesen befragten Unternehmen sogar auf über 1.000. Nahezu zwei Drittel (63 Prozent) der Umfrageteilnehmer fällt es infolgedessen schwer, vertrauenswürdige Daten zu identifizieren oder für KI aufzubereiten, und 67 Prozent kämpfen mit Datensicherheit und Zugriffskontrollen.

Diese Quellen liegen selten an einem Ort. Nach Bitkom-Angaben nutzen 64 Prozent der Unternehmen eine Private Cloud und 53 Prozent eine Public Cloud. Hinzu kommen eigene Rechenzentren und zahlreiche Software-as-a-Service-Anwendungen. Jede dieser Umgebungen kann für sich genommen souverän und regelkonform betrieben werden. Dennoch fehlt oft der globale Überblick darüber, wer über alle Systeme hinweg welche Ressourcen nutzt.

Die KI schafft zusätzliche neue Grenzen

Durch den Einsatz Künstlicher Intelligenz wird die Lage noch unübersichtlicher. Schon für die Antwort auf eine einzige Anfrage verlassen Unternehmensdaten ihr Ursprungssystem mehrfach, etwa wenn sie an das Sprachmodell übergeben, für die Suche in Vektordatenbanken aufbereitet, zwischengespeichert, protokolliert oder an KI-Agenten weitergereicht werden. Jede dieser Stationen kann bei einem anderen Anbieter, in einem anderen System oder unter einer anderen Rechtsordnung liegen. Ein Sprachmodell, das in einer souveränen Cloud betrieben wird, sichert deshalb nur einen Ausschnitt dieser Kette ab. Digitale Souveränität entsteht jedoch erst dann, wenn eine Organisation die gesamte Entstehungs- und Wirkungskette eines KI-Ergebnisses kontrolliert – von den zugrunde liegenden Daten und ihrem Kontext über Modelle und Infrastruktur bis hin zu den Regeln und Prozessen, die Entscheidungen und Handlungen bestimmen.

Der naheliegende Reflex wäre, alle Daten auf einer zentralen Plattform zu bündeln, um dadurch die Kontrolle zurückzugewinnen. Gerade eine solche Vorgehensweise kann die Souveränität aber eben auch schwächen, denn diese Art der Zentralisierung schafft neue Abhängigkeiten von der Plattform, ihrem Betreiber und dem jeweiligen Standort. Hinzu kommt, dass mit jeder Kopie ein weiterer Bestand entsteht, der eingestuft, geschützt, gepflegt und beim nächsten Anbieterwechsel zusätzlich migriert werden muss.

Datennutzung ohne Replikation

An dieser Stelle setzt intelligentes Datenmanagement an. Eine logische Datenschicht entkoppelt den Zugriff vom physischen Speicherort und verbindet sich mit den Daten genau an der Stelle, wo diese liegen. Sei es im eigenen Rechenzentrum, in einer souveränen Cloud oder bei einem internationalen Anbieter. Fachanwendungen, Analysen und KI-Systeme greifen über eine gemeinsame semantische Ebene zu. Zugriffsrechte, die Maskierung sensibler Felder und die Protokollierung jeder Abfrage werden dabei einmal zentral festgelegt und in allen angebundenen Systemen durchgesetzt. Daten, die ihre geschützte Umgebung nicht verlassen dürfen, verbleiben an ihrem jeweiligen Speicherort und können dennoch genutzt werden. Gemeinsame Datennutzung kommt damit ohne zusätzliche Datenkopien aus.

Souveränität entscheidet sich beim Zugriff

Rechenzentren in Deutschland, europäische Betreiber und zertifizierte Cloud-Dienste bleiben wichtige Bausteine digitaler Souveränität. Für sich genommen beantworten sie jedoch nur die Frage, wo Daten liegen. Verantwortungsvoller KI-Einsatz erfordert jedoch, über alle Clouds, Rechenzentren und Anbieter hinweg, zentral festgelegte Regeln für den Zugriff von Anwendungen auf Informationen – insbesondere was deren Zweckbindung und geltende Regularien betrifft. Eine logische Datenschicht schafft dafür die Voraussetzung, ohne bestehende Systeme abzulösen oder Bestände zu vervielfältigen. Dadurch können Unternehmen und Behörden ihre digitale Souveränität wahren und zugleich die eigenen Daten für KI-Anwendungen nutzbar machen – ohne sich zwischen Kontrolle und Innovation entscheiden zu müssen.