„Wer aus der Geschichte nicht lernt, der ist verdammt, sie zu wiederholen.“ Dieses Sprichwort, frei nach George Santayana, sollte auf ein Tuch gestickt und eingerahmt in jedem Büro der Chefetage sämtlicher Unternehmen in Europa hängen. Denn während gerade alle dabei sind, sich von amerikanischen Clouds unabhängig zu machen und das Buzzword digitale Souveränität in aller Munde ist, haben sie sich schon wieder in neue Abhängigkeiten begeben. Und nun fragt man sich: Was passiert, wenn OpenAI, Anthropic, Google oder auch ein Elon Musk den Zugriff auf ihre KI-Bots und Large Language Models einschränkt? Wie viele Unternehmen dann überhaupt noch arbeiten können, steht in den Sternen.
Was umso verwunderlicher ist, denn für Ausfälle von Cloud-Diensten oder Cyberattacken haben die meisten längst Notfallpläne. Doch für den Fall, dass das verwendete KI-Modell plötzlich durch Einschränkungen nur noch bedingt funktional oder zugänglich ist, haben sie keine Präventivstrategien. Dabei ist das Szenario gleichermaßen real wie gruselig, wie das Beispiel von Anthropic zeigt. Das Unternehmen musste auf Geheiß der US-Regierung den Zugang zu ihren aktuellsten und leistungsstärksten KI-Modellen für ausländische Bürger unterbinden. Aus Gründen der nationalen Sicherheit, wie es von offizieller Seite hieß.
Da die meisten hiesigen Unternehmen ihre KI-Systeme und -Anwendungen nicht selbst betreiben, sondern via API die Modelle von US-amerikanischen Anbietern verwenden, eröffnet sich auf diese Weise ein potenziell katastrophales Szenario: Schaltet ein Anbieter – aus welchen Gründen auch immer – den Zugang ab oder schränkt ihn ein, funktionieren ganze Betriebsabläufe, Systeme und Geschäftsanwendungen von einem Moment auf den anderen nicht mehr. Gefahr droht selbst bei via Vibe Coding erstellten und unabhängig von KI betriebenen Anwendungen, denn oft ist dieses Vorgehen ja die Lösung für zu geringe Entwicklerressourcen. Sind Bugfixes oder Erweiterungen nötig, kann die KI dann nicht mehr helfen. Ein weiterer Faktor ist der EU AI Act, der volle Nachvollziehbarkeit über Datenflüsse verlangt. Unternehmen, die also ihre Daten via API US-amerikanischen KI-Anbietern auf dem Silbertablett servieren, verlieren diese Kontrollfähigkeit und riskieren Bußgelder. Ein Grund mehr, schleunigst umzudenken und einen sogenannten AI Incident Response Plan aufzustellen.
Ein solcher Notfallplan beginnt bestenfalls damit, vollständige Transparenz zu schaffen. Unternehmen müssen wissen, wo ihre Daten liegen, welche KI-Modelle sie verwenden und welche Anwendungen abhängig von ihnen sind. Ein positiver Nebeneffekt dieses Schrittes ist auch, dass Verantwortliche Schatten-KI aufdecken und entsprechende Anwendungen in die Sichtbarkeit und Kontrolle der IT-Abteilung überführen können. Sobald dieser Punkt erledigt ist, brauchen Unternehmen einen echten Fallback für den Notfall. Es gilt also zu evaluieren, wie sie eine vergleichbare und unabhängige KI-Infrastruktur aufbauen können. Dafür gibt es einige Möglichkeiten, zum Beispiel frei verfügbare Open-Weight-Modelle, die sich ganz einfach in europäischen oder deutschen Rechenzentren hosten sowie bei Bedarf auf lokaler Infrastruktur betreiben lassen. Sie sind oft sogar API-kompatibel zu den Services der großen KI-Anbieter.
In politisch unsicheren Zeiten wie diesen und im Hinblick auf verbindliche Regularien in der EU sollten Unternehmen keine Sekunde mehr zögern, die nötigen Schritte einzuleiten. Echte digitale Souveränität endet nicht beim Verzicht auf EU-fremde Cloud-Speicher- oder Software-Angebote. Europa muss sich auch in der KI-Frage unabhängig von fremden Märkten machen. Nur so können hiesige Unternehmen produktiv, sicher, resilient und ohne ständige Angst vor Einschränkungen arbeiten.
Statement von Sascha Uhl, Senior Solutions Architect bei Cloudian