NIS2, DORA, AI Act: wenn die Regulierung die Souveränität Ihrer KI-Werkzeuge verlangt

Kurz gefasst.
Digitale Souveränität ist keine Vorliebe mehr, sie wird zur Pflicht. NIS2 betrifft die Sicherheit der Lieferkette, DORA die Kontrolle über Dienstleister im Finanzsektor, der AI Act die Nachvollziehbarkeit der Systeme. Drei Texte, ein und dieselbe Anforderung: dokumentierte Beherrschung.

NIS2: die Sicherheit der digitalen Lieferkette

Die Richtlinie NIS2, seit Ende 2024 in nationales Recht umgesetzt, weitet Cybersicherheitspflichten auf achtzehn Sektoren sowie auf eine große Zahl „wesentlicher“ und „wichtiger“ Einrichtungen aus.

Ihr entscheidender Blickwinkel für die KI ist die Sicherheit der Lieferkette. Die betroffenen Einrichtungen müssen Risiken im Zusammenhang mit ihren digitalen Lieferanten ermitteln, bewerten und steuern – dazu zählen die SaaS-Werkzeuge und KI-Lösungen, die sie einsetzen. Praktisch bedeutet das: ein Inventar dieser Werkzeuge, eine Bewertung ihrer Sicherheit und eine Übersicht ihrer Unterauftragsverhältnisse.

Ein KI-Werkzeug, bei dem Sie weder die Lokalisierung noch die Zugriffe noch die Kette der Unterauftragnehmer beherrschen, wird in dieser Logik zum blinden Fleck. Zu wissen, wo Ihre Daten liegen und wer sie anfassen kann, wird zur Voraussetzung dafür, Ihre NIS2-Konformität zu dokumentieren.

DORA: die Kontrolle über IT-Dienstleister im Finanzsektor

Die Verordnung DORA, seit Januar 2025 im Finanzsektor anwendbar, geht bei der Beherrschung technischer Dienstleister noch weiter.

Sie verlangt von Finanzunternehmen eine Due Diligence vor Vertragsschluss mit einem IT-Anbieter, präzise Vertragsklauseln – Auditrechte, Lokalisierung der Daten, Ausstiegsstrategien – und eine laufende Überwachung des Risikos, das diese Dienstleister darstellen. Die Anforderungen betreffen ausdrücklich die Lokalisierung der Daten und die Unterauftragsverhältnisse für Dienste, die kritische Funktionen stützen.

Für eine KI, die sensible Finanzdaten verarbeitet, sind diese Anforderungen mit einer undurchsichtigen geteilten Lösung kaum zu erfüllen. Eine souveräne KI – isolierte Instanz, beherrschtes Hosting, Auditrechte, keine Weiterverwendung der Daten – erfüllt sie hingegen bereits durch ihre Bauweise.

Und auch außerhalb des Finanzsektors setzt DORA einen Maßstab, den Auftraggeber an ihre eigenen Lieferanten weitergeben.

Der AI Act: Transparenz, Nachvollziehbarkeit, Erklärbarkeit

Die europäische KI-Verordnung fügt eine dritte Dimension hinzu: die Governance der KI selbst.

Für sensible Anwendungen verlangt sie Transparenz, Nachvollziehbarkeit und Erklärbarkeit: erklären zu können, wie eine Antwort zustande kam, auf welchen Daten sie beruht und mit welcher menschlichen Aufsicht. Eine Blackbox, die ein Ergebnis ohne Begründung liefert, wird zum Compliance-Risiko.

Diese Anforderung trifft sich unmittelbar mit der souveränen Logik: Eine KI, die ihre Antworten mit Quelle, Seite und Datum belegt, die sich bei fehlendem Nachweis enthält und deren Infrastruktur beherrscht wird, entspricht dem Geist des AI Act eher als ein undurchsichtiges generalistisches Modell außerhalb jeder Kontrolle.

Die Konvergenz: drei Texte, eine Richtung

Für sich genommen verfolgt jeder dieser Texte ein eigenes Ziel: Cybersicherheit, finanzielle Resilienz, KI-Governance. Ihr gemeinsamer Vektor ist jedoch eindeutig: die Kontrolle zurückgewinnen – über die Daten, die Lieferanten, die digitale Kette, die algorithmischen Entscheidungen.

Wo die Regulierung verlangt zu wissen, wo die Daten liegen, wer darauf zugreift und wie die Antworten entstehen, antwortet eine souveräne und erklärbare KI Punkt für Punkt. Compliance ist dann keine Auseinandersetzung mit dem Werkzeug mehr, sondern eine Eigenschaft des Werkzeugs.

Das ist die Positionierung von Optivalue.ai: eine private KI je Kunde, in Europa gehostet, gestützt auf spezialisierte Agenten, die jede Antwort belegt und sich bei fehlendem Nachweis enthält.

Das Wesentliche

Die Souveränität Ihrer KI-Werkzeuge ist keine Geschmacksfrage mehr. NIS2 verlangt die Beherrschung der digitalen Lieferkette, DORA die Kontrolle über IT-Dienstleister, der AI Act die Erklärbarkeit und Nachvollziehbarkeit algorithmischer Entscheidungen.

Die Wahl eines KI-Werkzeugs für sensible Daten ist damit auch zu einer Compliance-Entscheidung geworden.

Dieser Beitrag dient der Information und stellt keine Rechtsberatung dar. Die Pflichten aus NIS2, DORA und dem AI Act hängen von Ihrer Situation ab; ziehen Sie die amtlichen Texte und eine qualifizierte Fachperson heran.

Häufige Fragen

Verpflichtet mich NIS2 zu einer souveränen KI?
NIS2 schreibt Souveränität nicht wörtlich vor, verlangt aber, das Risiko Ihrer digitalen Lieferanten zu bewerten und zu beherrschen – Ihre KI-Werkzeuge eingeschlossen. Ein Werkzeug, dessen Lokalisierung und Zugriffe Sie nicht kontrollieren, ist ein schwer zu dokumentierender blinder Fleck.

Inwiefern betrifft DORA meine KI-Werkzeuge?
DORA verlangt von Finanzunternehmen eine Due Diligence, Vertragsklauseln zu Lokalisierung, Auditrechten und Ausstieg sowie eine Überwachung ihrer IT-Dienstleister – dazu zählen KI-Lösungen, die kritische Daten verarbeiten.

Bin ich betroffen, wenn ich weder Bank noch kritische Einrichtung bin?
Häufig ja, mittelbar: Ihre Kunden, die diesen Texten unterliegen, geben ihre Anforderungen über ihre Fragebögen an ihre Lieferanten weiter. Die Konformität Ihrer Werkzeuge wird zum Einkaufskriterium.