Analysen
Datensouveränität beim KI-Einsatz — die Entscheidung der Geschäftsleitung darüber, was in fremde Modelle gelangt
Die Stiftung AI Business Center (AIBC) ist ein Thinktank und Beratungspartner, der Geschäftsleitungen von Unternehmen aus Bau, Industrie und technischen Dienstleistungen dabei unterstützt, künstliche Intelligenz so einzusetzen, dass sie messbare Ergebnisse liefert und Wettbewerbsvorteile schafft. Diese Analyse befasst sich mit der Datensouveränität von Unternehmen bei der Arbeit mit Sprachmodellen.
Datensouveränität ist nicht mehr ein Schlagwort aus der Technologiedebatte. Sie ist zu einer Entscheidung der Geschäftsleitung über Prozesse geworden
Über digitale Souveränität wird meist auf der Ebene von Staaten und Kontinenten gesprochen. Für ein Bau- oder Industrieunternehmen hat der Begriff eine sehr konkrete Bedeutung: Welche Prozesse und Daten dürfen in Sprachmodelle gelangen, die anderen Unternehmen gehören, zu welchen Bedingungen und mit welcher Möglichkeit, sich wieder zurückzuziehen? Diese Entscheidung trifft die Geschäftsleitung, auch wenn heute die Beschäftigten sie an ihrer Stelle treffen, indem sie das Werkzeug wählen, das gerade zur Hand ist.
Drei Wege als Portfolio, nicht als Wahl eines einzigen
Einem Unternehmen stehen drei Wege offen: öffentliche Werkzeuge, die Unternehmens-Cloud auf Grundlage eines Vertrags mit einem Anbieter und eine eigene KI-Instanz, also ein Modell, das in einer vom Unternehmen kontrollierten Infrastruktur betrieben wird. Ein häufiger Fehler ist die Suche nach einer einzigen Antwort für die gesamte Organisation.
In der Praxis nutzen Unternehmen mehrere Wege gleichzeitig. Öffentliche und nicht schutzbedürftige Inhalte können in öffentliche Werkzeuge gehen. Der größte Teil der Büroarbeit mit internen Daten kann in der Unternehmens-Cloud laufen, im Rahmen des Vertrags. Eine eigene Instanz ist dort sinnvoll, wo Daten das Unternehmen nicht verlassen sollten: bei Verträgen, Kostenkalkulationen, Kundendokumentation und Know-how. Eine eigene KI-Instanz ersetzt die Cloud nicht, sondern ergänzt sie. Die Wahl hängt von den Daten ab, nicht von Moden.
Austauschbarkeit des Modells als Voraussetzung der Souveränität
Souveränität endet nicht beim Ort der Verarbeitung. Ein Unternehmen, dessen Prozesse in der Sprache eines einzigen Werkzeugs beschrieben sind, ist vom Anbieter abhängig, selbst wenn die Daten auf den eigenen Servern liegen. Eine Preisänderung, geänderte Lizenzbedingungen oder ein geänderter rechtlicher Status eines Modells kann dann bedeuten, dass die Arbeit an der Prozessbeschreibung verloren geht.
Darüber haben wir in den Analysen USA und China im KI-Wettlauf und zum EU-Verhaltenskodex und zum Streit mit großen Anbietern geschrieben: Die Antwort auf die Instabilität des Marktes ist Ordnung auf der Seite des Unternehmens. Eine Prozessbeschreibung, die nicht an ein bestimmtes Modell gebunden ist, macht das Modell zu einem austauschbaren Baustein statt zu einem Fundament. Das ist der Kern der semantischen Transformation, also der Ordnung von Begriffen, Prozessen und Daten eines Unternehmens, sodass Menschen, Sprachmodelle und Berichte an die Geschäftsleitung sie gleich verstehen.
Der europäische Rahmen setzt Spielregeln, keine Schranken
Unternehmen in der Union handeln in einem Rahmen, den unter anderem die DSGVO und der AI Act setzen — die Verordnung (EU) 2024/1689, geändert durch die Verordnung (EU) 2026/1744, den sogenannten AI Omnibus. Dieser Rahmen schließt die Nutzung von Modellen außerhalb Europas nicht von vornherein aus, stellt aber Bedingungen, unter anderem für die Übermittlung personenbezogener Daten außerhalb des Europäischen Wirtschaftsraums (EWR). Er verlangt auch nicht den Aufbau einer eigenen Infrastruktur. Er verlangt jedoch, dass das Unternehmen weiß, welche Daten es verarbeitet, wo, auf welcher Grundlage und in welcher Rolle es gegenüber dem KI-System auftritt. Für eine Geschäftsleitung, die diese Antworten hat, ist der Rahmen ein berechenbares Regelwerk. Für eine Geschäftsleitung ohne diese Antworten wird er zum Risiko.
Der konkrete Umfang der Pflichten hängt von der Anwendung und der Rolle des Unternehmens ab. Ihn legt der Rechtsberater des Unternehmens auf Grundlage einer Prozessbeschreibung fest.
Checkliste für die Geschäftsleitung
- Datenklassifizierung. Welche Datenkategorien das Unternehmen hat und welche davon die freigegebene Umgebung nicht verlassen dürfen.
- Liste der Anwendungen. Welche KI-Werkzeuge im Unternehmen im Einsatz sind, einschließlich derjenigen, die Beschäftigte ohne formelle Entscheidung nutzen, und welchen Prozessen sie dienen.
- Ort der Verarbeitung. Für jede Anwendung: wo die Daten verarbeitet und gespeichert werden.
- Verträge. Ob die Verträge mit Anbietern das Eigentum an den Ergebnissen, die Vertraulichkeit, die Nutzung der Unternehmensdaten zum Training von Modellen und die Bedingungen für den Ausstieg aus dem Dienst regeln.
- Ausstiegsplan. Ob das Unternehmen Modell oder Anbieter wechseln kann, ohne Prozessbeschreibungen und Daten zu verlieren, und wie lange das dauern würde.
Die Leistung, mit der wir ein Unternehmen durch diese Schritte begleiten, beschreibt die Seite Datensouveränität und eigene KI-Instanz.
Häufige Fragen
Bedeutet Datensouveränität den Verzicht auf Cloud-Werkzeuge?
Nein. Sie bedeutet eine bewusste Entscheidung, welche Prozesse und Daten öffentliche Werkzeuge und die Unternehmens-Cloud nutzen dürfen und welche in einer vom Unternehmen kontrollierten Infrastruktur bleiben sollten. Die meisten Anwendungen können weiterhin in der Cloud laufen.
Womit sollte die Geschäftsleitung beginnen?
Mit einer Klassifizierung der Daten nach Schutzbedarf und einer Liste der KI-Anwendungen, die im Unternehmen bereits laufen, auch derjenigen, die ohne formelle Entscheidung genutzt werden. Erst auf dieser Grundlage lassen sich den Prozessen die passenden Wege zuordnen und die Verträge mit Anbietern bewerten.
Beginnen wir mit einem Gespräch
Sprechen wir darüber, welche Daten Ihres Unternehmens schon heute in fremde Modelle gelangen.