KI ohne Cloud, Com­pli­ance ohne Auf­schub – KW 17 im Rückblick

96 Pro­zent. So hoch ist der Anteil der Unter­neh­men, die in den ver­gan­ge­nen zwei Jah­ren von Ran­som­wa­re getrof­fen wur­den und dabei fest­stel­len muss­ten, dass auch ihre Back­ups ange­grif­fen wur­den. Die­se Zahl aus einer aktu­el­len ESG-Stu­die stand in der ver­gan­ge­nen Woche neben zwei gesetz­li­chen Fris­ten, einem KI-Markt­trend mit ein­deu­ti­ger Rich­tung – und einem Bran­che­n­er­eig­nis, das die Health­ca­re-IT einen Takt beschleunigte.

NIS2 und KRI­TIS-Dach­ge­setz: kei­ne Über­gangs­räu­me mehr

Das NIS2-Umset­zungs­ge­setz ist seit Dezem­ber 2025 in Kraft. Die BSI-Regis­trie­rungs­frist lief am 6. März 2026 ab – Unter­neh­men, die sich noch nicht regis­triert haben, befin­den sich im Ver­zug. Back­up-Manage­ment ist dabei einer von zehn gesetz­lich defi­nier­ten Pflicht­be­rei­chen, inklu­si­ve doku­men­tier­ter Recovery-Tests.

Par­al­lel gilt seit dem 17. März 2026 das KRI­TIS-Dach­ge­setz. Betrei­ber kri­ti­scher Anla­gen in den Sek­to­ren Gesund­heit, Ener­gie, Was­ser und Trans­port müs­sen sich bis zum 17. Juli 2026 auf der gemein­sa­men Platt­form von BBK und BSI regis­trie­ren. Gefor­dert sind Busi­ness-Con­ti­nui­ty-Kon­zep­te und phy­si­sche Sicher­heits­nach­wei­se für die Daten­spei­che­rung – kei­ne Emp­feh­lun­gen, son­dern ein­klag­ba­re Anforderungen.

Bei­de Geset­ze erzeu­gen gemein­sam eine Sog­wir­kung, die über klas­si­sche IT-Sicher­heits­bud­gets hin­aus­geht: Wer Com­pli­ance nach­wei­sen muss, braucht nach­weis­ba­re Resi­li­enz – und zwar auf dem Papier wie in der Praxis.

91 Pro­zent wol­len KI ohne Cloud – und der EU AI Act macht Druck

Der Enter­pri­se AI Infra­struc­tu­re Sur­vey 2026, für den 203 KI-Ent­schei­dungs­trä­ger welt­weit befragt wur­den, lie­fert eine kla­re Aus­sa­ge: 91 Pro­zent wür­den bei KI-Anwen­dun­gen mit sen­si­blen Daten lie­ber auf loka­le Ser­ver set­zen als auf Public-Cloud-Lösun­gen. 79 Pro­zent der Unter­neh­men haben KI-Workloads bereits aktiv von der Cloud zurück in eige­ne Infra­struk­tu­ren ver­la­gert. Als Trei­ber nen­nen die Befrag­ten Daten­sou­ve­rä­ni­tät, DSGVO-Kon­for­mi­tät, Latenz und Vendor-Lock-in-Risiken.

Dazu kommt ab August 2026 der EU AI Act: Für Hoch­ri­si­ko-KI-Sys­te­me gilt dann voll­stän­di­ge Com­pli­ance-Pflicht – mit Buß­gel­dern bis zu 15 Mil­lio­nen Euro oder drei Pro­zent des welt­wei­ten Jah­res­um­sat­zes. Die Fra­ge, wo KI-Trai­nings­da­ten lie­gen und wer im Zwei­fels­fall dar­auf zugrei­fen kann, ist damit kei­ne tech­ni­sche Prä­fe­renz mehr, son­dern ein regu­la­to­ri­sches Kriterium.

CLOUD Act, Copi­lot und die Debat­te, die nicht verstummt

Micro­soft-Pro­duk­te ste­hen seit Wochen im Fokus der Sou­ve­rä­ni­täts­de­bat­te. Der CLOUD Act ermög­licht US-Behör­den unter bestimm­ten Vor­aus­set­zun­gen Zugriff auf Daten, die bei ame­ri­ka­ni­schen Anbie­tern lie­gen – unab­hän­gig vom Ser­ver­stand­ort. Für Unter­neh­men, die Copi­lot im Ein­satz haben, bedeu­tet das: Unter­neh­mens­da­ten kön­nen unter die­sem Rechts­rah­men die EU ver­las­sen. Die­se Kon­se­quenz ist in der Fach­öf­fent­lich­keit ange­kom­men, auch wenn sie sel­ten so direkt benannt wird.

Der Gegen­ent­wurf – KI-Infe­renz auf loka­ler, euro­pä­isch kon­trol­lier­ter Hard­ware – gewinnt dabei nicht nur regu­la­to­ri­schen Rück­halt, son­dern auch stra­te­gi­schen. Das Bun­des­mi­nis­te­ri­um für Digi­ta­les för­dert aktiv die Ent­wick­lung einer On-Pre­mi­ses-KI-Platt­form. Und auf dem EU-Gip­fel zur Digi­ta­len Sou­ve­rä­ni­tät war ​„Made in Euro­pe” kein Wer­be­slo­gan, son­dern beschaf­fungs­po­li­ti­sche Forderung.

Was die­se Woche auf Lin­ke­dIn dis­ku­tiert wurde

Die DMEA 2026 – Euro­pas füh­ren­des Event für Digi­tal Health – fand vom 21. bis 23. April in Ber­lin statt und domi­nier­te die Sicht­bar­keit der FAST LTA Unter­neh­mens­sei­te in der ver­gan­ge­nen Woche. Die Mes­se­kom­mu­ni­ka­ti­on rück­te dabei zwei The­men in den Mit­tel­punkt: die Com­pli­ance-Anfor­de­run­gen für Health­ca­re-IT unter NIS2 und KRI­TIS-DachG sowie die Ver­bin­dung zwi­schen Audit-Ergeb­nis­sen und pra­xis­taug­li­chen Daten­si­che­rungs­kon­zep­ten. Der Post zum zwei­ten Mes­se­tag erziel­te mit 62 Reak­tio­nen den höchs­ten Wert aller Cor­po­ra­te-Bei­trä­ge der ver­gan­ge­nen 30 Tage.

Par­al­lel lief in der Fach­com­mu­ni­ty die Debat­te um Micro­soft Copi­lot und den CLOUD Act. Die Fra­ge, was es bedeu­tet, wenn Unter­neh­mens-KI auf Infra­struk­tur eines US-Kon­zerns betrie­ben wird, wur­de kom­men­tiert, geteilt und mit dem 91-Pro­zent-Trend in Ver­bin­dung gebracht. On-Pre­mi­ses-KI war dabei kein Rand­the­ma – son­dern der gemein­sa­me Nen­ner meh­re­rer par­al­le­ler Diskussionen.

Fazit

KW 17 hat drei Ent­wick­lun­gen gebün­delt, die struk­tu­rell zusam­men­ge­hö­ren: Regu­la­to­rik ohne Auf­schub, ein KI-Markt der sich gegen die Cloud ent­schei­det, und eine CLOUD-Act-Debat­te, die die Fra­ge der Daten­sou­ve­rä­ni­tät in die Unter­neh­mens­füh­rung trägt. Wer die­se Signa­le noch als Par­al­lel­ent­wick­lun­gen wahr­nimmt, hat die Kon­ver­genz bereits verpasst.

Quel­len

Ran­som­wa­re & Backup-Resilienz

NIS2 & KRITIS-Dachgesetz

On-Pre­mi­ses-KI & EU AI Act

Digi­ta­le Sou­ve­rä­ni­tät & CLOUD Act