Digitale Souveränität der EU: Was das KI-Gesetz, die DSGVO und das Datenschutzgesetz für Unternehmen bedeuten

Die digitale Souveränität der EU gewinnt für europaweit tätige Unternehmen zunehmend an Bedeutung. In dem Maße, wie Unternehmen den Einsatz von KI- und Cloud-Technologien ausweiten, lassen sich Fragen hinsichtlich der Datenkontrolle, der Abhängigkeiten von der Infrastruktur und der Einhaltung gesetzlicher Vorschriften immer schwerer voneinander trennen.

Das EU-KI-Gesetz, die DSGVO und das Datenschutzgesetz prägen die Art und Weise, wie Organisationen diese Herausforderungen angehen. Gemeinsam beeinflussen sie, wie Unternehmen KI-Systeme steuern, sensible Daten schützen, Cloud-Abhängigkeiten verwalten und die Kontrolle über ihre digitale Infrastruktur behalten.

Für regulierte Unternehmen ist das Verständnis dieser Anforderungen nur ein Teil der Herausforderung. Die größere Frage ist, wie diese Anforderungen in konkrete architektonische und betriebliche Entscheidungen umgesetzt werden können.

Seit Monaten bereiten sich regulierte Unternehmen auf den Meilenstein der Einhaltung des EU-KI-Gesetzes im August 2026 vor. Da neue regulatorische Entwicklungen den Zeitplan für die Umsetzung neu gestalten, stehen Unternehmen nun vor einer anderen Herausforderung: Sie müssen verstehen, was sich geändert hat, welche Verpflichtungen weiterhin gelten und wie sie vorankommen können, ohne die KI-Innovation zu bremsen.

Im November 2025 legte die Europäische Kommission ihren „Digital Omnibus“-Vorschlag vor, der darauf abzielt, Teile des digitalen Rechtsrahmens der EU zu vereinfachen, darunter das KI-Gesetz und die DSGVO. Nach der Verabschiedung des „KI-Omnibus“ im Juli 2026 gelten für bestimmte Anforderungen des KI-Gesetzes nun geänderte Fristen für die Einhaltung der Vorschriften, wodurch Organisationen mehr Zeit für die Vorbereitung erhalten.

Die zusätzliche Vorbereitungszeit sollte jedoch nicht als Grund dafür missverstanden werden, Initiativen zur KI-Governance oder zur digitalen Souveränität aufzuschieben.

Hier erfahren Unternehmen, was sie über die sich wandelnde Regulierungslandschaft und deren Auswirkungen auf die digitale Souveränität der EU wissen müssen.

Die „Aufschub“-Falle

Die wichtigste Neuerung des AI Omnibus ist der überarbeitete Zeitplan für die Einhaltung der Vorschriften. Während die meisten Bestimmungen des AI Act im August 2026 in Kraft treten, wurden bestimmte Anforderungen für KI-Systeme mit hohem Risiko auf Dezember 2027 bzw. August 2028 verschoben.

Hier sind die wichtigsten Fristen, die Unternehmen beachten sollten:

Auch wenn viele Unternehmen vielleicht der Meinung sind, dass dies lediglich ein positives Zeichen ist und der perfekte Zeitpunkt, um innezuhalten und ihre Governance-Maßnahmen neu zu bewerten, wird sich dies letztendlich als Fehler erweisen.

Verbote bestimmter KI-Praktiken gelten bereits seit Februar 2025. Jede zusätzliche Vorbereitungszeit für andere Verpflichtungen sollte dazu genutzt werden, die KI-Governance und die betrieblichen Kontrollmechanismen zu stärken. Wie im Whitepaper „AI Sovereign“ von Xebia dargelegt wird , sind die wertvollsten Anwendungsfälle aufgrund von Risiken „im Eis eingefroren“. Nutzen Sie diese Zeit, um die Kontrollarchitektur aufzubauen, und konzentrieren Sie sich nicht lediglich auf den Papierkram.

DSGVO, KI-Voreingenommenheit und Datenhoheit

In der Vergangenheit stellte die Verwendung sensibler Daten (ethnische Zugehörigkeit, Gesundheitszustand, politische Meinungen) zur Überprüfung von Verzerrungen durch künstliche Intelligenz ein enormes rechtliches Risiko dar und war mit einer Reihe von kaum bekannten Gesetzeslücken verbunden. Das „Digital Omnibus“-Gesetz behebt dieses Problem auf eine Weise, die die Möglichkeiten grundlegend verändert.

Die neuen Vorschriften (insbesondere Artikel 4a des KI-Gesetzes) gestatten Anbietern und Betreibern die Verarbeitung von Daten besonderer Kategorien ausschließlich zum Zweck der Erkennung und Korrektur von Verzerrungen. Das bedeutet, dass Ihr Unternehmen nun Modelle anhand eigener Daten feinabstimmen darf, um sicherzustellen, dass diese Ihren ethischen Standards entsprechen, ohne dabei automatisch gegen Artikel 9 der DSGVO zu verstoßen. Sie können aktiv nach Diskriminierung in Ihren Einstellungsalgorithmen suchen, ohne die Einwilligung jeder betroffenen Person einholen zu müssen.

Einige internationale Anwaltskanzleien (wie beispielsweise Osborne Clarke) haben darauf hingewiesen, dass dieser neue Genehmigungsgrund nicht nur für KI-Systeme mit hohem Risiko gilt, sondern auch für alle KI-Systeme und -Modelle, die dem KI-Gesetz unterliegen. Die Bedingungen verlangen von den für die Verarbeitung Verantwortlichen, nachzuweisen, dass die Erhebung sensibler Daten nicht vermieden werden konnte und dass Maßnahmen getroffen wurden, um verbleibende sensible Daten vor einer Offenlegung zu schützen.

Doch all diese rechtliche Flexibilität ist ohne die richtige Architektur nutzlos. Sie können keine sensiblen biometrischen Daten an eine öffentliche LLM-API übermitteln, um diese auf Voreingenommenheit zu überprüfen. Dies führt zu einem Compliance-Albtraum in Form einer „Black Box“. Sie benötigen eine „Sovereign AI“-Plattform, bei der die Daten innerhalb Ihrer rechtlichen Zuständigkeit verbleiben und auf einer von Ihnen kontrollierten Infrastruktur ausgeführt werden. Hier kommt der Ansatz von Xebia ins Spiel, der NVIDIA NIM für sichere Inferenz mit Open-Source-Modellen wie Llama 3 oder Mistral kombiniert – und damit unverzichtbar wird.

Das schnelle Ende von „Cloud-First“

Der „Digital Omnibus“ verändert nicht nur die Vorschriften zur künstlichen Intelligenz. In Verbindung mit dem EU-Datenschutzgesetz, das im September 2025 vollständig in Kraft getreten ist, werden diese neuen Gesetze die wirtschaftlichen Rahmenbedingungen der Cloud-Bindung grundlegend neu gestalten.

Der „Data Act“ führt drei spezifische Mechanismen ein, die das bisherige Cloud-Modell aufbrechen:

1. Abschaffung von Wechselgebühren (Kapitel VI)
Bis zum 12. Januar 2027 müssen Cloud-Anbieter gemäß dem EU-Datenschutzgesetz Wechselgebühren, einschließlich der Gebühren für den Datenausgang, abschaffen. Dies kann die finanziellen Hürden beim Anbieterwechsel verringern, wenngleich Unternehmen weiterhin die Komplexität der Migration, technische Abhängigkeiten und die Implementierungskosten berücksichtigen müssen.

2. Verbot missbräuchlicher Vertragsklauseln (Kapitel IV)
Das Datengesetz führt Schutzmaßnahmen gegen bestimmte missbräuchliche Vertragsklauseln in Vereinbarungen über den Datenaustausch zwischen Unternehmen ein. Das Recht auf Anbieterwechsel in der Cloud sowie die damit verbundenen vertraglichen Verpflichtungen werden gesondert in Kapitel VI behandelt, wodurch Unternehmen dabei unterstützt werden, vertragliche und technische Hindernisse beim Anbieterwechsel zu überwinden.

3. Schutzmaßnahmen beim Zugriff aus Drittstaaten (Kapitel VII)
Anbieter müssen in der EU gespeicherte nicht personenbezogene Daten vor unrechtmäßigen Anordnungen von Regierungen aus Drittstaaten schützen. Wenn eine Anfrage von außerhalb der EU eingeht (beispielsweise im Rahmen des US-amerikanischen CLOUD Act), muss der Adressat prüfen, ob diese im Widerspruch zum EU-Recht steht, und sie gegebenenfalls anfechten.

Und der transatlantische Boden, auf dem dieses Risiko ruht, verschiebt sich bereits. Die meisten Unternehmen übertragen Daten nach wie vor im Rahmen des EU-US-Datenschutzrahmens über den Atlantik, doch dessen beiden Vorgänger, „Safe Harbor“ und „Privacy Shield“, wurden jeweils vom obersten europäischen Gericht für ungültig erklärt. Eine dritte Klage, weithin als „Schrems III“ bezeichnet, nimmt nun Gestalt an: Nach der Entscheidung des Obersten Gerichtshofs der USA vom Juni 2026, durch die die Unabhängigkeit der FTC geschwächt wurde, wandte sich die Datenschutzorganisation noyb schriftlich an die Europäische Kommission und kündigte eine neue Klage gegen das Rahmenabkommen an. Es wurde noch nicht für ungültig erklärt, und ein Urteil des Gerichts aus dem Jahr 2025 (Latombe) hat es vorerst bestätigt. Es ist jedoch keine Strategie, Ihre Architektur auf einen Datenübermittlungsmechanismus zu stützen, der bereits zweimal gescheitert ist und nun vor einer dritten Bewährungsprobe steht. Hier wird Souveränität zur Absicherung: Wenn Ihre sensibelsten Daten die EU niemals verlassen müssen, kann keine Angemessenheitsentscheidung sie blockieren.

Wenn sich Ihre Steuerungsebene – also das System, das Ihre Identitätsverwaltung, Abrechnung und Orchestrierung verwaltet – bei einem externen Anbieter befindet, haben Sie keine echte Kontrolle über Ihre Daten, selbst wenn die Daten lokal gespeichert sind. Echte Souveränität erfordert architektonische Kontrolle: die Möglichkeit, Ihren gesamten KI-Stack in Ihrer eigenen Umgebung zu betreiben, ohne dass Verbindungen zu externen Diensten erforderlich sind.

Mit dem Omnibus-Gesetz sollen nicht nur die KI-Vorschriften neu gefasst, sondern auch die Trends zur Datenlokalisierung verstärkt werden. Die EU verschärft die Auflagen für Cloud-Dienste außerhalb der EU. Das Datengesetz enthält nun strengere Schutzmaßnahmen, um zu verhindern, dass Regierungen von Drittstaaten (z. B. der USA oder Chinas) ohne strenge internationale Abkommen auf EU-Daten zugreifen können.

Diese Entwicklungen werfen die allgemeine Frage auf, wer die digitale Zukunft Europas bestimmt. Nehmen Sie an der Diskussion in unserem Webinar „Sovereignty by Design“ teil.

Angesichts dieser Komplexität könnte man leicht in folgende zwei Fallstricke tappen:

Bei „Sovereign AI“ geht es nicht nur darum, Modelle auf Ihrer eigenen Infrastruktur auszuführen. Es erfordert eine produktionsreife Plattform, die Datengrundlagen, skalierbare Infrastruktur, Modellorchestrierung und Unternehmens-Governance vereint. Es handelt sich um eine Plattform und ein Betriebsmodell, das den Einsatz von KI in großem Maßstab ermöglicht und gleichzeitig die Kontrolle über Daten und Modelle innerhalb der jeweiligen Rechtsordnung gewährleistet.

Was die digitale Souveränität der EU in der Praxis erfordert

Für in der EU tätige Unternehmen bedeutet digitale Souveränität mehr als nur die Einhaltung von Compliance-Richtlinien. Unternehmen benötigen zudem die technischen Fähigkeiten, um die Funktionsweise von Daten und KI-Systemen zu steuern, Workloads zwischen verschiedenen Umgebungen zu verschieben und nachzuweisen, dass die Governance-Anforderungen erfüllt werden.

Um einen tieferen Einblick in die Aspekte der Infrastruktur und der Unternehmensführung zu erhalten, laden Sie bitte unser Whitepaper „Sovereign AI für regulierte Unternehmen“ herunter.

Aufbau einer souveränen KI-Infrastruktur mit Xebia und NVIDIA

Als strategischer Partner von NVIDIA nutzt Xebia den gesamten NVIDIA AI Enterprise-Software-Stack, um diese Souveränität zu gewährleisten, ohne dabei Abstriche bei der Leistung zu machen.

Von den Anforderungen der EU an die digitale Souveränität zum Handeln

Die Vereinfachung der regulatorischen Rahmenbedingungen klingt großartig, führt jedoch zu einem Paradoxon. Sollte das rechtliche Risiko beim Einsatz von KI geringfügig sinken, wird die Nachfrage seitens der Unternehmen sprunghaft ansteigen. Ihre internen Kunden werden mehr Automatisierung, Datenzugriff und Agenten fordern. Wenn Ihre Infrastruktur nicht souverän ist, werden Sie in dem Moment, in dem Sie versuchen, von einem Zusammenfassungsbot (geringes Risiko) zu einem autonomen Vertragsagenten (hohes Risiko) überzugehen, an die „Risikoklippe “stoßen.

Für regulierte Unternehmen sollte es vorrangig darum gehen, ihre bestehenden Abhängigkeiten zu erfassen, festzustellen, wo ein stärkerer Kontrollbedarf besteht, und eine Architektur zu entwickeln, die sowohl die Einhaltung gesetzlicher Vorschriften als auch die Einführung von KI unterstützt.

Als Einführungspartner der AWS European Sovereign Cloud und Experte für NVIDIA-KI-Infrastruktur unterstützt Xebia Unternehmen dabei, diese Herausforderungen zu bewältigen und souveräne KI-Umgebungen aufzubauen, die ihren geschäftlichen und regulatorischen Anforderungen gerecht werden.