KI-Souveränität: Wer darf im System was verändern?

Ein Krankenhaus prüft eine KI-Anwendung, die technische Unterlagen für interne Besprechungen zusammenfasst. In diesem fiktiven Beispiel erklärt der Anbieter, die Server stünden in Europa, die Modellgewichte seien verfügbar und die Kund:innen behielten die Kontrolle über ihre Daten. Bei der Prüfung bleiben drei Fragen offen: Darf ein:e Mitarbeiter:in der technischen Betreuung eine Eingabe einsehen? Wer kann das Modell austauschen? Welche Organisation kann die Zugriffsregeln ändern? Jede Antwort könnte die Entscheidung des Krankenhauses verändern, obwohl die Server im selben Gebäude bleiben.

Für Verantwortliche in europäischen Kliniken, Pharmaunternehmen und der Medizintechnik würde ich KI-Souveränität deshalb in nachweisbare Befugnisse über einen konkreten Dienst übersetzen. Eine brauchbare Aussage benennt eine handelnde Person oder Organisation, eine Handlung, die zulässigen Umstände und den Nachweis, dass diese Grenze funktioniert. Der Standort gehört dazu. Ebenso gehören Berechtigungen, ihre technische Durchsetzung und die dafür handlungsfähigen Menschen dazu.

Welche Entscheidung soll die Eigenständigkeit schützen?

Ausgangspunkt ist Sonya Huangs Sequoia-Vortrag Own Your Intelligence, veröffentlicht am 11. August 2026. Huang betont die Kontrolle über Modellgewichte und lässt unterschiedliche Grenzen zwischen eigenen Fähigkeiten und externen Diensten zu. Diese Investorenperspektive auf Produktentwicklung liefert keine klinische Bewertung. [1]

Für das fiktive Krankenhaus ist die unmittelbare Frage enger: Kann es vertrauliche Informationen auf die vereinbarte Verwendung begrenzen und Änderungen am freigegebenen Arbeitsablauf genehmigen? Eine pharmazeutische Forschungsgruppe könnte vorrangig wissen wollen, wer unveröffentlichte Versuchsergebnisse weiterverwenden darf. Ein Medizintechnikhersteller könnte klären müssen, wer das Modell zur Bearbeitung technischer Reklamationen verändern kann. Diese Beispiele sind vorgeschlagene Entscheidungssituationen. Welche Informationen und Freigaben nötig wären, hinge von der tatsächlichen Tätigkeit ab.

Formulieren Sie die gewünschte Befugnis als Satz. Beispielsweise: „Nur die benannte freigabeverantwortliche Person darf eine neue Modellversion für diesen Ablauf zulassen.“ Prüfen Sie anschließend, ob Vertrag, Anwendungseinstellungen und technische Verwaltung diesen Satz tragen. Eine Freigabeschaltfläche in der Anwendung hilft begrenzt, wenn ein:e andere:r Administrator:in sie ohne Aufzeichnung umgehen kann.

Verfolgen Sie jede relevante Kopie der Daten

Verfolgen Sie den vorgesehenen Dienst anhand eines künstlich erstellten Dokuments. Wo gelangen seine Inhalte hinein, welche Komponenten verarbeiten sie, und wo entstehen Kopien oder abgeleitete Informationen? Berücksichtigen Sie Suchverzeichnis, Gesprächsverlauf, Diagnoseprotokolle, Sicherungskopien und gegebenenfalls Material für spätere Modellverbesserungen. Klären Sie, was in dieser Architektur tatsächlich vorhanden ist. Ein allgemeines Schaubild lässt diese Frage offen.

ANSSIs SecNumCloud-Fassung 3.2 vom 8. März 2022 unterscheidet Kundendaten, technische Daten und Administration. Abschnitt 19.2 erlaubt dokumentierte Betreuung außerhalb der EU bei Zugriffskontrolle und Aufsicht aus der EU. Die Qualifikationsanforderungen betreffen einen abgegrenzten Rechendienst. Daraus folgt keine automatische Freigabe der KI-Anwendung eines Krankenhauses. [2]

Meine praktische Schlussfolgerung lautet: Fragen Sie für jede relevante Kopie nach der Zugriffsgrenze. Wer kann lesbare Inhalte sehen? Wer darf diesen Zugriff erteilen? Was muss geschehen, bevor eine Ausnahme zulässig wird? Eine Anfrage an die technische Betreuung kann ebenso wichtig sein wie der eigentliche Verarbeitungsweg, wenn sie einen Dokumentauszug enthält. Halten Sie auch für diesen Weg den zulässigen Zweck und die Löschregelung fest.

Verschlüsselung verdient ebenso konkrete Fragen. Klären Sie, wo die Schlüssel verwaltet werden und an welcher Stelle die Anwendung lesbare Informationen benötigt. Eine Aussage über verschlüsselte Speicherung lässt den Verarbeitungsschritt weiterhin offen. Die technische Fachgruppe sollte erklären, welche Beteiligten in jedem Schritt ausgeschlossen werden und worauf dieser Nachweis beruht. So wird aus einer Produktbezeichnung keine unterstellte Eigenschaft des gesamten Systems.

Unterscheiden Sie Modellbesitz und Freigabebefugnis

Verfügbare Modellgewichte geben der Prüfung einen konkreten Gegenstand: die Zahlenwerte, mit denen das Modell arbeitet. Die Organisation muss weiterhin ihre Nutzungs- und Änderungsrechte für diese Fassung, die benötigte Betriebssoftware und die Kontrolle über die umgebende Anwendung klären. Der Besitz einer Kopie beantwortet diese eigenständigen Fragen nicht.

Der BSI-Katalog AIC4 von 2021 verlangt in der Beschreibung eines KI-Dienstes Angaben zur Lernhäufigkeit und zu wesentlichen Modelländerungen. Das sind nützliche Offenlegungskategorien aus einem älteren technischen Rahmen. Sie belegen weder die Eignung eines heutigen Sprachmodells noch eine Rechtspflicht dieses Krankenhauses. [3]

Ich würde drei Befugnisse unterscheiden: ein freigegebenes Modell verwenden, es mit zugelassenem Material anpassen und eine geänderte Fassung im Arbeitsablauf einsetzen. Sie können unterschiedlichen Beteiligten zustehen. Ein Anbieter kann die Anpassung vornehmen, während das Krankenhaus die Freigabeentscheidung behält. Umgekehrt kann sich ein lokal betriebenes Modell durch einen automatisierten Vorgang ändern, den die fachlich verantwortliche Person nie geprüft hat.

Fragen Sie nach der Kennung der aktuell eingesetzten Fassung, der freigebenden Person und dem Nachweis der letzten Änderung. Beziehen Sie Anweisungen, angebundene Informationsquellen und Softwarekomponenten ein, soweit sie das Ergebnis verändern können. Im fiktiven Krankenhaus könnte ein neues Dokumentenverzeichnis die Zusammenfassungen wesentlich beeinflussen, obwohl die Modellgewichte gleich bleiben. Die relevante Grenze umfasst die gesamte freigegebene Konfiguration.

Machen Sie administrative Macht sichtbar

Ein gewöhnliches Benutzerkonto zeigt nur eine Sicht auf das System. Die Prüfung muss auch die Personen und Organisationen erfassen, die privilegierte Konten anlegen, Ausnahmezugriffe genehmigen, Verbindungen ändern oder die Protokollierung beeinflussen können. Lassen Sie den Anbieter diese Befugnisse für seine eigene Organisation und die beteiligten Unterauftragnehmer benennen.

Die BSI-Kriterien C3A, Fassung 1.0 vom 27. April 2026, behandeln externe Identitätsverwaltung, Zugriffsprotokolle und kontrollierte Administration getrennt. Sie berücksichtigen auch den Datenaustausch mit Dritten. Der ausdrücklich unverbindliche Rahmen setzt die C5-Sicherheitskriterien voraus. Er bietet eine Bewertungsgrundlage; ein allgemeines Souveränitätszertifikat entsteht daraus nicht. [4]

Mein Vorschlag ist eine beaufsichtigte Vorführung mit künstlichen Informationen und freigegebenen Prüfkonten. Die zuständige Gruppe erteilt eine eng begrenzte Berechtigung, zeigt deren Aufzeichnung und entzieht sie wieder. Prüfen Sie, ob der Entzug den vorgesehenen Zugriffsweg einschließlich einer bereits bestehenden Sitzung erfasst. Fragen Sie gesondert, wie außergewöhnlicher Anbieterzugriff für das Krankenhaus sichtbar wird. Eine Vorführung zeigt Verhalten unter diesen Bedingungen. Sie kann nicht beweisen, dass jeder verborgene Weg ausgeschlossen ist.

Für diese Prüfung braucht es jemanden, der die technische Umsetzung versteht, und jemanden, der den fachlichen Zweck der Befugnis beurteilen kann. Der Einkauf kann Nachweise beschaffen. Eine vertragsverantwortliche Person allein kann eine technische Ausnahme möglicherweise nicht einordnen. Halten Sie die offene Frage und die für ihre Klärung zuständige Funktion fest.

Der Nachweis muss zur Aussage passen

Die am 1. Juni 2026 veröffentlichte Umsetzungshilfe der Europäischen Kommission verlangt die Betrachtung technischer Ebenen und Lieferketten. Sie benennt zugleich den Aufwand, Selbstauskünfte zu prüfen. Der Rahmen entstand für die Beschaffung von Rechendiensten für EU-Einrichtungen. Seine Kriterien liefern Orientierung; die hier vorgeschlagene Prüfung vergibt keine seiner Gewährleistungsstufen. [5]

Führen Sie für jede wesentliche Befugnis vier kurze Einträge: die erklärte Regelung, den zugehörigen Nachweis, eine verbleibende Lücke und die entscheidungsverantwortliche Person. Unterscheiden Sie eine vertragliche Zusage von einer beobachteten Einstellung und einer unabhängigen Prüfung. Jede beantwortet eine andere Frage. Klären Sie, welchen Dienst, welche Fassung und welchen Zeitraum eine Prüfung tatsächlich umfasst, bevor Sie sie auf die vorliegende Anwendung übertragen.

Daneben schlug die Kommission im Juni 2026 ein eigenes Gesetz zur Entwicklung von Rechendiensten und KI vor. Die am 14. September 2026 geprüfte offizielle Seite bezeichnet es als Gesetzgebungsvorschlag. Seine vorgesehenen Gewährleistungsstufen sind vom früheren Beschaffungsrahmen und den bereits geltenden Anforderungen einer bestimmten Organisation zu unterscheiden. [6]

Das fiktive Krankenhaus könnte die erste Verwendung bis zur Klärung des Betreuungszugriffs auf zugelassene technische Unterlagen begrenzen und zugleich die Kontrolle über Modellfreigaben verlangen. Damit wäre eine ausdrückliche Grenze für diese Anwendung gesetzt. Das brauchbare Ergebnis ist eine erklärbare Entscheidung: welche Befugnisse die Organisation behält, welche sie überträgt und aufgrund welcher Nachweise diese Übertragung vertretbar ist.