Ich habe die erste Frage im Raum gestellt, und rückblickend war es die falsche.
Der Rahmen war eine Workshop-Runde zu rechtlichen Rahmenbedingungen, die Abschluss-Session von KI für kleine Unternehmen: Praxis trifft auf Innovation bei der IHK für München und Oberbayern am 27. Juli, gemeinsam mit dem KI Bundesverband (Programm und Folien). Meine Frage war die, die jedes deutsche Unternehmen stellt: Ich verstehe, dass wir Modelle in Frankfurt hosten können, aber wenn ich dort etwas hochlade, steckt es trotzdem im Modell, telefoniert das nach Hause, und was heißt das für Finanz- oder Kundendaten?
Die nächste Stunde arbeiteten sich rund fünfzehn Leute an dieser Frage ab. Rechenzentrumsstandorte. Microsoft-Tenants und ob man einen deutschen bekommt. Verantwortlicher und Auftragsverarbeiter nach DSGVO. Open Weights. Ob man eigene Hardware kauft. Es war das substanziellste Gespräch des Tages.
Und es ging fast ausschließlich darum, wo die Bytes liegen.
Sechs Wochen zuvor hatte das, was tatsächlich kaputtging, nichts damit zu tun, wo die Bytes lagen.
Die vier Fragen, um die die Abschluss-Session gebaut war. Bei der vierten habe ich die Stunde verbracht.
Was am 12. Juni wirklich passiert ist
Am Freitag, den 12. Juni 2026, erließ das US-Handelsministerium eine Exportkontroll-Anordnung für Anthropics zwei leistungsfähigste Modelle, Fable 5 und Mythos 5, drei Tage nach deren Start. Die Anordnung knüpfte an die Staatsangehörigkeit der Nutzer, nicht an den Standort der Daten. Sie untersagte den Zugang für alle ausländischen Staatsangehörigen, innerhalb wie außerhalb der USA, einschließlich Anthropics eigener im Ausland geborener Mitarbeitender (Al Jazeera, 13. Juni 2026).
Dann kommt der Teil, der alles entscheidet, und es ist genau der Teil, der in der Workshop-Runde nie vorkam. Anthropic konnte Nutzer nicht in Echtzeit nach Staatsangehörigkeit filtern, quer über einen geteilten Cloud-Dienst. Also schaltete das Unternehmen beide Modelle für sämtliche Kunden weltweit ab. Ich habe das am Tag danach aufgeschrieben, mit dem Argument, dass Modellzugang gerade zu einer zu steuernden Lieferkette geworden ist und nicht mehr ein Hahn ist, den man aufdreht (Frontier AI Just Joined the Export-Control Regime). Am 1. Juli wurden die Kontrollen aufgehoben (Al Jazeera, 1. Juli 2026). Der Zugang kehrte allerdings nicht einfach so zurück, wie er vorher war. Die Modelle kamen mit gestuftem Zugang und einem staatlich vorgeschriebenen Safety-Classifier zurück, was ich damals im Detail durchgegangen bin (Fable Is Back. The Advisor Pairing Works Until It Doesn't.). Das ist die Hälfte des Zugangsentzugs, die niemand einpreist. Der Ausfall endet. Die Bedingungen danach sind nicht die Bedingungen von vorher.
Halten wir kurz die Form fest. Ein deutsches Unternehmen mit tadellosem europäischem Setup, Daten in Frankfurt, unterzeichneter Auftragsverarbeitung, abgeschlossenem Transfer Impact Assessment, ausschließlich mit deutschen Staatsangehörigen besetzt, war trotzdem abgeschnitten. Das ist kein Gedankenexperiment darüber, wie die Regel gegriffen hätte. Es ist, was passiert ist, weil der Schalter auf Ebene des Dienstes umgelegt wurde und nicht auf Ebene des einzelnen Nutzers. Jeder Euro für Datenresidenz kaufte genau null Schutz, weil Residenz gegen eine Bedrohung verteidigt, die nicht die eingetretene war.
Ich sollte ein Interesse offenlegen: Ich arbeite eng mit Anthropics Werkzeugen und bin gegenüber diesem Unternehmen nicht neutral. Genau deshalb gehört die Episode berichtet und nicht umgangen. Sie ist der deutlichste verfügbare Beleg dafür, dass die Souveränitätsdebatte in diesem Raum die falsche Achse optimierte.
Zwei Bedrohungen, und der Raum bepreiste nur eine
Digitale Souveränität wird meist als ein Thema diskutiert. Es sind zwei, und sie haben fast nichts miteinander zu tun.
Datenabfluss. Ihre Daten landen dort, wo Sie es nicht wollten, oder dort, wo eine ausländische Behörde herankommt. Das ist das DSGVO-Gespräch, das CLOUD-Act-Gespräch, das, welches alle zu führen wissen. Es ist real: Ein US-Mutterkonzern kann verpflichtet werden, Daten herauszugeben, die seine europäische Tochter hält, und die europäische Gesellschaft ist keine wasserdichte Wand. Sieben Jahre nach Inkrafttreten beider Gesetze existiert weiterhin kein Verfahren, das CLOUD Act und DSGVO miteinander versöhnt.
Zugangsentzug. Das Modell steht Ihnen nicht mehr zur Verfügung, aufgrund der Entscheidung eines anderen, in einer Geschwindigkeit, die Sie nicht einplanen können. Exportkontrollen, Sanktionen, eine Preisänderung, eine Richtlinienänderung, ein Anbieter, dem Ihr Anwendungsfall nicht mehr passt, eine Übernahme.
Datenresidenz adressiert das Erste und leistet für das Zweite überhaupt nichts. Das Zweite ist das, was dieses Jahr in Europa tatsächlich Produktivsysteme lahmgelegt hat.
Ich will bei meinem eigenen Anteil daran genau sein, weil das das nützlichere Eingeständnis ist. Ich hatte dieses Argument sechs Wochen vor diesem Raum schriftlich vertreten. Und dann eröffnete ich die Session mit der Frage, wo die Daten liegen. Die Unterscheidung zu kennen und im Druck einer offenen Fragerunde tatsächlich danach zu greifen, sind zwei verschiedene Dinge, was ungefähr der Grund ist, so etwas überhaupt aufzuschreiben.
Wenn Ihre KI ein Chatbot ist, der beim Formulieren von E-Mails hilft, ist Entzug eine Unannehmlichkeit. Wenn Sie das getan haben, was die Praktiker auf der Bühne den ganzen Nachmittag empfohlen haben, und KI in den Fluss echter Arbeit gezogen haben, sodass Support-Tickets und Auftragseingang jetzt darüber laufen, ist Entzug ein Ausfall in einem Geschäftsprozess. Je besser Ihre Einführung, desto schlimmer Ihre Exposition.
Die fünf Optionen, gegen beide Bedrohungen bewertet
Hier die Tabelle, die ich mir am Flipchart gewünscht hätte.
| Betriebsmodell | Schutz gegen Datenabfluss | Schutz gegen Zugangsentzug | Wann es die richtige Wahl ist |
|---|---|---|---|
| Frontier-Modell, US-Anbieter, direkt | Schwach | Keiner | Unkritische Daten, unterbrechbare Arbeit, Tempo vor Kontinuität |
| Frontier-Modell, EU-Vertrag und EU-Datengrenze | Gut | Keiner | Es besteht eine echte DSGVO-Pflicht. Beachten Sie, was Sie nicht mitkaufen |
| Open-Weight-Modell bei deutschem oder EU-Hoster | Gut | Gut | Der Standard für die meisten Mittelstands-Workloads |
| Open-Weight-Modell auf eigener Hardware | Am stärksten | Am stärksten | Echte Betriebsgeheimnisse oder vorhandene Ops-Kompetenz |
| Maskierungsschicht vor einer der Optionen | Teilweise, rund neun von zehn Fällen | Keiner | Ergänzung zu einer Zeile oben, nie eine eigene Zeile |
Die interessante Zelle ist Zeile zwei. Das ist die teure, aufwendige, beschaffungsintensive Option, auf die die meisten deutschen Unternehmen gerade hinarbeiten, und sie verteidigt gegen die Bedrohung, die nicht eintrat, während sie gegenüber der, die eintrat, vollständig offen lässt.
Das ist kein Argument gegen EU-Datenresidenz. Wer personenbezogene Daten verarbeitet, hat Pflichten, und die sind nicht optional. Es ist ein Argument dagegen, Residenz für dasselbe wie Souveränität zu halten. Sie ist eines von zwei Schlössern, und der Raum verbrachte eine Stunde damit.
Open Weights sind das Portabilitäts-Asset
Das ist der Teil, den ich einem Beirat vorlegen würde.
"Open Weights" heißt, dass die Parameter des Modells veröffentlicht sind und Sie sie herunterladen können. Das ist nicht dasselbe wie Open Source: Trainingsdaten bekommen Sie üblicherweise nicht, und beliebige Nutzungsrechte auch nicht. Was Sie bekommen, ist eine Datei, und die Datei gehört Ihnen, sobald Sie sie haben.
Genau diese eine Eigenschaft schützt gegen Entzug. Niemand kann in Ihr Rechenzentrum greifen und ein Modell zurückziehen, das Sie bereits halten. Eine gehostete API kann von einer Regierung, einem Anbieter oder einem Gericht abgeschaltet werden. Gewichte auf der Platte nicht.
Was Sie aufgeben, ist real und sollte nicht beschönigt werden. Die stärksten Open-Weight-Modelle liegen hinter den besten proprietären, und der Abstand verschiebt sich alle paar Monate. Sie übernehmen Evaluierungsarbeit, denn zwischen einem Dutzend offener Releases zu wählen, ist eine Aufgabe, die jemand erledigen muss. Sie übernehmen den Upgrade-Zyklus selbst. Und Sie verlieren das Produkt drumherum: die Sicherheitswerkzeuge, das agentische Gerüst und die Integrationen, die die kommerziellen Angebote ab Werk produktiv machen.
Was Sie gewinnen, neben Entzugsresistenz, ist Preis. Der Abstand zwischen einem Spitzenmodell und einem soliden kleinen wurde in diesem Raum auf grob den Faktor dreißig je Million Tokens beziffert, was das praktische Argument dafür ist, einen Prozess so gut zu strukturieren, dass ein kleineres Modell ihn erledigen kann, statt alles ans größte verfügbare Modell zu leiten.
Die ehrliche Empfehlung lautet nicht "geht offen". Sie lautet: Wissen Sie, welche Ihrer Workloads das Geschäft tatsächlich anhalten würden, wenn der Zugang an einem Freitagnachmittag verschwindet, und sorgen Sie dafür, dass genau diese auf etwas laufen, das Sie halten.
Mistral, genau, weil der Raum übers Ziel hinausschoss
Mistral kam zur Sprache, und die Behauptung lautete, da Mistral mit Microsoft arbeite, sei es nicht mehr als europäisch anzunehmen. Das ist zu stark, und die Zeitgleichheit machte es brisant: Microsoft und Mistral verkündeten am 21. Juli 2026 eine erweiterte Partnerschaft, sechs Tage vor der Veranstaltung.
Was die Ankündigung tatsächlich enthält, ist für die Unterscheidung wichtig, um die es mir geht. Sie umfasst eine milliardenschwere europäische Infrastruktur-Zusage und drei Betriebsmodi: cloud-gehostet auf Azure, cloud-verbunden über Azure Local und vollständig getrennt über Azure Local für sensible Umgebungen. Mistral Medium 3.5 wird als Open-Weight-Modell beschrieben, das in eine verwaltete Azure-Umgebung gebracht wird (Microsoft, 21. Juli 2026).
Die zutreffende Fassung lautet also nicht "Mistral ist nicht mehr europäisch". Sie lautet, dass dasselbe Modell jetzt zwei völlig verschiedene Expositionsprofile hat, je nachdem, wie Sie es beziehen. Nehmen Sie es als verwalteten Dienst auf von Microsoft betriebener Infrastruktur, erben Sie die Jurisdiktion des Mutterkonzerns, was auch immer die Rechenzentrumsadresse sagt. Nehmen Sie die offenen Gewichte und betreiben sie bei einem europäischen Hoster oder vollständig getrennt, dann nicht.
Das ist die These dieses Textes am konkreten Fall. Der Anbieter ist nicht die Variable. Das Bezugsmodell ist es.
Eigene Hardware, die Option, die ich eingebracht habe und bei der ich trotzdem zögere
Ich habe das im Raum angesprochen, weil es der Teil ist, den man überspringt: Sie müssen sich nicht zwischen einer US-Cloud und gar nichts entscheiden. Sie können eine GPU-Maschine im Rechenzentrum mieten oder Apple-Desktop-Rechner stapeln und landen eine Größenordnung über einem Laptop und eine Größenordnung unter einem Hyperscaler. Für ein Unternehmen mit echten Betriebsgeheimnissen ist das eine reale Option und günstiger, als die meisten annehmen.
Ich habe im selben Atemzug für die meisten im Raum dagegen argumentiert, aus drei Gründen, die weiterhin gelten.
Die Lieferzeiten für die relevanten Beschleuniger sind lang, das ist also keine Entscheidung, die Sie dieses Quartal umsetzen. Einen GPU-Server zu betreiben, ist eine andere Disziplin als einen Windows-Server zu betreiben, mit anderen Fehlerbildern und Lastprofilen, und keine typische Mittelstands-IT nimmt das nebenbei auf, ohne jemanden einzustellen, der es schon gemacht hat. Und es skaliert genau so schlecht, wie die Einführung skaliert: mehr gleichzeitige Nutzer brauchen mehr Hardware, ein größeres Modell braucht mehr Hardware, ein erfolgreicher Rollout sprengt also die Kiste, die Sie gekauft haben.
Zehn Jahre wurden aufgewendet, um diese Infrastruktur in die Cloud zu bringen. Einen Serverschrank wieder unter den Schreibtisch zu stellen, sollte einen besseren Grund haben als Unbehagen, und für die meisten Unternehmen liefert ein europäischer Hoster mit offenen Gewichten denselben Entzugsschutz ohne den operativen Rattenschwanz.
Zwei Dinge, die der Raum falsch hatte, und eines, das er richtig hatte
Die Schulungspflicht des AI Act steht in Artikel 4, nicht Artikel 5. Artikel 4 verpflichtet Anbieter und Betreiber, für ein ausreichendes Maß an KI-Kompetenz beim Personal zu sorgen (EU AI Act, Artikel 4). Artikel 5 ist die Liste der verbotenen Praktiken, ein anderes Thema. Lohnt sich zu klären, bevor es in ein Richtliniendokument wandert.
Maskierung ist eine Ergänzung, keine Strategie. Ein Anbieter beschrieb, wie personenbezogene Daten vor dem Absenden entfernt und in der Antwort wieder eingesetzt werden, mit einem Benchmark von rund 90 Prozent erkannter identifizierender Daten. Die verbleibende Lücke ist Kontext, nicht Zeichenkette: "Der Vorstandsvorsitzende des größten Autobauers aus Süddeutschland" enthält keinen Namen, keine Adresse und keine Kontonummer und bezeichnet genau eine Person. Ich habe im Raum darauf hingewiesen, dass diese Lücke größer statt kleiner geworden ist. Re-Identifikation über ein langes Dokument war früher zu mühsam, als dass sich jemand die Arbeit gemacht hätte. Das Ganze in ein Modell mit einer Million Tokens Kontext zu werfen und herausfinden zu lassen, um wen es geht, ist heute beiläufig. Damit ist genau die Fähigkeit, die diese Systeme nützlich macht, diejenige, die die Maskierung davor aushöhlt.
Die Rahmenfrage war richtig, und sie war das Beste der ganzen Stunde. Welches Gesetz, und wessen Daten? AI Act, DSGVO, Souveränität und die Schweigepflicht von Ärztinnen, Anwälten und Steuerberatern sind vier verschiedene Probleme mit vier verschiedenen Antworten, und die meisten "das dürfen wir nicht" stellen sich bei Prüfung als nirgends festgehalten heraus. Die Angst vor der DSGVO richtet in deutschen Unternehmen mehr Schaden an als die DSGVO.
Dasselbe gilt für den Reflex, Endkunden-KI zu verbieten und intern etwas zu bauen. Jeder hat ein Handy. Wenn das freigegebene Werkzeug schlechter ist als das, was die Leute privat nutzen, verlassen die Daten das Haus trotzdem, und Sie haben zusätzlich die Sichtbarkeit verloren. Eine ordentliche Alternative, eine schriftliche Richtlinie und echte Schulung schlagen eine Sperre.
Aus dem Hauptprogramm, kurz
Drei Dinge von der Bühne, die man mitnehmen sollte, bevor es zur Souveränitätsfrage geht:
Die Keynote des Chief Scientist von DeepL setzte den Rahmen bereits im veröffentlichten Abstract: Das Problem liegt selten in der Technologie, sondern in der fehlenden organisatorischen Struktur. Niemand widersprach ihm den restlichen Nachmittag.
Die Einstiegsfolie, mit Verweis auf das ifo-Institut und den KI-Index von DMB und Salesforce: 67,2 Prozent Nutzung bei Großunternehmen gegenüber 51,2 Prozent bei kleinen, bei einem Wachstum von 54,5 Prozent gegenüber Vorjahr. Die auf dieser Folie am häufigsten genannte Hürde ist weder Budget noch Technik, sondern fehlendes Praxiswissen, mit 39,9 Prozent.
Asaad Almutareb von ArtiQuare zerlegte den Rat, den alle bekommen, "räumt erst eure Daten auf", in vier Fragen. Welche Daten? Wie genau? Wer macht das, wenn alle ausgelastet sind? Und ist das überhaupt ein einmaliges Projekt? Ist es nicht, denn es kommen ständig neue Daten dazu. Datenaufbereitung ist nicht die Phase vor der Arbeit, sie ist die Arbeit. Sein alternativer Startpunkt: dort anfangen, wo kritisches Wissen undokumentiert in einem Kopf steckt, weil die Kosten des Ausfalls dieser Person ein Business Case sind, den jeder lesen kann.
Und das beste Detail des Tages, aus demselben Projekt: Das Dashboard wollte niemand. Das Team ignorierte es. Was funktionierte, war, das Ergebnis nach Microsoft Teams zu schieben, wo der Support ohnehin arbeitete, und das Nebenprodukt schlug die Funktion, mit rund hundert endlich veröffentlichten Wissensartikeln, weil das System sie aus bereits gelösten Tickets entworfen hatte.
Ein Eingeständnis verdient Wiederholung, aus dem Aclue-Vortrag: Eine Firma, die jahrelang Software gebaut hat, die zu 100 Prozent funktioniert, stellte fest, dass die Akzeptanz von 80 Prozent automatisiert und 20 Prozent manuell für sie selbst ein echter kultureller Wandel war, nicht nur für ihre Kunden.
Was das am Montag heißt
Sortieren Sie Ihre KI-Workloads auf zwei Stapel. Die, bei denen drei Wochen ohne Zugang ärgerlich wären, und die, bei denen sie einen Prozess anhalten würden, auf dem das Geschäft läuft. Für den ersten Stapel nehmen Sie das beste Modell, das Sie kaufen können, und denken über das Hosting nicht zu lange nach. Für den zweiten ist die Frage nicht, wo die Daten liegen. Sie lautet, ob Sie ihn noch betreiben könnten, wenn der Anbieter oder eine Regierung an einem Freitagnachmittag anders entscheidet.
Lautet die Antwort nein, ist die Lösung architektonisch: eine Abstraktionsschicht, damit das Modell darunter austauschbar ist, mindestens ein Workload nachweislich auf offenen Gewichten erprobt, und ein europäischer Hoster oder eigene Hardware für die Teile, die wirklich nicht stehenbleiben dürfen. Das ist keine Beschaffungsaufgabe und keine Compliance-Aufgabe. Es ist Engineering, also der Teil von Souveränität, den Anbieter, die Hosting verkaufen, keinen Anlass haben anzusprechen.
Die Technologie funktioniert. Der Zugang nicht immer, und dieses Jahr hat das aufgehört, hypothetisch zu sein. Wenn Sie durchspielen wollen, welche Ihrer Workloads einen Entzug überstehen würden, sprechen wir.
Weiterlesen
- Frontier AI Just Joined the Export-Control Regime: am Tag nach der Juni-Abschaltung geschrieben, warum Modellzugang bei einem einzigen Anbieter ein Kontinuitätsrisiko ist
- Fable Is Back. The Advisor Pairing Works Until It Doesn't.: was am 1. Juli zurückkam, und zu welchen Bedingungen
- How to Compete With Frontier Models: die vier verteidigbaren Ebenen, wenn das Modell selbst keine davon ist
Quellen
Al Jazeera (13. Juni 2026). US orders Anthropic to disable AI models for all foreign nationals. aljazeera.com
Al Jazeera (1. Juli 2026). US lifts restrictions on powerful AI models Fable, Mythos. aljazeera.com
Microsoft (21. Juli 2026). Microsoft and Mistral expand strategic partnership. news.microsoft.com
Europäische Union (2024). KI-Verordnung, Artikel 4: KI-Kompetenz. euaiact.com
IHK für München und Oberbayern (2026). KI für kleine Unternehmen: Praxis trifft auf Innovation, 27. Juli 2026, mit dem KI Bundesverband. Programm, Redner und Folien auf ihk-muenchen.de
Beiträge aus der Workshop-Runde werden ohne Namensnennung wiedergegeben, mit Ausnahme meiner eigenen. Von der Bühne zitierte Zahlen, einschließlich der auf der abfotografierten Folie, sind so wiedergegeben, wie sie genannt wurden, und nicht unabhängig verifiziert.
Fotos vom Autor, IHK für München und Oberbayern, 27. Juli 2026. Standortdaten entfernt.