Viele Unternehmen glauben, die Pflichten lägen beim Hersteller. Die KI-Verordnung verteilt sie aber bewusst auf zwei Rollen.

Es geht um die Frage, wer für ein KI-System verantwortlich ist: der, der es entwickelt, oder der, der es einsetzt. Das trifft jedes Unternehmen, das KI kauft oder selbst baut und im Alltag nutzt.

Zuerst bestimmt sich die Rolle nach der Verantwortung für das Produkt. Anbieter ist, wer ein KI-System entwickelt oder unter eigenem Namen in Verkehr bringt. Betreiber ist, wer es in eigener Verantwortung im Beruf einsetzt.

Dann prüft der Anbieter, ob sein System in einen Hochrisiko-Bereich fällt. Anhang III nennt etwa Bildung, Personalmanagement und kritische Infrastruktur. Für solche Systeme gelten Anforderungen an Risikomanagement, Dokumentation und Genauigkeit.

Danach übernimmt der Betreiber die Verantwortung für den korrekten Einsatz. Beim gekauften Bewerbungs-Screening sichert er etwa die menschliche Aufsicht im Betrieb. Ob ein konkretes System betroffen ist, ergibt sich aus einer Einzelfallbewertung nach den Kriterien der Verordnung.

Zuletzt können sich Rollen verschieben. Wer ein fremdes System erheblich verändert oder unter eigenem Namen neu in Verkehr bringt, wird selbst Anbieter. Ein Unternehmen, das ein System entwickelt und im eigenen Personalmanagement nutzt, trägt beide Rollen samt aller Pflichten. Artikel 50 ergänzt Transparenzpflichten, etwa die Kennzeichnung künstlich erzeugter Inhalte.

Anbieter heißt nicht „allein Verantwortlicher“, sondern eine Rolle von zweien. Wer nur einsetzt, bleibt trotzdem pflichtig – der Einsatz selbst wird kontrolliert.

📌 Anbieter · Betreiber · Pflichtenverteilung

📚 Zukunftstechnologien verstehen · Tag 6 von 30
#Regulierung #DigitaleTransformation #strategie

Viele Teams lesen einen EU-Text und meinen, sofort handeln zu müssen. Dabei gilt längst nicht jedes EU-Recht direkt im eigenen Land.

Das Symptom kennt jede erste Compliance-Analyse: Ein Unternehmen prüft Pflichten aus Brüssel, findet aber im nationalen Recht nichts dazu. Umgekehrt warten andere auf ein deutsches Gesetz, obwohl die EU-Vorgabe schon unmittelbar gilt. Beides kostet Zeit und führt zu falschen Prioritäten.

Der Grundbegriff dahinter ist die Rechtsart. EU-Rechtsakte stehen im Vertrag über die Arbeitsweise der EU in Artikel 288. Eine Verordnung gilt dort unmittelbar in allen Mitgliedstaaten. Eine Richtlinie ist nur hinsichtlich ihres Ziels verbindlich und muss von jedem Mitgliedstaat in nationales Recht umgesetzt werden.

Ein Beispiel: Die KI-Verordnung, Verordnung (EU) 2024/1689, ist eine Verordnung. Ihr Text gilt in allen Mitgliedstaaten unmittelbar und gleich lautend. Dazu gehört die Definition eines KI-Systems als maschinengestütztes System, das aus Eingaben Ausgaben wie Vorhersagen oder Entscheidungen erzeugt. Die NIS2-Richtlinie für Cybersicherheit ist dagegen eine Richtlinie. Die konkreten Pflichten entstehen dort erst durch das nationale Umsetzungsgesetz des Mitgliedstaats.

So prüft man es: Zuerst klären, ob der EU-Rechtsakt eine Verordnung oder eine Richtlinie ist. Bei einer Richtlinie anschließend das nationale Umsetzungsgesetz suchen, denn dort stehen Fristen und Anforderungen.

Verbindlich heißt nicht unmittelbar geltend. Erst die Rechtsart entscheidet, ob der EU-Text selbst gilt oder das nationale Gesetz wartet.

📌 Verordnung · Richtlinie · Umsetzung

📚 Zukunftstechnologien verstehen · Tag 5 von 30
#Regulierung #Cybersicherheit #strategie

Die meisten Unternehmen wählen den Speicherort ihrer Daten mit Sorgfalt. Dabei entscheidet über die tatsächliche Kontrolle die Architektur, nicht der Standort des Rechenzentrums.

Datenportabilität ist die Fähigkeit, Daten maschinenlesbar zu erhalten und in ein anderes System zu übertragen, ohne sie neu zu erfassen. Artikel 20 DSGVO gibt betroffenen Personen genau diesen Anspruch; wer ihn später nachrüstet, braucht teure Sonderentwicklung.

🔭 Portabilität ist ein konkreter technischer Anspruch, kein Wunsch. Verlangt ist ein strukturiertes, gängiges und maschinenlesbares Format. „Maschinenlesbar“ heißt: Ein anderes System kann die Daten einlesen, ohne dass jemand sie abtippt oder umformt.

🧪 Ein offenes Format entscheidet, ob der Export brauchbar ist. Ein offener Standard ist eine öffentlich zugängliche Spezifikation, die jeder umsetzen kann, ohne die Erlaubnis eines einzelnen Anbieters zu brauchen. Der Data Act, die Verordnung (EU) 2023/2854, erleichtert zudem den Wechsel zwischen Datenverarbeitungsdiensten, etwa durch Regeln zu Wechselgebühren und Übergangsfristen.

📐 Der Export gehört vor dem Einstieg geprüft, nicht nach dem Ausstieg. Bewährt hat sich eine Exit-Strategie je kritischem Dienst: Ist der Export vollständig, maschinenlesbar und dokumentiert? Existiert ein Alternativanbieter? Wie läuft der Übergangsbetrieb? Verschlüsselung mit eigenen Schlüsseln, also Schlüsseln beim Nutzer statt beim Anbieter, ist eine weitere Kontrollebene.

Ein Beispiel: Ein Unternehmen speichert Kundendaten in einem EU-Rechenzentrum. Ohne das US-Muttersoftwarehaus kann es weder Daten im gängigen Format exportieren noch den Betrieb fortführen.

Souveränität heißt nicht, zu wissen, wo Daten stehen, sondern sie ohne Rücksprache nutzen, exportieren und weiterbetreiben zu können.

📌 Datenportabilität · Offene Formate · Exit-Strategie

📚 Zukunftstechnologien verstehen · Tag 5 von 30
#Souveraenitaet #architektur #Regulierung

Viele Unternehmen speichern ihre Daten in der EU – und sind trotzdem nicht Herr über sie. Der Grund: Kontrolle entsteht nicht durch den Standort, sondern durch die Architektur.

Der Begriff digitale Souveränität begegnet Einsteigern in Ausschreibungen und in der Regulierung. Wer ihn nicht kennt, verwechselt Standorte mit Selbstbestimmung – und merkt es erst beim Anbieterwechsel.

Digitale Souveränität ist die Fähigkeit, über eigene Daten, Systeme und digitale Abhängigkeiten selbstbestimmt zu entscheiden. Sie funktioniert wie ein Portfolio prüfbarer Kontrolle mit vier Fragen: Wer kann auf die Daten zugreifen? Wer kontrolliert die Systeme, welche Fähigkeiten sind nötig, und wie austauschbar ist die Lieferkette?

Ein Unternehmen speichert Kundendaten in einem EU-Rechenzentrum. Trotzdem kann es ohne die Hilfe des US-Muttersoftwarehauses weder Daten in einem gängigen Format exportieren noch den Betrieb fortführen. Der Standort ist souverän, die Architektur nicht. Artikel 20 DSGVO gibt den Menschen, von denen Daten stammen (DSGVO: betroffene Personen), das Recht auf ihre Daten in strukturiertem, maschinenlesbarem Format. Der Data Act (Verordnung (EU) 2023/2854) erleichtert den Wechsel zwischen Datenverarbeitungsdiensten, mit Vorgaben zu Wechselgebühren und Übergangsfristen.

Verwechselt wird Souveränität oft mit Abschottung. Gemeint ist selbstbestimmtes Entscheiden über Abhängigkeiten – nicht der Verzicht auf Cloud-Dienste oder ausländische Anbieter. Offene, dokumentierte Datenformate schaffen Portabilität. Eine Exit-Strategie je kritischem Dienst – Datenexport, Alternativanbieter, Übergangsbetrieb – wird vor dem Einstieg geplant.

Digitale Souveränität ist nicht die EU-Flagge über dem Rechenzentrum, sondern die beantwortbare Frage: Können wir morgen ohne diesen Anbieter weiterarbeiten?

📌 Vier Prüffragen · Portabilität · Exit-Strategie

📚 Zukunftstechnologien verstehen · Tag 5 von 30
#Souveraenitaet #strategie

Eine Checkliste hakt Maßnahmen ab. Ein Managementsystem steuert, welche Maßnahmen nötig sind – dauerhaft.

Die Verwechslung ist naheliegend: Anhang A der ISO/IEC 27001, Fassung 2022, dem internationalen Standard für Informationssicherheit, sieht mit seinen 93 Controls (einzelnen Sicherheitsmaßnahmen) aus wie eine Liste zum Abarbeiten. Doch wer sie einfach abhakt, scheitert im Audit, weil die Norm den begründeten Weg verlangt.

Eine Checkliste ist ein statisches Verzeichnis: Sie nennt Maßnahmen wie Passwortregeln, Zutrittskontrolle oder Datensicherung und lässt sich einmalig durcharbeiten, entscheidet aber nicht über den konkreten Bedarf. Wer jede Rechenzentrums-Kontrolle eines Großkonzerns übernimmt, verschwendet Aufwand im Zwei-Personen-Büro.

Ein Managementsystem nach ISO/IEC 27001 arbeitet dagegen im Kreislauf: Es erfasst Risiken, bewertet sie und leitet daraus die Maßnahmen ab. Ein kleines Unternehmen stuft den Verlust von Kundendaten als hohes Risiko ein, wählt Controls zur Verschlüsselung und Datensicherung und begründet in der Erklärung zur Anwendbarkeit (Statement of Applicability), warum Rechenzentrums-Kontrollen entfallen. Interne Audits und Managementbewertung halten den Prozess in Gang.

Die Checkliste fragt „Was gibt es?“, das Managementsystem fragt „Was brauchen wir, warum, und funktioniert es?“. Das Zertifikat bestätigt ein gelebtes System im definierten Geltungsbereich, kein sicheres Produkt.

Faustregel: Checklisten eignen sich als Stoffsammlung für einzelne Kontrollen. Sobald es um Risikobewertung, Nachweise und Dauerbetrieb geht, führt kein Weg am Managementsystem vorbei.

ISO/IEC 27001 heißt also nicht „alle Maßnahmen erledigt“, sondern „Risiken systematisch behandelt“ – das Zertifikat belegt Prozesse, nicht garantierte Angriffssicherheit.

📌 Risikobewertung · Managementsystem · Statement of Applicability

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#Cybersicherheit #Regulierung #strategie

Wer die Firewall passiert hat, gilt im internen Netz oft als vertrauenswürdig. Genau dieses implizite Vertrauen schafft Zero Trust ab.

Einsteiger begegnen Zero Trust meist bei IT-Sicherheitsprojekten oder in Ausschreibungen. Wer es als Produkt versteht, kauft teure Werkzeuge – und behält die alte Architektur mit allen Lücken.

Zero Trust ist ein Architekturprinzip, kein Produkt: Jeder Zugriff wird einzeln geprüft und bewilligt, egal aus welchem Netz er kommt. Der US-Standard NIST SP 800-207 von 2020 fasst das als Sicherheitsparadigma, das implizites Vertrauen aufgrund der Netzposition oder des bloßen Gerätebesitzes abschafft. Alle Datenquellen und Dienste gelten darin als schützenswerte Ressourcen, und jede Kommunikation wird unabhängig vom Netzstandort gesichert.

Der Zugriff wird je Sitzung gewährt und nach dem Prinzip der geringsten Rechte beschränkt: Wer das interne Wiki aufruft, erhält nur Lesezugriff auf genau diese eine Ressource. Der Policy Enforcement Point stoppt die Anfrage und setzt die Entscheidung durch; der Policy Decision Point prüft Identität, Gerätezustand und Kontext. Dynamische Richtlinien – Regeln, die festlegen, wer mit welchem Gerät unter welchen Bedingungen auf welche Ressource darf – bilden die Grundlage der Entscheidung.

Verwechselt wird Zero Trust gern mit VPN oder Firewall. Ein VPN verschlüsselt nur den Tunnel; hinter dem Tunnel gilt oft weiterhin das alte Vertrauen im internen Netz. Ein Notebook im Büronetz und ein Homeoffice-Gerät stehen in Zero Trust gleichrangig vor der Prüfung.

Zero Trust heißt nicht, das interne Netz zu verteidigen, sondern jeden einzelnen Zugriff zu entscheiden.

📌 Implizites Vertrauen · Je Sitzung · Least Privilege

📚 Zukunftstechnologien verstehen · Tag 3 von 30
#zerotrust #Cybersicherheit #architektur #Regulierung