Cloud-Dienstleister: AI Act, Data Act & DSGVO-Pflichten

Cloud-Dienstleister als reine Infrastruktur-Anbieter (IaaS/PaaS) sind nach dem AI Act KEINE KI-System-Anbieter — sie stellen nur Compute/Storage/Networking bereit. AI-Act-Pflichten treffen den KI-Anbieter/Betreiber, der die Cloud nutzt. Ausnahme: Cloud-Anbieter mit eigenen KI-Diensten (AWS Bedrock, Azure AI, Google Vertex AI, OpenAI API) werden zu KI-System-Anbietern dieser Dienste — dann volle Pflichten nach Risikoklassifizierung. Plus: Cloud-Anbieter, die GPAI-Modelle hosten/trainieren (z. B. AWS für Anthropic, Microsoft für OpenAI), sind nicht Anbieter, aber beteiligt an GPAI-Infrastruktur (Cybersecurity, weights-Schutz kooperativ). Nach dem Data Act (ab September 2025): Switching-Erleichterung (Art. 13–15 — klare Exit-Klauseln, funktionelle Gleichwertigkeit nach Wechsel, Open-Standards), Interoperabilität (Art. 16).

Praktisch relevant für Cloud-Anbieter und -Kunden: (1) Switching-Architektur — Exit-Klauseln in Verträgen, Open-Standard-Interoperabilität (Kubernetes, OCI), funktionelle Gleichwertigkeit nach Wechsel, Support beim Wechsel; (2) AI-Act-Compliance bei eigenen KI-Diensten — Risikoklassifizierung, bei Hochrisiko volles Pflichtenbündel, GPAI-Pflichten bei Foundation-Modellen; (3) NIS2 — Risikomanagement (Art. 21), Meldepflichten (Art. 23, 24 h Frühwarnung), Kritis-Schutz; (4) DSGVO — Auftragsverarbeitung (Art. 28), Standardvertragsklauseln bei Drittland-Transfer, DSFA bei hochriskanter Verarbeitung; (5) CRA — Cybersecurity für Cloud-Software; (6) DSA bei Plattform-Betrieb. Für Kunden: Multi-Cloud-/Hybrid-Strategien (kein Lock-in), Switching-Drills, klare Exit-Klauseln, Auftragsverarbeitungs-Verträge. Aufsichtlich: Datenzugangsbehörden (Data Act, DE: BMWK), Datenschutz-Aufsichten (DSGVO), Cybersicherheits-Aufsichten/BSI (NIS2), Marktüberwachungsbehörden (AI Act). Cloud-Compliance ist ein Drei-Regime-Feld (Data Act + NIS2 + DSGVO + AI Act).

Die Grenze der Cloud-Compliance ist die digitale Souveränität. Switching-Fähigkeit (Data Act Art. 13–15) und Interoperabilität (Art. 16) sollen Cloud-Lock-in brechen — aber in der Praxis beherrschen Hyperscaler (AWS, Azure, GCP) den Markt, und proprietäre Dienste erschweren Wechsel. GAIA-X (europäische Daten-/Cloud-Infrastruktur) und IDSA (International Data Spaces) fördern europäische, interoperable Alternativen — Sovereign Cloud, Open-Standards, Daten-Lokalisierung. Für kritische Infrastruktur (Banken, Gesundheitswesen, öffentliche Verwaltung) ist Multi-Cloud-/Hybrid-Strategie NIS2-Pflicht. NIS2: Risikomanagement (Art. 21) verlangt Lieferketten-Sicherheit, Meldepflichten (Art. 23, 24 h Frühwarnung). Eine verantwortungsvolle Cloud-Strategie kombiniert Switching-Architektur (Open-Standards: Kubernetes, OCI), Multi-Cloud (kein Lock-in), NIS2-konforme Cybersicherheit und DSGVO-konforme Auftragsverarbeitung — digitale Souveränität statt Abhängigkeit.