Tech Sovereignty Package: Europa holt sich die Kontrolle über seine öffentlichen Daten zurück

Am 27. Mai 2026 wird die Europäische Kommission offiziell ihr Tech Sovereignty Package vorstellen: ein Gesetzespaket, das die Landschaft von Cloud und KI in Europa grundlegend neu ordnen könnte. Zum ersten Mal wechselt Brüssel von einem freiwilligen Rahmen (Gaia-X, 2019) zu rechtlichen Beschränkungen, die unmittelbar für die Nutzung amerikanischer Plattformen gelten.

Hier erfahren Sie, was es enthält, was sich wirklich ändert und was Sie in Ihrem KMU schon jetzt tun sollten, wenn Sie öffentliche Daten verarbeiten oder mit öffentlichen Stellen zusammenarbeiten.

Was das Tech Sovereignty Package enthält #

Das Paket umfasst zwei große Gesetzestexte:

• Den Cloud and AI Development Act (CADA), der die Nutzung von Cloud und KI für sensible öffentliche Daten regelt
• Den Chips Act 2.0, der den Bereich Halbleiter und die Hardware-Autonomie Europas stärkt

Beide Texte stützen sich auf Artikel 114 des EU-Vertrags, was ihnen ab ihrer Verabschiedung unmittelbare Wirkung in allen Mitgliedstaaten verleiht. Das ist keine Charta guter Absichten mehr wie Gaia-X, sondern verbindliches, anwendbares Recht.

Die Ausgangslage: 70 % der europäischen Cloud ist amerikanisch #

Die Zahl rechtfertigt das Eingreifen. AWS, Microsoft Azure und Google Cloud vereinen rund 70 % des europäischen Cloud-Markts auf sich. Für die öffentliche Hand ist das eine problematische strategische Abhängigkeit: Ein Kurswechsel der US-Politik, eine massive Preiserhöhung oder eine Aussetzung des Dienstes könnten ganze Teile der europäischen Verwaltung lahmlegen.

Hinzu kommt das rechtliche Risiko des amerikanischen CLOUD Act (2018), der es US-Behörden erlaubt, von amerikanischen Unternehmen Zugang zu den Daten zu verlangen, die sie hosten, auch in ihren europäischen Tochtergesellschaften. Seine genaue Reichweite für ausländische Tochtergesellschaften ist rechtlich umstritten, doch das Risiko wird als ernst genug eingeschätzt, um Gegenmaßnahmen zu rechtfertigen.

Konkret: Wer darf was? #

Die anschaulichste Formel aus den Vorarbeiten: „AWS kann weiterhin eine institutionelle Website hosten; es darf keine Krankenakten oder Steuerdaten mehr verarbeiten.“ Drei Bereiche im öffentlichen Sektor werden ausdrücklich genannt:

• Finanzdaten öffentlicher Stellen (Steuern, Haushaltsrechnungen, Vergaben)
• Justizdaten (Verfahren, Ermittlungsakten, Strafregister)
• Gesundheitsdaten (Krankenakten, Krankenhausplattformen, klinische Forschung)

Was sich für KMU wirklich ändert #

Wenn Sie ein französisches KMU ohne öffentliche Kunden und ohne sensible Daten sind, ändert sich kurzfristig nichts direkt für Sie. Mittelfristig sind aber bereits mehrere konkrete Auswirkungen sichtbar:

• Öffentliche Ausschreibungen enthalten immer häufiger Souveränitätskriterien: Ein nicht konformer Anbieter wird ausgeschlossen
• Große B2B-Kunden (Banken, Versicherungen, Energie) übertragen diese Anforderungen im Dominoeffekt auf ihre Dienstleister
• Die Preise amerikanischer Cloud-Angebote dürften steigen, um die Kosten der Konformität aufzufangen (verschärfte Auftragsverarbeitungsverträge, Audits, eigene EU-Zonen)
• Die europäischen Alternativen (OVHcloud, Scaleway, Mistral, Outscale) gewinnen dank dieses Sogs an kommerzieller Reife
• Generative KI im Unternehmen (ein brennendes Thema) fällt eindeutig in den Geltungsbereich, mit einem klaren Vorteil für Mistral und selbst hostbare Modelle

Dieser Mitzieheffekt hat sich in Frankreich bereits 2026 bestätigt, mit einem Rundschreiben des Premierministers, das Souveränität zu einem verbindlichen Beschaffungskriterium macht, und einem Dekret, das SecNumCloud für sensible Daten des Staates vorschreibt: die Einzelheiten des französischen Plans zur Verringerung der Abhängigkeiten.

Was Sie in Ihrem KMU schon jetzt tun sollten #

1. Ihre sensiblen Datenflüsse erfassen: Welche davon verlassen heute die EU, zu welchem Anbieter, unter welchem Vertrag
2. Nicht geregelte Nutzungen generativer KI erkennen (ChatGPT, Copilot in Office, Claude direkt): Sie werden als Erste umgestellt werden müssen
3. Ihre laufenden Auftragsverarbeitungsverträge prüfen: Microsoft, Google und OpenAI haben ihre Bedingungen 2024-2025 aktualisiert, viele Unternehmen haben sie nicht neu unterzeichnet
4. Eine Roadmap für eine schrittweise Migration vorbereiten: kein Big Bang, sondern eine Umstellung Anwendungsfall für Anwendungsfall, je nach Sensibilität
5. Sich auf die öffentlichen Ausschreibungen 2026-2027 vorbereiten: Souveränität wird zu einem Ausschlusskriterium werden
6. Die IT- und Einkaufsteams schulen: Die Frage lautet nicht mehr „Ist es bei AWS günstiger?“, sondern „Ist es rechtlich vertretbar?“

Der Markt, der sich abzeichnet #

Wird das Tech Sovereignty Package wie angekündigt verabschiedet, strukturiert es einen europäischen Markt für Cloud und KI, der bisher stark zersplittert war. Drei Gruppen von Akteuren werden davon profitieren:

• Die europäischen Hyperscaler OVHcloud, Scaleway und Outscale (Tochter von Dassault Systèmes), die seit 10 Jahren im direkten Wettbewerb mit den USA stehen, bisher ohne regulatorischen Hebel
• Die französischen KI-Anbieter, allen voran Mistral AI, aber auch Kyutai, LightOn und das Umfeld von INRIA und CEA, denen sich öffentliche Aufträge öffnen, die ihnen bisher verschlossen waren
• Die Integratoren und Freelancer, die den souveränen Stack beherrschen und in der Lage sind, einen Proxmox-HA-Cluster aufzubauen, ein lokales Ollama bereitzustellen, Mistral per API zu integrieren und eine saubere DSGVO-Prüfung zu gewährleisten

Umgekehrt werden rein kommerzielle Wiederverkäufer von Azure und AWS sich neu erfinden müssen oder 2027-2028 einen erheblichen Teil ihres öffentlichen Geschäfts verlieren.

Meine Sicht #

Ich habe mich mit souveräner KI und souveränem europäischem Hosting beschäftigt, lange bevor es eine regulatorische Pflicht wurde, aus Überzeugung und aus technischer Folgerichtigkeit. Was das Tech Sovereignty Package ändert: KMU, die das Thema mit dem Argument „ChatGPT funktioniert sehr gut und ist günstiger“ vor sich herschoben, haben dieses Argument nicht mehr. Konformität wird zur Voraussetzung, nicht zum Verkaufsargument.

An die KMU-Geschäftsführer, die mir zuhören: Warten Sie nicht bis zum 27. Mai 2026, um mit dem Nachdenken anzufangen. Die Migration eines KI-Stacks von OpenAI zu Mistral, der Wechsel von Microsoft 365 zu einer europäischen Suite (LibreOffice, Bluemind, Nextcloud), die Prüfung Ihrer Cloud-Dienstleister: Das alles dauert je nach Unternehmensgröße 6 bis 18 Monate. Wenn Sie jetzt anfangen, sind Sie bereit, wenn Ihre institutionellen Kunden oder Großkunden diese Fragen in ihren Ausschreibungen zu stellen beginnen.

Wie ich Ihnen helfen kann #

Wenn Sie prüfen möchten, wo Sie bei der technologischen Souveränität stehen, biete ich ein kostenloses KI-Audit von 30 Minuten an, um die wichtigsten Risiken und die vorrangigen Baustellen zu erkennen. Für den nächsten Schritt: ein Konzept-Workshop zu souveräner KI (1.500 € netto), um Ihre Migrations-Roadmap aufzubauen. Und natürlich begleite ich anschließend die technische Integration: Mistral, selbst gehostetes Ollama, RAG auf einem souveränen Postgres, Proxmox-HA-Hosting in Frankreich.

Quellen #

• Stéphane Le Calme, „L'Europe veut reprendre le contrôle de ses données publiques avec le Tech Sovereignty Package“ (Europa will mit dem Tech Sovereignty Package die Kontrolle über seine öffentlichen Daten zurückgewinnen), Developpez.com, 12. Mai 2026: https://droit.developpez.com/actu/383097/
• Europäische Kommission, Tagesordnung vom 27. Mai 2026 (offizielle Vorstellung des Pakets)
• Artikel 114 des Vertrags über die Arbeitsweise der Europäischen Union (AEUV)
• CLOUD Act (Clarifying Lawful Overseas Use of Data Act), Public Law 115-141, März 2018