Cloud, KI und Open Source: Wie die EU ihre digitale Souveränität sucht

Die EU-Kommission will digitale Souveränität vor allem über industrielle KI-Anwendung erreichen und die Rechenkapazität in der EU bis 2035 verdreifachen. Der Cloud and AI Development Act (CADA) liegt seit dem 3. Juni 2026 als Entwurf vor und muss noch durch Rat und Parlament. Laut netzpolitik.org vom 2. November bleibt bei der souveränen Cloud eine Tür für US-Konzerne offen.

Die Kommission rückt von eigenen Spitzenmodellen ab und setzt auf industrielle KI

Die EU-Kommission verschiebt ihren KI-Schwerpunkt laut netzpolitik.org von eigenen Spitzenmodellen zur industriellen Anwendung. Der Sonderbeauftragte für industrielle KI, Jim Hagemann Snabe, plädierte laut Politico dafür, im Wettbewerb mit den USA und China weniger Energie in eigene Frontier-Modelle zu stecken. Das sind die jeweils leistungsfähigsten KI-Modelle. Snabe ist zugleich Vorstandsvorsitzender von Siemens. Stattdessen soll die EU KI in Wirtschaft und Industrie einsetzen und so die Produktivität steigern.

Ursula von der Leyen bestätigte diese Linie in ihrer Rede zur Lage der Union am 16. September. Europa brauche eigene Rechenkapazitäten, vor allem zum Schutz der nationalen Sicherheit. Zugleich sagte sie: „Wir müssen nicht diejenigen sein, die die Frontier-Technologie entwickeln, um diejenigen zu sein, die den größten Wert daraus ziehen.“ Den Vorteil Europas sieht sie bei Daten in hoher Qualität, aus denen „maßgeschneiderte industrielle KI-Modelle“ werden können. Wie datensouveräne KI-Modelle entstehen, beschreibt ein weiterer Beitrag.

Die KI-Gigafabriken passen zu diesem Kurs nur bedingt. Die Kommission kündigte sie im Februar 2025 an, als sehr große Rechenzentren für Frontier-Modelle. Die Ausschreibung läuft noch. Der Streit um KI-Souveränität reicht bis zu Unternehmen, die KI-Agenten einsetzen.

Für mehr Rechenkapazität soll der CADA den Bau von Rechenzentren vereinfachen, unter anderem durch beschleunigte Genehmigungen und erleichterte Investitionen. Der Entwurf schränkt laut netzpolitik.org nicht ein, wer diese Rechenzentren bauen darf. Die Europäische Piratenpartei warnt in ihrer Stellungnahme, das könne die Marktposition großer US-Unternehmen festigen. Unbequem bleibt, dass ein Paket für mehr Souveränität den Rechenzentrumsbau nicht an europäische Betreiber knüpft.

Die Cloud-Souveränität soll in vier Stufen messbar werden

Der CADA ordnet souveräne Cloud-Dienste laut netzpolitik.org vier Stufen zu. Stufe 1 verlangt ein niedriges Maß an Souveränität, Stufe 4 ein hohes.

Der Anlass ist die Abhängigkeit von US-Konzernen. Laut einer Studie des EU-Parlaments halten die drei Hyperscaler AWS, Microsoft Azure und Google Cloud etwa 70 Prozent des EU-Marktes. Hyperscaler sind Betreiber riesiger Cloud-Plattformen. Der Anteil europäischer Anbieter ist demnach auf 13 Prozent gesunken. Mehr zu dieser digitalen Abhängigkeit steht in einem weiteren Beitrag.

Für Betroffene ist das konkret: Verwaltungen halten Steuer-, Sozial- und Gesundheitsdaten, und sie schieben diese Daten laut netzpolitik.org vom 4. Juni zunehmend in die Cloud. Nach dem CLOUD Act müssen US-Tech-Unternehmen unter bestimmten Voraussetzungen Daten gegenüber US-Behörden offenlegen. Laut einem Gutachten der Universität Köln im Auftrag des Bundesinnenministeriums gilt das auch für Daten in EU-Rechenzentren.

Die Kommission setzt deshalb auf öffentliche Beschaffung. Als sie vor einem Jahr Cloud-Dienste für den eigenen Bedarf ausschrieb, entwickelte sie acht Souveränitätskriterien. Im April beauftragte sie vier Konsortien mit überwiegend europäischen Anbietern. Andere öffentliche Stellen sollen diesem Beispiel folgen.

Die Tabelle zeigt, was die vier Stufen laut Entwurf verlangen und welchen Anteil staatlicher Daten die Kommission jeweils erwartet.

Stufe 1 ist für öffentliche Auftraggeber die Untergrenze, denn sie sollen nur Dienste beschaffen, die mindestens diese Stufe erfüllen. Für Amazon und Google ändert sich dadurch nichts, weil beide Niederlassungen und eigene Rechenzentren in der EU betreiben. Laut einem hochrangigen EU-Beamten gilt das auch für Stufe 2. Die Länder sollen ihre Dienste in einer Risikobewertung einstufen und das Ergebnis nach einem Jahr veröffentlichen. Geprüft wird, welches Risiko bei einem Datenabfluss in Nicht-EU-Staaten oder bei einem Dienstausfall entstünde.

Artikel 18 und die Mitgliedstaaten lassen US-Anbietern eine Tür offen

Artikel 18 des CADA-Entwurfs erlaubt der Kommission, von den Anforderungen der Stufe 3 abzuweichen und Drittstaaten für Cloud-Anbieter anzuerkennen. Darauf weist Dennis-Kenji Kipker, Gründer des Frankfurter Cyberintelligence Institute, gegenüber netzpolitik.org hin. Grundlage wären Angemessenheitsbeschlüsse, also Beschlüsse, die einem Drittstaat ein ausreichendes Schutzniveau bescheinigen. Solche Beschlüsse im Datenschutz zeigten laut netzpolitik.org, dass die Kommission die USA trotz erheblicher Bedenken als vertrauenswürdigen Partner ansieht.

Dieses Bild wurde mit KI generiertProviderhiggsfieldModellgpt_image_2_5 flare high 1k 16:9PromptCinematic photo with dramatic lighting: low-angle view down a dim data center aisle lined with tall black server racks, blinking blue status lights. One locked server cage door on the right stands slightly ajar, a narrow beam of warm amber light spilling out across the polished floor, contrasting with the cold blue ambient glow. Deep shadows, volumetric haze, strong perspective lines converging toward the vanishing point, shallow depth of field, no people, no readable text. No watermark, no signature.

Henna Virkkunen, Vizepräsidentin der Kommission, sagte bei der Pressekonferenz am 3. Juni, US-Anbieter hätten es schwer, Stufe 3 zu erreichen. Ein weiterer Weg führt über Joint Ventures, also Gemeinschaftsunternehmen, wie die Delos Cloud in Deutschland, die auf Microsoft-Produkten aufbaut. Auch einzelne Länder könnten als vertrauenswürdig anerkannt werden.

Die Grünenpolitikerin Alexandra Geese kritisiert die Zuordnung, die die Kommission empfiehlt: Justiz, Polizei und Grenzschutz sollen in Stufe 2 fallen. Wer das akzeptiere, schaffe „institutionalisierte Abhängigkeit“, sagt sie.

Ein Vergabeverbot gibt es nicht. Die Mitgliedstaaten bewerten selbst, was „souveränitäts- und sicherheitskritisch“ ist. Das Ergebnis hängt laut Kipker wesentlich vom „Risiko-Sicherheitskontext“ des jeweiligen Landes ab. Immerhin hätte der CADA nach Inkrafttreten unmittelbare Geltung und Anwendungsvorrang, also Vorrang vor nationalem Recht. Die Kommission könnte Verstöße über ein Vertragsverletzungsverfahren durchsetzen.

Die Frage ist deshalb, wie ernst die Länder ihre Risikobewertung nehmen. Eine Anleitung, wie Behörden von Amazon oder Microsoft zu einem europäischen Anbieter wechseln, enthält der Entwurf laut netzpolitik.org nicht.

Die Open-Source-Strategie findet Zustimmung, doch ihr fehlt Verbindlichkeit

Die Open-Source-Strategie der Kommission, die auf Software mit offenem Quelltext setzt, fand in der Community laut netzpolitik.org insgesamt gute Aufnahme. Der größte Kritikpunkt ist die fehlende Verbindlichkeit.

Thibaut Kleiner, Direktor für „Future Networks“ in der Generaldirektion Connect, sagte bei einer Politico-Veranstaltung in Brüssel im Oktober: „Wenn Europa souverän sein will, bleibt kaum eine andere Wahl, als Open Source zu nutzen, um den Rückstand aufzuholen. Die Kosten für einen Neuanfang sind einfach zu hoch.“ Europa habe bereits ein großes Open-Source-Ökosystem. Es brauche nur mehr Zusammenschluss, um einen Binnenmarkt zu erreichen.

Die Strategie vom 3. Juni 2026 will laut Kommission offene europäische Alternativen zu proprietären Nicht-EU-Lösungen in kritischen Bereichen fördern. Proprietär heißt: Der Quelltext ist geschlossen. Gemeinsam mit den Mitgliedstaaten und dem Konsortium für eine europäische digitale Infrastruktur (EDIC) sollen Alternativen für Cloud, Arbeitsplatzwerkzeuge, sichere E-Mails und dezentrale soziale Medien entstehen. Vorgesehen sind außerdem Beschaffungsleitlinien für offene Standards und ein Open-Source-Wartungsinstrument.

Als Schwächen nennt die Kommission selbst eine begrenzte langfristige Finanzierung. Zudem werde der wirtschaftliche Wert vieler Projekte außerhalb Europas erfasst.

Der entscheidende Hebel liegt laut netzpolitik.org bei den Staaten und ihren Behörden. Im EDIC engagieren sich Deutschland, Frankreich, die Niederlande, Italien und Luxemburg. Ob sich diese Position in den CADA-Verhandlungen zeigt, ist noch nicht absehbar. Die europäischen Digitalminister erwähnten Open Source im Juni immerhin in einer ersten Aussprache. Auch ein Bericht des EU-Parlaments zur digitalen Souveränität, der vor einem Jahr erschien, nennt das Thema.

Beschlossen ist noch nichts: Verhandlungen und Gatekeeper-Entscheidung stehen aus

Beschlossen ist am CADA bislang nichts, denn die Mitgliedstaaten im Rat und das Parlament arbeiten laut netzpolitik.org noch an ihren Positionen. Das Stufensystem dürfte in den Verhandlungen ohnehin verändert werden. Dabei spielt eine Rolle, wie bereit Regierungen sind, US-Präsident Donald Trump zu verärgern, falls US-Konzerne ausgeschlossen werden. Viele bezweifeln deshalb, dass die Klassifizierung dem europäischen Cloud-Markt den gewünschten Mehrwert bringt. Auch der Chips Act 2.0 muss erst noch von Parlament und Rat verhandelt werden.

Parallel geht die Kommission einen anderen Weg. Brüssel wird AWS und Azure im November voraussichtlich als Gatekeeper nach dem Digital Markets Act (DMA) einstufen. Gatekeeper sind Plattformbetreiber mit besonderer Marktmacht, für die strengere Pflichten gelten. Das Verfahren startete vor einem Jahr. Vor dem Sommer kam die Kommission zum vorläufigen Ergebnis, dass beide die Voraussetzungen erfüllen könnten. Ob sich der Cloud-Markt mit dem DMA wirksam regulieren lässt, ist fraglich. Die europäische Cloud-Branche erwartet die Entscheidung dennoch gespannt und erhofft sich fairere Bedingungen für europäische Anbieter.

Als Nächstes steht diese Gatekeeper-Entscheidung an, voraussichtlich noch im November. Offen bleibt, ob Rat und Parlament die Stufen verschärfen oder aufweichen. Wenn Sie Cloud-Dienste für Verwaltungen anbieten oder einkaufen, sind Artikel 18 und die Stufenzuordnung der Behörden die Punkte, die Sie beobachten sollten.