Ein KI-Assistent, der technische Unterlagen durchsucht, Serviceanfragen vorbereitet oder Rechnungen verarbeitet, kann Beschäftigten erhebliche Arbeit abnehmen. Mit seiner Einführung wird jedoch auch festgelegt, wer auf Unternehmenswissen zugreifen kann, wo dieses Wissen verarbeitet wird und von welchen technischen Leistungen der Betrieb künftig abhängt. Je tiefer KI in Geschäftsprozesse eingebunden wird, desto weniger lassen sich diese Fragen als reine IT-Details behandeln.

Unter dem Begriff „souveräne KI“ werden dafür unterschiedliche Lösungen angeboten: europäische Sprachmodelle, lokale Installationen, abgeschottete Cloud-Umgebungen oder unternehmenseigene KI-Plattformen. Für eine belastbare Entscheidung muss genauer betrachtet werden, welche Kontrolle die jeweilige Lösung tatsächlich ermöglicht. Ein europäischer Standort allein beantwortet diese Frage ebenso wenig wie der Besitz eines eigenen Servers.

Das Beispiel OttoVerse von DEUTZ veranschaulicht einen unternehmensbezogenen Plattformansatz. Zugleich macht es deutlich, weshalb bei der Bewertung souveräner KI zwischen einer strategischen Zielsetzung, öffentlich beschriebenen Funktionen und nachgewiesenen technischen Eigenschaften unterschieden werden muss.

Souveränität bedeutet selbstbestimmte Nutzung

Im Unternehmenskontext lässt sich KI-Souveränität als die Fähigkeit beschreiben, den Einsatz künstlicher Intelligenz nach eigenen Anforderungen zu gestalten und diese Anforderungen auch durchzusetzen. Das Unternehmen muss bestimmen können, welche Daten verarbeitet werden, welche Aufgaben ein System übernehmen darf und unter welchen Bedingungen sein Betrieb verändert oder beendet wird. Dazu gehört die Möglichkeit, einen Anbieter zu wechseln, ohne geschäftskritische Fähigkeiten oder den Zugang zum eigenen Wissen zu verlieren.

Eine solche Betrachtung ist mehrdimensional. Das „Cloud Sovereignty Framework“ der Europäischen Kommission unterscheidet unter anderem rechtliche, operative und technologische Souveränität sowie die Kontrolle über Daten, KI und Lieferketten. Es bewertet ausdrücklich auch, ob ein Dienst bei entfallender Herstellerunterstützung weiterbetrieben werden kann und ob sich Arbeitslasten auf alternative Lösungen übertragen lassen. Ein Speicherort innerhalb der EU bildet damit nur einen Teil der Bewertung ab.  

Für Unternehmen folgt daraus ein risikobezogener Ansatz. Ein Werkzeug, das öffentlich zugängliche Produktinformationen zusammenfasst, benötigt andere Schutzmaßnahmen als ein Assistent mit Zugriff auf Entwicklungsunterlagen, Personalakten oder die Steuerung von Produktionsprozessen. Vollständige technologische Unabhängigkeit ist nicht für jeden Anwendungsfall erforderlich. Kritisch wird eine Abhängigkeit vor allem dann, wenn sie unbekannt bleibt, nicht begrenzt werden kann oder im Störungsfall keine tragfähige Alternative existiert.

Souveränität und Sicherheit sind dabei nicht gleichzusetzen. Ein professionell betriebener externer Dienst kann technisch besser abgesichert sein als eine schlecht gewartete Eigeninstallation. Umgekehrt kann ein sicherer Dienst eine erhebliche strategische Abhängigkeit erzeugen. Auch allgemeine KI-Risiken verschwinden durch einen Standortwechsel nicht: Fehlerhafte Antworten, manipulierte Eingaben und unzureichende Kontrolle bleiben mögliche Probleme. Das BSI behandelt sowohl die Abhängigkeit vom entwickelnden beziehungsweise betreibenden Unternehmen als auch weitere Risiken, die bereits bei ordnungsgemäßer Nutzung generativer KI entstehen können.  

OttoVerse bei DEUTZ: KI als unternehmenseigene Plattform

DEUTZ wird mit OttoVerse öffentlich als Beispiel für einen unternehmenseigenen KI-Plattformansatz vorgestellt. OttoVerse wird als selbst entwickelte, modulare KI-Suite beschrieben, deren Ziel die Kontrolle über Daten und Kosten im eigenen Unternehmen ist. Die veröffentlichte Produktdarstellung unterscheidet Anwendungen für allgemeine Produktivität, industrielle Aufgaben und betriebswirtschaftliche Prozesse. Sie zeigt beispielsweise einen Service-Chatbot und die Analyse von Prüfmessungen ebenso wie Funktionen zur Rechnungsverarbeitung und einen HR-Assistenten.  

An diesem Ansatz ist insbesondere die organisatorische Perspektive interessant. KI wird als gemeinsame Unternehmensfähigkeit verstanden, auf der unterschiedliche Anwendungen aufbauen können. Eine solche Plattform kann die Grundlage dafür schaffen, Zugänge, Berechtigungen, Datenanbindungen und technische Vorgaben übergreifend zu steuern. Neue Anwendungsfälle müssten dann nicht jeweils mit einer eigenen, isolierten Infrastruktur beginnen.

Der Nutzen einer gemeinsamen Plattform liegt allerdings nicht schon in ihrer einheitlichen Oberfläche. Entscheidend wäre, ob dahinter verbindliche Regeln durchgesetzt werden: Welche Daten darf eine Anwendung verwenden? Welche Modelle und Verarbeitungsorte sind dafür zugelassen? Wer genehmigt neue Schnittstellen? Lassen sich diese Entscheidungen später nachvollziehen und ändern? Das sind Bewertungskriterien für einen solchen Plattformansatz. Diese Unterscheidung sollte auch bei anderen Angeboten gelten, die mit dem Begriff „souverän“ werben.

Datenhoheit reicht über den Ausschluss von Training hinaus

Bei der Prüfung externer KI-Dienste konzentriert sich die Diskussion häufig darauf, ob Eingaben zum Training verwendet werden. Diese Frage ist wichtig, erfasst aber nur einen Verarbeitungsvorgang. Auch ohne Training muss ein extern betriebenes Modell die übermittelten Informationen für die konkrete Anfrage verarbeiten. Je nach Dienst können außerdem Gesprächsverläufe, hochgeladene Dateien oder Daten für Sicherheitsprüfungen gespeichert werden.

Wie notwendig diese Unterscheidung ist, zeigt die Dokumentation von Microsoft zu den in Azure bereitgestellten Foundry-Modellen. Microsoft beschreibt dort, dass Kundeneingaben ohne entsprechende Erlaubnis oder Anweisung nicht zum Training generativer Grundmodelle verwendet werden. Gleichzeitig erläutert die Dokumentation verschiedene Speicherfunktionen und unterschiedliche Verarbeitungsorte: Bei als „Global“ bezeichneten Bereitstellungen können Anfragen in verschiedenen geografischen Gebieten verarbeitet werden, während „DataZone“-Bereitstellungen an eine definierte Datenzone gebunden sind. Die konkrete Konfiguration ist daher ebenso relevant wie der Vertrag.  

Für die Architekturprüfung sollte der Weg einer Information vollständig nachvollzogen werden. Ein Dokument kann zunächst von einer Texterkennung verarbeitet, anschließend in einen Suchindex aufgenommen und später auszugsweise an ein Sprachmodell übergeben werden. Eine lokal gespeicherte Originaldatei bietet wenig Schutz, wenn vertrauliche Inhalte bei einem dieser Zwischenschritte an einen nicht freigegebenen Dienst gelangen. Auch mathematische Repräsentationen von Texten, sogenannte Embeddings, dürfen nicht pauschal als unkritisch behandelt werden. OWASP beschreibt für solche Vektor- und Suchsysteme ausdrücklich Risiken unberechtigter Zugriffe und der Offenlegung sensibler Informationen.  

Verschlüsselung muss ebenfalls differenziert bewertet werden. Der Schutz bei Übertragung und Speicherung sagt noch nicht aus, wer während der Verarbeitung Zugriff auf unverschlüsselte Daten haben könnte. Auch kundenseitig verwaltete Schlüssel schließen diesen Zugriff nicht automatisch aus, wenn der Dienst die Informationen zur Verarbeitung entschlüsseln darf. Confidential Computing kann diesen Bereich durch hardwaregestützte, überprüfbare Ausführungsumgebungen zusätzlich absichern. Seine Wirkung hängt jedoch von der konkreten Implementierung und Konfiguration ab; es ist keine pauschale Zusicherung für jede Funktion einer KI-Plattform.  

Für besonders schutzbedürftige Anwendungen sollte deshalb nicht nur dokumentiert werden, dass eine Verschlüsselung vorhanden ist. Zu klären ist, gegenüber welchen Akteuren sie schützt, wer Schlüssel freigeben kann und welche Teile des Verarbeitungspfads außerhalb dieses Schutzes liegen.

Ein europäischer Server beseitigt nicht jede rechtliche Abhängigkeit

Die geografische Lage eines Rechenzentrums und die rechtliche Einordnung des Dienstleisters sind unterschiedliche Fragen. Der US-amerikanische CLOUD Act stellt für erfasste Anbieter unter US-Gerichtsbarkeit klar, dass gesetzliche Herausgabepflichten auch Daten betreffen können, die außerhalb der Vereinigten Staaten gespeichert sind, sofern sie sich im Besitz, in der Verwahrung oder unter der Kontrolle des Anbieters befinden. Daraus folgt kein beliebiger oder voraussetzungsloser Zugriff auf sämtliche Kundendaten. Es folgt aber, dass der Speicherort allein die rechtliche Bewertung nicht entscheidet.  

Auf europäischer Seite schafft eine ausländische behördliche Anordnung nicht automatisch eine zulässige Grundlage für die Übermittlung personenbezogener Daten. Der Europäische Datenschutzausschuss erläutert in seinen Leitlinien zu Artikel 48 DSGVO, dass sowohl eine Rechtsgrundlage für die Verarbeitung als auch die Voraussetzungen für Drittlandübermittlungen erfüllt sein müssen. Die Prüfung umfasst damit mehr als die Existenz einer Herausgabeanordnung.  

Unternehmen sollten aus dieser Konstellation weder eine pauschale Unzulässigkeit amerikanischer Dienste noch eine automatische Unbedenklichkeit europäischer Angebote ableiten. Zu untersuchen sind die konkrete Vertrags- und Konzernstruktur, mögliche Zugriffswege, beteiligte Unterauftragnehmer und die technisch durchsetzbaren Schutzmaßnahmen. Bei hohen Schutzanforderungen ist zudem entscheidend, ob ein Anbieter eine Herausgabe überhaupt technisch ermöglichen könnte.

Datenschutz deckt dabei nur einen Teil der schutzwürdigen Informationen ab. Eine Konstruktionszeichnung, eine Kalkulationslogik oder ein Fertigungsparameter kann wirtschaftlich hochsensibel sein, ohne personenbezogene Daten zu enthalten. Das Geschäftsgeheimnisgesetz setzt für den entsprechenden Schutz unter anderem angemessene Geheimhaltungsmaßnahmen voraus. Die kontrollierte Nutzung solcher Informationen in KI-Systemen gehört deshalb auch zum Know-how-Schutz und nicht ausschließlich in die Zuständigkeit des Datenschutzes.  

Eigenbetrieb und offene Modelle schaffen Möglichkeiten, aber keine Garantien

Lokal betreibbare Modelle können die Kontrolle über den Verarbeitungspfad verbessern und die Abhängigkeit von einer externen Modell-API verringern. Dabei ist zwischen offen verfügbaren Modellgewichten und einer umfassend offenen KI-Entwicklung zu unterscheiden. Die Open Source Initiative verlangt in ihrer „Open Source AI Definition“ neben geeigneten Nutzungsrechten auch Informationen über die Trainingsdaten, den relevanten Code und die Modellparameter. Herunterladbare Gewichte allein erfüllen diese Definition nicht.  

Für die Souveränitätsbewertung ist deshalb zu prüfen, welche Rechte und technischen Möglichkeiten tatsächlich bestehen. Kann das Unternehmen das Modell dauerhaft kommerziell nutzen, verändern und auf anderer Infrastruktur betreiben? Sind notwendige Komponenten verfügbar? Lässt sich die Anwendung ohne einen bestimmten externen Dienst weiterentwickeln? Eine offene Lizenz beantwortet dabei andere Fragen als ein Sicherheitsnachweis.

Auch ein lokal betriebenes Modell ist Teil einer Softwarelieferkette. Es benötigt Laufzeitumgebungen, Bibliotheken, Treiber und häufig zusätzliche Komponenten für Dokumentenverarbeitung oder Schnittstellen. Manipulierte Modellartefakte, verwundbare Abhängigkeiten oder unsichere Erweiterungen können den gesamten Schutzansatz unterlaufen. OWASP bezieht bei KI-Lieferketten ausdrücklich vortrainierte Modelle, Daten und Bereitstellungsplattformen ein und empfiehlt deren Prüfung einschließlich der Herkunft, Vertragsbedingungen und Sicherheitsmaßnahmen.  

Der Eigenbetrieb muss daher als dauerhafte Betriebsaufgabe kalkuliert werden. Er verlangt Fachpersonal, Kapazitätsplanung, Überwachung und einen geordneten Umgang mit Sicherheitsupdates. Eine lokale Installation, die nach dem Pilotprojekt nicht mehr gepflegt wird, ist keine tragfähige Alternative zu einem betreuten Dienst.

Eine gemischte Architektur kann wirtschaftlich und sicherheitstechnisch sinnvoll sein. Voraussetzung wäre eine verbindliche Zuordnung der Anwendungsfälle: Eine öffentliche Recherche könnte einen anderen Verarbeitungsweg nutzen als die Auswertung vertraulicher Entwicklungsunterlagen. Diese Grenze sollte technisch durchgesetzt werden und nicht allein davon abhängen, ob Beschäftigte bei jeder Anfrage den richtigen Menüpunkt auswählen.

Unternehmenswissen muss berechtigt und überprüfbar verfügbar sein

Für viele betriebliche Anwendungen liegt der entscheidende Mehrwert weniger im allgemeinen Wissen eines Sprachmodells als im Zugang zu aktuellen Unternehmensinformationen. Häufig wird dafür Retrieval-Augmented Generation eingesetzt: Eine Suche ermittelt passende Inhalte aus Dokumenten oder Datenbanken und stellt sie dem Modell als Kontext für die Antwort zur Verfügung. Das ist grundsätzlich etwas anderes als das Training eines Modells mit diesen Informationen.

Die Berechtigungsprüfung muss dabei bereits den Abruf begrenzen. Ein Modell sollte keine Dokumente als Kontext erhalten, die die anfragende Person nicht lesen darf. Eine nachträgliche Ausblendung in der Benutzeroberfläche reicht nicht aus, wenn die Information bereits in die generierte Antwort eingeflossen sein kann. Besonders sorgfältig sind gemeinsam genutzte Suchindizes und mandantenfähige Plattformen zu gestalten. OWASP warnt in diesem Zusammenhang vor fehlerhaften Zugriffskontrollen und Informationsabflüssen zwischen unterschiedlichen Nutzungskontexten.  

Genauso wichtig ist die fachliche Gültigkeit der Quellen. Für einen technischen Assistenten sollte erkennbar sein, ob eine Arbeitsanweisung freigegeben und für die betreffende Anlage gültig ist. Ein Krisenmanagement-Assistent müsste zwischen einem aktuellen Notfallhandbuch und einem überholten Übungsentwurf unterscheiden können. Dafür braucht es Dokumentenverantwortliche, Versionierung und nachvollziehbare Freigaben. Die bloße Aufnahme möglichst vieler Dateien in eine Wissensbasis löst diese Aufgabe nicht.

Eine Antwort mit Quellenangabe ist außerdem noch kein Richtigkeitsnachweis. Die Quelle kann unpassend sein, ihre Aussage falsch wiedergegeben werden oder die konkrete Schlussfolgerung nicht tragen. Das NIST empfiehlt deshalb, Quellen und Zitate in KI-Ausgaben sowohl vor der Einführung als auch während des laufenden Betriebs zu überprüfen und Leistungsversprechen mit empirischen Methoden zu bewerten.  

Für die betriebliche Abnahme bedeutet das: Ein Assistent sollte an repräsentativen Aufgaben getestet werden, einschließlich widersprüchlicher Unterlagen und fehlender Informationen. Bei sicherheitsrelevanten Fragestellungen kann eine begründete Nichtantwort das bessere Ergebnis sein als eine flüssig formulierte Vermutung.

Mit KI-Agenten wächst die Bedeutung wirksamer Grenzen

Besonders folgenreich wird mangelnde Kontrolle, sobald KI nicht nur Informationen ausgibt, sondern Aktionen auslösen darf. Ein Agent kann beispielsweise Nachrichten versenden, Datensätze ändern oder weitere Systeme aufrufen. Fehler und Manipulationen bleiben dann nicht auf einen Antworttext beschränkt. OWASP bezeichnet übermäßige Funktionen, Berechtigungen und Autonomie als wesentliche Ursachen des Risikos „Excessive Agency“.  

Eine relevante Angriffsmöglichkeit ist die indirekte Prompt Injection. Dabei gelangen manipulative Anweisungen über Inhalte in das System, die es im Rahmen einer legitimen Aufgabe verarbeitet, etwa über eine E-Mail oder ein Dokument. Das Modell kann solche Inhalte fälschlich als Handlungsanweisung behandeln. Ein interner Betrieb verhindert diesen Angriff nicht, wenn weiterhin fremde Inhalte eingelesen werden. Auch eine Wissensanbindung oder zusätzliche Modellanpassung beseitigt das Problem nicht grundsätzlich.  

Die Sicherheitsarchitektur muss deshalb damit umgehen können, dass ein Modell zu einer unzulässigen Aktion veranlasst wird. Das britische National Cyber Security Centre empfiehlt, die Folgen einer solchen Manipulation durch das Systemdesign zu begrenzen. Besonders kritisch ist die Verbindung nicht vertrauenswürdiger Inhalte mit privilegierten Werkzeugen. Filter können Angriffe erschweren, ersetzen aber keine wirksamen Berechtigungsgrenzen.  

Für einen Rechnungsassistenten könnte daraus folgen, dass er Belege ausliest und Abweichungen markiert, aber keine Bankverbindungen verändert. Ein Krisenassistent dürfte eine externe Mitteilung vorbereiten, ohne sie selbstständig zu veröffentlichen. Solche Grenzen sollten durch die angebundenen Fachsysteme und Schnittstellen erzwungen werden. Eine Anweisung im Systemprompt, bestimmte Dinge nicht zu tun, ist dafür allein nicht ausreichend.

Auch menschliche Freigaben benötigen eine sinnvolle Gestaltung. Der prüfenden Person müssen die beabsichtigte Aktion, ihre Grundlage und ihre wesentlichen Folgen erkennbar sein. Wer unter Zeitdruck lediglich eine unübersichtliche Zusammenfassung bestätigt, übt nur eingeschränkt Kontrolle aus.

Souveränität muss auch bei Ausfall und Anbieterwechsel funktionieren

Eine KI-Anwendung kann geschäftskritisch werden, obwohl sie ursprünglich als unverbindliche Arbeitshilfe eingeführt wurde. Sobald Beschäftigte ohne sie kaum noch Servicefälle bearbeiten, Unterlagen finden oder Entscheidungen vorbereiten können, entsteht eine neue betriebliche Abhängigkeit. Diese Entwicklung sollte bewusst bewertet werden.

Der Ausfall des Modellanbieters ist dabei nur ein mögliches Szenario. Ebenso relevant können geänderte Schnittstellen, zurückgezogene Modellversionen oder veränderte Nutzungsbedingungen sein. Das BSI führt die Abhängigkeit vom entwickelnden beziehungsweise betreibenden Unternehmen ausdrücklich als Risiko generativer KI auf. Für das eigene Unternehmen muss daraus eine konkrete Bewertung der betroffenen Geschäftsleistungen entstehen.  

Eine technische Alternative ist nur dann belastbar, wenn sie unter dem angenommenen Störungsszenario tatsächlich verfügbar bleibt. Ein lokales Ersatzmodell hilft beispielsweise wenig, wenn seine Anmeldung weiterhin vom ausgefallenen Cloud-Identitätsdienst abhängt. Zwei Modellanbieter schaffen ebenfalls keine vollständige Redundanz, wenn beide über dasselbe zentrale Gateway erreicht werden und genau dieses Gateway ausfällt. Solche gemeinsamen Abhängigkeiten sollten in Wiederanlauf- und Ausweichverfahren geprüft werden.

Auch der Anbieterwechsel verlangt mehr als den Export von Dateien. Für eine funktionsfähige Übernahme können zusätzlich Berechtigungen, Dokumentenmetadaten, Schnittstellenlogik und Testfälle erforderlich sein. Ein anderes Modell kann dieselben Anweisungen anders interpretieren oder bei einer Fachaufgabe eine andere Fehlerquote aufweisen. Der seit September 2025 anwendbare Data Act enthält Regeln zur Erleichterung des Wechsels zwischen Datenverarbeitungsdiensten. Die technische und fachliche Erprobung einer Migration nimmt er dem Unternehmen jedoch nicht ab.  

Aus Sicht des Business Continuity Managements sollte feststehen, wie lange ein unterstützter Prozess ohne KI auskommen kann und welches Mindestleistungsniveau dann erreichbar sein muss. Eine begrenzte manuelle Bearbeitung oder eine weiterhin verfügbare klassische Dokumentensuche kann dafür wertvoller sein als ein ungeprüftes zweites KI-System.

Ein Ausweichverfahren darf allerdings nicht unbemerkt den Schutzbedarf unterschreiten. Wenn eine freigegebene Umgebung ausfällt, sollten vertrauliche Inhalte nicht automatisch an irgendeinen noch erreichbaren Dienst weitergereicht werden.

Rechtskonformität entsteht im konkreten Anwendungsfall

Eine als souverän bezeichnete Plattform macht ihre Anwendungen nicht automatisch rechtskonform. Bei personenbezogenen Daten bleiben unter anderem Verarbeitungszweck, Rechtsgrundlage und Betroffenenrechte zu prüfen. Ergibt die Risikobewertung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen, ist eine Datenschutz-Folgenabschätzung erforderlich. Die Datenschutzkonferenz betont außerdem, dass Unternehmen für diese Bewertung ausreichende Informationen vom Anbieter benötigen.  

Auch beim AI Act müssen Rolle und konkrete Anwendung betrachtet werden. Für die zeitliche Einordnung ist inzwischen der durch den „Digital Omnibus on AI“ geänderte Umsetzungsplan maßgeblich. Nach der aktuellen Übersicht der Europäischen Kommission gelten die Transparenzvorgaben des Artikels 50 grundsätzlich seit dem 2. August 2026. Die Regelungen für Hochrisikoanwendungen nach Anhang III sind für den 2. Dezember 2027 vorgesehen, diejenigen für unter Artikel 6 Absatz 1 fallende produktbezogene Hochrisikosysteme für den 2. August 2028. Einzelne Übergangsregelungen sind gesondert zu berücksichtigen.  

Die geänderten Termine sind kein Grund, organisatorische Fragen aufzuschieben. Auch die überarbeitete Regelung zur KI-Kompetenz sieht vor, dass Anbieter und Betreiber Maßnahmen ergreifen, um die Entwicklung entsprechender Kenntnisse bei ihren Beschäftigten und weiteren beauftragten Personen zu unterstützen.  

Für Unternehmen bedeutet Kompetenz insbesondere, dass Beschäftigte die freigegebenen Einsatzmöglichkeiten und deren Grenzen verstehen. Ein Serviceverantwortlicher muss die fachliche Zuverlässigkeit beurteilen können. Die IT muss wissen, wie eine kompromittierte Anbindung abgeschaltet wird. Die Geschäftsleitung muss entscheiden, welche Restrisiken für welche Geschäftsprozesse tragbar sind. Diese Verantwortlichkeiten lassen sich weder an einen Modellanbieter noch an den Begriff „souverän“ delegieren.

Ein tragfähiger Einsatz beginnt mit einer begrenzten Aufgabe

Bei einer KI-Einführung sollte zunächst die konkrete Aufgabe beschrieben werden. Dazu gehören das gewünschte Ergebnis, die benötigten Informationen und die Folgen einer falschen Antwort. Erst daraus lässt sich ableiten, welche Modellleistung, Betriebsform und Kontrolle erforderlich sind.

Für einen klar abgegrenzten Vorgang kann eine vergleichsweise kleine, gut überprüfbare Lösung geeigneter sein als eine universelle Plattform mit weitreichenden Zugriffsrechten. Ein Pilot sollte deshalb nicht nur demonstrieren, dass die KI beeindruckende Antworten erzeugt. Er sollte zeigen, ob die Aufgabe zuverlässig bearbeitet wird, wie viel Nacharbeit entsteht und ob Fehler rechtzeitig erkannt werden.

Zur Wirtschaftlichkeit gehört zudem die Kontrolle des Ressourcenverbrauchs. Insbesondere automatisierte Abläufe können viele aufeinanderfolgende Modellaufrufe erzeugen. OWASP beschreibt unbeschränkten Verbrauch als Risiko für Kosten und Verfügbarkeit. Für den Betrieb sind deshalb angemessene Laufzeit-, Mengen- und Budgetgrenzen sowie eine nachvollziehbare Zuordnung der Nutzung sinnvoll.  

Eine souveräne Lösung muss sich langfristig betreiben lassen. Dazu gehören auch die Kosten für Wissenspflege, fachliche Qualitätssicherung, Sicherheitsprüfungen und mögliche Migrationen. Die günstigste Modellabfrage ist nicht zwangsläufig die günstigste zuverlässig erledigte Aufgabe.

Kontrolle muss praktisch nachweisbar sein

Das größte Risiko nicht souveräner KI-Systeme liegt in einem Kontrollverlust, den das Unternehmen möglicherweise erst bemerkt, nachdem wesentliche Prozesse bereits davon abhängen. Dieser Kontrollverlust kann Daten betreffen, aber ebenso die Möglichkeit, Entscheidungen nachzuvollziehen, einen Dienst zu ersetzen oder den Betrieb nach einer Störung fortzuführen.

OttoVerse veranschaulicht, weshalb eine unternehmensbezogene Gestaltung von KI sinnvoll sein kann: Anwendungen werden im Zusammenhang betrieblicher Aufgaben betrachtet, statt lediglich einzelne Chatbots bereitzustellen. Ob daraus die benötigte Souveränität entsteht, muss anhand der konkreten Architektur, Verträge und Betriebsverfahren geprüft werden.

Eine belastbare KI-Strategie verlangt dafür keine vollständige Eigenentwicklung. Sie verlangt Klarheit darüber, welche Abhängigkeiten eingegangen werden, welche Grenzen technisch durchgesetzt sind und welche Alternativen im Ernstfall funktionieren. Erst wenn diese Fragen praktisch beantwortet werden können, wird aus dem Versprechen souveräner KI eine belastbare Unternehmensfähigkeit.

Recherchestand: 10. September 2026.