Ebene 1: Infrastruktur — Wo läuft mein System?
Die sichtbarste Ebene. Rechenzentren, Compute, Modelle, Netze. Hier tobt gerade der Markt: europäische Cloud-Angebote, souveräne Regionen der Hyperscaler, lokale Modelle auf eigener Hardware.
Die gute Nachricht: Diese Ebene wird gelöst. Wer heute europäische Infrastruktur will, bekommt sie — von der Public Cloud bis zur vollständig getrennten Umgebung im eigenen Serverraum.
Die schlechte Nachricht: Viele halten das Thema damit für erledigt. Ein Modell, das in Frankfurt statt in Virginia läuft, ist aber nicht automatisch vertrauenswürdig. Es ist nur näher dran.
Ebene 2: Daten — Wem gehören sie, wo bleiben sie?
Die regulierte Ebene. DSGVO, Auftragsverarbeitung, Datenklassifizierung, Rechtsraum des Betreibers. Hier gibt es Regeln — nicht perfekt, aber vorhanden und durchsetzbar.
Die entscheidende Frage auf dieser Ebene lautet nicht nur „Wo liegen die Daten?", sondern: Unter wessen Rechtsraum steht der, der auf sie zugreifen kann? Ein europäisches Rechenzentrum unter Kontrolle eines US-Konzerns bleibt eine offene Flanke — Stichwort CLOUD Act. Getrennt vom Internet heißt nicht getrennt vom Mutterkonzern.
Was auf dieser Ebene oft übersehen wird: Nicht nur Fachdaten sind sensibel. Auch Betriebsdaten — Tickets, Konfigurationsdatenbanken, Systemlandkarten — verraten, wie Ihre Organisation von innen aussieht. Wer die Landkarte Ihrer IT kennt, kennt Ihre Angriffsfläche.
Ebene 3: Entscheidung — Wer entscheidet am Ende?
Die vergessene Ebene. Und die einzige, die kein Anbieter der Welt für Sie lösen kann.
Wenn ein KI-System eine Empfehlung ausspricht, einen Antrag vorbereitet, eine Diagnose vorschlägt oder eine Bestellung auslöst: Wer hat entschieden? Kann ich es nachvollziehen? Kann ich eingreifen, korrigieren, widerrufen?
Das ist Entscheidungssouveränität. Sie entsteht nicht durch den Standort des Rechenzentrums, sondern durch Architektur: Freigabe-Logik, dokumentierte Entscheidungswege, die Fähigkeit des Menschen, jederzeit die Kontrolle auszuüben. Ich nenne dieses Bauprinzip das Ausbildungsprinzip — die KI arbeitet wie ein guter Azubi: Sie bereitet vor, legt vor und fragt nach der Freigabe.
Warum die Reihenfolge zählt
Der häufigste Fehler in Souveränitätsprojekten: Man beginnt bei Ebene 1, investiert das Budget in Infrastruktur — und stellt am Ende fest, dass die Entscheidungsebene nie designt wurde. Das Ergebnis ist ein souverän gehostetes System, dem trotzdem niemand traut.
Die robustere Reihenfolge ist umgekehrt:
- Entscheidung zuerst. Welche Entscheidungen trifft das System, welche der Mensch? Wo ist Freigabe Pflicht, wo genügt Protokollierung?
- Daten danach. Welche Daten braucht das System dafür, wie sensibel sind sie, welcher Rechtsraum kommt infrage?
- Infrastruktur zuletzt. Erst jetzt lässt sich sauber ableiten, ob es Public Cloud, hybrider Betrieb oder On-Premise sein muss — dazu mehr in On-Premise, hybrid oder Cloud?
Der Test für Ihre Organisation
Vier Fragen, die wichtiger sind als jede Anbieter-Broschüre:
- Wo laufen meine Daten — und unter wessen Rechtsraum?
- Kann ich den Anbieter wechseln, oder ist der Lock-in faktisch endgültig?
- Wer entscheidet im Prozess — Mensch oder Modell?
- Kann ich jede Entscheidung nachvollziehen und belegen?
Die ersten beiden Fragen prüfen technische Souveränität. Die letzten beiden prüfen die Ebene, die zählt.
Souveränität ist keine Flagge auf dem Rechenzentrum. Sie ist die nachweisbare Fähigkeit, zu kontrollieren, zu verstehen und im Ernstfall zu wechseln — auf allen drei Ebenen.
Quellen und weiterführende Links
- CLOUD Act im Überblick (Wikipedia)
- DSGVO, Verordnung (EU) 2016/679 (EUR-Lex, offizieller Text)
- EU AI Act, Verordnung (EU) 2024/1689 (EUR-Lex, offizieller Text)
Alle Links geprüft am 4. August 2026. Externe Inhalte können sich ändern.