Da KI zunehmend zu einem integralen Bestandteil von Geschäftsprozessen wird, gewinnen Bedenken hinsichtlich operativer Kontrolle, Resilienz, Anbieterkonzentration und geopolitischer Risiken einen immer größeren Einfluss auf den Einsatz der Technologie. Das ergibt sich aus dem aktuellen Forrester-Bericht The Top Trends in Sovereign AI.

Der Bericht baut auf den Ergebnissen der kürzlich veröffentlichten Global Sovereignty Forecast des Tech-Forschungsunternehmens auf und argumentiert, dass sich Souveränität über Fragen der Datenlokalisation und Regulierung hinaus hin zu Unternehmensresilienz, operativer Kontrolle und Governance verlagert. Diese Verschiebung erfolgt, während eine kleine Anzahl US-amerikanischer Hyperscaler und Modellanbieter die globale KI-Infrastruktur dominiert und Regierungen zunehmend bereit sind, Technologiezugang als Instrument der Staatsführung einzusetzen – einschließlich der jüngsten US-Exportkontrollen für fortschrittliche KI-Chips und Modellgewichte. Für Unternehmen bedeutet das nicht zwangsläufig, sich von globalen Technologieanbietern abzukoppeln. Vielmehr geht es darum zu verstehen, wo ihre Abhängigkeiten liegen, welche Workloads am kritischsten sind und wie sie den Betrieb fortsetzen könnten, wenn der Zugang zu einem zentralen KI-Dienst unterbrochen würde. Dies deckt sich zudem mit einem breiteren europäischen Politikimpuls: Die EU hat technologische Souveränität zu einer expliziten Priorität gemacht, und Initiativen wie Gaia-X sowie die Anforderungen des EU AI Act für Hochrisikosysteme haben die Aufmerksamkeit darauf gelenkt, wo KI gehostet wird, wer sie kontrolliert und unter welcher Rechtsordnung sie betrieben wird.

In diesem Q&A erörtert Dario Maisto, Analyst bei Forrester und Autor des Berichts, wie Unternehmen mit diesen Abhängigkeiten umgehen können und was souveräne KI in der Praxis bedeutet.

Was sind die wichtigsten Erkenntnisse aus Forresters Forschung, und gab es Überraschungen?

Dario Maisto: Wir haben eine Reihe von Organisationen interviewt, darunter Dienstleister und vor allem Endanwender, um zu verstehen, wie sich souveräne KI im vergangenen Jahr entwickelt hat. Eine der ersten Erkenntnisse war, dass Souveränität für Organisationen in praktisch jeder Branche relevant ist – nicht nur für die üblichen Verdächtigen wie Verteidigung, Regierung und den öffentlichen Sektor.

Die zweite ist, dass Souveränität viel mehr ist als Datenlokalisation oder Datenresidenz. Im Kern geht es um Kontrolle. Es geht nicht um Isolation.

Die dritte Erkenntnis ist, dass Souveränität zunehmend ein Weg ist, die Resilienz zu verbessern. Je stärker Organisationen auf KI in ihren geschäftlichen, organisatorischen und geschäftskritischen Prozessen setzen, desto mehr müssen sie ihre Abhängigkeiten von ausländischen Anbietern, Rechtsräumen und Regierungen minimieren oder zumindest kontrollieren.

Und schließlich geht es hierbei fundamental nicht um Regulierung. Es gibt weltweit keinerlei Gesetzgebung, die Souveränität vorschreibt. Es geht in Wahrheit darum, dass Technologie- und Business-Führungskräfte die Resilienz ihres Unternehmens erhöhen wollen.

Welche Gefahr geht von KI-Abhängigkeit aus?

Maisto: Da KI für Geschäftsprozesse kritisch wird, schafft die Abhängigkeit von einem ausländischen Anbieter – und damit potenziell von einem ausländischen Rechtsraum – die Möglichkeit eines „Kill-Schalters“. Eine ausländische Regierung, in deren Zuständigkeit ein Anbieter fällt, könnte entscheiden, dass Sie keinen Zugriff mehr auf dessen Modelle, KI-Tools oder Lösungen haben. Wenn Ihre Geschäftsprozesse von diesen Tools abhängen, könnten diese Prozesse stillstehen.

Das hat sehr reale geschäftliche Auswirkungen. In der Produktion etwa verlieren Unternehmen jede Sekunde Geld, in der sie nicht produzieren können. Für Branchen mit frischen oder verderblichen Produkten ist der potenzielle Schaden noch größer. Wenn also eine Entscheidung einer ausländischen Regierung einen Dienst unterbricht, auf den eine Organisation für ihre KI angewiesen ist, ist das kein abstraktes geopolitisches Thema. Es hat direkte wirtschaftliche Auswirkungen auf das Unternehmen.

Wie können sich Organisationen wirksam gegen diese Risiken wappnen?

Maisto: Noch vor wenigen Jahren haben wir Organisationen in bestimmten Ländern oft empfohlen, mit Dual Stacks zu arbeiten: einem Stack bei einem Anbieter in einem Land und einem anderen bei einem Anbieter in einem anderen Land. Jetzt beobachten wir einen differenzierteren Ansatz, bei dem geschäftskritische Workloads von nicht geschäftskritischen Workloads getrennt werden.

Je nach Branche benötigen nicht-kritische Workloads möglicherweise keine zusätzlichen souveränen Ressourcen. Geschäftskritische Workloads hingegen haben einen deutlich größeren Bedarf an souveränen Lösungen.

Das bedeutet nicht zwangsläufig, zwei völlig getrennte Stacks zu betreiben. Organisationen können geopolitische Risiken auf verschiedene Weise mindern, etwa indem sie eine air-gapped Umgebung mit ihrer Public-Cloud-Umgebung verbinden oder einen lokalen Anbieter neben einem globalen einsetzen.

Für multinationale Organisationen, die in 50 Ländern tätig sind, ist es schlicht nicht machbar, 50 verschiedene Anbieter zu haben. Abgesehen von den Kosten wäre das ein architektonischer Albtraum. Stattdessen könnten Organisationen je nach Kritikalität des Workloads oder Sensitivität der Daten verschiedene Lösungen desselben globalen Anbieters nutzen. Ein Hyperscaler könnte je nach Anforderungen eine Public-Cloud-Umgebung, eine Private-Cloud-Lösung oder eine air-gapped Umgebung bereitstellen.

Inwiefern erfordert die zunehmende Nutzung von KI von Organisationen ein Umdenken bei der Governance?

Maisto: KI-Einführungen in Organisationen schaffen neue Bereiche für Governance, Risiko und Compliance. Gleichzeitig können KI-Tools Organisationen auch helfen, Schwachstellen in Sekunden statt in Monaten zu identifizieren – daher ist Governance über den gesamten Stack hinweg erforderlich.

KI wird zu einer Technologie, die wirklich im Unternehmen verankert und bis zu einem gewissen Grad überlebenswichtig ist. Das erfordert eine Aufsicht, die weit über die IT-Abteilung hinausgeht.

Wir beobachten bereits, dass Organisationen ihre Strukturen entsprechend ändern. Ein Kunde hatte beispielsweise eine relativ kleine IT-Abteilung und erhielt Anfragen aus jeder Geschäftseinheit. Anstatt alles über die IT laufen zu lassen, ordnete die Organisation jeder Geschäftseinheit eine IT-Ressource zu. Das verkürzt den Weg zwischen IT und Business und stellt sicher, dass Menschen mit den richtigen technischen Fähigkeiten das Unternehmen unmittelbar unterstützen.

Das wird zunehmend wichtig, da KI Prozesse dramatisch beschleunigen kann. Was früher drei Monate dauerte, kann heute in wenigen Wochen abgeschlossen sein. Denken Sie etwa an medizinische Studien. Jede verlorene Sekunde kann heute ein Vielfaches wert sein als früher, was die Art und Weise, wie Organisationsmodelle um KI-Tools herum aufgebaut werden sollten, völlig verändert.

Hat die geopolitische Instabilität Souveränität zu einem drängenderen Thema gemacht?

Maisto: Ja, wobei es hier eine interessante Spannung gibt. Da die Technologie spezialisierter wird, benötigen Organisationen spezialisierte Fachkräfte, die lokal möglicherweise nicht verfügbar sind. Unser Tech Sovereignty Forecast zeigt, dass die Souveränitätsindikatoren bis 2030 generell steigen werden, während die Souveränität des Technologie-Arbeitskräftepotenzials tatsächlich sinken wird. Das ist der einzige Indikator mit entgegengesetzter Entwicklung.

Gleichzeitig schreiben einige Vorschriften bereits Wohnsitz- oder Staatsangehörigkeitsanforderungen für IT-Fachkräfte in bestimmten Branchen, Technologiesektoren oder Workloads vor. Mit zunehmender geopolitischer Instabilität werden wir wahrscheinlich mehr solcher Anforderungen sehen. Das erschwert das Problem zusätzlich – was ursprünglich eine Frage der Geschäftskontinuität und des Risikomanagements war, wird in einigen Branchen zu einer regulatorischen Anforderung, während der Mangel an spezialisierten Technologie-Fachkräften bestehen bleibt.

Schulungen sind ein Weg, dem zu begegnen. Ein anderer sind Akquisitionen, Joint Ventures und Partnerschaften. Wir sehen bereits, wie Dienstleister lokale Beratungsfirmen und Unternehmen übernehmen und sich damit einen rechtlichen Rahmen und eine lokale Belegschaft verschaffen, die bei der Erfüllung der Souveränitätsanforderungen von Kunden helfen kann.

Welche Fehler machen Organisationen beim Versuch, KI-Souveränität zu etablieren?

Maisto: Der erste Fehler besteht darin, den Umfang des Problems nicht zu definieren. Menschen sagen „Souveränität“, ohne unbedingt zu definieren, was sie damit meinen, und sie sprechen über Regulierung, ohne zu identifizieren, welche Vorschriften tatsächlich für sie gelten. Dann suchen sie nach Lösungen, bevor sie das Problem klar definiert haben. Wenn ich die Cloud-, KI- oder Souverän-AI-Strategien von Kunden prüfe, lautet eine meiner ersten Fragen: Welches Problem versuchen Sie tatsächlich zu lösen?

Ein weiterer häufiger Fehler ist die Annahme, dass Souveränität nur mit Daten zu tun hat. Gespräche über Souveränität beginnen oft mit Erörterungen von Vorschriften wie dem US CLOUD Act oder FISA Section 702. Doch das sind im Kern Datenschutzthemen und keine Souveränitätsprobleme.

Wenn Ihre Daten beispielsweise auf der Infrastruktur eines US-Hyperscalers gehostet, aber verschlüsselt sind und Sie die Verschlüsselungsschlüssel außerhalb der Umgebung des Hyperscalers verwahren, haben Sie ein anderes Risikoprofil. Möglicherweise lässt sich das Problem lösen, ohne Ihre Daten zu einem neuen Anbieter zu migrieren, was zusätzliche Migrations- und Egress-Kosten verursachen würde.

Entscheidend ist, das Problem richtig zu formulieren und die regulatorische Umgebung zu verstehen, der Sie tatsächlich gerecht werden müssen. Manche Anbieter können die Souveränitätserzählung als Verkaufsargument für ihre Dienste nutzen – damit müssen Organisationen vorsichtig sein.

Was sollte der erste praktische Schritt für eine Organisation sein, die ihre KI-Souveränität verbessern möchte?

Maisto: Der erste Schritt besteht darin, die eigenen Abhängigkeiten zu bewerten. Es geht nicht um Isolation und nicht darum, vollständige Unabhängigkeit zu erreichen. Es geht darum, die eigenen Abhängigkeiten zu verstehen und zu verwalten. Organisationen müssen feststellen, wovon sie abhängen, wo sich diese Abhängigkeiten befinden und welche Folgen es hätte, wenn sie unterbrochen würden. Erst dann können sie bestimmen, was souverän sein muss und was nicht.

Ich würde davor warnen, KI-Souveränität einfach als bilaterales Problem zu betrachten, das ein bestimmtes Land oder einen bestimmten Anbieter betrifft. Je nachdem, wo Sie tätig sind und was Ihr Unternehmen tut, kann Ihr Problem völlig anders aussehen.

Deshalb ist Souveränität ein weitaus komplexeres Thema, als einfach zu sagen: „Halten Sie Ihre Daten im eigenen Land.“ Der richtige Ansatz hängt von den spezifischen Risiken, Abhängigkeiten und geschäftlichen Anforderungen jeder Organisation ab.

Anmerkung der Redaktion: Dieses Interview wurde aus Gründen der Klarheit und Prägnanz bearbeitet.