Souveräne KI-Angebote KI-Modelle: Die Kuckuckseier der deutschen KI-Anbieter

Anbieter zum Thema

FIS Informationssysteme und Consulting GmbH

Esker Software Entwicklungs-und Vertrieb

Yorizon GmbH & Co. KG

Ein Kuckuck legt sein Ei unbemerkt in ein fremdes Nest. Genau dieses Muster zeigt eine Untersuchung von GreenPT: Demnach kommunizieren deutsche Unternehmen digitale Souveränität und heimische Datenhaltung. Im technologischen Kern arbeiten jedoch überwiegend KI-Modelle von US-Anbietern.

Das Unternehmen GreenPT hat aktuell 514 in Deutschland ansässige KI-Unternehmen untersucht. Bei 221 von ihnen ließ sich anhand öffentlich zugänglicher Informationen mindestens ein Anbieter von KI-Modellen eindeutig identifizieren. Das Ergebnis: Rund 53 Prozent dieser Unternehmen setzen mindestens einen US-amerikanischen Frontier-Anbieter ein, also KI-Modelle wie OpenAI (rund 41 Prozent, inklusive Azure OpenAI), Google/Vertex AI (rund 20 Prozent), Anthropic (rund 18 Prozent) oder AWS Bedrock (rund zehn Prozent).

Eigene, selbst entwickelte Modelle kommen auf etwa 43 Prozent, vor allem in Industrie, Computer Vision, Robotik und Healthcare – Branchen, in denen hochspezialisierte, oft schwer extern verfügbare Trainingsdaten eine Rolle spielen. Der einzige europäische Frontier-Anbieter mit nennenswerter Verbreitung ist das französische Unternehmen Mistral, mit rund zehn Prozent. Open-Source-Modelle beziehungsweise selbst gehostete KI-Modelle liegen bei etwa 19 Prozent.

KI-Modelle – die Souveränitätslücke

Der erstaunliche Befund der Studie liegt nicht in der Anbieterverteilung, sondern in einer Diskrepanz: 173 der untersuchten Unternehmen werben aktiv mit digitaler Souveränität, EU-Hosting, deutscher Datenhaltung oder Datenschutz. Von diesen 173 setzen jedoch 72 – also gut vier von zehn – weiterhin auf mindestens einen US-amerikanischen proprietären Modellanbieter.

„Wer über die Zukunft der KI in Europa diskutiert, sollte nicht nur Rechenzentren und Datenresidenz in den Blick nehmen, sondern auch die Modelle, auf denen Anwendungen letztlich aufbauen“, kommentiert Robert Keus, Gründer und CEO von GreenPT die Ergebnisse. Transparenz über die eingesetzten Technologien sei eine wichtige Grundlage für fundierte Entscheidungen von Unternehmen, Politik und Investoren.

Diese Kritik ist nicht neu, gewinnt durch die konkreten Zahlen aber an Schärfe. Bereits das Kiel Institut für Weltwirtschaft hatte gewarnt, dass eigene Anwendungen auf fremden Basismodellen keine echte Souveränität schaffen, solange „das Fundament in fremder Hand liegt“ – wer bei der KI-Infrastruktur abhängig sei, werde absehbar auch in anderen Bereichen nicht souverän. Die Zahlen von GreenPT liefern dafür nun eine konkrete Marktgröße: Bei mehr als 40 Prozent der Unternehmen, die Souveränität versprechen, steht genau dieses fremde Fundament im Hintergrund.

Hosting-Souveränität bedeutet nicht gleich Souveränität der KI-Modelle

 EU-Hosting regelt, wo Daten physisch liegen. Es sagt nichts darüber aus, wer im Zweifel Zugriff darauf erhält. Genau hier setzt der US-amerikanische Cloud Act an: Er verpflichtet US-Unternehmen und deren Tochtergesellschaften, Daten auf behördliche Anordnung herauszugeben – unabhängig davon, ob diese Daten in Virginia oder in einem Rechenzentrum in Frankfurt liegen.

Das kollidiert mit der DSGVO, insbesondere mit den Regeln zu Drittlandübermittlungen (Art. 44 ff.) und mit Art. 48, wonach Anordnungen ausländischer Behörden nur auf Basis eines völkerrechtlichen Abkommens anzuerkennen sind – ein Abkommen, das der CLOUD Act gerade umgeht. Der Europäische Gerichtshof hatte mit dem Schrems-II-Urteil bereits klargestellt, dass die weitreichenden US-Überwachungsbefugnisse ohne wirksamen Rechtsschutz für EU-Bürger nicht mit einem angemessenen Datenschutzniveau vereinbar sind.

Ab September 2025 verschärft der EU Data Act die Lage zusätzlich: Cloud- und Datenverarbeitungs-Anbieter in der EU müssen aktiv gegen unrechtmäßige Zugriffsanfragen aus Drittstaaten vorgehen. US-Anbieter geraten damit in einen strukturellen Konflikt – zwischen der US-Pflicht zur Herausgabe und der EU-Pflicht zur Verweigerung. Für Unternehmen bedeutet das: Ein KI-Modell-Anbieter mit US-Mutterkonzern bleibt ein rechtliches Risiko, selbst wenn Server und Vertragspartner formal in der EU sitzen.

Dass dieses Risiko längst auch auf politischer Ebene angekommen ist, zeigt ein Strategiepapier zu Sprachmodellen in der Bundesverwaltung: Die deutsche KI-Strategie verweise zwar auf die europäische Cloud-Initiative GAIA-X, mache aber „keine konkreten Vorgaben für die Nutzung souveräner KI-Infrastrukturen im Verwaltungshandeln“. Selbst der Staat kommuniziert also einen Souveränitätsanspruch, ohne ihn in der eigenen Beschaffungspraxis verbindlich durchzusetzen – ein Kuckucks-Ei im eigenen Verwaltungsnest.