Von den Organisationen, die in den vergangenen drei Jahren mit einer Souveränitätsfrage konfrontiert waren, mussten 81 Prozent einen formellen Nachweis ihrer Kontrolle erbringen. Obwohl 82 Prozent darauf vertrauen, dazu in der Lage zu sein, erreichen nur 26 Prozent die höchste Stufe in einem neuen Index von IBM. KI-bezogene Probleme sind die am häufigsten genannte Herausforderung.
IBM veröffentlichte die Studie unter dem Titel Proof, Not Promises: The Digital Sovereignty Index. Der Index zeigt, inwieweit Organisationen die Kontrolle über vier Säulen behalten: KI, Technologie, Geschäftsbetrieb und Daten. Dabei untersucht die Studie auch, ob Organisationen diese Kontrolle nachweisen können, wenn sich die Umstände ändern oder Abhängigkeiten unter Druck geraten. Die Studie basiert auf einer internationalen Umfrage unter 2.003 leitenden Entscheidern, ergänzt durch 25 Interviews mit politischen Entscheidungsträgern, Aufsichtsbehörden und Experten, Erkenntnisse von 17 Kundenvertretern aus fünf Ländern sowie eine Analyse von 27 Quellen, darunter Gesetze, Standards und wissenschaftliche Forschung.
Von den befragten Organisationen waren 94 Prozent in den vergangenen drei Jahren mit mindestens einer Herausforderung rund um digitale Souveränität konfrontiert. Beispiele sind Probleme bei KI-Anbietern, widersprüchliche Vorschriften, Störungen bei Lieferanten, Exportkontrollen und Probleme beim Datenzugriff. Von dieser Gruppe mussten 81 Prozent Aufsichtsbehörden, Kunden, Auditoren oder internen Stakeholdern einen formellen Nachweis ihrer Kontrolle vorlegen.
Sechs Dimensionen
Der Index bewertet Organisationen anhand von sechs Kriterien. Bei der Verantwortlichkeit geht es um die Frage, wer wofür verantwortlich war, bei der Nachvollziehbarkeit darum, rekonstruieren zu können, was geschehen ist. Bei der Beherrschung dreht sich alles um den Nachweis, dass eingerichtete Kontrollen funktioniert haben, bei der Intervention um Reaktion und Wiederherstellung. Die Legitimität misst, ob Organisationen ihre Entscheidungen unter kritischer Prüfung erklären können. Bei den Ausstiegsmöglichkeiten geht es um den Nachweis, dass eine Organisation den Anbieter wechseln oder den Geschäftsbetrieb wiederherstellen kann.
Laut IBM liegt das Problem meist nicht in fehlender Kontrolle, sondern im Fehlen eines Ansatzes, um diese Kontrolle unter Druck schnell nachzuweisen. Nur 33 Prozent der Befragten testen regelmäßig, ob dies gelingt, etwa im Rahmen von Governance- und Kontrollprozessen.
KI am häufigsten genannte Herausforderung
KI-bezogene Probleme sind mit 44 Prozent die am häufigsten genannte Herausforderung. Dazu zählen fehlerhafte KI-Ergebnisse, eingeschränkte Erklärbarkeit, Störungen bei Modellen oder Anbietern sowie Mängel in der Governance. Danach folgen formelle Audits oder Prüfungen durch Aufsichtsbehörden (38 Prozent), Veränderungen bei wichtigen Lieferanten (35 Prozent), Probleme beim Zugriff auf oder bei der Übertragung von Daten (33 Prozent) sowie staatliche Beschränkungen wie Exportkontrollen und Sanktionen (30 Prozent).
Emmanuel Frenehard, Chief Digital Officer bei Sanofi, betont, dass digitale Souveränität keine Compliance-Checkliste sei, sondern Teil des Geschäftsbetriebs. Da KI immer stärker in Organisationen integriert werde, sei es laut Frenehard für die Kontinuität wichtig, ihre verschiedenen Aspekte zu berücksichtigen.
Vertrauen und Praxis klaffen auseinander
Im Durchschnitt haben 82 Prozent der Befragten großes bis sehr großes Vertrauen darin, digitale Souveränität nachweisen zu können. Nur 26 Prozent erreichen jedoch die höchste Stufe des Index. Organisationen in dieser Kategorie lösen ihre größte Souveränitätsherausforderung häufiger ohne größere Störungen des Geschäftsbetriebs: 52 Prozent gegenüber 22 Prozent bei Organisationen, die ihre Nachweisführung noch aufbauen.
Regelmäßiges Testen macht dabei einen Unterschied. Von den Vorreitern testen 63 Prozent regelmäßig oder kontinuierlich, ob sie Souveränität nachweisen können. Bei Organisationen, die ihre Nachweisführung aufbauen, sind es 29 Prozent, bei Organisationen in der Anfangsphase 9 Prozent.
Die Engpässe sind vor allem operativer Natur. Gut die Hälfte (56 Prozent) nennt das manuelle Sammeln von Nachweisen oder den damit verbundenen Zeitaufwand als Hindernis. Ein ähnlich großer Anteil (53 Prozent) verweist auf die Zersplitterung von Nachweisen über Teams und Systeme hinweg, die Abhängigkeit von Dritten bei der Bereitstellung von Daten sowie veraltete Systeme oder unterschiedliche Standards. Die Hälfte gibt an, dass Kontrollen, Wiederherstellungsverfahren und Möglichkeiten zum Anbieterwechsel nicht ausreichend getestet sind.
Jonathan Adashek, Senior Vice President und Chief Global Affairs Officer bei IBM, erklärt, dass Führungskräfte zeigen können müssen, wie sie sich anpassen, ihre Strategie ändern oder zu einem anderen kritischen Anbieter wechseln, wenn ein Geschäftsrisiko zu einer Souveränitätsfrage wird. Laut Adashek ist der nächste Schritt nicht mehr Governance oder Regulierung, sondern ein stärkerer Nachweis, dass die bestehende Governance funktioniert. Er nennt dabei das Testen von Wechselmöglichkeiten, den Einblick in kritische Abhängigkeiten und die Aufmerksamkeit für die Bereiche, in denen ein Kontrollverlust die größten Folgen hat.
Der vollständige Bericht ist abrufbar unter Proof, Not Promises: The Digital Sovereignty Index.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
