Datensouveränität bei Vision AI bedeutet Kontrolle – nicht nur Standort

Datensouveränität bei Vision AI bedeutet Kontrolle – nicht nur Standort

Von Kasper van Kekem, CEO von VAIBS

Wenn ich mit Organisationen über Vision AI spreche, wird das Thema Datensouveränität immer häufiger angesprochen. Und das zu Recht. Unternehmen und Behörden möchten wissen, was mit ihren Videodaten geschieht, wo diese verarbeitet werden und wer darauf zugreifen kann. Meiner Ansicht nach wird diese Diskussion jedoch manchmal zu stark vereinfacht. Datensouveränität wird dann auf eine einzige Frage reduziert: Steht der Server lokal oder befindet er sich in der Cloud? Doch allein zu wissen, wo ein Server steht, reicht nicht aus.

Kontrolle ist wichtiger als nur der Standort

Für mich geht es bei Datensouveränität letztlich um Kontrolle. Kontrolle darüber, wo Daten verarbeitet werden. Darüber, wer Zugriff darauf hat. Darüber, wie lange Informationen gespeichert werden. Darüber, wie die Infrastruktur geschützt ist. Darüber, welche Funktionen eingesetzt werden. Und darüber, unter welchen Bedingungen die Technologie innerhalb einer Organisation genutzt wird. Das bedeutet auch, dass es nicht eine einzige technische Architektur gibt, die für jede Organisation gleichermaßen geeignet ist.

Einige Organisationen wünschen maximale lokale Kontrolle und entscheiden sich bewusst für eine vollständig lokale On-Premises-Umgebung. Andere möchten die Flexibilität und Skalierbarkeit einer Cloud-Infrastruktur nutzen. Wieder andere kombinieren beide Ansätze in einer hybriden Architektur. Bei VAIBS unterstützen wir alle diese Modelle. Neben lokalen Implementierungen können wir beispielsweise auch eine sichere und zertifizierte niederländische Cloud-Umgebung anbieten, in der Daten innerhalb der Niederlande verarbeitet und gespeichert werden können. Doch auch hier gilt: Allein die Tatsache, dass Daten in den Niederlanden gespeichert werden, macht eine Lösung noch nicht automatisch sicher oder compliant.

Die Fragen hinter der Technologie

Bei einer professionellen Vision-AI-Implementierung sollten Organisationen daher über die reine technische Infrastruktur hinausblicken.

Ich würde unter anderem Antworten auf folgende Fragen erwarten:

• Wo werden meine Daten tatsächlich verarbeitet?
• Wer hat Zugriff darauf?
• Wie werden Berechtigungen und Zugriffsrechte geregelt?
• Welche Sicherheitsmaßnahmen sind vorhanden?
• Welche Zertifizierungen und Kontrollen gibt es?
• Welche Informationen werden gespeichert und wie lange?
• Welche KI-Funktionen werden eingesetzt?
• Wie werden die verwendeten KI-Modelle entwickelt und trainiert?
• Wann bleibt eine menschliche Bewertung Bestandteil des Prozesses?
• Und vor allem: Kann der Anbieter all dies tatsächlich nachweisen?

Gerade der letzte Punkt wird immer wichtiger. Mit gesetzlichen Rahmenbedingungen wie der DSGVO und dem europäischen AI Act geht es längst nicht mehr nur darum, was eine Technologie kann, sondern auch darum, wie sie von Organisationen eingesetzt wird.

Compliance ist kein Häkchen

Damit komme ich zu einem weiteren Missverständnis, dem ich regelmäßig begegne. Eine KI-Plattform ist nicht automatisch compliant, nur weil irgendwo auf einer Website das Wort „DSGVO“ steht. Compliance entsteht durch die Art und Weise, wie eine Lösung konzipiert, konfiguriert und genutzt wird. Die gleiche Technologie kann in zwei unterschiedlichen Situationen völlig unterschiedliche Auswirkungen haben. Welche Daten werden verarbeitet? Zu welchem Zweck? Welche Funktionen werden aktiviert? Wer erhält eine Meldung? Wird eine Entscheidung automatisch getroffen oder bewertet ein Mitarbeiter zunächst die Situation? Das sind keine Fragen, die sich nachträglich mit einem Häkchen lösen lassen. Sie müssen von Anfang an Bestandteil des Designs sein.

Technologie muss sich an die Organisation anpassen

Genau so betrachten wir bei VAIBS auch Vision AI. Nicht jeder Kunde muss dieselbe Cloud nutzen. Nicht jeder Kunde muss dieselben Funktionen aktivieren. Und nicht jede Organisation muss dieselben Daten speichern. Ein Krankenhaus hat andere Anforderungen als ein Hafen, eine Polizeiorganisation oder ein Industriebetrieb.  Die Technologie muss deshalb an die Sicherheits-, Datenschutz- und Compliance-Anforderungen der jeweiligen Organisation angepasst werden können. Nicht umgekehrt. Denn letztlich bedeutet Datensouveränität für mich nicht einfach nur zu wissen, wo sich die eigenen Daten befinden.

Sie bedeutet, Kontrolle über die eigenen Daten, die Infrastruktur und die Bedingungen zu haben, unter denen Technologie eingesetzt wird.