Mobile-Menu

Cloud-Souveränität und KI-Governance Wer seine Cloud steuern kann, bleibt handlungsfähig

Ein Gastbeitrag von Sven Selle* 4 min Lesedauer

Anbieter zum Thema

Dataiku GmbH
Hyland Software Germany GmbH
Flexera Software GmbH
Yorizon GmbH & Co. KG

Europäische Datenhaltung allein garantiert noch keine digitale Souveränität. Entscheidend ist, wer über Anbieter, Technologie, Schlüssel und KI-Modelle Kontrolle ausüben kann. Wie Unternehmen Vendor Lock-in vermeiden, Workloads portabel halten und auch beim Einsatz agentischer KI handlungsfähig bleiben.

Digitale Souveränität ist eine Architekturentscheidung, so dass sich technologische Abhängigkeiten erkennen, Cloud-Portabilität herbeiführen und auch KI-Governance umsetzen lassen.(Bild: © Ahmed - stock.adobe.com / KI-generiert)
Digitale Souveränität ist eine Architekturentscheidung, so dass sich technologische Abhängigkeiten erkennen, Cloud-Portabilität herbeiführen und auch KI-Governance umsetzen lassen.
(Bild: © Ahmed - stock.adobe.com / KI-generiert)

Bei Cloud-Beschaffungsprozessen stehen viele vor den immer gleichen Problemen: achtzehn Monate Evaluierung, Sicherheitsprüfungen, DSGVO-Compliance-Checks. Am Ende versichert der Anbieter, dass die Daten innerhalb der europäischen Grenzen verbleiben und der Vertrag wird unterzeichnet. Und trotzdem werden die Entscheidungen der Anbieter, die Entwicklung der KI und die Updates der Plattformen von Rechtssystemen beeinflusst, die über nationale Grenzen hinausgehen. Es zählt eben nicht nur der Standort der Server, sondern auch, wem das Unternehmen dahinter gehört und wie es aufgebaut ist. In genau dieser Situation befinden sich aktuell viele europäische Unternehmen: Obwohl sie alle Gesetze einhalten, liegt die Kontrolle am Ende woanders.

Datenresidenz ist nicht gleich digitale Souveränität

Der Speicherort von Daten fällt im Cloud Sovereignty Framework der Europäischen Kommission (v1.2.1, Okt. 2025) unter den Bereich „Legal & Jurisdictional“ (SOV-2) – und der ist mit gerade mal 10 Prozent gewichtet. Wer also bei der eigenen Souveränitätsstrategie alleine auf den Serverstandort setzt, fokussiert sich genau auf den Aspekt, der am wenigsten ins Gewicht fällt. Souveränität ist keine geografische Frage in Zeiten, in denen rechtliche Rahmenbedingungen sich überall und jederzeit ändern können.

Was echte Unabhängigkeit ausmacht, definiert sich nicht daran, auf welcher Seite einer Grenze ein Server steht, sondern vielmehr daran, wie stark ein System technisch an einen bestimmten Anbieter gebunden ist. Wer sich also nur auf den Standort konzentriert, hat 10 Prozent des Problems gelöst und ignoriert die restlichen 90 Prozent.

Acht Dimensionen bestimmen die Cloud-Souveränität

Das Cloud Sovereignty Framework der EU bewertet Cloud-Souveränität anhand von acht Dimensionen. Drei davon wirken sich unmittelbar auf Cloud-Architekturentscheidungen aus und sollten daher im Vergleich zu rechtlicher Compliance deutlich stärker gewichtet werden:

  • Operative Souveränität (SOV-4, 15 %): Workload-Portabilität, unabhängige Betreibbarkeit und langfristige Autonomie durch offene Dokumentation.
  • Technologische Souveränität (SOV-6, 15 %): Offene APIs, nicht-proprietäre Standards und portable Governance-Logik.
  • Daten- und KI-Souveränität (SOV-3, 10 %): Kundenkontrollierte kryptografische Zugriffsrechte, Auditierbarkeit von KI-Modellen und Unabhängigkeit von externen Technologie-Stacks.

Infrastrukturagnostische Architekturen schaffen echte Handlungsfreiheit

Eine zentrale Plattform, die bei allen großen Cloud-Anbietern und auch im eigenen Rechenzentrum gleich funktioniert, schafft echte Handlungsfreiheit. Prozesse, KI-Funktionen und Governance-Regeln bleiben dabei unabhängig von einzelnen Herstellern und können flexibel übertragen werden. Workloads zu wechseln ist dann ein normales und planbares Vorhaben, keine plötzliche Notoperation; Unternehmen können Verhandlungen mit Anbietern dadurch aus einer stärkeren Position führen, weil jederzeit ein Wechsel möglich ist.

Ändert ein Anbieter seine Preise, sein Modell-Angebot oder seine Vertragsbedingungen, bleibt die eigene Steuerung davon unberührt, man ist also nicht auf dessen Wohlwollen angewiesen. Es handelt sich also um eine Architekturentscheidung, die bereits bei der Plattformwahl fällt. Wer eine ungewollte Abhängigkeit erst im Nachhinein erkennt, stellt meist fest: Der Weg zurück ist zu aufwändig und viel zu teuer.

Drei Leitfragen für souverän agierende Cloud-Architekten

1. Unterliegt der Anbieter einem Rechtsrahmen, der mit europäischen Anforderungen vereinbar ist? Ist dies nicht nur mit Blick auf die Standorte der Rechenzentren, sondern auch auf Unternehmensstruktur, IP-Eigentümerschaft und technische Steuerung der Fall?

2. Kann die Organisation Workloads in vertretbarer Zeit zu einem anderen Anbieter verlagern, ohne die Plattformarchitektur neu aufzubauen? Was würde das realistischerweise kosten?

3. Hält die Organisation die kryptografischen Schlüssel für ihre Daten selbst? Und lässt sich der Einsatz von KI-Modellen sowie die Entscheidungsfindung von Agenten unabhängig und nachprüfbar dokumentieren?

Agentische KI verschärft die Anforderungen an digitale Souveränität

Wer den Prozess auslagert, lagert damit auch seine eigene Kontrolle aus. Das Souveränitätsrahmenwerk wurde für eine Welt entworfen, in der künstliche Intelligenz (KI) noch ein rein analytisches Werkzeug war – eines, das Daten verarbeitete und auf menschliche Prüfung wartete, bevor überhaupt eine Entscheidung fallen konnte. Die agentische KI verändert diese bisherige Steuerung grundlegend: statt auf Anweisungen zu warten, können KI-Agenten heute autonom handeln – sie greifen gleichzeitig auf viele Datenquellen zu, treffen Entscheidung nach Entscheidung und setzen ganze Abläufe eigenständig um. Regelwerke, die für ein solches Verhalten nie gedacht waren, kommen dabei schlicht an ihre Grenzen.

Wer seine Prozesse an eine externe und nicht kontrollierbare KI-Infrastruktur auslagert, gibt Kontrolle ab. Die Anforderungen an Nachvollziehbarkeit und kryptografische Sicherheit werden dadurch deutlich höher. Gleichzeitig lassen sich wichtige Fragen nicht allein mit einem Zertifikat zum Datenspeicherort beantworten: Welche Modelle verarbeiten sensible Daten? Nach welchen Regeln geschieht das? Und wie können Entscheidungen später nachvollzogen werden? Dies erfordert Human-in-the-Loop-Architektur, modellagnostische Orchestrierung und eine Agent-Infrastruktur, die Governance innerhalb der eigenen Organisation hält.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Cloud Computing

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung


* Der Autor Sven Selle ist Senior Director Field Engineering EMEA für Dataiku.

Bildquelle: Dataiku

Sonderpublikation Digitale Souveränität

Bildquelle: Vogel-IT Medien

Neue Sonderpublikation

Digitale Souveränität

Grundlagen, Strategien und Umsetzung

Daten, Anwendungen, Infrastrukturen: Wer die Kontrolle behält, sichert Innovation und Handlungsfähigkeit. Unsere neue Sonderpublikation zeigt, welche Strategien, Technologien und Lösungen Unternehmen auf dem Weg zu mehr digitaler Selbstbestimmung unterstützen – und wie realistisch das Ziel einer souveränen digitalen Zukunft für Europa wirklich ist.

Jetzt Lesen!

(ID:50911629)

Weiterführende Inhalte