Thought Leadership
Die EU-Kommission arbeitet an einem neuen Regelwerk für Cloud- und KI-Dienste. Militär- und Gesundheitsdaten sollen künftig nur noch in europäisch kontrollierten Clouds landen.
Europäische Anbieter von Cloud- und KI-Diensten könnten bei öffentlichen Ausschreibungen künftig bevorzugt werden. Das sieht ein internes Papier zum geplanten Cloud and AI Development Act vor, aus dem das Handelsblatt zitiert. Die offizielle Vorstellung der Initiative ist für die kommende Woche angekündigt.
Vier Stufen, ein Ziel: Kontrolle über sensible Daten
Kernstück des Entwurfs ist ein abgestuftes Souveränitätsmodell mit vier Kategorien. Bewertet werden soll dabei, wer Dienst, Lieferkette und Datenverarbeitung kontrolliert, wo die physische Infrastruktur steht und wie die Cybersicherheit organisiert ist. Für besonders schützenswerte Bereiche wie Militär und Gesundheitswesen ist eine klare Vorgabe vorgesehen: Derartige Daten sollen ausschließlich in Clouds gespeichert werden, auf die ausländische Regierungen keinen Zugriff haben. Auch bei Handelskonflikten oder Sanktionen sollen diese Infrastrukturen nicht abschaltbar sein.
Die Mitgliedstaaten sollen eigenständig Souveränitätsrisikobewertungen durchführen und festlegen, welche Behördenanwendungen welche Sicherheitsstufe benötigen. Die Kommission will dafür übergeordnete Leitlinien erarbeiten. Ergänzend plant die EU eine stärkere Förderung der europäischen Halbleiterproduktion als weiteren Baustein zur Reduzierung technologischer Abhängigkeiten.
AWS, Azure, Google Cloud: Weiter unverzichtbar
Was das Papier jedoch nicht vorsieht, dürfte Kritiker verärgern: Einen grundsätzlichen Ausschluss von US-amerikanischen Hyperscalern wie Amazon Web Services, Microsoft Azure oder Google Cloud gibt es nicht. Das gilt trotz der offen konfrontativen Handelspolitik der Trump-Administration und der bekannten rechtlichen Verpflichtungen dieser Konzerne gegenüber US-Geheimdiensten.
Die Begründung laut Entwurf: Aufgrund ihrer dominanten Marktstellung gelten die amerikanischen Anbieter für europäische Verwaltungen und Unternehmen auf absehbare Zeit als nicht ersetzbar. Unterhalb der höchsten Schutzstufen bleiben AWS, Azure und Google Cloud damit weiterhin reguläre Optionen für europäische Behörden. Angesichts laufender geopolitischer Spannungen und bestehender Gesetze wie dem US Cloud Act bleibt das politisch brisant.
