Ein Praxisfall
Die vierteljährliche Aufsichtsratssitzung verläuft wie geplant. Der Vorstand hat sich präzise vorbereitet: Strategie, Zahlen, Ausblick sitzen. Dann, in der Kaffeepause, geht ein Aufsichtsratsmitglied auf ihn zu. Beiläufig, zwischen zwei Gesprächen. Er habe da in letzter Zeit einiges Beunruhigendes gelesen – über digitale Abhängigkeiten, Datenzugriff, geopolitische Risiken, die sich nicht in Bilanzkennzahlen zeigen. Schließlich hätte das Unternehmen ja auch Verträge für Cloud-Lösungen. Ob man das bei der nächsten Sitzung auf die Agenda nehmen könnte?
Der Vorstand sagt natürlich zu. Auf dem Weg zurück in sein Büro fängt er an zu grübeln: Was würde er eigentlich antworten?
Die Welt hat sich geändert – manche Verträge noch nicht
Der US CLOUD Act schafft seit 2018 einen rechtlichen Rahmen, der amerikanischen Behörden unter bestimmten Bedingungen Zugriff auf Daten ermöglicht, die US-amerikanische Unternehmen halten – und zwar unabhängig vom physischen Speicherort.
Die großen Hyperscaler haben darauf reagiert: mit vertraglichen Schutzklauseln, technischen Isolationsmaßnahmen und europäischen Sovereign-Cloud-Angeboten mit eigens konzipierten Betriebsmodellen. Das reduziert das Risiko, hebt den rechtlichen Rahmen aber nicht auf.
Was Vorstände und Aufsichtsräte deshalb verstehen und bewerten müssen, ist der Unterschied zwischen dem, was ein Anbieter vertraglich zusichert, und dem, was rechtlich möglich bleibt. Genau diese Einschätzung ist eine genuine Führungsaufgabe.
Hinzu kommt eine geopolitische Dynamik, die vor mehreren Jahren noch als unwahrscheinlich galt. Wer heute einen Hyperscaler-Vertrag für kritische Bankprozesse abschließt, schließt implizit auch einen Vertrag über Jurisdiktion und Datenzugriff ab, dessen Konsequenzen selten auf der ersten Seite des Angebots stehen und noch seltener im Vorstand oder Aufsichtsrat besprochen werden.
Wer heute einen Hyperscaler-Vertrag abschließt, schließt implizit auch einen Vertrag über Jurisdiktion ab - und dieser Teil steht selten auf der ersten Seite des Angebots.
Susanne KochwagnerDirector | Cloud Transformation | msg for banking
KI verschärft das Problem, weil sie es unsichtbar macht
Generative KI hat eine neue Abhängigkeitsdimension geschaffen, die in klassischen Cloud-Risikoanalysen noch nicht systematisch abgebildet ist. Wenn ein Institut KI-Modelle eines externen Anbieters für Kreditentscheidungen, Betrugserkennung oder Kundenkommunikation nutzt, lagert es nicht nur Rechenkapazität aus, sondern Entscheidungslogik. Und das ist ein kategorischer Unterschied.
Auf die Fragen:
- Welches Modell verarbeitet die Anfrage?
- Wo werden die Eingabedaten zwischengespeichert?
- Fließen Kundendaten in das Training des Modells ein, und wenn ja, auf welcher Rechtsgrundlage?
gibt es heute nicht immer befriedigende Antworten: nicht weil die Anbieter sie verweigern, sondern weil sie in den meisten Instituten noch nicht oder nicht so deutlich gestellt werden.
Digitale Souveränität im KI-Zeitalter bedeutet deshalb zunächst, zu verstehen, welche Entscheidungen das Institut noch selbst trifft und welche es an Modelle delegiert hat, deren Funktionsweise und Trainingsbasis es nicht vollständig kennt oder durchdrungen hat.
DORA (Art. 28, 30) und die EBA-Leitlinien zu Auslagerungen (EBA/GL/2019/02) verlangen, dass Finanzinstitute ihre IKT-Drittdienstleister einschließlich Sub-Auslagerungsketten vollständig erfassen und kontrollieren können. KI-Modelle als ausgelagerte Entscheidungskomponenten fallen in diesen Geltungsbereich – auch wenn sie aktuell noch nicht in allen Instituten entsprechend klassifiziert sind.
Zur rechtlichen Prüfung: Gilt dies auch für API-Zugriffe auf externe Large Language Models (LLMs) ohne formellen Auslagerungsvertrag? Die Antwort hat unmittelbare Konsequenzen für die Vertragsdokumentation.
Was das für Vorstände und Aufsichtsräte konkret bedeutet
Digitale Souveränität ist kein IT-Thema, das an den CIO delegiert werden kann. Es ist am Ende immer eine Governance-Frage: Wer entscheidet, welche Prozesse ausgelagert werden? Wer genehmigt die Jurisdiktion, unter der Kundendaten verarbeitet werden? Wer prüft, ob Exit-Fähigkeit und Revisionszugang tatsächlich vertraglich gesichert sind und nicht nur im Angebot erwähnt werden?
Diese Entscheidungen fallen heute, oft unbemerkt, in Technologie- und Beschaffungsprozessen, deren Konsequenzen sich erst in Aufsichtsratssitzungen, BaFin-Prüfungen oder Krisensituationen zeigen.
Drei Fragen sollte jeder Vorstand beantworten können, ohne vorher den CIO anrufen zu müssen:
- Welche unserer kritischen Prozesse laufen bei Anbietern, die amerikanischem Recht unterliegen?
- Haben wir für diese Prozesse vertraglich gesicherten Revisionszugang und eine dokumentierte Exit-Strategie?
- Wer in unserem Haus ist für diese Fragen zuständig und berichtet dazu regelmäßig an das Board?
Diese drei Fragen klingen einfacher, als sie tatsächlich sind. Und für jede gibt es gute und richtige Antworten. Wer auf alle eine klare Antwort hat, ist noch nicht zwingend in allen Dimensionen souverän – aber wer keine hat, ist es sicher nicht.
Der erste Schritt ist hierbei nicht zwingend eine völlig neue Strategie. Und schon gar nicht hektische Betriebsamkeit. Sondern eine ehrliche Bestandsaufnahme: Welche Verträge mit Cloud-Relevanz laufen mit welchen Anbietern unter welcher Jurisdiktion? Und wer im Haus hat den Überblick darüber?
Institute, die diese Transparenz für sich bereits erarbeitet haben, stellen dabei regelmäßig fest, dass das Bild fragmentierter ist als erwartet – und dass genau in der Herstellung der Transparenz der primäre Handlungsbedarf liegt, nicht im Einsatz neuer Technologie.
Wer sich als Vorstand diese drei Fragen ehrlich beantwortet, verändert mehr als nur Antworten für die nächste Aufsichtsratssitzung zu haben. Er gewinnt einen Handlungsrahmen, der wirkt: nach außen in den Aufsichtsrat, nach innen in die eigene Organisation. Denn Digitale Souveränität lässt sich nicht durch Abhaken von Checklisten erzeugen, sie muss Dimension für Dimension erarbeitet werden. Und das macht den Unterschied.
Digitale Souveränität ist kein Zustand, den man mit Ja oder Nein beschreiben kann. Sie ist ein Entscheidungsrahmen - und wer ihn nicht kennt, delegiert strategische Kontrolle, ohne es zu merken.
Susanne KochwagnerDirector | Cloud Transformation | msg for banking
Worum es in dieser Beitragsreihe geht
Diese Beitragsreihe entsteht, um Entscheidungsfähigkeit aufzubauen, bei CIOs und COOs, bei Vorständen und bei Aufsichtsräten sowie Beiräten, die mit diesem Thema zunehmend konfrontiert werden, ohne immer das Handwerkszeug zu haben, die richtigen Fragen zu stellen. Einfache Antworten wird sie nicht präsentieren.
Die Reihe arbeitet sich durch die Dimensionen der digitalen Souveränität: von der Frage der Datenhoheit über technische Abhängigkeiten bis zu operativer Resilienz und Governance.
Das Ziel ist immer dasselbe: informierte und damit fundierte Entscheidungen treffen zu können.
Der nächste Beitrag geht in die erste operative Dimension: Wem gehören die Daten eines Finanzinstituts wirklich, und welche fünf Prüffragen helfen, das zu klären?
