SovAI-QSovereign AI. Governed.SOVEREIGN AI. GOVERNED.
Mit SovAI-Q nutzen Sie Sprachmodelle auch in Ihren gewohnten Office-Anwendungen – ohne Kompromisse bei der DSGVO. Sensible Personendaten (PII) und Unternehmensdaten werden vor dem Verlassen Ihres Netzwerks automatisch maskiert und nach der Modellantwort für Berechtigte wieder eingesetzt. Mit Budgets je Kostenstelle, Rollen aus Entra ID, nachvollziehbarem Audit und voller Datensouveränität.
02 / FUNKTIONALITÄTEN
Sechs Funktionsbereiche in einer Plattform – offen gekennzeichnet: heute verfügbar, im Kundensystem zu validieren oder auf der Roadmap.
PII-Prüfung vor der Weiterleitung.
Richtlinien und Budgets im Gateway.
Token, Kosten und Prüfergebnisse.
03 / INTEGRATION
SovAI-Q verbindet Identitäten, ERP-Prozesse, Kollaborationsumgebungen, Modellanbieter und Ihr Monitoring – lesend, nachvollziehbar und ohne Medienbrüche.
Identität, Microsoft 365, SharePoint
ERP, Controlling und technische Integrationen
Segmentierte Betriebszonen, Private Link und VPN
Freigegebene Anwendung → Identitätsprüfung → SovAI-Q → klassifizierte und maskierte Anfrage → LLM-API → autorisierte Rückgabe
Abgrenzung: Native Microsoft 365 Copilot-Anfragen laufen nicht automatisch über SovAI-Q. Entra-, Intune- und Defender-Richtlinien kontrollieren diese Zugänge separat.
Entra ID, WAF, getrennte Netzwerkzonen, Key Vault und kontrollierter Provider-Egress.
Kontrollierter Entra-zu-Azure-OpenAI-Pfad mit WAF, Policy und Rückgabe.
Simulation bereit. Starten Sie den freigegebenen Referenzpfad.
„Projekt Phoenix: Bitte Status mit Anna Muster und Budget 18.500 € zusammenfassen.“
„Projekt Phoenix: Status mit [PERSON_1] und Budget [BUDGET_1] zusammenfassen.“
Projekt Phoenix ist planmäßig. PII bleibt maskiert; Azure OpenAI liefert nur die freigegebene Zusammenfassung.
Die freigegebene Antwort wird an den Entra-konformen Client zurückgegeben.
Kostenstellen und PSP-Elemente aus SAP, freigegebene Integrations-APIs und ein separater KI-Gateway-Pfad.
SAP-Datensätze laufen lesend über BTP und den separaten Secure-AI-Pfad.
Simulation bereit. Starten Sie den freigegebenen Referenzpfad.
„Zeige PSP WBS-4711 mit Kostenstelle 1000 und kommentiere Budgetabweichung.“
„Zeige [PSP_1] mit Kostenstelle [KOSTENSTELLE_1] und kommentiere Budgetabweichung.“
Die Budgetabweichung wird mit freigegebenen SAP-Fakten erläutert; sensible Bezeichner bleiben neutralisiert.
Die Auswertung wird über BTP API Management an den berechtigten Fach-Client zurückgegeben.
Unternehmensnetz, private Anwendungsebene und kontrollierter Cloud-Ausgang.
Segmentierter Hybrid-Pfad mit VPN, privater Zone und kontrolliertem Egress.
Simulation bereit. Starten Sie den freigegebenen Referenzpfad.
„Analysiere DMS-Vorgang 8842 aus dem On-Prem-Netz und beachte regionale Egress-Regeln.“
„Analysiere [DOKUMENT_1] aus dem privaten Netz und beachte regionale Egress-Regeln.“
Nur der erlaubte Tunnelpfad wird verwendet. Nicht autorisierte Direktwege bleiben blockiert.
Die Antwort wird über die private Zone zurück ins Unternehmensnetz geliefert.
SharePoint und Office-Add-ins nutzen angebundene SovAI-Q-Schnittstellen. Native M365 Copilot-Abfragen sind kein transparenter Gateway-Traffic.
Office- und SharePoint-Anfragen laufen über Entra, Proxy, Audit und Budgetkontrollen.
Simulation bereit. Starten Sie den freigegebenen Referenzpfad.
„Fasse das SharePoint-Dokument M&A vertraulich zusammen und nenne Claudia Fischer.“
„Fasse das SharePoint-Dokument [DOKUMENT_1] vertraulich zusammen und nenne [PERSON_1].“
Die Antwort enthält nur den erlaubten Auszug. Native Copilot-Zugriffe sind davon separat abgegrenzt.
Die freigegebene Antwort geht an den berechtigten Office- / SharePoint-Client zurück.
04 / SICHERHEIT
Messbare Schutzmaßnahmen und offene Grenzen auf einen Blick – statt allgemeiner Versprechen. Der Status je Kontrolle ist ehrlich ausgewiesen.
Prompt- und Antwortinhalte werden nicht gespeichert. Im Audit-Log stehen nur Metadaten; Dokumente werden im Arbeitsspeicher geprüft und verworfen.
TLS am Reverse-Proxy, Geheimnisse mit AES-256-GCM, Passwörter als Argon2-Hash. Master-Schlüssel aus Datei oder Secret-Manager, Rotation ohne Ausfall.
Single Sign-on über Entra ID. Lokale Konten mit MFA, Login-Sperre nach Fehlversuchen und Rate-Limits; Rollenmatrix und Vier-Augen-Prinzip.
Jede Abfrage ist mandantengefiltert, automatisierte Tests prüfen Fremdzugriffe. Für physische Trennung: eigene Installation je Kunde.
Manipulationssicher versiegeltes Audit-Log, SIEM-Export per Webhook oder Syslog, Metriken für Prometheus.
Strukturierte Daten werden am Testkorpus zu rund 100 % erkannt, Namen ohne Anrede deutlich schwächer. Die Messung ist einsehbar; KI-Namenserkennung ist geplant.
Backup- und Restore-Skripte mit Probe-Restore, verschlüsselter Export/Import, Helm-Chart. Hochverfügbarkeit wird im Pilot nachgewiesen.
Noch keine ISO-27001-, SOC-2- oder C5-Zertifizierung und kein unabhängiger Penetrationstest. Ein gemeinsames Sicherheitsreview ist Teil des Piloten.
ⓘ Die Einstufung ist bewusst offen: Was noch nicht vorhanden ist, steht als Roadmap oder wird im gemeinsamen Pilot geprüft.
05 / GOVERNANCE
SovAI-Q unterscheidet den eigenen Gateway-Pfad, externe Endpoint-Richtlinien und nicht abgedeckte Anwendungen – und sagt offen, was wo gilt.
Anfragen erreichen SovAI-Q und passieren seine Kontrollen
Intune-, Defender- oder Entra-Richtlinien begrenzen Nutzung
Direkte KI-Zugriffe außerhalb des Gateways
ⓘ Nur tatsächlich über SovAI-Q geroutete Anfragen erhalten dessen PII-, Budget- und Nutzungskontrollen. Externe Richtlinien ergänzen diese, ersetzen sie aber nicht.
Steuerbare KI-Nutzung nach Rollen, Gruppen und Anwendungsfällen – mit Vier-Augen-Prinzip und Pilotgruppen.
Limits je Kostenstelle, Hierarchie und Person; Erhöhung per Antrag mit Freigabe-Link.
Versiegeltes Audit-Log, SIEM-Export und Coverage-Matrix ohne Prompt-Inhalte.
ROLLEN & ZUSTÄNDIGKEITEN
Fünf Rollen mit klarem Geltungsbereich. Zugeordnet werden sie über Entra-Gruppen; die vollständige Rollenmatrix ist in der Oberfläche einsehbar.
Technische Konfiguration: Integrationen, Anbieter-Schlüssel, Sicherheit und Betrieb.
Unternehmensweite Budgets, Richtlinien, Freigaben und Auswertungen – ohne Zugriff auf Schlüssel.
Kosten, Top-10-Auswertung, lokale Budgets und Freigaben im eigenen Bereich.
Nutzt KI mit automatischer Maskierung und sieht die eigene Nutzung.
Nur lesend: Audit-Log, Coverage und Berichte.
BUDGETFREIGABE
Mitarbeitende bleiben handlungsfähig, Verantwortliche behalten die Kontrolle – ohne Ticket-Umweg.
Bei erreichtem Budget erscheint direkt die Möglichkeit, eine Erhöhung zu beantragen.
Die Verantwortlichen der Kostenstelle erhalten eine E-Mail mit Begründung und Button.
Ein Einmal-Link öffnet eine Freigabeseite: Betrag eintragen, absenden. Höchstbetrag je Link einstellbar.
Das Budget wird erhöht, der Antragsteller benachrichtigt, alles im Audit-Log festgehalten.
06 / FAQ
Die wichtigsten Antworten für Strategie, Steuerung und verantwortungsvolle KI-Nutzung im Unternehmen.
Für angebundene Anwendungen prüft SovAI-Q Identität, Richtlinien, Budgets und Schutzregeln vor der Modellanfrage. Sensible Daten werden maskiert, jede Anfrage wird als Metadatum protokolliert. Nicht angebundene KI-Dienste sind gesondert abzusichern.
Nur angebundene Anwendungen (Hub, SharePoint, Teams, Office-Add-ins, API-Clients) nutzen das Gateway. Direkter Zugriff auf andere KI-Dienste und der native Microsoft 365 Copilot laufen daran vorbei und werden über Netzwerk-, Endgeräte- und Microsoft-Richtlinien gesteuert. SovAI-Q liefert dafür Vorlagen und eine Schatten-KI-Übersicht; die Durchsetzung bleibt in Ihrer Umgebung.
Typisch: Installation in Ihrer Umgebung, Anbindung von Entra ID und SAP (nur lesend), Pilotgruppe, danach schrittweiser Rollout über Entra-Gruppen. Erfolgskriterien, Support und Verantwortlichkeiten werden vorab gemeinsam festgelegt; ein gemeinsames Sicherheitsreview ist Teil des Piloten.
Aktuell keine ISO-27001-, SOC-2- oder C5-Zertifizierung und noch keinen unabhängigen Penetrationstest. Stattdessen: prüfbare Kontrollen, gemessene PII-Erkennungsqualität, dokumentierte Architektur und ein Sicherheitsreview im Pilot. Zertifizierungen sind eine Frage der Roadmap und Ihres Bedarfs.
Technische Integration, Betrieb und sichere Einbindung in die bestehende Systemlandschaft.
Entra ID liefert Anmeldung, Benutzer und Gruppen (Abgleich alle 30 Minuten bis 8 Stunden), SAP liefert Kostenstellen und PSP-Elemente per OData. Beide Zugriffe sind lesend. Umfang und Freigaben werden je Kundensystem geprüft und im Pilot validiert.
Als Container in Ihrer Umgebung: Docker Compose für Pilot und Test, Kubernetes (Helm) für den Produktivbetrieb mit mehreren Instanzen, TLS am Reverse-Proxy, Geheimnisse aus Secret-Manager oder Datei, Metriken für Prometheus sowie Backup- und Restore-Skripte. Hochverfügbarkeit ist vorbereitet und wird im Pilot mit Ihnen nachgewiesen.
Das manipulationssichere Audit-Log (ohne Prompt-Inhalte) lässt sich per Webhook oder Syslog im Format JSON oder CEF weiterleiten oder per API abrufen. Metriken liegen im Prometheus-Format vor; eine Diagnose-Seite prüft Firewall, Proxy, Zertifikate und DNS.
Single Sign-on über Entra ID; Rollen ergeben sich aus Gruppen, Abteilungen werden Kostenstellen zugeordnet. Lokale Notfallkonten sind durch MFA, Login-Sperre und Rate-Limits geschützt. Die vollständige Rollenmatrix ist in der Oberfläche einsehbar.
Antworten zur sicheren, wirtschaftlichen und fachlich sinnvollen Nutzung.
Die PII-Erkennung ersetzt erkannte Werte vor dem Modellaufruf durch Platzhalter; nach der Antwort werden sie nur für Berechtigte wieder aufgelöst. Strukturierte Daten wie IBAN oder E-Mail werden zuverlässig erkannt, Namen ohne Anrede mit geringerer Trefferquote. Die Qualität wird gemessen und ist einsehbar; für sensible Bereiche lässt sich „Blockieren“ statt „Maskieren“ einstellen.
Verbrauch wird der erlaubten Kostenstelle zugeordnet. Budgets gelten je Kostenstelle, Person und Unternehmen und sind hierarchisch: Das Budget einer Abteilung deckelt alle Unterbereiche. Warnungen bei 80 % und 100 % gehen per E-Mail oder Teams an die Verantwortlichen.
Je Kostenstelle lässt sich festlegen, ob blockiert, gewarnt oder auf ein günstigeres Modell gewechselt wird. Mitarbeitende können direkt im Tool eine Erhöhung beantragen; die Verantwortlichen tragen per Einmal-Link den Betrag ein, das Budget wird sofort erhöht und der Antragsteller benachrichtigt.
Ein verschlüsseltes Export-Paket enthält Einstellungen, Kostenstellen, Rollen, Richtlinien und Integrationen. Bei einer Neueinrichtung genügt der Import. Prompt-Inhalte werden nie gespeichert und sind daher nicht Teil von Export oder Sicherung.
KONTAKT
Erzählen Sie uns von Ihrer Systemlandschaft. Wir melden uns persönlich zurück.