Souveränität vor KI, und das ist die Nachricht
Wenn eine Branchenvereinigung ihre Mitglieder nach den Trends des kommenden Jahres fragt, steht seit drei Jahren immer dasselbe oben. 2026 nicht. 45 Prozent der EuroCloud-Mitglieder setzen digitale Souveränität auf Platz eins, vor künstliche Intelligenz.
Das ist deshalb bemerkenswert, weil es sich nicht um zwei konkurrierende Themen handelt. Souveränität ist kein Gegenentwurf zur KI, sie ist die Frage, unter welchen Bedingungen KI eingesetzt wird. Dass diese Frage die Technologie selbst überholt, heißt: Der Einsatz ist entschieden, verhandelt wird nur noch das Wo und das Wer.
Die begleitenden Zahlen passen dazu. 85 Prozent der deutschen Unternehmen halten Deutschland für zu abhängig von US-Cloud-Anbietern, nach 78 Prozent im Vorjahr. 53 Prozent der befragten deutschen KMU äußern tiefes Misstrauen gegenüber außereuropäischen Anbietern von KI-Werkzeugen. Und 37 Prozent würden einen Dienst nutzen, der Daten ausschließlich in Deutschland verarbeitet, selbst wenn er weniger kann.
Dieser letzte Wert ist der interessanteste. Er beschreibt eine Bereitschaft, die es in der IT selten gibt: freiwillig auf Leistung zu verzichten, um Kontrolle zu behalten. Vor zwei Jahren hätte diese Frage deutlich andere Antworten bekommen.
Souveränität heißt im Büro: Sie können die Frage beantworten
Wenn ein öffentlicher Auftraggeber fragt, wo die Unterlagen zu seinem Projekt verarbeitet werden, ist das keine philosophische Frage. Sie steht in der Vergabeunterlage, und eine ausweichende Antwort kostet Punkte.
Für Büros mit hohem Anteil an Land, Kommune und Bund ist das der praktische Kern der ganzen Debatte: Ein Modell im eigenen Haus beantwortet die Frage nach dem Verarbeitungsweg abschließend. Alles andere braucht einen Auftragsverarbeitungsvertrag, den jemand gelesen haben muss.
Vom Gefühl zur Anforderung
Was sich zwischen 2024 und heute verändert hat, lässt sich in einem Satz sagen: Souveränität ist aus dem Bauchgefühl in den Vertrag gewandert.
Zwei Regelwerke sind dafür verantwortlich. Das NIS2-Umsetzungsgesetz verlangt von deutlich mehr Unternehmen als zuvor nachweisbare Sicherheitsmaßnahmen, ausdrücklich auch entlang der Lieferkette. Wer selbst betroffen ist, gibt diese Anforderungen an seine Zulieferer weiter, und zwar schriftlich. Der EU Data Act regelt parallel dazu Zugang zu Daten, Portabilität und den Wechsel zwischen Anbietern, also genau die Fragen, die eine Abhängigkeit erst schmerzhaft machen.
In der Praxis sieht das so aus: Ein planender Zulieferer bekommt von seinem größten Kunden einen Fragebogen. Darin steht, welche Dienste er einsetzt, wo Daten verarbeitet werden, welche Unterauftragsverarbeiter beteiligt sind, wie lange gespeichert wird. Bis vor Kurzem war das eine Formalie, die der IT-Dienstleister nebenbei ausfüllte. Inzwischen ist es eine Bedingung für den Rahmenvertrag.
Genau an dieser Stelle wird aus einem Wert eine Anforderung. Eine Haltung kann man erklären. Einen Fragebogen muss man beantworten.
Der zweite Teil der Gleichung
Die Anforderung allein hätte wenig geändert. Souveränität war auch 2024 ein Wunsch, nur fehlte die Alternative. Die verfügbaren offenen Modelle waren spürbar schwächer, und wer sie einsetzte, merkte es an jeder zweiten Antwort.
Das gilt nicht mehr. Die führenden offenen Modellfamilien reichen bei vielen Aufgaben an die Cloud-Dienste heran, und zwar genau bei den Aufgaben, die in Planungsbüros tatsächlich anfallen: eine Auskunft aus dem eigenen Handbuch, eine Zusammenfassung einer Vertragsakte, ein Entwurf für eine Antwort, das Wiederfinden einer Regelung von vor vier Jahren. Für diese Arbeit ist der Unterschied zu einem Spitzenmodell aus der Cloud in der täglichen Nutzung kaum noch spürbar.
Wichtig für das Verständnis: Die entscheidende Verbesserung kam nicht allein aus größeren Modellen. Sie kam aus einer Bauweise, bei der von sehr vielen Parametern insgesamt nur ein Bruchteil je Anfrage aktiv ist. Dadurch laufen Modelle, die vor zwei Jahren ein Rechenzentrum gebraucht hätten, heute auf einer überschaubaren Maschine im eigenen Haus.
Erst diese Gleichzeitigkeit erklärt den Umschwung. Eine Anforderung ohne brauchbare Alternative erzeugt nur Frust. Eine brauchbare Alternative ohne Anforderung erzeugt nur Bastelprojekte. Beides zusammen erzeugt Entscheidungen.
Wo lokal schlechter ist, und das gehört dazu
Wir schreiben das seit Jahren in jedes Erstgespräch, und es gehört auch in einen Beitrag, der für lokale Systeme argumentiert.
Erstens: An der Spitze führen die Cloud-Modelle weiter. Bei sehr schwierigen Aufgaben, bei langen Gedankenketten über viele Schritte, bei anspruchsvoller Programmierung und bei Aufgaben, die Wissen aus sehr vielen Gebieten verbinden, sind die stärksten Dienste besser. Wer solche Aufgaben regelmäßig hat, sollte das nicht ignorieren. Für die meisten Betriebe ist diese Klasse von Aufgaben allerdings die Ausnahme, nicht der Alltag.
Zweitens: Betrieb kostet Aufmerksamkeit. Ein System im eigenen Haus aktualisiert sich nicht von selbst. Jemand muss neue Modellversionen einspielen, Sicherungen prüfen, Zugriffsrechte nachziehen, wenn Leute kommen und gehen, und bemerken, wenn Antworten schlechter werden, weil die Ablage weitergewachsen ist. Diese Person muss es geben, und sie braucht die Zeit dafür im Kalender. Wird diese Rolle nicht besetzt, steht nach einem Jahr ein veraltetes System im Serverraum, das niemand mehr benutzt.
Der zweite Punkt trifft direkt auf eine andere Zahl aus der Erhebung: 77 Prozent der Unternehmen klagen über Mangel an KI-Fachkräften. Souveränität verlangt also ausgerechnet die Ressource, die am knappsten ist. Wer diesen Widerspruch nicht auflöst, kauft sich mit der Unabhängigkeit vom Anbieter eine Abhängigkeit von einer einzelnen Person ein. Das ist kein Fortschritt.
Die Abstufung, die kaum jemand nennt
In der öffentlichen Diskussion klingt es oft nach zwei Möglichkeiten: amerikanische Cloud oder eigener Server. Praktisch gibt es mindestens drei Stufen, und sie unterscheiden sich in Aufwand erheblich.
- Verarbeitung unter deutschem Recht. Der Dienst läuft in einem deutschen Rechenzentrum, mit Vertrag zur Auftragsverarbeitung und klar benannten Unterauftragsverarbeitern. Geringster Aufwand, deckt viele Fragebögen bereits ab.
- Europäischer Anbieter. Betreiber und Rechtsrahmen liegen in Europa. Höhere Unabhängigkeit, weiterhin kein eigener Betrieb.
- Eigene Hardware. Die Daten verlassen Ihr Haus nicht. Höchste Kontrolle, höchster Betreuungsaufwand, sinnvoll vor allem dort, wo besonders schützenswerte Unterlagen im Spiel sind.
Für viele Betriebe ist die erste oder zweite Stufe der vernünftige Einstieg, mit einer Architektur, die den Wechsel auf die dritte offen hält. Wichtig ist weniger, welche Stufe Sie wählen, als dass die Wahl bewusst getroffen und aufgeschrieben ist. Genau danach fragt der Fragebogen.
Was wir daraus für unsere Arbeit ableiten
Wir setzen Systeme so um, dass die Verarbeitungsebene austauschbar bleibt. Die Arbeit steckt in der Suche über Ihre Dokumente, in der Anbindung an Ihre bestehenden Programme und in den Regeln, wer was sehen darf. Wo das Modell rechnet, ist eine Einstellung und keine Grundsatzentscheidung.
Das ist kein Bekenntnis, sondern eine Vorsichtsmaßnahme. Was heute rechtlich unbedenklich ist, kann in zwei Jahren anders bewertet werden. Was heute technisch führt, ist in sechs Monaten Mittelfeld. Wer sich an einen Anbieter bindet, muss beide Risiken tragen. Wer die Ebene austauschbar hält, trägt keines von beiden.
Und die praktische Empfehlung bleibt dieselbe wie immer: Fangen Sie nicht bei der Frage an, wo das Modell läuft. Fangen Sie bei der Frage an, welche Unterlagen bei Ihnen überhaupt gesucht werden müssen und wer sie sehen darf. Diese Antwort brauchen Sie in jeder der drei Stufen, und sie ist der Teil, an dem die meiste Arbeit hängt.
Stand: September 2026. Die Zahlen stammen aus der Bitkom-Umfrage zu KI und digitaler Souveränität. Die Einordnung dazwischen ist unsere eigene.