Glossarbegriff
GAIA-X
Auch: Gaia-X, Gaia-X AISBL
Eine europäische Initiative für eine sichere, vernetzte Daten-Infrastruktur, die Sovereignty, Interoperabilität und Vertrauen zwischen Cloud-Diensten standardisiert. GAIA-X-Konformität ist ein Bewertungs-Kriterium bei Sovereign-Cloud-Entscheidungen, kein Pflicht-Standard.
GAIA-X wurde 2019 als Gemeinschaftsprojekt von Frankreich, Deutschland und weiteren EU-Staaten gestartet. Ziel ist ein offenes Trust-Framework, in dem Cloud-Provider ihre Sovereignty-Eigenschaften (Datenresidenz, Personal-Souveränität, Schlüssel-Kontrolle) über standardisierte Self-Descriptions nachweisen.
Wichtige Konzepte: GAIA-X Compliance Document (Anforderungen), Self-Descriptions (Vendor-Aussagen), Federation Services (Interoperabilität). Konformität wird über Self-Descriptions plus optionale Prüfung durch akkreditierte Conformity Assessment Bodies erreicht.
In der Praxis
Für Decision Memos zu Sovereign Cloud: GAIA-X-Konformität ist ein gewichtetes Kriterium, kein Dealbreaker, weil das Framework noch in Reife-Phase ist. EU-Data-Boundary und BSI-C5 sind weiterhin die kritischeren Pflicht-Anker.
Verwandte Begriffe
Sovereign cloud
A cloud deployment model that guarantees operational, legal and technical control of data and workloads within a specific jurisdiction (typically the EU). Sovereign cloud answers the concern that hyperscaler deployments remain exposed to foreign jurisdiction, primarily the US CLOUD Act.
Decision memo
A short structured document that captures why a decision was made, the options considered, the criteria and trade-offs, the stakeholders involved and the accepted risks. A good decision memo is auditable months later.
Compliance mapping
The explicit link between a decision (vendor, architecture, control) and the specific regulatory articles, controls or standards it satisfies. Without compliance mapping, a memo cannot be defended under audit against a named clause.
GPAI / Foundation Models
Allzweck-KI-Modelle nach Art. 51-56 EU AI Act. Pflichten ab August 2025: technische Dokumentation, Info für Downstream-Anbieter, Urheberrechts-Policy, Trainingsdaten-Zusammenfassung. Bei systemischem Risiko zusätzlich Modell-Evaluation, adversariales Testing, Vorfalls-Tracking.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.