Umfrage unter 2.100 Führungskräften zeigt große Lücke zwischen Bewusstsein und Bereitschaft bei der Datensouveränität

Vom Bewusstsein zur Bereitschaft

Die Umfrage deckt acht Märkte in Europa und Asien ab. Sie folgt auf eine Studie aus dem Vorjahr, die das Bewusstsein für Datensouveränität unter Experten aus Wirtschaft, Forschung und Verwaltung gemessen hatte. Laut dem Blog erfasste die Arbeit des vergangenen Jahres das Bewusstsein, die diesjährige misst die Bereitschaft.

Die Autoren beschreiben eine „deutliche Lücke zwischen Bewusstsein und Bereitschaft“. Dass Souveränität eine Priorität sei, stehe nicht infrage, die operative Vorbereitung sei jedoch eine andere Sache. Eine Zahl sticht heraus: 93 % der Befragten halten Datenmanagement für entscheidend für die Souveränität, doch nach Einschätzung der Autoren haben die meisten Organisationen dieses Fundament nicht gelegt.

Der Blog verweist auf fragmentierte, wuchernde Datenbestände als seit Langem bestehendes Anliegen von Kunden. KI habe das Problem nicht geschaffen, mache die Risiken aber untragbar, da Organisationen Frontier-KI-Modelle und Datenpipelines einsetzten, die Daten standardmäßig über Rechtsräume hinweg bewegen.

Regulierung verlagert sich von Datenschutz zu Kontrolle

Der Beitrag nennt eine wachsende Zahl von Regelwerken. Neben der DSGVO führt er die breitere Datenstrategie der EU, das European Technological Sovereignty Package und den Digital Operational Resilience Act (DORA) an. Indiens Digital Personal Data Protection Act wird bis 2027 schrittweise eingeführt, und das Digital Economy Framework Agreement (DEFA) der ASEAN steht im November vor der Unterzeichnung. In der Umfrage geben 55 % der Führungskräfte an, nicht Schritt halten zu können.

Nach Darstellung der Autoren verschiebt sich der Schwerpunkt der Regulierung. Ältere Regeln stellten Datenschutzfragen wie Einwilligung, Verarbeitung und Meldung von Datenpannen. Neuere fragten nach Kontrolle und Resilienz: Wer kann zur Herausgabe von Daten gezwungen werden, kann ein Dienst entzogen werden, und wie abhängig ist eine Organisation von ausländischen Anbietern? Das seien Inventarfragen, so der Blog, die ein nicht erfasster Datenbestand nicht beantworten könne.

Die vorgeschlagene Antwort ist eine einzige, präzise Datenlandkarte, die jeder Aufsichtsbehörde genügt. Bei der Bewertung der Cloud-Souveränität stuften die Führungskräfte Transparenz und Kontrolle über den Datenzugriff an die erste Stelle, neben Verschlüsselung, Compliance und KI-Governance. Die Priorisierung sei richtig, die Umsetzung aber mangelhaft, so die Autoren.

Pragmatismus statt Datenresidenz

Der Blog nennt Datenresidenz „einen passiven Stellvertreter für Souveränität“ und sagt, echte Souveränität bedeute Transparenz, Governance und Eigentum am Datenbestand, unabhängig davon, wo dieser liegt.

Die Umfrage deutet darauf hin, dass die Befragten pragmatisch denken:

• 85 % würden auf erweiterte Funktionen verzichten, um einen lokalen oder souveränen Anbieter zu nutzen.
• 87 % räumen lokalen oder souveränen Umgebungen für KI-Workloads mit hohem Risiko Vorrang ein.
• Nur 20 % nennen das Konzentrationsrisiko bei Anbietern aus Übersee.
• 39 % sagen, souveräne KI erhöhe die operative Komplexität.

Die Autoren erwarten, dass der KI-Ausbau ein Gleichgewicht aus souveräner und öffentlicher Infrastruktur sein wird, wobei die sensibelsten Workloads in souveräne Umgebungen verlagert werden. Sie nennen einen globalen Design-Kunden, der souveräne Versionen seiner SaaS-Tools aufbaut und Kunden über Verschlüsselung und eine dedizierte Rechengrenze voneinander trennt.

Fünf Schritte zur Souveränität von Anfang an

Der Beitrag empfiehlt „Sovereignty by Design“, also den Wechsel von nationaler zu unternehmerischer Souveränität, die sich an der eigenen Risikobereitschaft einer Organisation orientiert. Manche Daten benötigten souveräne Umgebungen, heißt es, vieles könne aber bei globalen Cloud- und SaaS-Partnern bleiben. Die fünf Schritte lauten:

• Transparenz und Kontrolle herstellen: wissen, welche Daten es gibt, wo sie liegen und wer darauf zugreifen kann.
• Nach Risiko staffeln, nicht nach Kategorie: das „Minimum Viable Company“ definieren, also die kleinste Menge an Diensten, Daten, Anwendungen und Personal, die nötig ist, um bei einer Störung weiterzuarbeiten, und dann Daten und Anwendungen nach strategischem Wert und rechtlicher Exposition ordnen.
• Ein souveränes KI-Fundament aufbauen: souveräne Umgebungen für sensible, risikoreiche KI-Daten und -Workloads priorisieren.
• Die Geschäftsleitung in die Verantwortung nehmen: Nur 19 % sagen, ihre Strategie werde vom Vorstand getragen, 36 % kämpfen um die Unterstützung der Führungsebene, und 56 % fehlen die Fähigkeiten zur Umsetzung.
• Beschaffung und Souveränität zusammen denken: Anbieter nach juristischer Kontrolle beurteilen und Ausstiegspfade, Datenportabilität und Regelungen zur Schlüsselverwahrung frühzeitig planen.

Was das für Unternehmen bedeutet

Die Ergebnisse deuten auf eine Lücke zwischen erklärten Prioritäten und praktischer Leistungsfähigkeit hin, vor allem bei Governance und Fachkompetenz. Wer Souveränität taktisch behandle, Vorschrift für Vorschrift, gerate in Hektik, argumentieren die Autoren. Mit einer datenzentrierten Strategie könnten Organisationen sich ändernden regulatorischen Anforderungen rasch begegnen und KI-Initiativen beschleunigen, weil die Daten verstanden und die Zuständigkeiten klar seien. Der Bericht wird von einem Speicheranbieter beworben, seine Schlussfolgerungen spiegeln daher die eigene Sicht des Unternehmens wider.