Konzeptkarte

KI im öffentlichen Sektor — Sovereign Cloud und Compliance

Stand 27. September 2026

Redaktion: Cédric Mary, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist KI im öffentlichen Sektor?

Im EU-öffentlichen Sektor gilt inzwischen eine doppelte Beschränkung für KI — Datenresidenz, die auf Infrastrukturebene durchgesetzt wird, plus die ab dem 2027-12-02 geltenden Hochrisikopflichten der EU-KI-Verordnung — genau deshalb existieren souveräne Stacks wie SAP on Bleu und Delos Cloud.

Worum es geht

Der Einsatz von KI innerhalb europäischer Organisationen des öffentlichen Sektors — Ministerien, Gesundheitssysteme, Steuerbehörden, verteidigungsnahe Behörden — unterliegt einer Souveränitätsbeschränkung, die im Privatsektor im Wesentlichen keine Entsprechung hat: Datenresidenz muss auf Infrastrukturebene gesetzlich durchgesetzt werden, nicht nur durch Policy, und jedes KI-Modell, das eine Entscheidung mit Auswirkung auf einen Bürger beeinflusst, kann selbst als Hochrisikosystem im Sinne der EU-KI-Verordnung gelten. Diese beiden Beschränkungen zusammen prägen ein eigenständiges Architekturmuster: SAP mit Sovereign-Cloud-Priorität, wobei die KI-Fähigkeit auf das begrenzt wird, was innerhalb dieser Grenze rechtlich laufen darf, statt auf das, was die Standardregion des Anbieters gerade anbietet.

Warum es zählt

Standardmäßige BTP/Datasphere-Hyperscaler-Mandanten (AWS eu-west-1, Azure West Europe) erfüllen die DSGVO, scheitern aber an den französischen HDS- und deutschen BSI-C5-Anforderungen — eine Lücke, die die meisten Standard-SAP-Angebote übersehen.
Zwei benannte souveräne Gemeinschaftsunternehmen (SAP on Bleu mit Capgemini/Orange; Delos Cloud mit Arvato/Bertelsmann/Microsoft) bilden direkt die Deployment-Entscheidungen für Frankreich vs. Deutschland ab.
Erklärbarkeit ist eine harte Anforderung, kein Nice-to-have: Joule-Agenten müssen ihre Argumentationskette für bürgerrelevante Entscheidungen offenlegen.

Kernpunkte

KI im europäischen öffentlichen Sektor unterliegt einer doppelten Auflage: gesetzlich auf Infrastrukturebene erzwungene Datenresidenz plus Pflichten aus dem EU AI Act für Systeme, die Entscheidungen über Bürger beeinflussen.
Standard-Tenants von BTP und Datasphere laufen in Hyperscaler-Regionen (AWS Irland, Azure Niederlande) — DSGVO-konform für die Standardverarbeitung, nicht ausreichend, wo nationale Souveränitätsregeln gelten.
Souveräne Stacks wie SAP auf Bleu (Frankreich) oder Delos Cloud (Deutschland) existieren genau dafür, SAP-Workloads innerhalb einer rechtlich anerkannten Grenze zu halten.
KI-Fähigkeiten an dem ausrichten, was innerhalb dieser Grenze legal laufen darf — nicht an dem, was die Standardregion des Anbieters bietet.
Modell-Governance nach Artikel 9-49 der EU-KI-Verordnung ist eine reale Aufwandsposition: 200 bis 800 Personentage pro Hochrisikosystem — explizit budgetieren und einplanen, keine reine Checkbox.
Souveräne Plattformen tauschen Funktionsaktualität gegen Rechtssicherheit: Delos Cloud oder SAP auf Bleu hinken dem Standard-Hyperscaler-BTP typischerweise um einen bis mehrere Release-Zyklen bei neuen KI-Fähigkeiten hinterher.
DSGVO-Konformität und nationale Hosting-Standards (HDS, BSI C5) sind getrennte Messlatten — das Bestehen der einen impliziert nicht das Bestehen der anderen.
Datenresidenz und KI-Verordnung-Risikoklassifizierung sind zwei getrennte Probleme: Ein System kann vollständig innerhalb einer souveränen Grenze laufen und trotzdem ein nicht dokumentiertes, nicht konformes Hochrisikosystem nach Anhang III sein.

Begriffe auf dieser Seite

Agent reliability: Die Konsistenz, Kosten, Sicherheit und Policy-Konformität eines Agenten über wiederholte Durchläufe hinweg.
HDS (Hébergement de Données de Santé): Französische Zertifizierung für das Hosting von Gesundheitsdaten, erforderlich für jede Plattform, die französische Gesundheitsdaten speichert oder verarbeitet — strenger als die DSGVO-Basisanforderung, eine Hürde, für die SAP auf Bleu speziell positioniert ist.
BSI C5: Kriterienkatalog Cloud Computing Compliance des Bundesamts für Sicherheit in der Informationstechnik (BSI) — ein Attestierungsstandard, den deutsche öffentliche Stellen für bestimmte Cloud-Workload-Klassifizierungen verlangen; erfüllt über Azure Deutschland oder Delos Cloud, nicht durch eine Standard-Hyperscaler-Region allein.
ANSSI: Agence nationale de la sécurité des systèmes d'information — die französische nationale Cybersicherheitsbehörde, an deren Anforderungen SAP auf Bleu für französische Workloads im öffentlichen Sektor und im Gesundheitsdatenbereich ausgerichtet ist.
Sovereign Cloud: Ein Cloud-Deployment, das unter den eigenen rechtlichen, personellen und infrastrukturellen Kontrollen einer Jurisdiktion betrieben wird, sodass Datenresidenz- und staatliche Zugriffsregeln technisch und organisatorisch durchgesetzt werden, nicht nur vertraglich.
Anhang III (EU-KI-Verordnung): Die Liste der Hochrisiko-KI-Anwendungsfälle in der EU-KI-Verordnung — einschließlich Systemen, die Entscheidungen mit Auswirkung auf Einzelpersonen im öffentlichen Sektor beeinflussen —, die die Dokumentations-, Aufsichts- und Überwachungspflichten der Artikel 9-49 auslösen, wirksam ab dem 02.12.2027 nach dem Digital Omnibus.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: den vollständigen Entscheidungsrahmen · den Vergleich SAP · Snowflake · Databricks · Fabric · die häufigen Fallstricke und ihre Behebung · die Kurzreferenz · die Architekturschemata · die Codeblöcke · die zitierfähigen Kennzahlen.

In der App öffnen →

Offene SAP-Projekte

Aktuelle SAP-Analytics-Projekte und Stellen im DACH-Raum: SAP-Analytics-Projekte im DACH-Raum.