Kernaussagen
- Wenn es um Datenhoheit geht, verändert die KI die Bedeutung des Begriffs „Kontrolle“. Dabei geht es darum, wie auf Daten zugegriffen wird, wie sie verarbeitet, übertragen, aufbewahrt und zum Trainieren von Modellen genutzt werden – und nicht nur darum, wo sie gespeichert sind.
- Jede KI-Interaktion durchläuft fünf Souveränitätskontrollpunkte, von der Eingabe und dem Abruf bis hin zur Inferenz, Ausgabe und Aufbewahrung.
- Ein eigenes KI-Hosting ist für die Souveränität nicht erforderlich und reicht allein auch nicht aus. Integrationen, Administratorzugriff und Protokolle müssen weiterhin einer Governance unterliegen.
- Verträge mit KI-Anbietern sollten das Modelltraining, die Verarbeitungsorte, Unterauftragsverarbeiter, die Aufbewahrung und die Löschung abdecken.
- Flexible Bereitstellung und die freie Wahl der KI-Modelle ermöglichen es Unternehmen, sich an veränderte Vorschriften und Anbieter anzupassen.
Einleitung
Datensouveränität im Bereich der KI bezeichnet die Fähigkeit eines Unternehmens, in jeder Phase, in der ein KI-System mit seinen Daten in Berührung kommt, die rechtliche, operative und technische Kontrolle über diese Daten zu behalten.
Die meisten Menschen betrachten Souveränität nach wie vor unter dem Gesichtspunkt einer einzigen Frage: Wo befinden sich die Daten? Cloud-Computing hat die Beantwortung dieser Frage bereits erschwert. KI macht es noch schwieriger, da Daten zwischen internen Systemen, Modellen von Drittanbietern und Cloud-Diensten verschoben werden – oft mit geringer Transparenz. Die bloße Speicherung von Daten in einer zugelassenen Region hilft nicht weiter, wenn ein KI-Dienst diese an einem anderen Ort verarbeitet oder aufbewahrt, da der physische Standort allein noch nie Kontrolle garantiert hat.
Da KI für die Arbeitsweise von Unternehmen immer wichtiger wird, ist die gute Nachricht, dass Einführung und Kontrolle sich nicht gegenseitig ausschließen müssen. Die Lösung liegt in der Governance an jedem Punkt, an dem Daten in die KI gelangen – unterstützt durch Technologie, die Ihnen Wahlmöglichkeiten bietet.
Was ist Datenhoheit in der KI?
Datensouveränität in der KI geht über die Frage des Speicherorts hinaus und wendet die Prinzipien der Datensouveränität darauf an, wie künstliche Intelligenz die Daten nutzt. Zwei Aktivitäten sind dabei besonders wichtig:
- Training und Feinabstimmung. Daten werden verwendet, um ein Modell aufzubauen oder zu verbessern, und sie können noch lange nach dem Löschen der Quelldatei in diesem Modell verbleiben.
- Inferenz. Ein bestehendes Modell verarbeitet Eingaben und den abgerufenen Kontext, um eine Antwort zu generieren oder eine Aktion auszuführen.
Selbst Unternehmen, die niemals ein Modell trainieren, benötigen Einblick in beide Bereiche, da manche KI-Dienste übermittelte Daten zum Training nutzen können, sofern dies nicht durch Verträge und Einstellungen ausgeschlossen ist.
Auf nationaler Ebene wird zudem der Begriff „souveräne KI“ verwendet, wobei Regierungen weltweit strategische Autonomie und nationale Sicherheit anstreben, indem sie Rechenkapazitäten, Grundmodelle und Daten innerhalb der Landesgrenzen halten und mit den Werten der jeweiligen Nation in Einklang bringen. Für Unternehmen ist KI-Souveränität eher praktischer Natur. Sie bedeutet, dass Ihre Organisation – und nicht Ihre Anbieter – entscheidet, wie ihre Daten genutzt werden.
Warum erschwert KI die Wahrung der Datenhoheit?
KI fügt jeder Anfrage neue Verarbeitungsorte, neue Anbieter und neue Datenkopien hinzu. Gartner
prognostiziert, dass bis 2027 mehr als 40 % der KI-bezogenen Datenschutzverletzungen durch unsachgemäße grenzüberschreitende Nutzung generativer KI verursacht werden.
Der größte Teil dieses Risikos ergibt sich aus drei Veränderungen in der Art und Weise, wie KI Unternehmensdaten verarbeitet.
Daten in Nutzung können Grenzen überschreiten
KI-Workloads werden nicht immer dort ausgeführt, wo Ihre Daten gespeichert sind. Ein in Frankfurt gehostetes Portal könnte einen Modell-Endpunkt in einer anderen Region aufrufen. Die ruhenden Daten entsprechen zwar den Vorschriften, die genutzten Daten jedoch möglicherweise nicht, und jeder Grenzübertritt muss den lokalen Vorschriften auf beiden Seiten entsprechen.
Drittanbieter bringen ihre eigenen Regeln mit
Je nach ihren Geschäftsbedingungen können Anbieter Eingabeaufforderungen speichern, diese für Trainingszwecke nutzen oder auf Unterauftragsverarbeiter zurückgreifen, die Sie nie überprüft haben. Auch deren rechtlicher Sitz spielt eine Rolle. Der US-amerikanische CLOUD Act kann den Zugriff aus dem Ausland ermöglichen, unabhängig davon, wo sich die Server befinden – was ein Grund dafür ist, dass souveräne Cloud-Lösungen im öffentlichen Sektor an Boden gewonnen haben.
Modell-Lock-in verteuert Veränderungen
Eine Modellbindung macht aus einer regulatorischen Änderung ein Projekt zur Umstellung auf eine neue Plattform. Eine Architektur, die es Ihnen ermöglicht, Modelle anzupassen, wenn sich die Anforderungen ändern, lässt Ihnen die Entscheidung in der Hand.
Wo kann die Datenhoheit bei einer KI-Interaktion ins Wanken geraten? Die fünf Kontrollpunkte
Jede KI-Anfrage – egal, ob sie von einem Mitarbeiter stammt, der KI-Tools nutzt, oder von einem Agenten, der einen Workflow ausführt – durchläuft fünf Kontrollpunkte. Jeder einzelne wirft seine eigene Frage zur Datenhoheit auf.
| Kontrollpunkt | Was geschieht mit den Daten? | Frage zur Datenhoheit | Kontrollmechanismus, der sie beantwortet |
| 1. Eingabe | Eingabeaufforderungen, Dateien und Benutzerkontext werden in das KI-System eingespeist | Welche Daten dürfen Nutzer senden und an welche Modelle? | Klassifizierung, für KI geeignete Datenebenen, Datenminimierung |
| 2. Abruf | Die KI ruft Kontextdaten aus CMS, CRM, ERP und Dokumentenarchiven ab | Kann die KI auf Daten zugreifen, auf die der anfragende Benutzer keinen Zugriff hat? | Berechtigungsabhängiger Abruf |
| 3. Inferenz | Das Modell verarbeitet die Daten | Wo findet die Verarbeitung statt, nach welchen Gesetzen und durch welchen Anbieter? | Modellauswahl, regionale Verpflichtungen, private oder selbst gehostete Modelle für regulierte Daten |
| 4. Ausgabe und Aktion | Es werden Antworten generiert oder ein Agent schreibt Daten zurück in Systeme | Wer überprüft die Ergebnisse, bevor sie an Kunden weitergeleitet oder gespeichert werden? | Überprüfung durch einen Menschen, Prüfpfade |
| 5. Aufbewahrung, Wiederverwendung und Training | Protokolle, Caches, Einbettungen und Feinabstimmungsdatensätze bleiben erhalten | Wird etwas aufbewahrt oder zum Trainieren von Modellen verwendet, und kann es gelöscht werden? | Verbote des Trainings, Aufbewahrungsfristen, Lösch- und Exportrechte |
Wenn Ihr Unternehmen eigene Modelle feinabstimmt oder trainiert, behandeln Sie Trainingsdaten als dauerhafte Kopie mit eigenen Klassifizierungs-, Zugriffs- und Löschregeln.
Eine strenge Kontrolle an vier Kontrollpunkten gleicht eine Lücke am fünften nicht aus.
Bedeutet die Wahrung der Datensouveränität, dass man einen eigenen KI-Stack aufbauen muss?
Nein. Der Besitz des gesamten KI-Stacks ist weder notwendig noch ausreichend.
Während die vollständige Kontrolle von der physischen Ebene aufwärts für bestimmte Arbeitslasten in der Regierung und bei kritischen Infrastrukturen sinnvoll ist, ist dies für die meisten Unternehmen komplex, bindet Rechen- und Entwicklungsressourcen und schneidet Teams von den rasanten Verbesserungen bei den Basismodellen ab. Ein praktischerer Ansatz passt die KI-Infrastruktur an die Sensibilität der Daten an, indem selbst gehostete oder private Modelle für regulierte Daten wie Gesundheitsakten reserviert und vertraglich vereinbarte, verwaltete Modelle für Anwendungsfälle mit geringerem Risiko genutzt werden.
Ein privates Modell kann sensible Daten dennoch über Integrationen, administrativen Zugriff, Abrufquellen und gespeicherte Protokolle offenlegen.
So funktioniert Transformation, ohne bei Null anzufangen. Sie erhalten mehr Kontrolle dort, wo es darauf ankommt, und nutzen gleichzeitig Ihre bereits vorhandenen Systeme optimal.
Wie können Unternehmen bei der Nutzung von KI ihre Datenhoheit wahren?
Diese sechs Schritte integrieren KI-Governance in Ihre KI-Initiativen und ermöglichen es Ihnen, diese zu skalieren, ohne die Kontrolle zu verlieren.
1. Erfassen und klassifizieren Sie die von der KI verwendeten Daten
Erweitern Sie Ihre bestehenden Datenmanagement-Praktiken auf KI. Ordnen Sie jeden KI-Anwendungsfall den fünf Kontrollpunkten zu, klassifizieren Sie regulierte und sensible Daten und legen Sie fest, welche Modelle die jeweilige Kategorie verarbeiten dürfen. Wenden Sie das Prinzip der Datenminimierung an, damit jede Aufgabe nur die Daten erhält, die sie benötigt.
2. Passen Sie Modelle und Bereitstellung an die Datensensibilität an
Wägen Sie Cloud-, Private-, Hybrid- und selbst gehostete Optionen ab, je nachdem, wo die Datenspeicherung und -verarbeitung stattfindet, wer die Infrastruktur betreibt und wer auf die Daten zugreifen kann. Behalten Sie sich die Freiheit vor, später den Anbieter zu wechseln, damit eine Änderung der Vorschriften keinen Neuaufbau erzwingt.
3. Wenden Sie Ihre bestehenden Zugriffs- und Nutzungsrichtlinien auf KI an
KI-Integrationen sollten die Identitäts- und Autorisierungsregeln Ihres Unternehmens übernehmen, und nur genehmigte Modelle und Dienste sollten Zugriff auf sensible Daten erhalten. Bei Agenten beginnt eine gute KI-Agenten-Governance damit, zu wissen, wer jedem einzelnen Zugriff auf welche Daten gewährt hat.
4. Verankern Sie die Datenhoheit in den Anbieterverträgen
Achten Sie auf klare Bestimmungen zu Dateneigentum, Verarbeitungsorten, Modelltraining, Aufbewahrung und Löschung sowie auf Benachrichtigungen bei Wechseln von Unterauftragsverarbeitern, administrativem Zugriff und Mechanismen für grenzüberschreitende Datenübermittlungen. Verlangen Sie Unterlagen, die die Kontrolle bei Sicherheits- und Compliance-Prüfungen belegen.
5. Führen Sie Pilotprojekte mit synthetischen Daten durch
Testen Sie KI-Tools in der Vorschau- oder Testphase nicht mit echten Kundendaten. Verwenden Sie synthetische oder anonymisierte Daten, bis ein Tool die Sicherheits- und Rechtsprüfung bestanden hat, und lassen Sie sich schriftlich bestätigen, ob während einer Testphase übermittelte Daten aufbewahrt oder für das Training verwendet werden.
6. Weisen Sie Verantwortlichkeiten zu und bewerten Sie kontinuierlich neu
Führen Sie Aufzeichnungen über KI-Interaktionen und Datenzugriffe, wobei die Ergebnisse einer menschlichen Überprüfung unterliegen müssen. Regulatorische Rahmenbedingungen schreiben dies zunehmend vor, und das EU-KI-Gesetz verlangt, dass KI-Systeme mit hohem Risiko während ihrer gesamten Lebensdauer eine automatische Ereignisprotokollierung ermöglichen. Verteilen Sie die Verantwortung auf die Teams für IT, Recht, Sicherheit und Daten-Governance und überprüfen Sie die Situation immer wieder, wenn sich Anwendungsfälle erweitern oder Anbieter neue Funktionen hinzufügen. Datenhoheit ist eine fortlaufende betriebliche Anforderung, keine einmalige Maßnahme.
Was sollten Sie bei einer KI-Plattform oder einem Anbieter vor der Einführung erfragen?
Stellen Sie diese Fragen bei jeder Bewertung eines KI-Anbieters, unabhängig davon, ob Sie einen Modellanbieter, eine Plattform oder eine KI-Funktion innerhalb einer bereits von Ihnen genutzten Software prüfen. Die Antworten zeigen, wie viel Kontrolle Sie nach der Inbetriebnahme tatsächlich behalten werden, und überzeugende Antworten gehen mit überprüfbarer Dokumentation einher – nicht mit mündlichen Zusicherungen.
| Frage | So sieht eine gute Antwort aus |
| Wo werden Eingabeaufforderungen, abgerufene Daten, Ausgaben und Protokolle verarbeitet und gespeichert? Kann die Verarbeitung einer bestimmten Region zugeordnet werden? | Namentlich genannte Regionen für jede Phase, vertraglich abgesichert |
| Werden unsere Daten zum Training verwendet? | Standardmäßig nein, nur bei ausdrücklicher Zustimmung und in der Vereinbarung festgehalten |
| Beachtet die KI unsere bestehenden Benutzerberechtigungen? | Die KI greift nur auf Daten zu, für deren Einsicht der anfragende Nutzer berechtigt ist |
| Was sichert der Anbieter ab, und was bleibt unsere Aufgabe? | Ein schriftlich festgelegtes Modell der geteilten Verantwortung |
| Welche Nachweise können Sie vorlegen? | Aktuelle Zertifizierungen, Prüfungsrechte und Vorabmitteilungen über neue Unterauftragsverarbeiter |
| Können wir später das Modell oder das Hosting wechseln und unsere Daten exportieren oder löschen? | Modellauswahl, mehrere Bereitstellungsoptionen sowie dokumentierte Export- und Löschmöglichkeiten |
Bewerten Sie die gesamte KI-Architektur, einschließlich Integrationen und Dienste von Drittanbietern, und nicht nur ein einzelnes KI-Produkt. Das unterscheidet unternehmensgerechte KI-Lösungen von Demos, die nur auf den ersten Blick sicher wirken.
Wie hilft Liferay DXP Unternehmen dabei, die Kontrolle über die von KI genutzten Daten zu behalten?
Liferay DXP bietet Ihrem Team Entscheidungsmöglichkeiten an den Punkten, an denen die Souveränität festgelegt wird – darunter, wo die Plattform ausgeführt wird, mit welchen KI-Modellen sie verbunden ist und auf welche Daten diese Modelle zugreifen können.
- Wahl der Bereitstellungsart. Die Bereitstellungsoptionen von Liferay – darunter SaaS, PaaS und Self-Hosted – laufen alle auf derselben Plattform, und Liferay DXP kann zudem auf einer vom Kunden verwalteten Infrastruktur oder bei regionalen und souveränen Cloud-Anbietern betrieben werden. Bei der selbst gehosteten Variante verarbeitet Liferay DXP keine personenbezogenen Daten in Ihrem Auftrag, und bei Cloud-Angeboten wählen Sie die Hosting-Region selbst aus.
- Modellauswahl. Im Rahmen des „Bring Your Own AI“-Ansatzes binden Sie eigene oder Modelle von Drittanbietern über unterstützte APIs ein und bleiben für diese Integration sowie die Nutzungsbedingungen des Modells verantwortlich.
- Kein Training mit Ihren Daten. Liferay DXP verwendet keine vom Kunden bereitgestellten Daten zum Trainieren von KI-Modellen und gestattet dies auch Dritten nicht ohne Ihre Zustimmung.
- Agenten, die Berechtigungen erben. Der Liferay AI Hub führt Agenten im Auftrag authentifizierter Benutzer von Liferay DXP aus, sodass diese nur das sehen, was auch diese Benutzer sehen können.
- Zertifizierte Governance. Das KI-Managementsystem von Liferay ist nach ISO/IEC 42001 zertifiziert, orientiert sich an Rahmenwerken wie dem EU-KI-Gesetz und richtet sich nach ethischen Standards wie Fairness, Transparenz und menschlicher Aufsicht. Cloud-Kunden werden vorab über neue Unterauftragsverarbeiter informiert und können Widerspruch einlegen.
Die Plattformfunktionen unterstützen die Governance, ersetzen jedoch nicht Ihre eigene Bewertung der von Ihnen ausgewählten Modelle, externen Dienste und Konfigurationen. Liferay DXP und seine Partner arbeiten bei diesen Entscheidungen direkt mit Ihren technischen und rechtlichen Teams zusammen.
Wie können Sie eine KI-Strategie entwickeln, mit der Sie Ihre Daten unter Kontrolle behalten?
Die Skalierung von KI und die Wahrung der Datenhoheit gehen Hand in Hand, wenn Sie die Datenflüsse kontrollieren, anstatt zu versuchen, den gesamten Stack zu besitzen. Dies erfordert Transparenz über KI-Datenflüsse, Sicherheitsvorkehrungen an jedem Kontrollpunkt und die Flexibilität, Modelle und Bereitstellungen anzupassen, sobald sich die Regeln ändern. Wenn Sie diese Aspekte richtig umsetzen, wird Datenhoheit zu einer Quelle des Kundenvertrauens statt zu einem Hemmnis für Innovation.
Erfahren Sie, wie der Liferay AI Hub und Liferay DXP KI mit Ihren bestehenden Systemen verbinden,
während Sie die Kontrolle über sensible Daten behalten.
Häufig gestellte Fragen
Können Unternehmen bei der Nutzung von Cloud-basierter KI ihre Datenhoheit wahren?
Ja. Cloud-basierte KI kann die Anforderungen an die Datenhoheit erfüllen, wenn Sie die operative Kontrolle darüber haben, wo Daten verarbeitet werden, wo sie gespeichert werden, wer darauf zugreifen darf und wie lange sie aufbewahrt werden. Überprüfbare und durchsetzbare Verpflichtungen sind wichtiger als die Wahl der Cloud-Plattform.
Wer ist für die Einhaltung der Vorschriften verantwortlich, wenn ein Modell eines Drittanbieters über eine Plattform eingebunden wird?
Die Verantwortung wird geteilt. Die Plattform sichert ihre eigene Ebene ab, während Ihr Unternehmen die Modellauswahl, die Integration und die Bedingungen des Modellanbieters regelt. Eine Plattform, die diese Aufteilung klar dokumentiert, erleichtert das Risikomanagement.
In welchem Zusammenhang steht die Datenhoheit in der KI mit der DSGVO und dem EU-KI-Gesetz?
Die KI-Verarbeitung unterliegt den bestehenden Datenschutzvorschriften, einschließlich der Beschränkungen der DSGVO für internationale Datenübermittlungen. Das EU-KI-Gesetz fügt Governance-Verpflichtungen für Systeme mit hohem Risiko hinzu, wie beispielsweise Protokollierung und menschliche Aufsicht. Die Anforderungen variieren stark von Land zu Land, daher ist es hilfreich zu verstehen, wie sich die Einhaltung der Datenhoheit je nach Region unterscheidet.
