Die Wahl der Infrastruktur, auf der eine KI-Plattform läuft, hat rechtliche, wirtschaftliche und technische Folgen, die sich schwer zurücknehmen lassen. Wir bauen auf Microsoft Azure, mit KI-Verarbeitung über Azure AI Foundry und Identität über Microsoft Entra ID. Hier die Begründung, einschließlich dessen, was wir dafür aufgegeben haben.
Der Datenstandort gab den Ausschlag
Unsere Kunden sind europäische Unternehmen, und ein großer Teil von ihnen verarbeitet personenbezogene Daten, die innerhalb der EU beziehungsweise des EWR bleiben müssen. Azure erlaubt uns, die Verarbeitungsregion festzulegen und vertraglich zu fixieren, statt sie als Standardeinstellung zu behandeln.
Diese eine Eigenschaft hat mehrere ansonsten leistungsfähige Optionen ausgeschlossen. Eine Architektur, bei der wir nicht präzise und vertraglich sagen können, wo die Daten eines Kunden verarbeitet werden, können wir einem österreichischen Unternehmen nicht anbieten, dem seine eigenen Kunden genau diese Frage stellen werden.
Die Vertragskette trägt
Wenn wir als Auftragsverarbeiter für einen Kunden handeln, brauchen wir eine Subauftragsverarbeitung, die unsere Zusagen stützt. Die Datenschutzbedingungen von Microsoft und deren veröffentlichte Subauftragsverarbeiter erlauben uns eine Kette, die unter Art. 28 DSGVO hält.
Das ist weniger aufregend als Modell-Benchmarks und praktisch deutlich wichtiger. Ein Anbieter, der die nötigen Vertragsbedingungen nicht durchreichen kann, ist für regulierte Arbeit nicht verwendbar, wie gut die Technik auch sei.
Identität war bereits gelöst
Die meisten unserer Kunden betreiben Microsoft-Umgebungen. Entra ID zu nutzen bedeutet, dass Zugriff über deren bestehende Konten läuft, über deren Mehr-Faktor-Authentifizierung, deren Conditional-Access-Regeln und – entscheidend – deren Offboarding-Prozess.
Verlässt ein Mitarbeiter das Unternehmen, endet der Zugriff, weil das Konto endet. Keine separate Nutzerliste, keine vergessenen Konten. Für eine Plattform, die Unternehmenswissen hält, ist das eine wesentliche Sicherheitseigenschaft und keine Bequemlichkeit.
Die Zertifizierungen zählen
Auf Infrastruktur zu bauen, die nach ISO/IEC 27001, ISO/IEC 27018 und SOC 1/2/3 zertifiziert ist, heißt, dass physische und Plattformebene mit unabhängiger Bestätigung kommen. Wir können die Compliance-Abteilung eines Kunden darauf verweisen, statt sie zu bitten, uns ein Rechenzentrum zu glauben.
Um klar zu sein, was das heißt und was nicht: Es deckt die Infrastruktur ab. Es zertifiziert nicht unsere Anwendung darauf. Wir achten darauf, das nicht zu verwischen, und Sie sollten skeptisch sein bei jedem Anbieter, der diese Grenze verschwimmen lässt.
Was wir dafür in Kauf nehmen
Modellverfügbarkeit hinkt nach. Neue Modellversionen erreichen häufig US-Regionen vor europäischen. Wir nehmen in Kauf, eine oder zwei Versionen zurückzuliegen, im Tausch gegen den Datenstandort – und für unsere Arbeit (Dokumentenverarbeitung, Entwürfe, Abruf über Kundendokumentation) ist der praktische Unterschied klein.
Konzentrationsrisiko. Stark von einem Anbieter abzuhängen ist eine echte Exponierung. Wir begrenzen sie, indem wir die Modellebene austauschbar halten statt sie durch die Anwendung zu weben, sodass ein Wechsel ein größeres Projekt wäre und kein unmögliches. Wir tun nicht so, als wäre es kostenlos.
Kosten. Verwaltete Dienste kosten mehr als reine Rechenleistung. Angesichts des Betriebsaufwands bei Eigenbetrieb und der erforderlichen Sicherheitslage halten wir das für unsere Größe für richtig – aber es ist ein realer Aufschlag, keine Ersparnis.
Unser Verhältnis zu Microsoft
SW Technology Solutions ist Mitglied im Microsoft AI Cloud Partner Program und arbeitet mit Microsoft zusammen. Wir sagen das so und nicht stärker: Wir halten keine Solutions-Partner-Designation, und Microsoft empfiehlt unsere Leistungen nicht und trägt keine Verantwortung dafür. Ihr Vertragspartner sind wir.
Warum wir das veröffentlichen
Infrastrukturentscheidungen bleiben meist implizit, was sie schwer beurteilbar macht. Wenn Sie uns in Betracht ziehen, sollten Sie die Begründung und die Kompromisse sehen und entscheiden können, ob sie zu Ihren Prioritäten passen. Ist EU-Datenstandort für Sie keine Bedingung, werden Ihnen einige unserer Entscheidungen konservativ vorkommen – und Sie hätten recht.
