Digitale Souveränität ist längst Chefsache, bei künstlicher Intelligenz bleibt sie bislang aber vor allem eine Absichtserklärung. Das ist der Kern der IDC-Studie "The State of Sovereign AI Adoption", die die Analysten im Auftrag des KI-Anbieters Cohere erstellt haben. Befragt wurden über 500 IT- und Business-Entscheider aus Großunternehmen mit mehr als einer Milliarde US-Dollar Jahresumsatz in Deutschland, Großbritannien, den USA und Kanada.
Anspruch und Verständnis klaffen weit auseinander
IDC definiert souveräne KI als die freie Wahl und Kontrolle über Design, Entwicklung, Bereitstellung, Zugänglichkeit, Betrieb, Wartung und Governance von KI-Systemen sowie über die zugrunde liegenden technologischen Grundlagen. Von dieser Klarheit sind die befragten Unternehmen weit entfernt: Nur 13 Prozent geben an, dass das Konzept im eigenen Haus breit verstanden wird. Rund ein Drittel der Befragten hatte sogar Schwierigkeiten, souveräne KI überhaupt in eigenen Worten zu erklären. Damit klafft eine deutliche Lücke zwischen der strategischen Bedeutung, die dem Thema zugeschrieben wird, und dem tatsächlichen Verständnis in den Unternehmen.
Noch größer ist die Wissenslücke bei den Risiken, die souveräne KI eigentlich adressieren soll: 78 Prozent der Befragten räumen ein, dass das Risikoverständnis im Unternehmen gar nicht, kaum oder nur teilweise vorhanden ist. Die konkreten Sorgen sind dabei durchaus klar umrissen: Als größte Herausforderung beim Einsatz generativer und agentischer KI nennen die Unternehmen Datenlecks und Datenschutzverletzungen, gefolgt von Compliance-, regulatorischen und rechtlichen Risiken. Halluzinationen beziehungsweise fehlerhafte KI-Ausgaben sowie fehlende Governance folgen mit deutlichem Abstand. Die Studie zeigt zudem eine Perspektivendifferenz: Fachbereiche betrachten souveräne KI stärker unter dem Aspekt des Geschäftsrisikomanagements, während die IT stärker auf regulatorische Compliance und nationale beziehungsweise regionale Anforderungen fokussiert.
Deutschland beim Verständnis vorn, aber ohne klare Governance
Im Ländervergleich schneidet Deutschland beim Verständnis des Konzepts vergleichsweise gut ab: 29 Prozent der deutschen Befragten weisen eine hohe Awareness für souveräne KI aus, deutlich mehr als in Großbritannien, den USA und Kanada. Auch bei der organisatorischen Verankerung zeigen sich Unterschiede: In Deutschland liegt die Verantwortung für souveräne KI deutlich stärker auf der IT-Seite, während in Nordamerika häufiger ein Chief AI Officer oder Head of AI zuständig ist. Insgesamt sind Rollen und Verantwortlichkeiten aber nur selten klar geregelt, selbst dort, wo das Thema besser verstanden wird, ist daraus noch keine belastbare Governance-Struktur entstanden.
Die Agenten-Welle erhöht den Druck
Der Zeitdruck steigt, weil die nächste KI-Generation bereits eingeplant ist. Generative KI ist mit 99 Prozent praktisch flächendeckend im Einsatz, gleichzeitig steht der nächste Entwicklungsschritt bevor: der verstärkte Einsatz von KI-Agenten. Während heute erst 13 Prozent der Unternehmen vorgefertigte oder von Drittanbietern bereitgestellte Agenten nutzen, soll dieser Anteil innerhalb von zwölf Monaten auf 67 Prozent steigen. Bei intern entwickelten Agenten wächst die Nutzung im gleichen Zeitraum von 5 auf 44 Prozent.
Diese Entwicklung macht die Frage nach Souveränität dringlicher. Agenten arbeiten nicht nur mit Informationen, sondern können zunehmend selbstständig Aufgaben ausführen, Systeme ansprechen und Prozesse anstoßen. Damit steigen auch die Anforderungen an Datenkontrolle, Zugriffsrechte, Governance und die Kontrolle über die zugrunde liegende Infrastruktur. IDC sieht in dieser agentischen Welle deshalb einen möglichen Auslöser dafür, souveräne KI vom Nebenthema zur strategischen Unternehmensinitiative zu machen, bestehende Ansätze und mangelnde Vorbereitung könnten Unternehmen sonst neuen Risiken aussetzen.
Infrastruktur und Skills bremsen die Umsetzung
Bei der Umsetzung fehlt es vor allem an den notwendigen Voraussetzungen. Als größte einzelne Hürde nennen die Befragten die Infrastruktur, gefolgt von Kosten und Budget, organisatorischen Fragen sowie fehlenden Fachkräften. Souveräne KI ist damit nicht allein eine Frage der Auswahl eines passenden KI-Modells: Du musst auch klären, wo Modelle und Daten betrieben werden, wer Zugriff und Kontrolle besitzt, wie Governance funktioniert und welche Kompetenzen dafür intern vorhanden sein müssen. Gerade hier sehen die deutschen Befragten Bedarf an entsprechenden Fähigkeiten auf Anbieterseite, gefragt sind insbesondere transparente Modell-Governance, klare Dateneigentümerschaft und regionale Hosting-Garantien.
Souveränität wird zum Geschäftsargument
Souveräne KI wird zudem nicht mehr ausschließlich als Sicherheits- oder Compliance-Thema betrachtet, zunehmend gilt sie auch als möglicher Wettbewerbsvorteil. Unternehmen verbinden mit mehr Kontrolle über ihre KI-Systeme nicht nur geringere Abhängigkeiten, sondern auch mehr Resilienz und die Möglichkeit, kritische KI-Anwendungen unabhängiger von externen Rahmenbedingungen zu betreiben. Damit verschiebt sich die Perspektive: Souveränität wird vom technischen Spezialthema zu einer Frage des Geschäftsmodells und der strategischen Handlungsfähigkeit.
Der Handlungsdruck dürfte weiter zunehmen: 75 Prozent der deutschen Befragten erwarten, dass der Fokus auf souveräne KI in den nächsten zwei bis drei Jahren wächst, gleichzeitig wollen 62 Prozent innerhalb eines Jahres sensible KI-Workloads oder Daten unter direkte Kontrolle bringen. IDC empfiehlt Unternehmen deshalb eine strategische Vision mit messbaren Zielen, klare Verantwortlichkeiten bei CAIO oder CIO/CTO, eine stärkere Abstimmung von IT und Fachbereichen sowie Investitionen in Plattformen und Kompetenzen, intern wie extern. Wer souveräne KI erst dann zum Thema macht, wenn KI-Agenten bereits tief in Geschäftsprozesse integriert sind, könnte zu spät kommen, denn die technische Entwicklung schreitet schneller voran als die organisatorische Vorbereitung.