Wenn Sie mit KI modernisieren, liest das Werkzeug Ihren Code und womöglich Kopien Ihrer Datenbank, meist in Rechenzentren außerhalb des Königreichs. AWS Transform hat laut seiner Regionsseite heute keine Arbeitsbereichsregion im Nahen Osten, und die saudische AWS-Region soll laut der Saudi Press Agency im Dezember 2026 starten. Bevor Sie also etwas senden: Trennen Sie Code von personenbezogenen Daten, senden Sie das Minimum und wenden Sie die Verordnung über die Übermittlung personenbezogener Daten außerhalb des Königreichs auf alles an, was hinausgeht.

In Teil 6 haben Sie den Umstieg auf das neue System ohne Arbeitsunterbrechung geplant. Dieser letzte Teil beantwortet die Datenfrage und macht aus den Übungen der Serie einen 90-Tage-Plan. Die Grundlagen des Gesetzes finden Sie in unserem praktischen PDPL-Leitfaden.

Was Ihr Unternehmen während der Modernisierung tatsächlich verlässt

Das Wort Daten verbirgt hier 4 verschiedene Dinge, jedes mit einem anderen Risiko:

  • Der Code selbst: die Software, die Ihre Entwickler geschrieben haben. Er enthält meist keine Kundendaten, kann aber fest eingetragene Passwörter, die Adressen Ihrer Server oder Kundennamen in Entwicklerkommentaren enthalten.
  • Kopien der Datenbank: nötig für Analyse und Tests und das Gefährlichste, was Sie versenden können, denn sie enthalten Namen, Ausweisnummern und Mobilnummern der Kunden sowie die Gehälter der Mitarbeiter.
  • Ihre Fragen und Chats mit dem Werkzeug: alles, was Ihr Team in das Chatfenster tippt, wo jemand einen echten Datensatz einfügen könnte, um ein Problem zu erklären.
  • Die Ergebnisse: der neue Code, die Dokumentation und die Geschäftsregeln, die Sie in Teil 4 extrahiert haben und die beschreiben, wie Ihr Unternehmen von innen funktioniert.

Die Arbeitsregel: Code wird bereinigt, bevor er hinausgeht, und echte Daten gehen nur hinaus, wenn es keine Alternative gibt. In den meisten Konvertierungsprojekten reicht für Tests eine maskierte Kopie, also Daten, in denen echte Namen und Nummern durch fiktive Werte gleicher Form ersetzt wurden.

Wo ein Werkzeug wie AWS Transform Ihre Daten verarbeitet

Wir nehmen AWS Transform als Beispiel, weil Amazon die Details veröffentlicht hat, und dieselben Fragen gelten für jedes andere Werkzeug. Was die offiziellen Seiten von Amazon heute sagen:

  • Wo gespeichert wird: Ihre Daten werden laut der Datenschutzseite in der Region gespeichert, in der Sie den Arbeitsbereich angelegt haben. Die Regionsseite listet 11 Regionen, darunter Frankfurt, London, Mumbai, Tokio und Virginia, manche nur für bestimmte Funktionen, und keine im Nahen Osten.
  • Wo verarbeitet wird: Die Seite zur regionsübergreifenden Verarbeitung erklärt, dass das Werkzeug mit Modellen von Amazon Bedrock arbeitet und dass Anfragen und ihre Ergebnisse in einer anderen Region desselben geografischen Raums verarbeitet werden können; eine Anfrage aus Frankfurt etwa kann in 6 europäischen Regionen verarbeitet werden. Dieselbe Seite kündigt an, dass ab dem 7. Oktober 2026 Chat-Anfragen aus Mumbai und Seoul auf alle kommerziellen AWS-Regionen verteilt werden, während die Speicherung in der Ursprungsregion bleibt.
  • Serviceverbesserung: Amazon schreibt auf seiner Seite zur Serviceverbesserung, dass es Ihre Fragen und den vom Werkzeug erzeugten Code zur Verbesserung des Dienstes nutzen kann, einschließlich Modelltraining, und dass der Widerspruch über eine Opt-out-Richtlinie für KI-Dienste in AWS Organizations erfolgt, die der Administrator Ihres Kontos einrichtet.

Und die für Dezember 2026 erwartete saudische AWS-Region bedeutet nicht automatisch, dass dieses Werkzeug von dort aus läuft. Öffnen Sie die Regionsseite selbst, wenn Ihr Projekt beginnt; die Liste ändert sich.

Was das PDPL verlangt, bevor Daten hinausgehen

Wenn personenbezogene Daten das Königreich verlassen, übermitteln Sie sie im Sinne des Gesetzes zum Schutz personenbezogener Daten (PDPL) und der Übermittlungsverordnung, die beide auf der Nationalen Datengovernance-Plattform der SDAIA veröffentlicht sind. Was für ein Modernisierungsprojekt zählt, in praktischer statt juristischer Sprache:

  • Das Schutzniveau im Empfängerland: Die zuständige Behörde veröffentlicht eine Liste der Länder mit angemessenem Schutzniveau und überprüft sie alle 4 Jahre oder bei Bedarf. Klären Sie, wo Ihre Daten verarbeitet werden, und prüfen Sie dann die Liste.
  • Alternative Garantien: In den von der Verordnung definierten Ausnahmefällen ist die Übermittlung an geeignete Garantien gebunden, davon gibt es 3: Standardvertragsklauseln, verbindliche gemeinsame Regeln innerhalb einer Unternehmensgruppe oder ein Akkreditierungszertifikat für den Empfänger.
  • Risikobewertung: Die Verordnung verpflichtet den Verantwortlichen, also Ihr Unternehmen, in den von ihr genannten Fällen vor der Übermittlung eine Risikobewertung durchzuführen.
  • Sensible Daten: Einige Ausnahmefälle schließen sensible Daten wie Gesundheitsdaten und persönliche Finanzdaten ausdrücklich aus, behandeln Sie sie also mit besonderer Sorgfalt.

Die Nationale Datengovernance-Plattform bietet praktische Dienste für diesen Schritt, darunter eine Folgenabschätzung für die Verarbeitung personenbezogener Daten, ein Werkzeug, das Ihnen sagt, ob Sie einen Datenschutzbeauftragten benennen müssen, und eine Selbstbewertung der Compliance. Wir sind ein Technologieunternehmen, kein Rechtsberater, legen Sie die Übermittlungsentscheidung also Ihrem Datenschutzbeauftragten oder Rechtsberater vor. Und wenn Sie überlegen, auf die lokale Region zu warten: Was sich damit wirklich ändert, haben wir in Eine Cloud-Region im Königreich erklärt.

6 Fragen an jedes Werkzeug und jeden Anbieter, bevor Sie etwas senden

  1. In welcher Region werden unsere Daten gespeichert, und in welchen Regionen können sie verarbeitet werden? Verlangen Sie die Antwort schriftlich mit einem Link zur offiziellen Seite.
  2. Werden unsere Fragen oder unser Code zum Training von Modellen verwendet, und wie stoppen wir das?
  3. Kann die Analyse nur auf dem Code laufen, ohne Kopien der Datenbank?
  4. Wer aus unserem Team und aus dem Team des Anbieters kann auf den Arbeitsbereich zugreifen, und wird jeder Zugriff protokolliert?
  5. Wann werden unsere Daten nach Projektende gelöscht, und wie prüfen wir die Löschung?
  6. Kann die sensible Phase bei Bedarf im Königreich oder auf unseren eigenen Servern laufen?

Wenn ein Anbieter eine dieser Fragen nicht schriftlich beantwortet, ist das bereits eine Antwort. Zu den Hosting-Optionen selbst siehe unseren Leitfaden zur Cloud-Migration.

Ein 90-Tage-Plan aus den Übungen der Serie

Dieser Plan modernisiert Ihr System nicht in 90 Tagen. Er bringt Sie zu einer schriftlichen Entscheidung und einem Pilotmodul, das für einen Parallelbetrieb bereit ist, und er baut auf den Übungen der sechs vorherigen Teile auf:

ZeitraumWas Sie tunAus welchem TeilErgebnis
Tage 1 bis 30: wissen, was Sie habenListen Sie die Systeme auf, ohne die das Unternehmen keinen Tag läuft, und wer jedes versteht, bewerten Sie jedes System nach Support, Wissensrisiko, Integration und Änderungsgeschwindigkeit, dann eine einseitige Tabelle pro System, die festhält, ob es personenbezogene Daten enthältTeile 1, 2 und 3Eine Karte Ihrer Systeme und die Klassifizierung ihrer Daten
Tage 31 bis 60: entscheidenExtrahieren Sie mindestens eine Geschäftsregel pro Kandidatensystem und prüfen Sie sie an der Wirklichkeit, wählen Sie für jedes System einen Weg und stellen Sie jedem infrage kommenden Werkzeug oder Anbieter die sechs DatenfragenTeile 4, 5 und 7Eine schriftliche Entscheidung pro System und eine Datenübermittlungsentscheidung, unterschrieben von Ihrem Datenschutzbeauftragten
Tage 61 bis 90: ein Modul erprobenWählen Sie das kleinste Modul, das zählt, bereiten Sie maskierte Testdaten vor, füllen Sie das Umstellungsblatt mit den Unterzeichnern und dem Rückfallauslöser aus und beginnen Sie den Vergleich über einen abgeschlossenen ZeitraumTeile 6 und 7Ein Pilotmodul und Vergleichsergebnisse, beurteilt von den Prozessverantwortlichen

Nach Tag 90 wissen Sie, was Sie vorher nicht wussten: was Sie haben, was sich zu modernisieren lohnt und wie sich KI-Werkzeuge mit Ihrem eigenen Code verhalten statt mit den Beispielen der Anbieter. Erst dann beruht jedes Gespräch über Kosten und Dauer auf Ihrer Wirklichkeit.

Die Sicht von Origami

Wir beginnen Modernisierungsprojekte mit der Datenkarte vor der Codekarte: was hinausgeht, wohin und warum. Wir bevorzugen, dass die Analyse auf bereinigtem Code und maskierten Daten läuft und echte Daten so weit wie möglich in Ihrer Umgebung bleiben, damit technisches Tempo später nicht zum Compliance-Problem wird.

Wir setzen KI-Werkzeuge dort ein, wo sie die Arbeit wirklich verkürzen, aber die Entscheidung, was an sie gesendet wird, bleibt Ihre, schriftlich und unterschrieben. Wie wir arbeiten, sehen Sie bei unseren Leistungen.

Abschluss der Serie

Wir haben vor 7 Teilen mit einer einzigen Frage begonnen: Wie modernisiere ich mein Altsystem mit KI? Die Antwort, zu der wir gekommen sind: KI beschleunigt Lesen, Konvertieren und Testen, aber die wichtigen Entscheidungen bleiben bei denen, die das Unternehmen führen: welches System es wert ist, welche Regel stimmt, wer unterschreibt und wohin die Daten gehen. Ihre Altsysteme haben das Unternehmen jahrelang am Laufen gehalten, und sie ruhig und mit einem Plan zu modernisieren, ist das Beste, was Sie für sie tun können. Alle Teile der Serie finden Sie im Wissenszentrum.

Quellen