Auf den Punkt: Der geplante Cloud and AI Development Act verschiebt die Compliance-Anforderung von Datenresidenz zu nachweisbarer europäischer Kontrolle über Betrieb, Eigentum und Lieferkette – doch in der Praxis dominieren unkontrollierte Ausweichkanäle.
Das EU Tech Sovereignty Package adressiert Souveränitätsrisiken in Cloud, KI und Lieferketten. Eine Wire-Studie zeigt: Behörden und Unternehmen teilen vertrauliche Informationen routinemäßig über Tools ohne europäische Kontrolle – ein Governance-Leck, das regulatorische Anforderungen gefährdet.
Das EU Tech Sovereignty Package und der Cloud and AI Development Act
Das EU Tech Sovereignty Package platziert Cloud, KI und Lieferketten ins regulatorische Zentrum. Der Cloud and AI Development Act, derzeit im ordentlichen EU-Gesetzgebungsverfahren, soll europäische Rechenzentrumskapazität ausbauen und einen EU-weiten Bewertungsrahmen für souveräne Cloud- und KI-Dienste etablieren. Dieser Rahmen berücksichtigt mehrere Faktoren: Datenresidenz in der EU, Unabhängigkeit von Anbietern aus Drittstaaten, Transparenz der Software-Lieferkette sowie Betrieb, Eigentum und Kontrolle unter europäischer Regie. Damit verschiebt sich die Debatte grundlegend von der bloßen Datenresidenz zu nachweisbarer Kontrolle.
Sicherheits- und Governance-Defizite in der Zusammenarbeitspraxis
Eine Studie des Collaboration-Anbieters Wire unter IT-, Security- und Compliance-Verantwortlichen in Deutschland, Frankreich und Großbritannien offenbart einen Widerspruch: 84 Prozent bewerten ihre Collaboration-Umgebung als sicher oder sehr sicher. Gleichzeitig teilen 48 Prozent sensible Informationen manchmal oder häufig über Tools, die für sichere Kommunikation ungeeignet sind. Konkret nutzen 80 Prozent der Befragten Microsoft Teams. 42 Prozent setzen Consumer-Messaging-Apps wie WhatsApp oder Signal im Arbeitskontext ein. Externe Zusammenarbeit läuft zu 75 Prozent über E-Mail, zu 45 Prozent über Dateifreigabe-Links und zu 42 Prozent über Messaging-Apps. Vorstandskommunikation, Krisencalls, Vertragsentwürfe und R&D-Projekte folgen damit einer Mischung aus US-dominierten Enterprise-Plattformen, Legacy-Infrastruktur und unkontrollierten Consumer-Kanälen – häufig außerhalb zentraler Identitäts-, Geräte- und Berechtigungsverwaltung.
Pragmatische Einzelentscheidungen unterminieren Governance
Das zentrale Risiko liegt in der Praxis: Wenn externe Partner kurzfristig Zugriff benötigen, Projektteams auf E-Mail ausweichen, Krisenteams den „gerade funktionierenden“ Kanal nutzen, entsteht eine Kommunikationslandschaft, die zentrale Tool-Governance und Nachvollziehbarkeit unterläuft. Diese pragmatischen Einzelentscheidungen sind regelkonform nicht zu erfassen und schaffen Blindstellen für Audit, Incident Response und regulatorische Nachweise – Anforderungen von NIS2, DORA und DSGVO.
Serverstandort ist nicht gleich Souveränität
Ein entscheidender Punkt: Daten können in europäischen Rechenzentren gespeichert sein und trotzdem über Betreiber, Administrationsrechte, Support-Prozesse oder Software-Lieferketten in außereuropäische Abhängigkeiten geraten. Amerikanische Gesetze wie der CLOUD Act oder FISA Section 702 können US-Anbietern Zugriffsverpflichtungen auferlegen, selbst wenn Daten physisch in der EU liegen. Für regulierte Branchen, Behörden und kritische Infrastrukturen entstehen daraus Risiken für Vertraulichkeit, Nachweisbarkeit und operative Resilienz. 75 Prozent der Studienteilnehmer bewerten Kontrolle über Betrieb und Infrastruktur als Kernfaktor für echte Souveränität – ein Verständnis, das der neue EU-Rahmen institutionalisieren will.
Quelle: www.it-daily.net · Erschienen 10. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.