Das Problem: Wer hat am Ende die Kontrolle über die Daten?
Viele heute eingesetzte KI-Dienste stammen von US-Firmen oder greifen auf deren Infrastruktur zurück. KI-Services und digitale Assistenten gehören ebenso dazu wie Cloud-Plattformen und Rechenzentren.
Für europäische Firmen entsteht daraus eine Frage: Wie souverän gehen wir mit unseren Daten um, wenn außereuropäische Anbieter wesentliche Bestandteile unserer KI-Infrastruktur kontrollieren?
Wir sehen mehrere Punkte, die Unternehmen berücksichtigen sollten.
Zugriff auf Daten durch US-Behörden
US-amerikanische Gesetze verpflichten Anbieter bei entsprechenden rechtlichen Anforderungen dazu, Daten an staatliche Stellen herauszugeben. Der CLOUD Act ist hierbei maßgeblich. Er verpflichtet US-Firmen zur Herausgabe von Daten, die sich in ihrem Besitz oder unter ihrer Kontrolle befinden. Dies gilt bei entsprechenden rechtlichen Anforderungen auch dann, wenn US-Firmen diese Daten außerhalb der USA speichern.
Der Standort eines Rechenzentrums beantwortet die Frage nach der Datensouveränität nicht allein. Ebenso wichtig ist, wer den Dienst betreibt und welchen Gesetzen dieses Unternehmen unterliegt.
Ein Rechenzentrum in Frankfurt bedeutet daher nicht automatisch, dass die dort verarbeiteten Daten ausschließlich europäischem Zugriff unterliegen.
Wenn Unternehmen von Anbietern und Diensten abhängen
Ein zweiter Aspekt ist, wie sehr Unternehmen technologisch von anderen abhängen. Wer zentrale KI-Funktionen von einem einzelnen Anbieter bezieht, gibt einen Teil der Kontrolle über die Infrastruktur ab.
Der Anbieter kontrolliert den Zugang zum Dienst. Er kann Leistungen einschränken oder einstellen:
– aufgrund rechtlicher Vorgaben,
- Sanktionen,
- wirtschaftlicher Entscheidungen oder
- geänderter Geschäftsbedingungen.
Dass ein solcher Ausschluss nicht nur theoretisch möglich ist, zeigte 2025 der Fall des Chefanklägers des Internationalen Strafgerichtshofs, Karim Khan. Im Zusammenhang mit US-Sanktionen verlor er Berichten zufolge den Zugang zu seinem Microsoft-E-Mail-Konto.
Für Unternehmen stellt sich deshalb eine wichtige Frage:
Was passiert mit unseren Geschäftsprozessen, wenn ein zentraler Dienst nicht mehr verfügbar ist?
Je stärker KI in tägliche Prozesse einfließt, desto drängender stellt sich diese Frage. Ein Ausfall dieser Dienste führt schnell zu geschäftskritischen Engpässen: Sei es beim Einsatz von KI-Assistenten durch Mitarbeiter, der Einbindung von KI-Funktionen über APIs oder der Erschließung vorhandenen Wissens durch KI-Systeme.
Datensouveränität bedeutet für uns nicht nur Datenschutz. Sie bedeutet auch, technologische Abhängigkeiten zu kennen und die Kontrolle über geschäftskritische Systeme zu behalten.
Wer greift auf die Daten zu?
Wenn KI-Systeme zum Einsatz kommen, verarbeiten Unternehmen sensible Informationen: interne Dokumente, Verträge, technische Dokumentationen, Quellcode, Kundendaten oder strategisches Wissen des Unternehmens.
Es reicht nicht, zu fragen, wo ein Server steht.
Aus Sicht eines europäischen Unternehmens sind weitere Fragen entscheidend:
- Wer betreibt den Dienst und die liegende Infrastruktur?
- Wo verarbeitet und speichert der Anbieter die Daten?
- Welchem Recht unterliegt der Anbieter?
- Wie lange speichert der Anbieter Eingaben und Ausgaben?
- Wer greift auf diese Informationen zu?
- Sind weitere Dienstleister oder Auftragnehmer beteiligt, wenn der Anbieter die Daten verarbeitet?
- Welche technischen und vertraglichen Möglichkeiten bestehen, um den Zugriff auf die Daten einzuschränken?
Gerade bei Cloud- und KI-Diensten erweist sich die technische Lieferkette als komplex. Zwischen der Anwendung für den Mitarbeiter und der tatsächlichen Datenverarbeitung agieren diverse Anbieter, Plattformen sowie Infrastrukturdienstleister.
Für uns gehört deshalb zur Datensouveränität, diese Kette so gut wie möglich zu kennen und zu kontrollieren.
Unsere Konsequenz: LokiAi
Aus diesen Überlegungen haben wir bei der Entwicklung von LokiAi klare Konsequenzen gezogen.
Unser Ziel war nicht, Datenschutz nachträglich um eine bestehende KI-Architektur herumzubauen. Die Frage der Datensouveränität bestimmte von Anfang an, wie das System aufgebaut ist.
Wir konzentrieren uns auf drei Punkte:
Keine KI-Dienste von US-Anbietern. Wir setzen für LokiAi nicht auf KI-Dienste US-amerikanischer Anbieter. Wir übertragen sensible Anfragen und Unternehmensinformationen nicht an solche Dienste zur Verarbeitung.
Europäische Infrastruktur. Bei der Auswahl unserer Infrastruktur betrachten wir nicht den geografischen Standort der Server. Für uns ist ebenso entscheidend, wer die Infrastruktur betreibt und welchen Gesetzen der Betreiber unterliegt.
Kontrolle darüber, wie wir Daten verarbeiten. Wir vollziehen nach, wo wir Unternehmensdaten verarbeiten und welche Systeme und Dienstleister daran beteiligt sind. Dabei vermeiden wir es, von externen Plattformen abhängig zu sein. Dies gilt insbesondere dort, wo diese unsere Souveränität über Daten oder den Betrieb der Lösung einschränken würden.
Dahinter steht ein einfacher Grundsatz:
Wissen bleibt dort, wo es hingehört – unter der Kontrolle des Unternehmens.
Datensouveränität bei KI bedeutet für uns mehr, als nur Datenschutzvorgaben einzuhalten. Es bedeutet, die Hoheit über die Verarbeitung der Daten und die Zugriffsberechtigungen zu behalten. Dabei geht es darum, welcher Rechtsordnung die beteiligten Anbieter unterliegen und wie abhängig der Betrieb von einzelnen Dienstleistern ist.
Oder anders formuliert: Wer KI mit dem Wissen seines Unternehmens arbeiten lässt, behält die Kontrolle über dieses Wissen.