Der US-amerikanische CLOUD Act verpflichtet US-Cloud-/Kommunikationsdienstleister unter bestimmten Voraussetzungen zur Herausgabe von Daten, unabhängig davon, wo diese gespeichert sind. Zentrale Daten sowie KI-Dienste europäischer Organisationen, die auf US-Hyperscaler zurückgreifen, können dadurch potenziell dem Zugriff von US-Behörden unterliegen. Gleichzeitig fragmentieren sich digitale Räume zunehmend entlang geopolitischer Blöcke. Denn die USA, China und die EU verfolgen jeweils eigene technologische und regulatorische Agenden. Für Organisationen bedeutet das: Die Entscheidung für eine Plattform oder Cloud ist immer auch eine Entscheidung über die eigene Position in einem globalen Spannungsfeld, das sich weiter verschärfen kann. 

Parallel zu den geopolitischen Abhängigkeiten erreicht die europäische Regulierung digitaler Technologien eine neue Verdichtung. Viele Regelwerke greifen eng ineinander: 

• EU AI Act: seit August 2024 in Kraft, mit gestaffelter Anwendung, verbotene Praktiken seit Februar 2025, Transparenzpflichten seit August 2025, Pflichten für Hochrisiko-Systeme mit allgemeinem Anwendungstermin im August 2026. 
• Data Act: seit September 2025 unmittelbar anwendbar, mit weitreichenden Vorgaben zu Datenzugang und Interoperabilität. 
• NIS-2: in Deutschland seit Ende 2025 Gesetzeskraft, Durchsetzung ab Oktober 2026. 
• DORA: seit Januar 2025 unmittelbar anwendbar für den Finanzsektor, ohne nationale Umsetzungsfrist. 

Die Regelwerke überschneiden sich inhaltlich und organisatorisch: Wer KI in kreditrelevanten Prozessen einsetzt, muss AI Act, DORA und evtl. NIS-2 berücksichtigen. Compliance wird damit komplexer, und genau das beeinflusst Architektur- und Anbieterentscheidungen. 

Während die geopolitischen und regulatorischen Rahmenbedingungen enger werden, verlagert sich KI vom unterstützten Werkzeug in den Kern der Wertschöpfung. Produktentwicklung, Kundeninteraktion, Entscheidungsprozess und interne Steuerung hängen zunehmend an KI-gestützten Systemen. Die Verschiebung erhöht den Einsatz: Ein Ausfall, eine Abkündigung eines Modells oder eine plötzliche Preis- oder Nutzungsänderung durch einen Anbieter treffen das operative Rückgrat der Organisation. 

Aus dem Zusammenspiel der drei Treiber ergibt sich eine neue Qualität von Abhängigkeit. Solange KI auf dem Experimentierfeld stattfand, ließ sich ein Anbieterwechsel leicht verschmerzen. Sobald KI jedoch Kernprozesse trägt, wird die Infrastruktur aus Cloud, Modellen, Datenflüssen und Verträgen zu einer Größe, die Umsatz, Lieferfähigkeit und Rechtssicherheit unmittelbar beeinflusst. Daraus ergeben sich existenzielle Fragen zur geschäftlichen Steuerbarkeit:  

• Wie stabil ist ein Anbieter regulatorisch? 
• Wie stark ist ein Geschäftsmodell vom Zugriff ausländischer Behörden betroffen? 
• Wie schnell lässt sich im Ernstfall wechseln? 

Diese Verschiebung hat organisatorische Konsequenzen. Wenn KI-Infrastruktur zur geschäftskritischen Steuerungsgröße wird, gehört sie in dieselbe Governance-Struktur wie andere unternehmerische Risiken – mit Berichtspflichten, Kennzahlen und Eskalationswegen bis in den Vorstand. Dieser muss den Rahmen definieren, innerhalb dessen Entscheidungen zur KI-Infrastruktur getroffen werden, und sicherstellen, dass er – wie bei Finanz-, Rechts- oder Reputationsrisiken üblich – über die daraus resultierenden Risiken informiert ist.  

Der entscheidende Schritt besteht darin, Abhängigkeit als messbare Variable zu behandeln. Die Voraussetzung dafür ist Operationalisierung:  

• Wie viel Prozent der wertschöpfungskritischen Prozesse hängen von einem einzelnen Anbieter ab? 
• Wie hoch sind die Wechselkosten im Ernstfall, gemessen in Zeit und Kapital? 
• Welcher Anteil der eingesetzten Modelle unterliegt einer außereuropäischen Behörde? 
• Wie verändert sich die regulatorische Risikoposition, wenn ein weiteres Regelwerk wie der Cyber Resilience Act wirksam wird? 

Wer diese Fragen mit Kennzahlen beantwortet, kann Abhängigkeiten steuern, statt sie nur zu verwalten. Diversifikation von Anbietern, vertragliche Exit-Klauseln, redundante Architekturen oder gezielte Investitionen in europäische Alternativen werden dann zu Instrumenten eines aktiven Risikomanagements.