Dabei ist Souveränität kein abstraktes Konzept: Die EU hat mit dem SEAL-Framework acht Bewertungsdimensionen als Beschaffungswerkzeug für den öffentlichen Sektor entwickelt. Mit dem “Cloud and AI Development Act” (CADA) wird eine daran angelehnte Bewertungslogik nun verbindlich – mit möglicher Ausweitung auf private, kritische Sektoren. Für Einkäufer heißt das: Wer heute KI-Zukäufe nach diesen Dimensionen vorfiltert, reduziert das Risiko rechtlicher Folgen sowie teurer Wechselkosten, falls solche Pflichten morgen greifen.
Unabhängig von der Gesetzeslage können alle Unternehmen anhand des Frameworks die Souveränität ihrer KI-Anbieter bewerten. Zur Vereinfachung hat BlackMountain das Framework in konkrete Fragen übersetzt, die Einkäufer europäischer Unternehmen den Betreibern von KI-Plattformen stellen können.
1. Rechtliche Souveränität
Sind unsere Unternehmensdaten vor dem Zugriff durch ausländische Staaten geschützt – auch durch Instrumente wie den CLOUD Act?
Der Serverstandort reicht nicht aus, um Souveränität zu gewährleisten. Daten bleiben nur sicher, wenn der Unternehmenssitz des Server-Betreibers in der EU liegt.
2. Strategische Souveränität
Gehört der Anbieter dauerhaft europäischen Eigentümern oder könnte er morgen von einem Konzern außerhalb der EU übernommen werden?
Wer heute europäisch geführt ist, kann morgen aufgekauft werden. Nur eine dauerhafte europäische Verankerung (Kapitalstruktur, Sitz der Geschäftsführung) wirkt dem entgegen.
3. Daten- & KI-Souveränität
Sind unsere Daten so verschlüsselt, dass nur wir darauf zugreifen können?
Solange der Anbieter den Schlüssel hält, kann er Inhalte einsehen und in eigene Modelle einspeisen. Daten sind nur sicher, wenn allein der Kunde den Zugriff kontrolliert, die Verarbeitung die EU nicht verlässt und der Zugriff nachvollziehbar dokumentiert ist.
4. Operative Souveränität
Behält unsere Organisation das Eigentum an ihrer Wertschöpfungskette und ihrem Wissen, wenn wir den Anbieter wechseln?
Die meisten KI-Plattformen sind so konzipiert, dass ein Abgang teuer ist. Nur, wenn die Architektur den Wechsel offenhält (austauschbare Modelle, exportierbare Daten), bleibt der Betrieb souverän.
5. Lieferketten-Souveränität
Sind die Lieferketten des KI-Anbieters offengelegt und weitestmöglich europäisch?
Souveränität reicht durch die gesamte Lieferkette: Hardware, Firmware, Softwarebausteine und Subunternehmer sind offengelegt und so weit wie möglich unter europäischer Kontrolle.
6. Technologie-Souveränität
Baut die Plattform auf offenen Standards und nachvollziehbarer Technik auf?
Proprietäre Schnittstellen und undurchsichtige Architekturen machen aus einer Plattform ein System, das man weder prüfen noch ersetzen kann, ohne alles neu zu bauen.
7. Sicherheits- & Compliance-Souveränität
Liegt die Sicherheit unserer Daten allein in europäischer Hand und können wir Sicherheitsvorfälle und Zugriffe jederzeit selbst überprüfen?
Protokollierung und Reaktion auf sicherheitskritische Vorfälle laufen ausschließlich unter europäischer Kontrolle, folgen den EU-Regeln und der Kunde kann Zugriffe und Vorfälle unabhängig einsehen und prüfen.
8. Umwelt-Souveränität
Ist der Betrieb der Plattform möglichst energieeffizient?
Energieeffizienz, Emissionen und Ressourcenverbrauch werden transparent gemessen und die Infrastruktur setzt so weit wie möglich auf erneuerbare Energie und Kreislaufprinzipien.
9. Urteilssouveränität
Behalten die Menschen in unserer Organisation ihre eigene Denk- und Lernfähigkeit, während sie das System nutzen?
Hier geht BlackMountain über SEAL hinaus. Das Produktdesign Ihres Anbieters entscheidet, ob Ihr Team fünf Jahre später mehr Kompetenz besitzt oder ob das Fachwissen in ein fremdes System abgewandert ist. Auf unserer Intelligence Plattform hält ein Human-in-the-Lead-Ansatz die Führungskompetenz beim Menschen: KI ersetzt nicht alle kognitiven Prozesse, sondern unterstützt dort, wo wirklich Wertschöpfung entsteht.
Die vollständige Checkliste mit detaillierten Bewertungskriterien stellen wir auf Anfrage an blackmountain.io/contact zur Verfügung.