Datensouveränität scheitert oft schon am fehlenden Überblick

Geopolitische Risiken und ein möglicher Zugriff ausländischer Behörden auf Unternehmensdaten haben das Bewusstsein für die Datensouveränität geschärft. Der Datenmanagementanbieter Everpure hat hierzu mit Vanson Bourne eine Studie erstellt, in der global 85 Prozent der befragten Führungskräfte angeben, dass sie auf Funktionen und Leistungsmerkmale verzichten würden, um mit einem lokalen oder souveränen Anbieter zusammenzuarbeiten. 88 Prozent befürchten, dass ein Versagen bei der Datensouveränität persönliche berufliche Konsequenzen haben könnte.

Viele Anbieter haben auf das zunehmende Problembewusstsein reagiert: Cloud-Provider werben mit regionalen Betriebsmodellen, kontrollierten Zugriffsrechten und kundenseitigem Schlüsselmanagement. Analysten, Berater und Branchenorganisationen haben Architekturmodelle und Handlungsempfehlungen entwickelt. Diese reichen von zusätzlichen Sicherheits- und Governance-Maßnahmen bis zum Betrieb besonders sensibler Workloads in abgeschotteten Umgebungen.

Hohes Risikobewusstsein, kaum Transparenz

Doch bevor Unternehmen die passende Architektur auswählen und implementieren können, müssen sie eine grundlegende Frage beantworten: Welche Daten sind überhaupt vorhanden, wo liegen diese und wer kann darauf zugreifen? Genau an dieser Voraussetzung hapert es offenbar vielerorts. Laut dem Everpure-Report fehlt 62 Prozent der Unternehmen der Überblick darüber, wo sich die Daten befinden, wer sie kontrolliert, verwaltet und darauf zugreifen kann.

Mehr als die Hälfte gibt zudem an, nicht über die notwendigen Kompetenzen und Kapazitäten für die Umsetzung von Souveränitätsinitiativen zu verfügen. Zu einem ähnlichen Ergebnis kommt der von S&P Global Market Intelligence und 451 Research erstellte „Thales Data Threat Report“. Danach wissen nur 34 Prozent der befragten Unternehmen, wo ihre Daten gespeichert sind und lediglich 39 Prozent geben an, sämtliche Daten klassifizieren zu können.

Das bedeutet nicht, dass die Unternehmen ihre Speicherorte nicht kennen, sondern dass eine Gesamtsicht auf verteilte Bestände, Zugriffsrechte und Schutzanforderungen nicht vorhanden ist.

Mit KI-Agenten wird es noch schwieriger

Zusätzliche Bedeutung gewinnt diese Frage durch generative KI und autonome Agenten. Sie sollen Informationen aus unterschiedlichen Unternehmenssystemen zusammenführen, auswerten und zunehmend eigenständig weiterverarbeiten. Damit entstehen weitere Zugriffswege auf Daten. Besonders kritisch wird es, wenn KI-Agenten auf sensible Informationen zugreifen, die bislang nur für bestimmte Mitarbeiter oder Anwendungen vorgesehen waren. Dann reicht es nicht aus, bestehende Zugriffsrechte einfach auf die neuen Systeme zu übertragen. Unternehmen müssen auch festlegen, welche Daten Agenten für welche Aufgaben verwenden dürfen und ob dabei Informationen an externe KI-Dienste übermittelt werden. Damit wird die Datensouveränität zu einer Frage der Kontrolle über die gesamte Verarbeitungskette.

Everpure empfiehlt dafür einen risikobasierten Ansatz unter der Bezeichnung „Sovereignty by Design“. Danach sollen nicht alle Daten pauschal denselben Souveränitätsanforderungen unterworfen werden. Stattdessen bestimmen Sensibilität, geschäftliche Bedeutung und rechtliche Risiken, welche Schutzmaßnahmen erforderlich sind. Die Datenmanagementsoftware des Unternehmens soll die dafür notwendigen Informationen liefern. Auf dieser Grundlage können Unternehmen beispielsweise festlegen, dass besonders sensible Informationen nicht durch externe KI-Dienste verarbeitet werden dürfen, während weniger kritische Daten weiterhin in Public-Cloud-Umgebungen genutzt werden können. Die entsprechenden Zugriffsbeschränkungen müssen dann allerdings auch technisch durchgesetzt werden.

Doch eine solche Datenklassifizierung beseitigt weder extraterritoriale Zugriffsrechte noch geopolitische Abhängigkeiten von Cloud-Anbietern. Sie schafft zunächst nur die Informationsgrundlage für entsprechende Architekturentscheidungen. Die rechtliche und operative Absicherung erfordert darüber hinaus eigenständige Maßnahmen.

Positiver Nebeneffekt: Schnellere KI, geringere Kosten

Die Kombination aus Datenmanagement und KI-Infrastruktur kann nach Angaben von Everpure auch wirtschaftliche Vorteile bringen. So soll der Key-Value Accelerator PureKVA Kontextinformationen für Sprachmodelle effizienter bereitstellen und dadurch die Zeit bis zum ersten ausgegebenen Token (*Time to First Token*) um bis zu Faktor 20 verkürzen.

Parallel dazu hat Everpure eine Referenzarchitektur zur Optimierung des Tokenverbrauchs vorgestellt. Der Anbieter verspricht unter anderem intelligentes Model-Routing mit Caching und Modellen mit offenen Gewichten. Anfragen sollen dadurch effizienter verarbeitet und der Einsatz kostenpflichtiger externer KI-Dienste reduziert werden. Markus Grau, Enterprise Architect bei Everpure, stellte dafür eine mögliche Verringerung des Tokenverbrauchs um 50 bis 75 Prozent in Aussicht. Dabei handelt es sich allerdings um eine interne Erwartung und nicht um einen bereits erzielten Messwert.

Kontrolle statt Cloud-Exodus

Trotz der Bereitschaft des Managements, für mehr Souveränität funktionale Einschränkungen hinzunehmen, zeichnet sich bislang keine umfassende Abkehr von den großen Public-Cloud-Anbietern ab. Auch Everpure beobachtet nach Angaben von Grau bislang keine größeren Rückverlagerungen von Cloud-Workloads ins eigene Rechenzentrum. Das ist kein Widerspruch zu den Studienergebnissen. Die erklärte Bereitschaft, auf Funktionen zu verzichten, bedeutet nicht zwangsläufig, dass Unternehmen ihre bisherigen Cloud-Strategien grundsätzlich aufgeben. Schließlich bleiben die wirtschaftlichen und technologischen Vorteile globaler Plattformen bestehen.