"There is no cloud. It's just someone else's computer." 
(Unbekannt)

Kernaussagen und Empfehlungen

1. Es gibt keine allgemeine Aussage der Art "diese oder jene Cloudanwendung" darf an der UOL genutzt werden". Die IT des ICBM ist in dieser Hinsicht auch nicht verantwortlich, bietet aber Beratung an.
2. Moderne KI-Anwendungen sind in diesem Sinne als Cloudanwendungen zu betrachten. Die u.g. Aspekte gelten also auch für ChatBots wie ChatGPT, Claude etc.
3. Wenn möglich, sollten wir interne Ressorucen bei der Uni Oldenburg (z.B. https://cloud.uni-oldenburg.de) nutzen.
4. Falls die Uni eine gesuchte Ressource nicht anbietet, ist die Academic Cloud (https://academiccloud.de) eine gute Alternative. Dort werden bspw. auch KI-Dienste angeboten (https://chat-ai.academiccloud.de).

Allgemeines

„Cloudanwendungen” begleiten heute den Alltag in vielen Lebensbereichen, z.B. als nützliche Apps im persönlichen Umfeld, als kollaborative Projektplattformen über Unternehmensgrenzen hinweg oder als kurzfristig verfügbare skalierbare Infrastrukturen im Alltag von Bildung, Wirtschaft und Administration. 

Sie ermöglichen eine einfache, effektive und effiziente Zusammenarbeit, schaffen schnelle und  flexible Lösungen und unterstützen beim mobilen Arbeiten. 

Zahllose Clouddienste sind heute sowohl als sogenannte „Public-Cloud”-Lösungen oder als sogenannte „Private-Cloud” in den unterschiedlichsten Geschäftsmodellen verfügbar.

Eine der wichtigsten Cloudanwendungen heutzutage ist die generative KI. Das meint vor Allem Chatbots wie ChatGPT, Claude, Gemini und andere. Das meint aber auch Anwendungen, die latent auf Dienste von OpenAI, Anthropic und anderen Anbieter zugreifen (z.B. agentische KI).

Dabei darf aber nicht außer Acht gelassen werden, dass „die Cloud” ein abstrakter Begriff ist, letztendlich aber nur bedeutet, dass die darin enthaltenen Daten und Informationen in einem Rechenzentrum irgendwo auf der Welt in der Hand eines Betreibers verarbeitet werden. Die Frage nach Zugriff und Eigentümerschaft ist daher sehr wichtig, wenn es um Cloudanwendungen geht. 

Cloudanwendungen werden in verschiedene Kategorien und Anwendungsfelder eingeteilt, beispielsweise:

Wir unterscheiden zwischen verschiedenen Arten von Cloud-Diensten:

Es gibt noch einige weitere („FaaS“). Diese gelten als zu spezialisiert, um hier aufgeführt zu werden. Für die Beurteilung, ob eine externe Cloud-Speicherung oder -Verarbeitung zulässig ist, sind die verschiedenen Kategorien (SaaS, PaaS, IaaS, ...) nicht entscheidend. Die Datenkategorien bestimmen die Beurteilung, siehe unten.

Daten

Die Frage „darf ich eine Cloudanwendung nutzen oder nicht" greift im Allgemeinen zu kurz. Es muss dabei auch die Art der Daten mitbetrachtet werden, die verarbeitet werden sollen. Es muss also heißen „darf ich diese oder jene Cloudanwendung für diese oder jene Art von Daten benutzen”. Wir unterscheiden grob in vier verschiedene Kategorien:

Risiken und Gegenmaßnahmen

Die Risiken für das ICBM lassen sich grob in drei sich überschneidende Kategorien einteilen:

Vor der Nutzung externer Clouddienste muss der jeweilige Antragsteller in Absprache mit den zuständigen Datenverantwortlichen eine Vorabprüfung durchführen, die eine Kosten-Nutzen-Analyse und eine Risikobewertung umfasst. Diese Prüfung beinhaltet einen Vergleich mit internen Clouddiensten.

Den Nutzern wird empfohlen, Tests externer Clouddienste mit Testdaten durchzuführen.

Externe Clouddienste sollten nur dann in Betracht gezogen werden, wenn eine vom jeweiligen Antragsteller initiierte Vorabprüfung ergibt, dass innerhalb von ICBM/UOL keine geeignete Lösung vorhanden ist oder dass keine solche Lösung implementiert werden kann, die den jeweiligen funktionalen und nicht-funktionalen Anforderungen oder den jeweiligen vertraglichen, rechtlichen, finanziellen oder zeitlichen Vorgaben entspricht. Die Nutzung externer Clouddienste darf nicht gegen gesetzliche und vertragliche Anforderungen, die IT-Rahmenrichtlinie der ICBM/UOL oder die IT-Sicherheitsvorschriften der ICBM/UOL in ihrer jeweils gültigen Fassung verstoßen.

Verschiedene Gegenmaßnahmen sollten getroffen werden, um die o.g. Risiken abzumildern:

WICHTIG: Die Entscheidung über die Nutzung von Clouddiensten muss vom Datenverantwortlichen getroffen werden. Dies bedeutet, dass der Datenverantwortliche auch die entsprechende Verantwortung für deren Nutzung trägt. Die IT des ICBM berät gerne.