Cloud and AI Development Act CADA: Viele Rechenkapazitäten, aber wenig digitale Souveränität

Anbieter zum Thema

Kobil GmbH

d.velop AG

Esker Software Entwicklungs-und Vertrieb

Yorizon GmbH & Co. KG

Drei Hyperscaler kontrollieren 70 Prozent des EU-Cloud-Markts, Europas Anbieter nur noch 15. Der Cloud and AI Development Act (CADA) der EU soll das ändern und digitale Souveränität stärken – doch der Entwurf bleibt zahnlos, kritisiert Kobil-Gründer Ismet Koyun.

Mit dem Proposal for the Cloud and AI Development Act (CADA) legt die Europäische Kommission erstmals einen Verordnungsentwurf vor, der digitale Souveränität nicht nur über Regulierung, sondern auch über Infrastruktur, Investitionen und öffentliche Beschaffung stärken soll. Das ist überfällig. Doch der Entwurf bleibt an der entscheidenden Stelle inkonsequent: Er schafft mehr Rechenkapazität in Europa, ohne europäische Kontrolle ausreichend abzusichern.

CADA soll Genehmigungen beschleunigen, Investitionen erleichtern und Europa als KI-Standort wettbewerbsfähiger machen. Nur: Wettbewerbsfähiger gegenüber wem? Wenn davon am Ende vor allem die großen Hyperscaler profitieren und ihre Rechenzentrumskapazitäten in Europa weiter ausbauen, haben wir zwar mehr Kapazität, aber noch keine größere Kontrolle darüber.

Europäische Infrastruktur bedeutet auch europäische Kontrolle. Denn wer die Infrastruktur kontrolliert, kontrolliert langfristig auch den Zugang zu Daten, Rechenleistung und KI-Plattformen – und damit die Grundlagen künftiger Wertschöpfung. 

Ismet Koyun, CEO und Gründer der Kobil Gruppe

Der Vorschlag enthält ein vierstufiges Souveränitäts-Framework, das Cloud- und AI-Dienste nach Anforderungen an Standort, Eigentümerschaft und Betriebskontrolle einordnet. Gleichzeitig macht CADA aber deutlich, dass auch Anbieter, die die höchsten Souveränitäts-Anforderungen nicht erfüllen, für viele öffentliche Anwendungsfälle weiterhin infrage kommen, abhängig von der jeweiligen Risikobewertung. Der Entwurf verpflichtet Vergabestellen zwar, den europäischen Mehrwert innovativer Cloud- und KI-Lösungen zu berücksichtigen. Doch Artikel 32 stuft ihn ausdrücklich nur als ergänzendes und nicht ausschlaggebendes Kriterium ein. Erwägungsgrund 67 nennt sogar lediglich 15 von 120 Punkten als mögliche Obergrenze. So lässt sich digitale Souveränität nicht erreichen. Solange der europäische Mehrwert bei Vergaben nur eine so kleine Rolle spielt, bleibt das Bekenntnis zu mehr europäischer Unabhängigkeit leider symbolisch.

Maßnahmenpaket der EU

Tech Sovereignty Package: EU will Unabhängigkeit bei Chips, Cloud und KI sichern

Die Kommission selbst räumt ein, dass drei außereuropäische Hyperscaler mehr als 70 Prozent des europäischen Cloudmarktes kontrollieren, während der Marktanteil europäischer Anbieter auf nur noch 15 Prozent gesunken ist. Es sind jedoch nicht die Hyperscaler, die Europa digital unabhängiger machen werden. Europa verfügt über zahlreiche mittelständische Technologieunternehmen – in Deutschland, Frankreich, den Niederlanden, Österreich und vielen weiteren Mitgliedstaaten –, die Cloud-Infrastruktur, Sicherheitsarchitekturen und KI-Anwendungen entwickeln, die sich international nicht verstecken müssen. Diese Unternehmen unterliegen europäischem Recht, zahlen hier Steuern und schaffen hier Arbeitsplätze. Sie brauchen keine Milliardenbewertung aus dem Silicon Valley, um erfolgreich zu sein. Im aktuellen CADA-Entwurf werden sie aus meiner Sicht nicht ausreichend berücksichtigt. Das ist eine politische Fehlentscheidung.

Interview mit Amazon Web Services (AWS)

Digitale Souveränität: Schützen die EU-Clouds der Hyperscaler vor US-Behörden?

Drei Forderungen für echte digitale Souveränität im CADA-Gesetz

Was muss sich im Gesetzgebungsverfahren noch ändern? Das sind drei Dinge:

Erstens muss die Gewichtung europäischer Wertschöpfung bei öffentlichen Vergaben massiv erhöht werden. Der europäische Mehrwert sollte mindestens 40 Prozent der Gesamtwertung ausmachen und anhand überprüfbarer Kriterien bewertet werden: europäische Eigentums- und Betriebskontrolle, Forschung und Entwicklung in der EU, Einsatz europäischer Schlüsseltechnologien, offene Standards, belastbare Wechselmöglichkeiten und Schutz vor extraterritorialen Zugriffen.

Zweitens: Für klar definierte hochkritische Anwendungen in Energie, Gesundheit, Verteidigung, innerer Sicherheit und Verwaltung muss Union Assurance Level 4 verbindlich sein. Ausnahmen dürfen nur zeitlich befristet, transparent begründet und mit einem verbindlichen Migrationsplan zulässig sein. Dabei muss nicht nur der Standort des Rechenzentrums, sondern die gesamte Eigentums- und Kontrollstruktur des Anbieters berücksichtigt werden.

Drittens müssen kleine und mittlere Unternehmen sowie Start-ups stärker bevorzugt werden. Der Entwurf nennt zwar das Ziel, mindestens 25 Prozent der Cloud- und KI-Aufträge an innovative KMU zu vergeben. Doch ein Ziel ohne verbindliche Umsetzungsfristen, Mindestvorgaben und Konsequenzen bleibt politisch unverbindlich.

Interview

Digitale Souveränität: Strategien für mehr Kontrolle Europas in der Cloud

Fazit

Das Europäische Parlament und der Rat haben jetzt die Chance, aus einem grundsätzlich guten Vorschlag ein wirklich wirksames Gesetz zu machen. Aber dafür muss Brüssel den Mut aufbringen, auszusprechen, was dieser Vorschlag noch nicht konsequent umsetzt: Europäische Infrastruktur bedeutet auch europäische Kontrolle. Denn wer die Infrastruktur kontrolliert, kontrolliert langfristig auch den Zugang zu Daten, Rechenleistung und KI-Plattformen – und damit die Grundlagen künftiger Wertschöpfung. Wenn Europa bei diesen Schlüsselressourcen dauerhaft von außereuropäischen Anbietern abhängig bleibt, wird es trotz eigener Rechenzentren weder technologisch noch wirtschaftlich wirklich souverän sein.