Das Testen fremder AI ist keine digitale Souveränität

Die Hausaufgaben eines anderen zu kontrollieren, ist nicht dasselbe, wie sie selbst zu machen. Die EU-Cybersicherheitsagentur ENISA hat endlich direkten Zugang zum Testen von Anthropics Mythos 5 und OpenAIs GPT-6 Astra erhalten. Wie Silicon Republic und The Next Web übereinstimmend berichten, richten sich die im AI Act verankerten Befugnisse für systemisches Risiko nun auf zwei der am genauesten beobachteten Frontier-Modelle, die in Europa betrieben werden. Dieser Zugang ist das Ergebnis monatelanger Verhandlungen. Er ermöglicht es Brüssel, ein Cybersicherheitsrisiko zu bewerten, bevor es akut wird, anstatt erst dann, wenn ein Journalist es entdeckt. Genau auf diese Lücke wies diese Kolumne vor einer Woche hin, als die Meldepflicht für Vorfälle nach Artikel 55 auf einen konkreten Fall bei OpenAI traf.

Aber ein Modell zu testen, ist nicht dasselbe, wie eines zu entwickeln. Aleph Alpha, das deutsche Labor, das sich als souveräne Alternative zu Anthropic und OpenAI vermarktet, wird hier von der ENISA nicht untersucht. Mythos 5 und GPT-6 Astra hingegen schon. Der AI Act gibt Brüssel bei beiden Modellen ein Mitspracherecht. Er übereignet Brüssel jedoch keines von beiden. Ein am selben Tag veröffentlichter Bericht benennt dieses Konstrukt ganz offen: Wie The Register feststellt, bezeichnen große europäische Organisationen die vollständige digitale Souveränität zunehmend als unrealistisch. Sie beschreiben ihre tatsächliche Praxis stattdessen als „resiliente Interdependenz“. Dabei bleiben sie von externen Anbietern abhängig, stellen aber sicher, dass kein einzelner Ausfall kritische Abläufe lahmlegen kann.

Aufsicht, nicht Eigentum.

Auch an beiden Enden des Marktes floss Geld in sehr unterschiedlichen Größenordnungen. Bending Spoons, das Mailänder Übernahmeunternehmen, das seit Jahren strauchelnde digitale Marken aufkauft, hat sich bereit erklärt, 1,7 Milliarden Euro für den AI-Workspace Miro zu zahlen. Dies ist eine der größten europäischen Tech-Übernahmen, die in diesem Jahr abgeschlossen wird. Am selben Tag veröffentlichte Antler eine Studie zu 760 Unicorn-Gründern. Diese offenbarte ein gegensätzliches Bild unterhalb der Rekordsummen in Late-Stage-Finanzierungsrunden: Die Pipeline für Early-Stage-Finanzierungen steckt in einer echten Krise.

Diese Kluft spiegelt sich in den aktuellen Tageszahlen wider. Das Mailänder Cybersicherheits-Startup Bynario, dessen AI-Forschung echte Schwachstellen im macOS Screen Sharing von Apple aufdeckte, schloss seine Pre-Seed-Runde mit 2,1 Millionen Euro ab. Das ist etwas mehr als ein Zehntel Prozent dessen, was Bending Spoons diese Woche für Miro zahlt. Late-Stage-Kapital ist in Europa keine Mangelware. Das Kapital, das ein junges Unternehmen aufbringen kann, bevor es etwas besitzt, das eine Übernahme wert ist, hingegen schon.

Verbraucher…

Die EUDI Wallet in Deutschland hat einen neuen Namen. Berlins Umsetzung der EU-Brieftasche für die digitale Identität heißt nun „D-You“, wie Heise berichtet. Die Regierung hofft dabei, dass Banken, Versicherungen und Behörden echte Anwendungsfälle dafür entwickeln, die über einen digitalen Reisepass in der Hosentasche hinausgehen. Eine Umbenennung klärt zwar keine der offenen Fragen der Wallet, sie bedeutet aber, dass das Projekt in die Phase eintritt, in der normale Bürger tatsächlich gebeten werden, eine Anwendung zu installieren.

Unabhängig davon hat eine zivilgesellschaftliche Koalition in einem Schreiben an die EU-Gesetzgeber gefordert, Cookie-Banner im Rahmen des Digital-Omnibus-Pakets durch ein automatisiertes Browser-Signal zu ersetzen. Laut noyb soll dieses für jede Website bindend und nicht optional sein. Die Industrie hat sich dieser Idee bereits in der Vergangenheit widersetzt. Diesmal handelt es sich bei der Forderung jedoch um eine gesetzliche Vorgabe und nicht um einen freiwilligen Standard.

Unternehmen…

Gründer und Investoren fordern, dass der versprochene Unternehmensstatus „EU Inc“ ohne weitere Aufweichungen finalisiert wird. TechCrunch berichtet, dass europäische Gründer und VCs die Gesetzgeber dazu drängen, eine einheitliche, rein digitale Unternehmensform zu verabschieden. Diese würde es einem Unternehmen ermöglichen, sich einmalig zu gründen und in der gesamten EU tätig zu sein, anstatt sich mit 27 verschiedenen lokalen bürokratischen Vorgaben herumzuschlagen. Tech.eu beleuchtet dieselbe Thematik aus der Brüsseler Perspektive. Rund 100 Tage vor dem Abschluss des Dossiers warnen Tech-Führungskräfte davor, die ehrgeizigeren Merkmale zu streichen, allen voran ein wirklich gemeinsames Rahmenwerk. Dies würde den Sinn eines neuen Gesetzes völlig zunichtemachen. Eine verwässerte EU Inc löst nur das Branding-Problem und lässt die eigentliche Fragmentierung bestehen.

Behörden…

Die verbindliche Pflicht zur Meldung von Schwachstellen aus dem Cyber Resilience Act, auf die diese Kolumne bereits sechs Tage im Voraus hingewiesen hat, tritt am 11. September in Kraft. Wie Agenda Digitale berichtet, müssen Hersteller digitaler Produkte aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle innerhalb von 24 Stunden melden. Diese Meldungen werden über die neue zentrale Meldeplattform der ENISA an die nationalen CSIRTs weitergeleitet. Die Frist an sich ist für die Leser dieser Kolumne keine Neuigkeit. Nun bleibt abzuwarten, ob die Plattform tatsächlich nutzbare Threat Intelligence liefert. Die Alternative wäre ein reines Compliance-Protokoll, das niemand liest, bevor der nächste Leak im Berliner Stil die Frage erneut aufwirft.

Außerdem heute

• Arlequin AI sichert sich 28 Millionen Euro zur Skalierung topologischer neuronaler Netztechnologie · Tech.eu
• Improbable unterstützt die KI-Business-Messaging-App Bolter mit 10 Millionen US-Dollar · Tech.eu
• Das belgische KI-Startup IVEX sammelt 5 Millionen Euro für KI-gestützte Sicherheitstests in der Automobilbranche · EU-Startups
• Das deutsche KI-Labor Grubel erhält 3 Millionen Euro für Systeme zur Anpassung an Rechtsfälle · EU-Startups
• Euro-Office für Unternehmensnetzwerke: Änderungen für Kanzleien und Kleinunternehmen · Agenda Digitale
• Nscale dominiert die Rechenzentrumsinvestitionen im Vereinigten Königreich und sichert sich zwei Drittel der Eigenkapitalfinanzierung · The Register
• Zeiss bricht Greenfield-Migration auf SAP S/4HANA ab · The Register
• CNIL veröffentlicht Teil 2 des Comics „L'Agence Privacy“ zur Aufklärung über Cyberkriminalität · CNIL
• noyb reicht einstweilige Verfügung gegen SCHUFA wegen Schatten-Datenbank ein · noyb.eu
• Europas Souveränität in der Raumfahrt erfordert mehr als nur Größe, sagen Branchenführer · EU-Startups

Quellen

• ENISAs Zugang zum Testen von Anthropics Mythos 5 auf Cybersicherheitsrisiken · Silicon Republic
• ENISA testet sowohl Mythos 5 als auch GPT-6 Astra gemäß den Regeln für systemisches Risiko des AI Acts · The Next Web
• Warum große europäische Organisationen vollständige Souveränität nun als unrealistisch bezeichnen und resiliente Interdependenz bevorzugen · The Register
• Die 1,7-Milliarden-Euro-Vereinbarung von Bending Spoons zur Übernahme von Miro · EU-Startups
• Antlers Studie über die Krise der Early-Stage-Finanzierung hinter Europas Unicorn-Boom · Tech.eu
• Bynarios 2,1-Millionen-Euro-Pre-Seed-Runde, nachdem dessen KI Apple-Schwachstellen aufgedeckt hat · EU-Startups
• Deutschlands EUDI Wallet in D-You umbenannt · Heise Online
• Vorstoß der Zivilgesellschaft für EU-vorgeschriebene automatisierte Datenschutzsignale als Ersatz für Cookie-Banner · noyb.eu
• Europäische Gründer und VCs drängen Gesetzgeber dazu, die EU Inc ohne Verwässerung zu finalisieren · TechCrunch Europe
• Tech-Führungskräfte warnen vor einer Aufweichung der EU-Inc-Reform · Tech.eu
• Die verpflichtende Schwachstellenmeldung des Cyber Resilience Acts tritt am 11. September in Kraft · Agenda Digitale