Nachrichten - Für Behörden

Sechs Tage bevor der Cyber Resilience Act Unternehmen dazu zwingt, ausgenutzte Schwachstellen innerhalb von 24 Stunden zu melden, musste Berlin feststellen, dass die Ablehnung einer Lösegeldzahlung nicht verhindert, dass gestohlene Daten trotzdem an die Öffentlichkeit gelangen. In derselben Woche wirft Europas Cloud-Lobby Broadcom vor, einen Streit, den es um die VMware-Lizenzierung begonnen hat, auf die Kontrolle der Enterprise-AI-Ebene auszuweiten.

Brüssel verschärfte diese Woche seine Kontrolle über ChatGPT, Reddit und Roblox, während im Stillen Teile des eigenen Datenschutzregelwerks überarbeitet wurden. Abseits des regulatorischen Trubels kollidierten Europas Souveränitätsambitionen weiterhin mit den Marktrealitäten, von italienischen Cloud-Ausschreibungen, die US-Hyperscaler begünstigen, bis hin zu Nvidias Kauf eines französischen AI-Aushängeschilds.

Roms öffentliche Vergaberegeln für Cloud-Dienste waren darauf ausgelegt, europäische Kapazitäten im Rennen zu halten, doch stattdessen überlassen sie das Feld standardmäßig amerikanischen Hyperscalern. Am selben Tag zeigt Googles Modell dafür, wer seine schnellste AI zur Schwachstellensuche nutzen darf, eine zweite Art von Souveränitätslücke auf: keine Regel, die ihr Ziel verfehlt, sondern eine, die nie geschrieben wurde.

Was diese Kolumne am 27. August als Gerücht bezeichnete, trägt nun eine Unterschrift: Nvidia hat bestätigt, dass es Hugging Face, den in Frankreich gegründeten Hub, auf dem ein Großteil der Open-Source AI in Europa läuft, für 12,93 Milliarden Dollar kauft....

Am selben Tag, an dem die Kommission eine Untersuchung der Lizenzierungspraktiken im Cloud-Geschäft von Oracle einleitete, teilte das Gericht der Europäischen Union Opera mit, dass Microsoft Edge kein Gatekeeper ist. Dieses geteilte Urteil sagt mehr darüber aus, wo Brüssel tatsächliche Marktmacht sieht, als jede einzelne Entscheidung es könnte....

An dem Tag, an dem Brüssels Digital Omnibus seine Neufassung dessen, was als personenbezogene Daten gilt, in umstrittene interinstitutionelle Verhandlungen einbringt, hat der Oberste Gerichtshof Österreichs das zur Debatte stehende GDPR-Prinzip gegen eine Auskunftei durchgesetzt, die dagegen verstoßen hat. Unterdessen zeigen zwei europäische Unternehmen, wie es tatsächlich aussieht, die Souveränitätslücke durch Aufbau statt durch Gesetzgebung zu schließen.

Die Europäische Kommission hat ChatGPT im Rahmen des Digital Services Act als Very Large Online Search Engine eingestuft, das erste Mal, dass ein AI-Chatbot in diese rechtliche Kategorie eingeordnet wurde, neben Reddit und Roblox als sehr große Online-Plattformen. Alle drei haben nun ein viermonatiges Zeitfenster, das etwa im Januar 2027 ausläuft, um nachzuweisen, dass sie systemische Risiken eindämmen können, und zwar am selben Tag, an dem die Niederlande genau die Art von Infrastruktur-Alternative veröffentlichten, die dieses Regelwerk schon immer schützen sollte.

Europa sah sich die gesamte Woche damit konfrontiert, wie viel seiner digitalen und physischen Infrastruktur es eigentlich nicht selbst kontrolliert, von der Satellitenzeitmessung bis hin zu mit Washington geteilten Polizeidatenbanken. Die Regulierungsbehörden reagierten mit einigen ihrer bisher schärfsten Durchsetzungsmaßnahmen, während Investoren frisches Kapital in Robotik und Deep Tech pumpten, die darauf ausgelegt sind, diese Abhängigkeit zu verringern....

Die Warnung eines Historikers vor einem künstlichen Staat, in dem Algorithmen im Stillen öffentliche Aufgaben übernehmen, fiel in dieselbe Woche, in der Europa eine weitaus wörtlichere Version dieses Arguments erlebte: GPS-Jamming und -Spoofing, das ernst genug war, um die European Space Agency zu beunruhigen. Nimmt man noch hinzu, dass OpenAI für Dublin und Brüssel eine reine Policy-Rolle formalisiert, während es überall sonst Personal für kommerzielles Wachstum einstellt, so liest sich der heutige Tag wie drei Fallstudien derselben Abhängigkeit, erzählt auf drei verschiedenen Ebenen.

Berichten zufolge hat Nvidia zugestimmt, 12,9 Milliarden Dollar für Hugging Face zu zahlen, den in Frankreich gegründeten Model Hub, über den ein Großteil der europäischen AI-Entwicklung läuft, und zwar in derselben Woche, in der die eigene Robotik-Sparte von Hugging Face einen Roboter für unter 400 Dollar vorstellte. In Brüssel zeigt eine deutlich kleinere Seed-Runde für ein Startup zur Vermietung humanoider Roboter, wie der reale industrielle Einsatz in Europa tatsächlich aussieht....

Brüssel hat zum ersten Mal offiziell staatlich unterstütztes Spearphishing gegen hochrangige EU-Beamte auf WhatsApp bestätigt und ausländischen Regierungen zugeschrieben, und das in derselben Woche, in der ein separater Bericht darauf hinweist, dass sich die europäische Zeitmessung weiterhin auf GPS stützt. Zwei Seiten desselben Problems: Die Regeln für die europäische digitale Souveränität entwickeln sich weiter, die zugrunde liegende Infrastruktur jedoch noch nicht.

Eine DSGVO-Geldstrafe von 825 Millionen Euro gegen Uber fällt in dieselbe Woche, in der Bremen unauffällig ein Drittel seiner Straßenbahnen mit einem AI-Verhaltensscanner ausstattet und Brüssel sich darauf zubewegt, Washington mehr Zugriff auf europäische Polizeidaten zu gewähren. Nur eine dieser Meldungen hat Konsequenzen.

Ein deutsches Landgericht hat Amazon angewiesen, seinen DSA-Meldeprozess neu aufzubauen und seinen Suchalgorithmus ordnungsgemäß zu erklären. Dies ist ein Beweis dafür, dass der Digital Services Act über Brüssels Rekordstrafen gegen AliExpress und Temu hinaus bis in die eigentliche Architektur einer Plattform hineinreichen kann....

Apple gab dem Druck durch den Digital Markets Act aus zwei Richtungen gleichzeitig nach, die nationalen Umsetzungen des AI Act stießen auf erste ernsthafte interne Kritik, und Datenschutzbehörden loteten weiterhin aus, wo Datenanonymisierung tatsächlich endet. Im Hintergrund setzten Investoren weiter auf eine AI-Infrastruktur in europäischer Hand als Antwort auf die Abhängigkeit von ausländischen Plattformen.

Der Datenschutzbeauftragte von Niedersachsen warnt, dass das deutsche Gesetz zur Umsetzung des AI Act die Marktüberwachung bei einer einzigen Bundesbehörde konzentriert, und verweist auf eine mögliche verfassungsrechtliche Prüfung. Unterdessen zeigen die Finanzierungsrunden des Tages, von der Augenkrebsdiagnostik bis hin zu Netzsoftware, dass das Kapital nach wie vor den Application Layer gegenüber der darunterliegenden Infrastruktur bevorzugt.

Ein einziger Tag brachte europäische Finanzierungsrunden für „Sovereign AI“ von Dänemark über Schweden bis nach London, einen neuen irischen Chip-Rat und das Erwachen des Compliance-Marktes für den AI Act. Betrachtet man, wohin das Geld tatsächlich fließt, bestätigt sich das alte Muster: Kapital sammelt sich in der Governance- und Optimierungsschicht, während die darunterliegenden Bereiche für Compute und Chips weiterhin langsamer und in geringerem Umfang finanziert werden....

Apple senkt die Provisionen für den App Store von pauschal 30 Prozent auf gestaffelte 15 bis 26 Prozent und ermöglicht es Entwicklern, das hauseigene Zahlungssystem zu umgehen, was das bisher deutlichste Zeichen dafür ist, dass der Digital Markets Act die Rahmenbedingungen eines Plattformgeschäfts neu definieren kann und nicht nur dessen Benutzeroberfläche. Am selben Tag sicherte sich DeepL einen US-amerikanischen Legal-AI-Partner, um regulierte Märkte zu erschließen, während drei neue Finanzierungsrunden zeigten, wo Europas AI-Stärke tatsächlich liegt: eine Ebene höher, in den Anwendungen und nicht in der darunter liegenden Infrastruktur.

Das deutsche Kartellamt hat Apple soeben den zweiten Rückzieher beim Digital Markets Act innerhalb von zwei Wochen beschert, diesmal wegen Tracking-Prompts, die Nutzer zu Apples eigenen Apps lenkten. Am selben Tag überarbeitete Italien seine Regeln zur Gesichtserkennung im Rahmen des AI Act und die Niederlande setzten eine strikte Frist für Assessments von High-Risk-AI, ein Beweis dafür, dass die Durchsetzung von Europas AI Act beginnt, sich vom Brüsseler Text in die nationale Praxis zu verlagern....

Europas AI-Ambitionen kollidierten diese Woche mit der Wirtschaftlichkeit von Compute, als OVHclouds drastische Preiserhöhungen und Mistrals vorfinanzierte Infrastrukturpläne die Kostenseite der digitalen Souveränität offenlegten. Das Kapital floss ungeachtet dessen weiter, angeführt von Lovables rasant steigender Bewertung und einem insgesamt starken Monat für europäische Finanzierungen, während Revolut seine Bankenpräsenz in der EU weiter ausbaute und niederländische Provinzen Schritte unternahmen, um die Abhängigkeit von Nicht-EU-Tech-Anbietern zu verringern.

Der Plan von OpenAI, ein Büro in Berlin zu eröffnen, führt das Unternehmen tiefer in Europas größten AI-Markt, und zwar in derselben Woche, in der sich Mistral auf große europäische Konzerne stützt, um Compute-Kapazitäten zu finanzieren, deren Aufbau noch nicht abgeschlossen ist. Ein Blick ins Archiv zeigt, dass Mistrals eigene Souveränitätsgeschichte verworrener ist, als beide Schlagzeilen vermuten lassen.