Datensouveränität ist der Grundsatz, dass Daten den Gesetzen und Vorschriften des Landes oder Rechtsraums unterliegen, in dem sie sich befinden, verbunden mit dem praktischen Ziel, eine wirksame Kontrolle darüber zu behalten, welche Regierungen, Gerichte und Anbieter darauf zugreifen können. Sie ist eng mit der Datenresidenz verwandt, aber nicht dasselbe: Bei der Residenz geht es darum, wo Daten physisch liegen, bei der Souveränität darum, wer die rechtliche Hoheit über sie hat.
Die Unterscheidung ist für KI von Bedeutung, weil Prompts, hochgeladene Dateien und KI-Nutzungsaufzeichnungen regelmäßig personenbezogene und vertrauliche Daten enthalten. Daten können im Inland gespeichert sein und dennoch einem ausländischen Offenlegungsgesetz unterliegen, das die ausländische Muttergesellschaft eines Cloud-Anbieters erfasst, oder an ein in einem anderen Rechtsraum gehostetes KI-Modell weitergeleitet werden. Souveränität verlangt von Organisationen, über den Speicherort hinaus die gesamte Kette der rechtlichen Kontrolle zu betrachten: das anwendbare Recht, die Unterauftragsverarbeiter, die Modellanbieter und die Frage, wer den Zugriff erzwingen kann.
Zu den regulatorischen und politischen Treibern der Datensouveränität gehören das DSGVO-Übermittlungsregime in der EU und im Vereinigten Königreich, Chinas PIPL und Datensicherheitsgesetz, Indiens Digital Personal Data Protection Act, Russlands Lokalisierungsgesetz sowie eine wachsende Zahl staatlicher Onshoring- und Datenklassifizierungsvorgaben. Branchenregeln in Finanzdienstleistungen, im Gesundheitswesen und im öffentlichen Sektor fügen weitere Erwartungen hinzu, wo regulierte Daten liegen dürfen.
Für Organisationen, die die KI-Nutzung von Mitarbeitenden steuern, gilt die Datensouveränität auch für die Überwachungsebene selbst. Ein Governance- oder DLP-Tool, das Prompts erfasst, verarbeitet genau die sensiblen Inhalte, die von den Regeln abgedeckt sind, sodass der eigene Rechtsraum des Tools, seine Unterauftragsverarbeiter und seine Zugriffskontrollen Teil der Souveränitätsbewertung werden. Organisationen sollten erfassen, wohin KI-Daten fließen, In-Region-Speicherung und -Verarbeitung bevorzugen, offengelegte Unterauftragsverarbeiter verlangen und Aufzeichnungen führen, die die von ihnen behauptete Kontrolle belegen.