Die Abhängigkeit, die längst besteht
Fragen Sie sich einen Moment lang, auf wessen Infrastruktur Ihr Unternehmen läuft: E-Mails, Dokumente, Tabellen, Kalender, Dateiablage und Videokonferenzen. In vielen europäischen Unternehmen stammen diese Dienste von Microsoft, Amazon oder Google. Die Rechenzentren können in Frankfurt oder Dublin stehen, die Betreiber gehören dennoch zu Konzernen mit Sitz in den USA.
Über Jahre haben Unternehmen und Behörden ihre Infrastruktur bei wenigen US-Hyperscalern gebündelt, weil es bequem und gut integriert war. Damit liegt ein Teil der Kontrolle über die eigenen Daten und Abläufe bei Anbietern, die US-Recht unterliegen. Diese Abhängigkeit ist heute der Status quo.
Bei der Künstlichen Intelligenz steht dieselbe Entscheidung jetzt erneut an, diesmal nicht bei der Ablage, sondern bei der Wissensarbeit selbst.
Eine strukturelle Frage
Die Frage betrifft jeden Anbieter im kritischen Pfad Ihres Unternehmens, der einer Rechtsordnung außerhalb der EU unterliegt. Wer bei einem Anbieter ein Klumpenrisiko erkennt, sollte es bei allen prüfen. Es geht nicht um die Güte eines Modells, sondern um Kontrolle und Abhängigkeit.
Was Verträge regeln und was nicht
Viele Unternehmen verlassen sich auf ihren Vertrag: Enterprise-Agreement, Service-Level-Agreement, Auftragsverarbeitungsklauseln, ein Rechenzentrum in der EU. Ein privatrechtlicher Vertrag bindet den Anbieter, nicht aber die Regierung des Landes, in dem er sitzt, und er steht unter dem öffentlichen Recht dieses Landes.
Ein Beispiel ist der US CLOUD Act: Nach 18 U.S. Code Paragraf 2713 müssen Anbieter, die US-Recht unterliegen, behördliche Anordnungen zur Sicherung oder Herausgabe auch für Daten befolgen, die sich in ihrem Besitz oder unter ihrer Kontrolle befinden, unabhängig davon, ob diese in den USA oder im Ausland gespeichert sind. Ein Rechenzentrum in Frankfurt ändert an dieser Befugnis nichts, solange der Betreiber US-Recht unterliegt.
Die Schrems-Urteile des Europäischen Gerichtshofs haben den Konflikt zwischen dem Datenschutzniveau der EU und den Zugriffsbefugnissen US-amerikanischer Behörden offengelegt. Zwei transatlantische Datenschutzabkommen hat der Gerichtshof deshalb für ungültig erklärt. Prüfen Sie daher neben dem Vertrag auch, welchem Recht jeder Anbieter in Ihrem Arbeitsplatz unterliegt.
Warum der ganze Arbeitsplatz zählt
Das Risiko lässt sich nicht auf ein einzelnes Werkzeug eingrenzen. Der Hebel liegt nicht bei einem Produkt, sondern bei der Rechtsordnung, der ein Anbieter unterliegt, und sie erfasst jeden Baustein dieses Anbieters, von Office über Cloud bis KI.
Würde der Zugang zu den Diensten eines Anbieters eingeschränkt, wäre nicht nur das KI-Modell betroffen, sondern auch das Office, in dem Texte entstehen, die Cloud, in der sie liegen, der E-Mail-Dienst und die Videokonferenz. Liegen Office, Cloud und KI bei Anbietern unter derselben Rechtsordnung, bündeln sich diese Abhängigkeiten.
Betroffen wäre dann nicht ein einzelnes Werkzeug, sondern die Arbeitsfähigkeit des ganzen Unternehmens. Bei Cloud und Office besteht diese Abhängigkeit bereits. Wer jetzt auch die KI-Schicht, das Herzstück der künftigen Wertschöpfung, bei denselben US-Anbietern ansiedelt, vertieft sie bis in Entscheidungsprozesse, Wissensarbeit und vertrauliche Kommunikation. Deshalb lohnt es sich, bei der Einführung von KI auch Office und Cloud mitzudenken.
Souveränität ist keine Ideologie, sie ist Risikomanagement
Hier wird gern der Vorwurf laut, das sei antiamerikanisch oder technologiefeindlich. Das Gegenteil ist der Fall. US-Technologie ist leistungsfähig, und die genannten Unternehmen bauen herausragende Produkte. Darum geht es nicht. Es geht um eine nüchterne betriebswirtschaftliche Frage: Wollen Sie, dass die Handlungsfähigkeit Ihres Unternehmens von Entscheidungen abhängt, die in einer fremden Hauptstadt getroffen werden und auf die Sie null Einfluss haben?
Bei physischen Gütern ist es üblich, die Lieferkette auf mehrere Zulieferer und Rechtsräume zu verteilen. Dieselbe Grundregel gilt für digitale Infrastruktur. Digitale Souveränität ist deshalb keine politische Haltung, sondern schlicht Risikomanagement: die Fähigkeit, unter allen Umständen handlungsfähig zu bleiben. Ein leistungsfähiges Werkzeug bleibt wertlos, wenn ein Dritter über seine Verfügbarkeit entscheidet. Kontrolle schlägt Komfort, sobald der Ernstfall eintritt.
Nexoria: Datenwege und Anbieter nachvollziehen
Genau an diesem Punkt setzt Nexoria an. Für die Bewertung unserer Plattform benennen wir die einzelnen Verarbeitungsschritte und ihre Anbieter. Dateiablage und Suche sind von der KI-Antwortgenerierung sowie zusätzlichen Diensten und aktivierten Integrationen zu unterscheiden.
- Dateien und Suche in Deutschland. Backend, Datenbanken, Wissensindex und lokale Modelle für Embeddings und semantische Suche laufen auf Servern in Deutschland.
- KI-Antworten. Die Antwortgenerierung durch Nex nutzt Mistral AI. Mistral AI ist eine französische Société par actions simplifiée mit Sitz in Paris. Die von Nexoria übermittelten Daten werden nach dem individuellen Auftragsverarbeitungsvertrag nicht für Modelltraining verwendet.
- Weitere Dienste getrennt prüfen. Die technische Fehlerüberwachung über Sentry, optionale E-Mail-Integrationen und der Telefonanschluss über Telnyx beim VoiceBot sind unter Sicherheit mit ihren Datenwegen aufgeführt.
- Optionale externe KI. ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google) und Langdock lassen sich optional an Nexoria anbinden. Nexoria funktioniert auch ohne diese Anbindungen. Bei einer Anbindung werden freigegebene Inhalte an den jeweiligen Anbieter übermittelt. Maßgeblich sind dessen Bedingungen, Verarbeitungsorte und Einstellungen.
- Ein gemeinsamer Arbeitsplatz. Doc, Calc und Slides für Dokumente, Tabellen und Präsentationen, Mail für die Kommunikation, Drive für Dateien und Wissensbasis sowie Meet für Videokonferenzen gehören zur Nexoria-Produktfamilie. Die Datenwege hängen von den jeweils genutzten Funktionen ab.
- Offline-Verfügbarkeit. Als native Anwendung bleiben zentrale Funktionen verfügbar, auch wenn die Verbindung nach außen unterbrochen ist. Für die Nutzung externer KI-Dienste ist eine Verbindung erforderlich.
Diese Aufteilung macht die beteiligten Dienste überprüfbar. Sie ist keine Garantie, dass sämtliche Funktionen unabhängig von externen Anbietern oder rechtlichen und technischen Änderungen verfügbar bleiben.
Die Entscheidung steht jetzt an
Bei Cloud und Office besteht die Abhängigkeit bereits, bei der KI treffen Sie die Entscheidung jetzt. Die KI-Schicht wird gerade erst gebaut. Jedes Unternehmen entscheidet in diesen Monaten, auf welchem Fundament seine künftige Wertschöpfung ruht. Diese Entscheidung ist keine reine IT-Frage, sondern eine strategische Weichenstellung darüber, wer künftig die Kontrolle über Ihren digitalen Kern hat: Sie selbst oder eine Rechtsordnung, an der Sie nicht beteiligt sind.
Souveränität entsteht durch eine Architektur, deren Datenwege und Anbieter Sie kennen und prüfen können. Souveräne KI und ein souveränes Office, beides aus Europa, beides in Ihrer Hand.
Bereit für den nächsten Schritt? Lernen Sie Nexoria in einer persönlichen Demo kennen: Dateien und Suche in Deutschland, KI-Antwortgenerierung durch Mistral AI.
- Christian Klever ist CTO und Co-Founder von Nexoria Systems, Caan Grueneberg ist CEO und Co-Founder.