Private und souveräne KI verschieben die Vertrauensgrenze bei der Modellbereitstellung

In den meisten Jahren des letzten Jahrzehnts bedeutete das Ausführen eines leistungsstarken KI‑Modells, Ihre Daten an die Infrastruktur eines Dritten zu senden und darauf zu hoffen, dass diese Infrastruktur die Leistung erbringt. Dieses Arrangement gerät jedoch ins Wanken, da ein Vertrauensdilemma zwischen Modell‑Eigentümern, Daten‑Eigentümern und Infrastruktur‑Anbietern entsteht. Unternehmen aus den Bereichen Finanzen, Gesundheitswesen, Regierung und Verteidigung wollen zunehmend das Modell innerhalb ihrer eigenen Grenzen, unter ihrer eigenen Kontrolle betreiben, ohne den Zugriff auf das zu verlieren, was das Modell ursprünglich stark gemacht hat.

Genau das bieten private und souveräne KI, und es ist kein Nischenbedarf mehr. Tatsächlich geben über 95 % der befragten Unternehmen an, dass private und souveräne KI für ihre Strategie wichtig ist, obwohl laut dem NTT DATA’s 2026 Global AI Report nur etwa drei von zehn Unternehmen diese Arbeit derzeit konkret und kurzfristig priorisieren. Ein ähnliches Muster wird in McKinsey’s research on sovereign AI ecosystems beschrieben. Unternehmens‑Roadmaps für 2026 führen Souveränität in fast allen Fällen auf, doch nur wenige besitzen einen umsetzbaren Plan, der die verschiedenen Workload‑Ebenen klar definiert.

Diese Lücke zwischen Ambition und Umsetzung spiegelt eine echte, ungelöste Spannung wider: Unternehmen wollen Modelle, die in Umgebungen laufen, die der Anbieter nicht kontrolliert, während Modell‑Anbieter ihr gesamtes Geschäft darauf aufgebaut haben, Modelle selbst zu bauen, zu trainieren und zu verfeinern.

Why the Old Security Model Doesn’t Transfer

Traditionelle Softwaresicherheit geht von einer relativ klaren Trennung der Sicherheitskontrollen aus. Der Anbieter sichert seinen Code, bevor er ihn ausliefert; der Kunde sichert die Umgebung, in der er ausgeführt wird. Verträge, Zugriffskontrollen und Netzwerkperimeter übernehmen den Rest.

Proprietäre KI‑Modelle passen nicht sauber in dieses Modell. Das „Produkt“ ist keine statische Binärdatei, sondern ein Satz von Gewichten – in manchen Fällen Hunderte Milliarden Parameter – die monatelange Trainingsinvestitionen und das Kern‑Intellektuelle Eigentum des Anbieters repräsentieren. Sobald diese Gewichte in einer vom Kunden kontrollierten Umgebung bereitgestellt werden, übergibt der Anbieter praktisch das geistige Eigentum und hofft, dass die umgebenden Kontrollen ausreichen.

Vertragliche Bedingungen und Zugriffsrichtlinien bieten wenig Schutz gegenüber dem eigenen Systemadministrator des Kunden, einem fehlerhaft konfigurierten Cluster oder einem kompromittierten Host. Und sobald ein Modell‑Anbieter die Bereitstellung auf das Rechenzentrum oder die Cloud‑Mietumgebung eines Dritten ausweitet, gelten viele der üblichen technischen Schutzmaßnahmen nicht mehr.

The Real Exposure Is in Memory

Der am wenigsten beachtete Aspekt dieses Problems ist, was mit einem Modell geschieht, sobald es tatsächlich läuft. Die Verschlüsselung von Daten im Ruhezustand oder während der Übertragung ist weit verbreitet. Die Lücke entsteht, wenn Daten aktiv genutzt werden – in dem Moment, in dem Gewichte entschlüsselt und in GPU‑ oder System‑Speicher geladen werden, damit Inferenz stattfinden kann.

Forscher haben bereits speicherbasierte Extraktionsangriffe auf bereitgestellte neuronale Netze demonstriert. Eine widely cited academic study zeigte, dass Side‑Channel‑Techniken gegen Speicherhardware verwendet werden können, um die Gewichte eines Modells zu rekonstruieren, ohne jemals die Originaldateien des Anbieters zu berühren. Die Angriffsfläche ist nicht die Modelldatei auf der Festplatte, sondern der laufende Prozess, in dem sich ein Modell befinden muss, um nutzbar zu sein.

Doch dafür ist nicht einmal ein Side‑Channel‑Angriff nötig, um Modellgewichte aus dem Speicher zu extrahieren. Eine Privilegieneskalation durch Ausnutzung des Kernels könnte einem Angreifer Administratorrechte verschaffen, um die Gewichte aus dem Speicher auszulesen.

Für einen Modell‑Anbieter bedeutet das, dass der Moment des größten geschäftlichen Risikos – wenn die Infrastruktur eines Dritten Ihr geistiges Eigentum aktiv ausführt – gleichzeitig der Zeitpunkt ist, an dem konventionelle Schutzmaßnahmen am schwächsten sind. Das ist das Kernproblem, das private und souveräne KI‑Implementierungen lösen müssen. Wer oder was kann das Modell technisch sehen, während es läuft?

Confidential Computing Offers a Path, With Real Limits

Die vielversprechendste Antwort auf dieses Problem ist derzeit vertrauliches Rechnen: hardwarebasierte Trusted Execution Environments (TEEs), die Daten und Modellgewichte selbst während der Verarbeitung verschlüsselt halten. Das Confidential Computing Consortium, eine offene Community unter der Linux Foundation, definiert dies als Schutz von Daten während der Nutzung innerhalb eines attestierten TEEs, was bedeutet, dass die Umgebung kryptografisch nachweisen kann, was sie ausführt, bevor ihr eine sensible Arbeitslast übergeben wird.

Attestation ist das, was tatsächlich Vertrauen zwischen einem Modell‑Anbieter und der Infrastruktur des Kunden schafft. Sie ermöglicht es dem Modell des Anbieters, den kryptografischen Fingerabdruck der Umgebung, in der es ausgeführt werden soll, zu prüfen und die Freigabe seiner Gewichte zu verweigern, wenn die Umgebung nicht den autorisierten Vorgaben entspricht. Große Cloud‑Anbieter haben begonnen, dies direkt in ihre KI‑Infrastruktur zu integrieren; die jüngsten Confidential‑Computing‑Updates von Google Cloud’s recent confidential computing updates beispielsweise erweitern die Attestation auf CPU‑ und GPU‑Hardware, sodass Inferenz‑Workloads end‑to‑end verifiziert werden, bevor Entschlüsselungsschlüssel freigegeben werden.

Es wäre jedoch ein Fehler, Attestation als gelöstes Problem zu betrachten. Jede Sicherheitstechnologie ist nur dann stark, wenn sie korrekt und sicher implementiert wird.

Das bedeutet jedoch nicht, dass vertrauliches Rechnen ein falsches Versprechen ist. Es bedeutet, dass das Fachgebiet noch jung ist, die Werkzeuge sich noch entwickeln und Unternehmen, die Anbieter evaluieren, gezielte Fragen zur Implementierung der Attestation stellen sollten, nicht nur danach fragen sollten, ob sie im Datenblatt steht.

Secure, Flexible Deployment Is Becoming a Precondition, Not a Feature

Das Geschäftsargument für die Lösung dieses Problems wird immer stärker. Die globale Unternehmensforschung von Deloitte’s global enterprise research prognostiziert, dass die Investitionen in souveräne KI‑Rechenleistung im Jahr 2026 fast 100 Milliarden US‑Dollar erreichen werden, vor allem getrieben von regulierten Branchen, die ohne diese Technologie keinen Weg zur breiteren KI‑Einführung sehen. Diese Wette spiegelt die Realität wider, dass Datenresidenz‑Regeln, branchenspezifische Compliance‑Regime und geopolitischer Druck nun fest in die langfristige Planung der KI‑Infrastruktur großer Organisationen integriert sind.

Für Modell‑Anbieter ändert das die Situation grundlegend. Die Fähigkeit, ein Modell sicher innerhalb der Umgebung eines Kunden auszuführen, ohne die Kontrolle über die Gewichte aufzugeben, entwickelt sich von einem Differenzierungsmerkmal zu einer Grundvoraussetzung. Anbieter, die keine entsprechende Lösung anbieten können, werden von genau den regulierten, hochpreisigen Branchen, die derzeit die Ausgaben für Unternehmens‑KI antreiben, ausgeschlossen sein.

All dies beseitigt nicht die zugrunde liegende Spannung zwischen Modellzugänglichkeit und Schutz des geistigen Eigentums. Sie wird wahrscheinlich nie vollständig verschwinden. Die Richtung ist jedoch klar: Unternehmen, die KI in großem Umfang einsetzen, sind nicht mehr bereit, „vertrauen Sie uns“ als Antwort zu akzeptieren, und diejenigen, die mit kryptografischen Nachweisen reagieren können, werden um das Geschäft konkurrieren und es gewinnen.