In ganz Afrika, von Nigeria über Kenia bis Südafrika, führen Regulierungsbehörden Regeln ein, die verlangen, dass bestimmte Kategorien sensibler Informationen innerhalb der nationalen Grenzen bleiben, oder die strengere Bedingungen für ihre Übermittlung ins Ausland vorsehen. Dieser Trend spiegelt eine breitere Sorge wider: Da Daten für künstliche Intelligenz zunehmend wertvoll werden, wollen Regierungen die Kontrolle über die von ihren Bürgern, Unternehmen und öffentlichen Institutionen erzeugten Informationen stärker ausüben.

Für globale Cloud-Anbieter macht das den Markt schwer navigierbar. KI-Systeme benötigen große Datenmengen, um nützlich zu sein, doch genau diese Daten unterliegen zunehmend Regeln dazu, wo sie gespeichert, verarbeitet und abgerufen werden dürfen.

Amazon Web Services (AWS) setzt darauf, diese Spannung aufzulösen — afrikanischen Organisationen Zugang zu KI und globaler Cloud-Infrastruktur zu geben und ihnen zugleich zu ermöglichen, die Kontrolle über sensible Daten zu behalten. Diese Strategie wird zu einem zentralen Bestandteil von AWS' Angebot an afrikanische Unternehmen. Statt Datensouveränität als Hindernis für die Cloud-Nutzung zu behandeln, stellt das Unternehmen sie als etwas dar, das sich in die Architektur von Cloud-Diensten einbauen lässt.

Die Kosten, Daten nahe zu halten

Lokalisierung bringt jedoch Kosten mit sich. Daten im Land zu halten kann die Latenz auf unter 15 Millisekunden senken, was für Echtzeitdienste wie Banking und Zahlungsverkehr wertvoll ist. Lokales Hosting kann aber auch teurer sein, insbesondere in Märkten, in denen unzuverlässige Stromversorgung Rechenzentren zu kostspieliger Notstromerzeugung zwingt. Unternehmen, die strenge Lokalisierungsregeln erfüllen müssen, brauchen womöglich auch hybride Setups — also sensible Daten lokal zu halten und gleichzeitig KI-Tools und andere Dienste von Infrastruktur im Ausland zu nutzen — was ihre Infrastruktur- und Lizenzkosten erhöht.

Die Komplexität wächst für Unternehmen, die in Afrikas 54 Märkten tätig sind. Unterschiedliche Regelungen unter Nigerias NDPA, Südafrikas POPIA und Kenias Data Protection Act können dazu führen, dass Unternehmen in jedem Markt getrennte Compliance- und Risikoprozesse managen müssen. Alle drei Gesetze stützen sich stark auf Europas GDPR, die seit 2018 als globales Vorbild für Datenschutz dient — fügen jedoch jeweils Lokalisierungsanforderungen hinzu, die darüber hinausgehen, und machen aus einem gemeinsamen rechtlichen Erbe abweichende praktische Pflichten. Der Einsatz von Sovereign-Cloud-Produkten wie AWS Outposts oder Azure Local kann zudem die Abhängigkeit von den Plattformen und APIs großer Cloud-Anbieter erhöhen.

„Die Gesetze einzuhalten“

Auf dem AWS Summit in Johannesburg am 19. August sagte Jonathan Allen, AWS executive in residence, das Unternehmen konzentriere sich darauf, die Gesetze der mehr als 100 Länder einzuhalten, in denen es tätig ist, und seine Infrastruktur an lokale Anforderungen anzupassen.

„We’re always focused on complying with the laws of the countries in which we operate“, sagte Allen.

Das klingt vielleicht nach einem klaren Bekenntnis zur Regulierung, spiegelt aber einen breiteren Wandel im Cloud-Markt wider. Regierungen fragen nicht mehr nur, ob Cloud-Anbieter ihre Daten schützen können; sie wollen zunehmend Kontrolle darüber, wo Daten gespeichert werden, wer darauf zugreifen kann, welche Gesetze gelten und wie sie verwaltet werden.

Nigeria ist eines der deutlichsten Beispiele. Die Zentralbank von Nigeria hat für den Zahlungsverkehrssektor Anforderungen zur Datenlokalisierung und Marktaufsicht eingeführt und setzt Finanzinstitute damit stärker unter Druck, Kontrolle darüber nachzuweisen, wie sensible Daten gespeichert und verwaltet werden.

Der gleiche Trend zeichnet sich in anderen wichtigen afrikanischen Märkten ab, auch wenn die Regeln variieren:

• Südafrika fordert über seine National Policy on Data and Cloud eine stärkere lokale Kontrolle über strategische staatliche und öffentliche Servicedaten, während POPIA Bedingungen für die grenzüberschreitende Übermittlung personenbezogener Daten festlegt.
• Kenia verfolgt einen gezielteren Ansatz und verlangt, dass bestimmte sensible Daten, einschließlich Personenstandsregister, lokal verarbeitet oder gespeichert werden, und sieht Schutzmaßnahmen für grenzüberschreitende Übermittlungen vor.
• Ruanda ist in kritischen Sektoren noch weiter gegangen, mit Lokalisierungsanforderungen für sensible Finanz-, Zahlungs- und Telekommunikationsdaten.

Zusammen zeigen diese Politiken einen breiteren Wandel: Afrikanische Regierungen sehen Daten zunehmend als strategische Infrastruktur und nicht nur als Geschäftsvermögen und streben eine stärkere Kontrolle darüber an, wie sie gespeichert, verarbeitet und übertragen werden. Damit wird Datensouveränität zu einem immer wichtigeren Bestandteil des betrieblichen Umfelds für Technologieunternehmen auf dem Kontinent.

AWS’ „sovereign-by-design“-Ansatz

Für AWS ist die Antwort das, was das Unternehmen einen „sovereign-by-design“-Ansatz nennt. Das Unternehmen sagt, seine Cloud-Infrastruktur gebe Kunden mehr Kontrolle darüber, wo ihre Daten gespeichert und verarbeitet werden, wie sie verschlüsselt werden und wer auf sensible Informationen zugreifen kann.

Zu AWS’ Infrastruktur gehören Local Zones und Outposts, während das Nitro System hardwarebasierte Isolierung für Workloads auf Amazon EC2 bereitstellt. Kunden können außerdem kundenseitig verwaltete Verschlüsselungsschlüssel verwenden, einschließlich Optionen, die kryptografisches Material außerhalb der Kontrolle von AWS halten.

Die Bedeutung liegt nicht nur darin, dass AWS weitere Sicherheitsfunktionen hinzugefügt hat. Es geht darum, die Nutzung globaler Cloud-Infrastruktur von einem Kontrollverlust über Daten zu trennen — ein Unterschied, der wichtig wird, wenn KI sich in den täglichen Geschäftsbetrieb einbettet.

Fred Kitunga, Chief Information Officer bei Kenya Airways, erlebt diesen Wandel aus erster Hand. Die Fluggesellschaft betrachtet KI und Daten zunehmend nicht als isolierte IT-Projekte, sondern als Werkzeuge für bessere Geschäftsentscheidungen — von der Ermittlung der Rentabilität von Flügen bis zum Verständnis von Kunden und der Reaktion auf Cybersecurity-Bedrohungen.

„We are looking at how we can transform the business in terms of the strategic intent“, sagte Kitunga am Rande des AWS Summit gegenüber TechCabal. „We don’t look at what technologies we can deploy. It’s what business problems are then resolved.“

Dieser Ansatz erfordert Zugang zu verlässlichen Unternehmensdaten. Kenya Airways ist jedoch grenzüberschreitend tätig, mit Kunden und Operationen in mehreren Rechtsräumen. Kitunga sagte, die Fluggesellschaft stütze sich daher auf internationale Datenschutzstandards und unterhalte zugleich eine Richtlinie auf Vorstandsebene für Daten und KI.

„We leverage more on GDPR global standards that are there“, sagte er.

Seine Aussagen zeigen, warum Afrikas Souveränitätsdebatte komplexer ist als die einfache Forderung, dass alle Daten innerhalb nationaler Grenzen bleiben sollen. Für ein multinationales Unternehmen besteht die Herausforderung oft nicht darin, jede Information physisch in einem Land zu halten. Es geht darum zu wissen, welche Daten welchen Regeln unterliegen, und über ausreichend technische und organisatorische Kontrollen zu verfügen, um Compliance nachzuweisen.

Genau diese Lücke will AWS nach eigener Aussage schließen. Das Unternehmen möchte Unternehmen davon überzeugen, dass sie die Rechenleistung und KI-Fähigkeiten eines globalen Cloud-Anbieters nutzen und dennoch die Kontrolle über sensible Workloads behalten können. In AWS’ Modell wird Souveränität damit zu einer Frage von Architektur und Governance und nicht nur von Geografie.

Wachsende Aufmerksamkeit

Diese Position wird zunehmend unter die Lupe genommen werden. Je leistungsfähiger KI-Systeme werden, desto strategisch wichtiger werden die Daten, die sie verarbeiten. Finanzdaten, Identitätsinformationen, Gesundheitsdaten, Regierungsdatenbanken und Kundenhistorien können alle als Eingaben für KI-Systeme dienen. Regierungen haben daher stärkere Anreize, nicht nur zu regulieren, wo diese Informationen gespeichert werden, sondern auch, wie sie verarbeitet werden.

Das ist besonders wichtig für Finanzinstitute. AWS sagt, seine Cloud-Infrastruktur sei auf die Sicherheits- und Compliance-Anforderungen stark regulierter Organisationen ausgelegt. Das Unternehmen ist seit der Eröffnung seines Büros in Lagos im Jahr 2022 in Nigeria tätig und hat in lokale Infrastruktur investiert, darunter eine AWS Local Zone. Außerdem, so AWS, habe es seit 2017 mehr als 180,000 Nigerianer in Cloud-Kompetenzen geschult. Dieser lokale Ausbau findet parallel zu einem breiteren Boom beim Bau von Rechenzentren auf dem Kontinent statt, auch wenn Afrika weiterhin nur einen kleinen Anteil der weltweiten Rechenzentrumskapazität ausmacht.

Doch eine lokale Präsenz beantwortet nicht die größere Frage, vor der globale Cloud-Anbieter stehen: Wer kontrolliert die Infrastruktur und die Daten, auf denen nationale Volkswirtschaften zunehmend aufbauen? Da Regierungen Datensouveränität stärker gewichten, müssen Cloud-Unternehmen ihren Kunden mehr Kontrolle darüber bieten, wo Daten gespeichert werden, wie darauf zugegriffen wird und welche Gesetze gelten.

Ein dicht besetztes Feld von Souveränitätsstrategien

AWS ist nicht allein dabei, sich an diesen Wandel anzupassen:

• Microsoft hat seine Souveränitätsstrategie auf mehrere Modelle aufgebaut, darunter Sovereign Public Cloud, Sovereign Private Cloud über Azure Local und National Partner Cloud. Diese Optionen sollen Regierungen und Unternehmen helfen, sensible Workloads in den erforderlichen Rechtsräumen zu halten und dennoch auf Microsofts breitere Cloud-Dienste zuzugreifen.
• Google Cloud verfolgt mit seinen Angeboten Data Boundary und Google Distributed Cloud einen ähnlichen Ansatz. Kunden können Verschlüsselungsschlüssel kontrollieren und einschränken, wo Daten gespeichert oder übertragen werden, während sensiblere Workloads auf Infrastruktur vor Ort oder in isolierten Umgebungen laufen können.
• Huawei Cloud legt größeren Wert auf lokale Infrastruktur und Kontrolle. Das Modell sieht vor, dedizierte Cloud-Infrastruktur innerhalb eines Landes zu betreiben, wobei lokale Abläufe und Kontrollen Speicherung, Protokollierung und Löschung von Daten steuern. Ziel ist es, sensible Daten innerhalb nationaler Grenzen zu halten und lokale Souveränitätsanforderungen zu erfüllen.
• Oracle hat einen anderen Weg eingeschlagen und erlaubt Telekommunikationsunternehmen, Finanzinstituten und Regierungen, dedizierte Cloud-Umgebungen in ihren eigenen Einrichtungen oder über lokale Partner zu betreiben. Diese Bereitstellungen sollen Daten und Cloud-Betrieb innerhalb des erforderlichen Rechtsraums halten und zugleich mit Oracles breiterem Cloud-Ökosystem kompatibel bleiben.

Der Wettbewerb ist vor Ort bereits sichtbar. Microsoft betreibt seit 2019 Cloud-Regionen in Südafrika, und Google eröffnete 2024 seine erste afrikanische Cloud-Region in Johannesburg — ein Zeichen dafür, wie schnell der Kontinent für Hyperscaler Priorität gewonnen hat.

Für AWS besteht die Herausforderung darin, sein globales Cloud-Modell flexibel genug zu machen, um diese unterschiedlichen nationalen Anforderungen zu erfüllen. Allen verwies auf Europa als Beispiel, wo AWS Cloud-Infrastruktur für spezifische regionale Souveränitätsanforderungen entwickelt habe. Derselbe Ansatz könnte in Afrika immer wichtiger werden, da Regierungen mehr Kontrolle über die Daten und die Infrastruktur fordern, die ihre digitalen Volkswirtschaften tragen.

„We operate in well over 100 different countries around the world“, sagte er. „When you look at Europe, for example, we have specifically created the European Sovereign Cloud to meet those specific needs. And we continue to evaluate all countries and areas as we operate around the world to address their specific needs and concerns.“

Souveränität versus Skalierung

Hier besteht eine Spannung. Strenge Lokalisierungsregeln können Regierungen größere Kontrolle über sensible Informationen geben, sie können aber auch die Kosten von Cloud-Diensten erhöhen und es Unternehmen erschweren, auf globale Infrastruktur und KI-Fähigkeiten zuzugreifen. Zersplitterte Regeln in 54 Ländern könnten es afrikanischen Unternehmen ebenfalls erschweren, digitale Produkte grenzüberschreitend zu skalieren. Eine gewisse Harmonisierung zeichnet sich langsam ab: Die Malabo-Konvention der Afrikanischen Union zu Cybersicherheit und zum Schutz personenbezogener Daten trat 2023 in Kraft, und das 2024 verabschiedete Protokoll zum digitalen Handel der AfCFTA soll es digitalen Diensten erleichtern, Grenzen zu überschreiten. Inwieweit diese kontinentalen Rahmenwerke nationale Lokalisierungsregeln abmildern, wird maßgeblich entscheiden, ob Afrika als ein digitaler Markt oder als 54 getrennte Märkte funktioniert.

Für Regierungen besteht die Herausforderung daher darin, strategische Daten zu schützen, ohne ein digitales Umfeld zu schaffen, das so restriktiv ist, dass es Innovation hemmt.

Für AWS liegt die Chance darin, Regierungen zu zeigen, dass Datensouveränität und KI-Adoption keine konkurrierenden Ziele sein müssen. Die neue Forward Deployed Engineering-Organisation, gestützt durch eine Investition von $1 billion, soll AWS-Ingenieure direkt mit Enterprise-Teams zusammenbringen, um KI-Projekte schneller in die Produktion zu bringen. In Afrikas stark regulierten Märkten ist das wichtig, denn der Einsatz von KI erfordert mehr als ein leistungsfähiges Modell; er braucht auch starke Datengovernance, Sicherheit und Compliance.

Afrikas KI-Ambitionen hängen vom Zugang zu Rechenleistung, Daten und Infrastruktur in großem Maßstab ab. Regierungen müssen daher sensible Informationen schützen, ohne Cloud-Dienste zu teuer zu machen oder 54 getrennte digitale Märkte zu schaffen. Ein praktikabler Ansatz wäre, wirklich sensible Daten zu lokalisieren, ihre grenzüberschreitende Bewegung zu kontrollieren und Organisationen klare Werkzeuge an die Hand zu geben, um zu belegen, wo und wie ihre Daten verwendet werden.

Für AWS und seine Wettbewerber wird Souveränität zu einem Wettbewerbsvorteil und nicht nur zu einer Compliance-Frage. Die Anbieter, die afrikanischen Unternehmen Zugang zu globalen KI-Fähigkeiten verschaffen und zugleich lokale Datenanforderungen erfüllen können, sind besser für die nächste Wachstumswelle der Cloud aufgestellt. Für Afrika sollte das Ziel sein, Datensouveränität zur Grundlage für KI-Adoption und lokale digitale Kapazitäten zu machen — nicht zu einer Regel, die beides ausbremst.