Microsoft hat am 20. Oktober weitere Kontrollen für seine Sovereign Cloud vorgestellt. Für KMU, die sensible Daten mit KI bearbeiten, ist vor allem der Zugriff durch den Betreiber relevant. Der Standort eines Rechenzentrums beantwortet noch nicht, wer bei Wartung oder Support auf ein System zugreifen kann.
Zugriffe beaufsichtigen und nachweisen
Microsofts Originalankündigung beschreibt Data Guardian für EU und EFTA: Bei bestimmten Fernzugriffen von Microsoft-Technikern auf erfasste Produktionssysteme soll ein vertrauenswürdiger EU-Partner mit europäischem Personal Aufsicht übernehmen. Ein ebenfalls schrittweise eingeführtes Production Touch Ledger soll manipulationsnachweisbare Aufzeichnungen über Zugriffe und Handlungen erzeugen. Der genaue Dienstumfang bleibt deshalb Teil der Prüfung.
Ein Sovereign Control Panel soll erst an Microsoft Ignite in die öffentliche Vorschau gehen. Es ist also kein heute allgemein verfügbares Kontrollinstrument für jedes Kundenkonto. Die Mitteilung ist eine Anbieterankündigung und keine unabhängige Bestätigung, dass ein konkreter KI-Einsatz alle betrieblichen oder rechtlichen Anforderungen erfüllt.
Nächster Schritt
Was heisst das für KI-Regeln und Nachweise?
- Nutzung sichtbar machen: Welche Teams nutzen welche KI-Tools?
- Daten und Freigaben klären: Was darf in ChatGPT, Copilot oder andere Tools?
- Nachweise vorbereiten: Regeln, Rollen und Unterweisung dokumentieren.
DACH-Hinweis: 10min KI Brief bleibt für KMU im gesamten DACH-Raum lesbar; konkrete Praxisangebote sind zuerst CH-first formuliert.
Der Vertrag muss zum tatsächlichen Betrieb passen
Die EDÖB-Erläuterung zu Cloud-Diensten hält fest, dass Kunden als Verantwortliche auch bei ausgelagerter Bearbeitung Verantwortung tragen. Bei Datenbekanntgaben ins Ausland sind die entsprechenden Voraussetzungen zu prüfen. Die Cloud-Sicherheitsprinzipien des britischen NCSC behandeln unter anderem Personalzugriffe, Betriebssicherheit und die Nachweise des Anbieters. Diese unabhängigen Grundlagen ersetzen keine Prüfung des einzelnen Vertrags.
Unsere Einordnung: Fragen Sie nicht bloss, ob ein Angebot als souverän bezeichnet wird. Klären Sie, welche Ihrer Daten und Dienste erfasst sind, wer einen ausserordentlichen Zugriff freigibt und welchen Nachweis Sie danach tatsächlich erhalten. Ein zusätzliches Protokoll ist erst dann nützlich, wenn jemand im Betrieb es bei Bedarf beschaffen und verstehen kann.
Was heisst das für Ihr KMU?
Wählen Sie einen KI-Dienst mit vertraulichen Geschäftsdaten. Bitten Sie Ihren IT-Partner um ein konkretes Support-Szenario: Ein Fehler muss untersucht werden und dafür wäre Betreiberzugriff nötig. Lassen Sie sich den vorgesehenen Weg von der Anfrage über die Freigabe bis zum Abschlussnachweis erklären.
Halten Sie fest, wer auf Ihrer Seite zustimmt, welchen Umfang die Freigabe hat und wo das Zugriffsprotokoll liegt. Fragen Sie ausdrücklich nach Ausnahmen und noch nicht verfügbaren Funktionen. Bleibt eine Antwort offen, gehört sie als offener Punkt zur Dienstfreigabe. Diese kleine Prüfung ist auch ohne einen Wechsel des Cloud-Anbieters möglich.
Mit der KI-Regelmappe dokumentieren Sie Zugriffsregeln und offene Nachweise für Ihre KI-Dienste.
