Digitale Souveränität bei KI-Agenten

Kaum ein Begriff wird derzeit so häufig verwendet und so selten definiert wie digitale Souveränität. In Ausschreibungen steht er als Anforderung, in Angeboten als Zusicherung, und beide Seiten meinen regelmäßig etwas anderes damit.

Das ist kein sprachliches Problem. Es ist der Grund, warum Beschaffungsverfahren scheitern, nachdem die Datenschutzprüfung sechs Wochen gelaufen ist und dann auffällt, dass die technische Antwort auf eine andere Frage gegeben wurde als die gestellte.

Dieser Beitrag beschreibt, was der Begriff bezeichnet, wo die Grenze zu benachbarten Begriffen verläuft und welche sieben Fragen eine ernsthafte Prüfung tatsächlich stellt. Er richtet sich an die Menschen, die den Fragebogen ausfüllen oder beantworten müssen, nicht an Juristen.

Vier Begriffe, die keine Synonyme sind

Die Unschärfe ist verbreitet, und sie wirkt in der Regel zugunsten des Anbieters.

Datenresidenz beschreibt, wo Daten gespeichert und verarbeitet werden. Eine geografische Tatsachenbehauptung, leicht prüfbar, und die schwächste der vier Aussagen.

Datenlokalisierung ist eine rechtliche Pflicht, bestimmte Daten im Land zu halten. Sie gilt in einzelnen Branchen und Rechtsordnungen. Die meisten Unternehmen unterliegen ihr nicht und glauben, es zu tun.

Datensouveränität beschreibt, welche Rechtsordnung Zugriff verlangen kann. Das ist die entscheidende Aussage, und sie folgt nicht aus der Geografie, sondern aus der Gesellschaft: Ein in einer Rechtsordnung ansässiges Unternehmen ist für deren Behörden erreichbar, unabhängig vom Standort der Server.

Betriebssouveränität beschreibt, wer im Regelbetrieb technisch zugreifen kann. Welche Mitarbeitenden, von wo, unter welcher Aufsicht. Ein Anbieter kann in der EU ansässig sein und dennoch eine Support-Organisation mit weltweitem Zugriff betreiben.

Der Unterschied, der die meisten Beschaffungsgespräche entscheidet, liegt zwischen dem ersten und dem dritten Begriff: EU-gehostet beschreibt die Server, EU-souverän beschreibt das betreibende Unternehmen. Nur die zweite Aussage klärt sich durch einen Blick auf den Anbieter statt auf ein Regionsmenü.

Warum die Frage gerade jetzt gestellt wird

Drei Entwicklungen fallen zusammen, und die dritte ist die, die KI-Agenten betrifft.

Erstens hat sich die Rechtslage zu Drittlandtransfers über Jahre hinweg als instabil erwiesen. Zwei Angemessenheitsentscheidungen wurden gerichtlich aufgehoben, die dritte besteht, und jede Prüfung wägt inzwischen mit ein, dass eine solche Grundlage entfallen kann. Wer eine Architektur baut, die von einer Angemessenheitsentscheidung abhängt, hat ein Risiko akzeptiert, das nicht in seiner Hand liegt.

Zweitens hat die öffentliche Beschaffung in Europa begonnen, den Sitz des Anbieters als eigenständiges Kriterium zu behandeln, statt regionales Hosting als gleichwertig zu akzeptieren. Sobald ein großer öffentlicher Auftraggeber so ausschreibt, wandert der Maßstab in die privatwirtschaftlichen Prüfungen, weil dieselben Beraterinnen und Berater dieselben Fragebögen mitbringen.

Drittens, und das ist neu: KI-Agenten verlagern Daten an Orte, die auf keinem Architekturdiagramm stehen. Dazu gleich mehr, denn es ist die Frage, die am häufigsten übersehen wird.

Die sieben Fragen

Eine ernsthafte Prüfung arbeitet diese Punkte ab. Sie klar beantworten zu können, auch dort wo die Antwort ungünstig ausfällt, verkürzt das Verfahren mehr als jedes Zertifikat.

1. Wo läuft die Rechenleistung?

Nicht die Speicherung, die Ausführung. Bei einem Browser ist das der zentrale Punkt, weil der Browser die Seite im Klartext im Arbeitsspeicher halten muss, um sie darzustellen. Verschlüsselung im Ruhezustand ist für das, was ein laufender Browser sieht, ohne Bedeutung.

Fragen Sie nach dem Rechenzentrum, nach dessen Betreiber und danach, ob das für jede Sitzung gilt oder je nach Auslastung variiert. Eine Region ist eine Menüauswahl; eine benannte Anlage mit benanntem Betreiber ist eine Antwort.

2. Wo liegt jeder einzelne Speicher, und wie lange?

Zählen Sie sie getrennt auf, denn es sind unterschiedliche Systeme mit unterschiedlichen Fristen: die Datenbank, der Cache, der Objektspeicher für Artefakte, die Protokolle, die Sicherungen, die Metriken.

Die Sicherungen sind der Punkt, an dem es regelmäßig auffällt. Ein System, das im Betrieb sorgfältig in der EU bleibt und in einen Speicherbereich mit Standardregion sichert, hat eine Lücke, und sie wird meist während der Prüfung entdeckt statt davor.

Dann die Aufbewahrung, je Speicher. Die Frist wiegt oft schwerer als der Ort. Nach vierundzwanzig Stunden gelöschte Daten haben überall eine geringe Angriffsfläche. Unbefristet aufbewahrte Daten haben auch in günstiger Rechtsordnung eine große, und unbefristet ist bei Protokolldaten fast überall die Voreinstellung.

3. Wo liegen die Schlüssel, und wer kann sie nutzen?

Verschlüsselung schützt vor entwendeten Datenträgern. Sie schützt nicht vor dem Schlüsselinhaber, weshalb Ort und Kontrolle des Schlüsselmaterials die eigentliche Frage sind.

Zwei konkrete Nachfragen: Liegt das Schlüsselmaterial auf derselben Infrastruktur, die die Daten verarbeitet? Und kann der Anbieter Kundendaten ohne Mitwirkung des Kunden entschlüsseln? Die zweite Frage hat bei nahezu jedem Anbieter eine ehrliche Antwort, nämlich ja, weil Verarbeitung es erfordert. Wer hier ausweicht, sagt damit etwas aus.

4. Welche Unterauftragnehmer, und wo?

Die Liste, nicht die Zusammenfassung. Und vor allem die, die leicht vergessen werden, weil sie als Infrastruktur eingeführt wurden und nicht als Lieferant: die Fehlererfassung, die Protokollsammlung, der E-Mail-Versand, die Analyse, das Auslieferungsnetz, das Support-System.

Eine Kette ist nur so souverän wie ihr schwächstes Glied, und das schwächste Glied ist selten die Rechenleistung. Es ist der Beobachtbarkeits-Stack, den jemand in der zweiten Projektwoche angeschlossen hat.

5. Wer kann betrieblich zugreifen?

Welche Mitarbeitenden, aus welchem Land, unter welchen Kontrollen, mit welcher Protokollierung. Das ist Betriebssouveränität, und hier unterscheiden sich EU-gehostete Anbieter mit weltweiter Support-Organisation von EU-betriebenen.

Die brauchbare Frage lautet nicht, ob es Zugriffskontrollen gibt. Sie lauten alle ja. Sie lautet: Wenn ich das Zugriffsprotokoll für meinen Mandanten für den letzten Monat anfordere, was passiert dann?

6. Welcher Rechtsordnung unterliegt die Vertragspartnerin?

Die Frage, die ein Regionsmenü nicht beantworten kann.

Ein Anbieter, der in einer Rechtsordnung mit extraterritorialen Herausgabebefugnissen ansässig ist, unterliegt diesen unabhängig vom Standort der Daten. Fragen Sie nach der vertragsschließenden Gesellschaft und nach den Muttergesellschaften darüber, denn beides ist relevant und nur das erste steht im Angebot.

Sie müssen sich zu der Frage, ob diese Sorge angemessen ist, nicht positionieren. Sie müssen die Antwort kennen, weil derjenige, der Ihre Architektur prüft, danach fragen wird.

7. Wo findet die Modellinferenz statt?

Das ist der Punkt, der übersehen wird, und bei Agenten ist er häufig die größte Lücke im gesamten Aufbau.

Was ein Agent tatsächlich tut: Er meldet sich an einem Portal an und sendet, um über den nächsten Klick zu entscheiden, eine Darstellung der Seite an ein Modell. Einen Accessibility-Baum, ein gefiltertes DOM, einen Screenshot. Dann tut er es im nächsten Zug wieder. Über eine Aufgabe hinweg wird ein erheblicher Teil dessen, was nach der Anmeldung sichtbar ist, an einen Inferenz-Endpunkt übertragen.

Liegen Ihre Browser-Sitzungen in Frankfurt und Ihr Inferenz-Endpunkt anderswo, haben Sie mitten in Ihrer Architektur eine Drittlandübermittlung, die bei jedem Zug erneut stattfindet, und sie steht meist nicht auf dem Diagramm. Die Residenzfrage für den Browser wurde sorgfältig beantwortet, die für die Inferenz nie gestellt.

Drei Dinge sind zu klären: wo der Endpunkt physisch liegt, wer ihn betreibt und unter welcher Rechtsordnung, und ob Prompts aufbewahrt werden und wie lange. Alle drei sind beantwortbar. Der Fehler besteht darin, nicht nachzusehen.

Warum Agenten die Frage verschärfen

Residenzfragen sind nicht neu. Neu ist die Zahl der Orte, an die Daten gelangen, und sie ist mit Agenten deutlich gestiegen, ohne dass die Architekturdiagramme nachgezogen hätten.

Eine klassische Anwendung hat wenige Datenorte, und alle sind gewollt: eine Datenbank, ein Cache, ein Objektspeicher, Protokolle. Jeder wurde ausgewählt, jeder steht auf dem Diagramm, für jeden gibt es jemanden, der den Standort nennen kann.

Ein Agent im Browser fügt vier weitere hinzu, von denen nur einer eine bewusste Entscheidung war.

Die Seiten selbst. Was der Browser lädt, wird auf der Maschine verarbeitet, die den Browser betreibt. Diese Maschine hat einen Standort und einen Betreiber. Handelt es sich um das Finanzportal eines Kunden, gehören die Inhalte diesem Kunden und nicht Ihnen.

Die Seitendarstellung für die Inferenz. Der oben beschriebene Punkt, und der gewichtigste, weil er sich in jedem Zug wiederholt.

Die Aufzeichnung. Ein Mitschnitt einer angemeldeten Sitzung ist eine Kopie von allem, was auf diesem Bildschirm zu sehen war. Für die Fehlersuche außerordentlich nützlich, und zugleich ein zweiter Speicher derselben sensiblen Inhalte, meist mit eigener Frist und oft in einem anderen System.

Die Ablaufprotokolle. Agenten-Frameworks erzeugen strukturierte Protokolle über Schlussfolgerungen und Werkzeugaufrufe, die routinemäßig an eine externe Beobachtbarkeits-Plattform gehen. Die Argumente der Werkzeugaufrufe enthalten regelmäßig extrahierte Werte, womit auch dieser Speicher die Daten hält. Das überrascht die meisten, weil der Beobachtbarkeits-Anbieter als Infrastruktur eingeführt und nicht als Auftragsverarbeiter geprüft wurde.

Vier neue Orte, von denen einer eine Entscheidung war und drei Folgen. Die lohnende Übung, bevor eine Prüfung sie für Sie durchführt: Zeichnen Sie den tatsächlichen Ablauf eines einzelnen Agentenlaufs auf und markieren Sie zu jedem Kasten die Rechtsordnung. Das dauert eine Stunde und ist meist die aufschlussreichste Stunde, die jemand in dieses Thema investiert.

Was eine gute Antwort auszeichnet

Frage	Schwache Antwort	Belastbare Antwort
Ort der Ausführung	EU-Region verfügbar	Benannte Anlage und Betreiber
Speicher	Daten in der EU	Aufgezählt, je mit Löschfrist
Schlüssel	Verschlüsselt gespeichert	Wo der Schlüssel liegt, wer ihn nutzt
Unterauftragnehmer	Auf Anfrage	Veröffentlichte, datierte Liste
Betrieblicher Zugriff	Rollenbasierte Rechte	Welche Personen, welches Land, protokolliert
Rechtsordnung	DSGVO-konform	Sitz der Gesellschaft
Inferenz	Nicht erwähnt	Endpunkt, Betreiber, Aufbewahrung

Das Muster: Eine belastbare Antwort ist konkret und überprüfbar, eine schwache nennt eine Kategorie. Die Angabe DSGVO-konform in der Zeile zur Rechtsordnung ist das deutlichste Anzeichen, denn DSGVO-Konformität ist keine Rechtsordnung, und diese Vertauschung geschieht selten versehentlich.

Ein Fragebogen zum Versenden

Wenn Sie prüfen statt geprüft zu werden, sind dies die Fragen in einer Form, die ein Anbieter beantworten kann. Geordnet so, dass die günstigen Fragen zuerst kommen und ihre Antworten die späteren einordnen.

1. In welchem Rechenzentrum, betrieben von welchem Unternehmen, laufen die Browser-Sitzungen?
2. Bitte listen Sie jeden Speicher mit Kundendaten oder Artefakten auf, mit Standort und Löschfrist.
3. Wo liegt das Schlüsselmaterial, und können Sie Kundendaten ohne unsere Mitwirkung entschlüsseln?
4. Bitte übermitteln Sie die aktuelle Unterauftragnehmerliste mit Standorten und Stand.
5. Welche Personen können auf Sitzungsdaten zugreifen, aus welchen Ländern, und wie wird das protokolliert?
6. In welchem Land ist die Vertragspartnerin ansässig, und welche Muttergesellschaften bestehen darüber?
7. Wo findet die Modellinferenz statt, wer betreibt den Endpunkt, und wie lange werden Prompts aufbewahrt?
8. Welche Isolation besteht zwischen Mandanten, präzise beschrieben statt kategorial?
9. Was wird bei Vertragsende gelöscht, wann, und wie wird das nachgewiesen?

Frage acht lohnt sich in genau diesem Wortlaut. Isoliert ist ein Wort, das jeder Anbieter verwendet, und der präzise Sachverhalt, also geteilter Kernel mit gehärteten Containern gegenüber getrennten virtuellen Maschinen gegenüber getrennter Hardware, ist ein erheblicher Unterschied, den das Wort verdeckt. Ein Anbieter, der präzise antwortet, auch wo die Antwort weniger beeindruckt als die Alternative, ist in der Regel einer, dessen übrige Antworten belastbar sind.

Frage neun stellt niemand, und jeder braucht sie irgendwann.

Drei verbreitete Irrtümer

Die DSGVO verlangt keine EU-Residenz. Sie regelt Übermittlungen, statt einen Ort vorzuschreiben, und zulässige Übermittlungsmechanismen bestehen. Residenz lässt die Übermittlungsfrage entfallen, was eine kaufmännische Erleichterung ist und keine gesetzliche Pflicht. Wer das anders darstellt, überzeichnet.

Selbst betreiben ist nicht automatisch souveräner. Eine selbst betriebene Flotte auf der Infrastruktur eines außereuropäischen Anbieters unterliegt derselben Rechtsordnung wie ein Dienst desselben Anbieters. Die Auftragsverarbeitung ist ein normales, rechtlich vorgesehenes Konstrukt mit klarer Form: ein Vertrag nach Artikel 28, eine Unterauftragnehmerliste, dokumentierte technische und organisatorische Maßnahmen, definierte Löschfristen. Schwierig ist nicht die Auftragsverarbeitung, sondern die Wahl des Auftragsverarbeiters.

Zertifikate beantworten diese Fragen nicht. Eine ISO-27001-Zertifizierung belegt, dass ein Managementsystem existiert. Sie sagt nicht, wo die Daten liegen, wer Herausgabe verlangen kann oder wo die Inferenz stattfindet. Eine Prüfung, die beim Zertifikat endet, hat zu früh aufgehört, und ein Anbieter, der auf eine Frage zur Rechtsordnung mit Zertifikaten antwortet, lenkt ab.

Wo wir stehen

Es wäre merkwürdig, das zu veröffentlichen und die eigenen Antworten offenzulassen.

Die Sitzungen laufen auf eigener Hardware in der EU. Es gibt kein Regionsmenü, weil es keinen anderen Ort gibt, an den die Daten gehen könnten. Die Vertragspartnerin ist eine deutsche GmbH, was die sechste Frage beantwortet statt sie zu verschieben. Aufzeichnungen von Sitzungen haben eine feste Löschfrist im Bereich von Tagen, denn nicht gespeicherte Daten können nicht herausgegeben werden. Profile und Zugangsdaten werden mit mandantenbezogenen Schlüsseln verschlüsselt, deren Wurzelschlüssel in einem europäischen Schlüsseldienst liegt und nicht auf der Maschine, die die Browser betreibt. Die Unterauftragnehmerliste ist veröffentlicht. Die Einzelheiten stehen auf der Seite zur EU-Datenresidenz.

Zwei Aussagen treffen wir bewusst nicht. Sitzungen laufen in gehärteten Containern mit Namensraum-Abbildung, entzogenen Privilegien, Seccomp und einer standardmäßig sperrenden Netzwerkregel. Das ist starke Isolation, und es ist keine Isolation auf Kernel-Ebene, und wir sagen das lieber, als es offenzulassen. Und zur siebten Frage: Heute bringen Sie eigene Modellschlüssel mit, die Entscheidung über die Inferenz-Route liegt also bei Ihnen und nicht bei uns. Ein EU-geführtes Inferenz-Gateway ist geplant und nicht ausgeliefert, und uns ist lieber, Sie wissen genau, wohin Ihre Prompts gehen, als dass Sie es annehmen.

Souveränität und Verfügbarkeit sind zwei Fragen

Ein Einwand, der in Beschaffungsgesprächen regelmäßig kommt und ernst genommen gehört: Wer sich auf europäische Anbieter beschränkt, verkleinert den Markt und kauft womöglich weniger ausgereifte Technik ein.

Das stimmt manchmal und ist dennoch selten das Argument, für das es gehalten wird, weil es zwei getrennte Fragen vermengt.

Die erste ist, ob eine bestimmte Fähigkeit europäisch verfügbar ist. Bei Basismodellen ist die Antwort heute differenziert. Bei Infrastruktur wie Rechenleistung, Speicher, Netz und Browser-Betrieb ist sie schlicht ja, und zwar seit Jahren.

Die zweite ist, wie viel Souveränität der jeweilige Datenfluss überhaupt braucht. Und diese Frage wird zu selten differenziert gestellt. Ein Agent, der öffentliche Preisseiten liest, verarbeitet nichts, was jemanden identifiziert; die Souveränitätsfrage ist dort kaufmännisch, nicht aufsichtsrechtlich. Ein Agent, der sich in das Kreditorenportal eines Kunden einloggt, verarbeitet dessen Geschäftsgeheimnisse und regelmäßig auch personenbezogene Daten. Das sind nicht dieselben Anforderungen, und sie mit derselben Antwort zu behandeln führt entweder zu unnötigen Einschränkungen oder zu einer Lücke.

Die brauchbare Vorgehensweise ist daher nicht, alles souverän zu machen, sondern zu klären, welcher Fluss welche Einstufung trägt, und die Anforderung dort scharf zu stellen, wo sie hingehört. Das überzeugt in einer Prüfung ohnehin mehr als eine pauschale Zusicherung, denn es zeigt, dass jemand nachgedacht hat.

Kurz gefasst

Residenz beantwortet das Wo. Souveränität beantwortet das Wer. Die meisten Fragebögen fragen das Erste und meinen das Zweite, und die meisten Anbieterantworten nutzen diese Lücke.

Bei KI-Agenten kommt die siebte Frage hinzu, und sie gehört an den Anfang der Prüfung. Seiteninhalte, die an ein Modell gehen, sind ein Datenfluss, den kaum ein Architekturdiagramm zeichnet und den jede gründliche Prüfung am Ende findet.