Produktive KI braucht eine souveräne Cloud Architektur

Gastbeitrag von Christian Steiner

Künstliche Intelligenz verlässt die Pilotphase und zieht in zentrale Geschäftsprozesse ein. Damit wird aus einer Innovationsfrage eine Architekturentscheidung: Wo werden Daten verarbeitet, wer behält die Kontrolle über Modelle und Ergebnisse, und wie bleibt das Unternehmen auch bei veränderten technischen oder regulatorischen Rahmenbedingungen handlungsfähig? Eine souveräne Cloud-Strategie bewertet deshalb jede Workload nach ihrem tatsächlichen Schutzbedarf, ihrer Kritikalität und ihrer wirtschaftlichen Bedeutung.

Bild: SpaceNet GmbH

Vom Pilotprojekt zum Regelbetrieb

Der Praxiseinsatz von Künstlicher Intelligenz erreicht 2026 eine neue Stufe. Viele Unternehmen haben erste Experimente abgeschlossen und integrieren KI nun in den Arbeitsalltag. Assistenten unterstützen die Wissensarbeit, Modelle analysieren Produktions- und Maschinendaten, automatisieren Serviceprozesse oder bereiten Entscheidungen vor. Aus einem abgegrenzten Proof of Concept wird damit eine Anwendung, auf die Mitarbeitende, Kunden und operative Abläufe dauerhaft angewiesen sind.

Dieser Übergang verändert die Anforderungen grundlegend. In einer Testumgebung lassen sich Datenbestände begrenzen, Schnittstellen vereinfachen und Ausfälle leichter verkraften. Im Regelbetrieb muss die Anwendung dagegen zuverlässig verfügbar sein, sich in bestehende Systeme integrieren und mit realen Unternehmensdaten arbeiten. Gleichzeitig steigen die Erwartungen an Datenschutz, Informationssicherheit, Nachvollziehbarkeit und Kostenkontrolle. Die Frage, auf welcher Infrastruktur eine KI-Anwendung betrieben wird, kann deshalb nicht länger getrennt von ihrer fachlichen Nutzung beantwortet werden.

Die von SpaceNet beauftragte BARC-Studie Data Sovereignty 2026 zeigt, wie eng diese Entwicklung mit dem Thema Datensouveränität verbunden ist. 62 Prozent der befragten Unternehmen nennen den wachsenden Einsatz von Daten und KI in Kernprozessen als wichtigsten internen Treiber. 89 Prozent halten Datensouveränität für wichtig oder sehr wichtig. Gleichzeitig haben 40 Prozent bislang nicht gezielt in entsprechende Initiativen investiert. Zwischen strategischem Anspruch und praktischer Umsetzung besteht damit weiterhin eine erhebliche Lücke.

KI verändert das Risikoprofil der Cloud

KI-Workloads unterscheiden sich in mehreren Punkten von klassischen Unternehmensanwendungen. Für das Training oder die Anpassung von Modellen wird häufig kurzfristig viel Rechenleistung benötigt. Die spätere Inferenz muss dagegen nah an den operativen Systemen laufen und Ergebnisse mit geringer Verzögerung bereitstellen. Trainingsdaten, Prompts, Modellergebnisse, Protokolle und Metadaten entstehen an unterschiedlichen Stellen. Je nach Lösung können daran mehrere Plattformen, Anbieter und Unterauftragnehmer beteiligt sein.

Dadurch erweitert sich die Datenkette. Unternehmen müssen nicht nur wissen, wo ihre Ausgangsdaten gespeichert sind. Sie müssen auch nachvollziehen können, welche Daten in ein Modell einfließen, welche Zwischenstände entstehen, wo Backups und Protokolle liegen und wer administrative Zugriffe besitzt. Ebenso relevant ist, ob Eingaben oder Ergebnisse zur Verbesserung eines fremden Modells verwendet werden und wie sich diese Nutzung vertraglich sowie technisch begrenzen lässt.

Hinzu kommt die Abhängigkeit von Modellen und Plattformdiensten. Ein Wechsel kann aufwendig werden, wenn Anwendungen eng mit proprietären Schnittstellen, Formaten oder Orchestrierungsdiensten verbunden sind. Was in der Pilotphase Geschwindigkeit bringt, kann im produktiven Betrieb die Auswahlmöglichkeiten begrenzen. Souveränität bedeutet deshalb auch, Abhängigkeiten früh zu erkennen und bewusst zu entscheiden, an welchen Stellen sie wirtschaftlich sinnvoll und an welchen Stellen sie kritisch sind.

Souveränität beginnt bei Architektur und Betrieb

Datensouveränität wird häufig mit dem Standort eines Rechenzentrums gleichgesetzt. Ein Betrieb in Deutschland oder Europa ist für viele Anwendungen eine wichtige Grundlage, reicht aber allein nicht aus. Entscheidend sind zusätzlich der Rechtsraum des Anbieters und seiner Muttergesellschaft, die Hoheit über Verschlüsselungsschlüssel, die administrativen Zugriffsketten sowie die Speicherorte von Logs, Telemetrie und Backups.

Bei produktiver KI kommt die Governance über den gesamten Lebenszyklus hinzu. Unternehmen benötigen Transparenz über Modellherkunft, eingesetzte Versionen, Berechtigungen, Datenquellen und Änderungen. Sie müssen festlegen, wer Modelle freigibt, wie Ergebnisse kontrolliert werden und wie sich Fehler oder Auffälligkeiten zurückverfolgen lassen. Ohne diese Informationen ist später kaum zu beurteilen, welche Daten ein Ergebnis beeinflusst haben oder warum eine Anwendung zu einer bestimmten Empfehlung gekommen ist.

Souveränität ist daher weniger ein einzelnes Produktmerkmal als eine dauerhaft verfügbare Handlungsoption. Ein Unternehmen sollte entscheiden können, wem es welche Daten und Prozesse anvertraut. Es sollte diese Entscheidung überprüfen und bei veränderten rechtlichen, wirtschaftlichen oder technischen Bedingungen korrigieren können. Dafür braucht es eine Architektur, die Kontrolle, Portabilität und einen realistischen Wechselpfad von Anfang an berücksichtigt.

Warum pauschale Cloud Entscheidungen scheitern

Die Grundsatzfrage Cloud oder On Premises führt deshalb selten zu einer tragfähigen Strategie. Unternehmen betreiben kein einheitliches IT-System, sondern ein Portfolio unterschiedlicher Workloads. Ein ERP-System stellt andere Anforderungen als eine Entwicklungsumgebung. Eine KI-Inferenz mit sensiblen Kunden- oder Personaldaten ist anders zu bewerten als ein zeitlich begrenzter Trainingslauf mit synthetischen oder anonymisierten Daten.

Auch innerhalb einer Anwendung können verschiedene Betriebsmodelle sinnvoll sein. Datenaufbereitung, Training, Modellspeicherung und Inferenz müssen nicht zwangsläufig in derselben Umgebung stattfinden. Wer diese Komponenten getrennt betrachtet, kann skalierbare Ressourcen dort nutzen, wo sie einen echten Vorteil bieten, und sensible Prozesse dort betreiben, wo Kontrolle und Nachweisbarkeit am höchsten sind.

Das Ziel ist deshalb weder maximale Abschottung noch eine möglichst vollständige Verlagerung in die Public Cloud. Eine stark isolierte Umgebung kann zwar Kontrolle erhöhen, zugleich aber Skalierbarkeit, Innovationsgeschwindigkeit und Wirtschaftlichkeit begrenzen. Eine unkritische Cloud-Nutzung kann dagegen neue Abhängigkeiten und unklare Datenflüsse erzeugen. Die passende Architektur entsteht aus einer bewussten Abwägung für jede Workload.

Sechs Kriterien für jede Workload

Eine belastbare Entscheidung betrachtet sechs Dimensionen gemeinsam.

Die erste Dimension umfasst Datenschutz und regulatorische Anforderungen. Entscheidend sind die Art der verarbeiteten Daten, notwendige Nachweise, Lösch- und Aufbewahrungsfristen sowie die zulässigen Speicher- und Verarbeitungsorte. Bei KI-Anwendungen sollte zusätzlich geklärt werden, ob Eingaben gespeichert oder zur Weiterentwicklung von Modellen genutzt werden dürfen.
Die zweite Dimension ist die Kritikalität. Sie beschreibt, welche Folgen ein Ausfall, ein Datenverlust oder ein fehlerhaftes Ergebnis für den Geschäftsbetrieb hätte. Daraus lassen sich Anforderungen an Verfügbarkeit, Wiederanlauf, Backup und menschliche Kontrollmechanismen ableiten. Ein unterstützender Textassistent benötigt ein anderes Schutzniveau als ein System, das unmittelbar in Produktion, Versorgung oder Kundenentscheidungen eingreift.
Die dritte Dimension betrifft Integration und technische Kompatibilität. Relevant sind Schnittstellen zu bestehenden Anwendungen, Identitäts- und Rechtemanagement, Netzwerkanbindung sowie die Fähigkeit, Daten sicher zwischen Umgebungen zu übertragen.
Die vierte Dimension umfasst Performance und Skalierbarkeit. Hier geht es um benötigte Rechenleistung, Antwortzeiten, Lastspitzen und die Frage, ob Ressourcen dauerhaft oder nur zeitweise bereitstehen müssen.
Die fünfte Dimension ist die Wirtschaftlichkeit. Neben Infrastruktur- und Nutzungskosten sollten Migration, Integration, Betrieb, Überwachung, Sicherheitsmaßnahmen und ein späterer Wechsel berücksichtigt werden. Der niedrigste Einstiegspreis ist nicht automatisch die wirtschaftlichste Lösung über den gesamten Lebenszyklus.
Die sechste Dimension ist Portabilität und Exit-Fähigkeit. Sie zeigt, ob Daten, Modelle, Konfigurationen und Anwendungen in einem dokumentierten Format exportiert und in einer anderen Umgebung weiterbetrieben werden können.

Erst die gemeinsame Betrachtung dieser sechs Dimensionen macht Unterschiede sichtbar. Je nach Gewichtung kann die geeignete Lösung im eigenen Rechenzentrum, in einer Private Cloud, bei einem regionalen Cloud-Anbieter, bei einem Hyperscaler oder in einer bewusst gestalteten Kombination liegen. Eine nachvollziehbare Bewertung verhindert, dass Einzelargumente wie Preis, Standort oder Funktionsumfang die gesamte Entscheidung dominieren.

Hybride Architekturen als realistischer Zielzustand

Gerade bei KI führt die Workload-Betrachtung häufig zu hybriden Architekturen. Ein rechenintensiver Trainingslauf kann in einer elastisch skalierenden Umgebung stattfinden, wenn die verwendeten Daten ausreichend geschützt, anonymisiert oder synthetisch erzeugt wurden. Die produktionsnahe Inferenz mit sensiblen Informationen kann dagegen in einer stärker kontrollierten privaten oder regionalen Cloud laufen.

Eine solche Aufteilung funktioniert nur, wenn die Umgebungen nicht als voneinander isolierte Inseln betrieben werden. Identitäten, Berechtigungen, Verschlüsselung, Logging und Sicherheitsüberwachung benötigen eine gemeinsame Kontrollschicht. Datenflüsse müssen dokumentiert, Schnittstellen abgesichert und Verantwortlichkeiten eindeutig geregelt sein. Andernfalls erhöht eine hybride Architektur zwar die Zahl der Optionen, aber auch die operative Komplexität.

Für viele mittelständische Unternehmen ist deshalb nicht die Zahl der verfügbaren Cloud-Dienste entscheidend, sondern ihre beherrschbare Kombination. Die Architektur sollte ausreichend flexibel sein, um neue Modelle oder Plattformen zu integrieren, ohne dass Sicherheits- und Governance-Regeln für jedes Projekt neu entwickelt werden müssen. Standardisierte Betriebsprozesse und klare technische Leitplanken verkürzen den Weg vom Pilotprojekt in den verlässlichen Regelbetrieb.

Von der Auswahl zum laufenden Steuerungsprozess

Die Stärke einer Entscheidungsmatrix liegt nicht in einer einmaligen Bewertung. Sie schafft einen wiederholbaren Prozess. Unternehmen erfassen zunächst ihre Workloads und ordnen Datenarten, Abhängigkeiten und Kritikalität zu. Anschließend bewerten und gewichten sie die sechs Dimensionen, leiten ein Ziel-Betriebsmodell ab und dokumentieren die Gründe für ihre Entscheidung.

Diese Dokumentation ist wichtig, weil sich die Rahmenbedingungen verändern. Eine Anwendung kann mit einem begrenzten Datenbestand starten und später auf sensible Informationen zugreifen. Ein Anbieter kann Preise, Vertragsbedingungen oder technische Schnittstellen ändern. Neue regulatorische Anforderungen können zusätzliche Nachweise erfordern. Deshalb sollten Architekturentscheidungen in definierten Abständen und bei wesentlichen Änderungen erneut geprüft werden.

Ein einheitlicher Prozess verbessert auch die Zusammenarbeit zwischen Fachbereichen, IT, Informationssicherheit, Datenschutz, Einkauf und Geschäftsleitung. Statt über abstrakte Vorlieben für oder gegen die Cloud zu diskutieren, bewerten alle Beteiligten dieselben Kriterien. Das beschleunigt Entscheidungen und macht Zielkonflikte sichtbar, bevor sie in der Umsetzung zu Verzögerungen oder ungeplanten Kosten führen.

Operative Souveränität im Alltag

Auch das passende Betriebsmodell garantiert noch keine Souveränität. Entscheidend ist, wie die Umgebung im Alltag betrieben wird. Dazu gehören dokumentierte Speicher- und Verarbeitungsorte, bekannte Unterauftragnehmerketten, klar geregelte administrative Zugriffe und eine eindeutige Verantwortung für Verschlüsselungsschlüssel. Protokolle müssen vollständig, geschützt und für Audits verfügbar sein.

Ebenso wichtig ist eine realistische Exit-Strategie. Ein vertraglich zugesicherter Datenexport genügt nicht, wenn Formate, Übertragungszeiten, Abhängigkeiten und Kosten ungeklärt bleiben. Unternehmen sollten wissen, welche Daten und Konfigurationen sie zurückerhalten, wie lange die Übertragung dauert und wie der Weiterbetrieb in einer anderen Umgebung vorbereitet wird. Ein Exit-Plan wird erst dann belastbar, wenn die technischen Wege dokumentiert und in angemessenen Abständen getestet werden.

Auch der laufende Betrieb von KI benötigt klare Verfahren. Modellversionen und Konfigurationen sollten nachvollziehbar sein. Berechtigungen müssen regelmäßig überprüft, Auffälligkeiten überwacht und Sicherheitsupdates zeitnah eingespielt werden. Wo KI geschäftskritische Prozesse unterstützt, braucht es definierte Eskalationswege und eine Möglichkeit, auf einen sicheren Betriebszustand zurückzukehren.

Managed Services als Teil der Architektur

Viele Unternehmen können diese Aufgaben nicht dauerhaft mit eigenen Spezialisten für jede Technologie und jede Betriebsumgebung abdecken. Ein Managed Service Provider kann deshalb mehr leisten als die Bereitstellung von Rechenleistung. Er verbindet Beratung, Migration, Betrieb, Sicherheitsüberwachung und dokumentierte Serviceprozesse zu einem Gesamtmodell. Entscheidend ist dabei, dass Verantwortlichkeiten und Schnittstellen zwischen Unternehmen und Dienstleister eindeutig festgelegt bleiben.

Als unabhängiger Managed Service Provider unterstützt SpaceNet Unternehmen dabei, Cloud-, Security- und KI-Anforderungen in eine tragfähige Betriebsarchitektur zu übersetzen. Dazu gehören die Bewertung von Workloads, die Auswahl geeigneter Betriebsmodelle und der sichere Betrieb in redundanten Hochsicherheitsrechenzentren in München. Das Ziel ist eine Architektur, die technische Leistungsfähigkeit mit nachvollziehbarer Kontrolle verbindet.

Entscheidungsfähigkeit als Voraussetzung für produktive KI

Der breite Praxiseinsatz von KI wird die Cloud-Nutzung nicht verringern. Er wird sie differenzierter machen. Unternehmen benötigen skalierbare Rechenleistung, geschützte Datenräume, verlässliche Integration und nachvollziehbare Governance. Diese Anforderungen lassen sich selten mit einem einzigen Betriebsmodell erfüllen.

Wer heute eine KI-Plattform aufbaut, sollte deshalb nicht nur nach Funktionen und Rechenkapazität fragen. Ebenso wichtig ist, wie gut sich Datenflüsse und Zugriffe kontrollieren, Entscheidungen dokumentieren und Anwendungen bei Bedarf verändern oder verlagern lassen. Eine souveräne Cloud-Architektur schafft dafür den organisatorischen und technischen Rahmen. Sie ermöglicht Unternehmen, KI produktiv zu nutzen, ohne die Kontrolle über ihre wichtigsten Daten und Prozesse aus der Hand zu geben.

Welche Workload gehört wohin

Der kostenlose Entscheidungsleitfaden für souveräne Cloud-Architekturen unterstützt Sie dabei, Ihre Workloads anhand von sechs Dimensionen zu bewerten und das passende Betriebsmodell abzuleiten. Enthalten sind eine ausfüllbare Entscheidungsmatrix, eine Checkliste für operative Souveränität und eine beispielhafte Zielarchitektur für den Mittelstand.

Entscheidungsleitfaden kostenlos herunterladen: https://www.space.net/white-paper-souveraene-cloud-architektur/

Autor
Christian Steiner, Marketingleiter der SpaceNet AG, beschäftigt sich intensiv mit dem Thema Künstliche Intelligenz. Mit mehr als 15 Jahren Erfahrung bei namhaften Unternehmen wie Daimler, Ingram Micro und FTAPI Software bringt er tiefgreifendes Know-how in den Bereichen Marketingstrategie, Teamaufbau und Unternehmenspositionierung im IT-Security-Umfeld mit. Er trägt bei SpaceNet die Verantwortung, die Marke weiter zu stärken und die innovativen Lösungen gezielt am Markt zu platzieren.
Kontaktdaten: c.steiner@space.net, (089) 323 56-141