Datenhoheit als Kaufkriterium: Warum europäische Unternehmen 2026 KI anders einkaufen als noch vor zwei Jahren
Noch 2024 war die zentrale Frage bei der KI-Beschaffung in den meisten Unternehmen: Welches Modell liefert die besten Antworten? Zwei Jahre später hat sich die Fragestellung verschoben – besonders in Europa. 2026 fragen Geschäftsführer, IT-Leiter und Datenschutzbeauftragte vor allem: Wo liegen unsere Daten, wer hat Zugriff darauf und können wir den Anbieter bei Bedarf wechseln?
Dieser Wandel ist kein Zufall. Er ist das Ergebnis einer Kombination aus verschärfter Regulierung, geopolitischer Unsicherheit und einem wachsenden Bewusstsein dafür, dass KI-Dienste nicht nur Software-Abonnements sind, sondern tiefgreifende Entscheidungen über die eigene Datenarchitektur.
Was hat sich seit 2024 verändert?
Drei Entwicklungen haben die Spielregeln für den KI-Einkauf in Europa grundlegend verändert:
Der Kiteworks Data Sovereignty Report 2026 belegt die Diskrepanz zwischen Bewusstsein und Praxis eindrücklich: Während 80 Prozent der europäischen Unternehmen glauben, ihre Datensouveränität im Griff zu haben, meldeten 32 Prozent im vergangenen Jahr einen konkreten Vorfall im Zusammenhang mit Datensouveränität. Das größte Hindernis in Europa sind laut der Befragung die Souveränitätsgarantien der Anbieter selbst – 44 Prozent nennten dies als größte Sorge.
Was bedeutet der EU AI Act praktisch für die KI-Beschaffung?
Der EU AI Act trat bereits im August 2024 in Kraft, aber die zentralen Pflichten für Hochrisiko-KI-Systeme greifen erst ab August 2026. Für Unternehmen, die KI einsetzen – und das betrifft inzwischen auch viele kleinere Betriebe mit Chatbots, automatisierter Datenanalyse oder KI-gestütztem Kundenservice – bedeutet das konkret:
Erstens, eine KI-Risikobewertung wird Pflicht. Jedes eingesetzte KI-System muss nach den Risikostufen des AI Act klassifiziert und dokumentiert werden. Zweitens, Transparenz- und Kennzeichnungspflichten greifen: Nutzer müssen wissen, wenn sie mit KI interagieren. Drittens, die Verantwortung liegt beim Einsetzenden – auch wenn das KI-System von einem externen Anbieter stammt. Das heißt: Wer ChatGPT, Claude oder Gemini geschäftlich einsetzt, muss nachweisen können, dass der Einsatz den Regeln entspricht.
Für kleinere Betriebe klingt das zunächst abschreckend. Aber wer bereits DSGVO-Prozesse etabliert hat, hat einen erheblichen Vorsprung – denn AI Act und DSGVO teilen viele Grundprinzipien: Risikobewertung, Dokumentation, Transparenz und menschliche Kontrolle. Der Aufwand ist eine Erweiterung bestehender Strukturen, kein kompletter Neuaufbau.
Data Residency: Was die großen Anbieter inzwischen bieten
Die US-Anbieter haben auf den europäischen Druck reagiert. Im Januar 2026 erweiterte OpenAI sein Data-Residency-Angebot um In-Region-GPU-Inference in Europa – das bedeutet, dass nicht nur die gespeicherten Daten, sondern auch die Verarbeitung selbst in europäischen Rechenzentren stattfinden kann. Das gilt für ChatGPT Enterprise, Edu und Healthcare.
| Funktion | OpenAI | Anthropic | Mistral | |
|---|---|---|---|---|
| EU-Datenspeicherung (at rest) | ✓ | ✓ | ✓ | ✓ |
| EU-Inference (Verarbeitung in EU) | ✓* | Teilweise | ✓ | ✓ |
| Self-Hosting möglich | ✗ | ✗ | ✗ | ✓ |
| Eigene Encryption Keys (EKM/BYOK) | ✓ | Eingeschränkt | ✓ | ✓ |
| Kein Training mit Kundendaten | ✓ | ✓ | ✓ | ✓ |
| EU-Jurisdiktion (Firmensitz) | ✗ USA | ✗ USA | ✗ USA | ✓ FR/EU |
Die Tabelle macht einen entscheidenden Punkt deutlich: Alle großen Anbieter haben in den letzten zwei Jahren massiv in europäische Data-Residency-Optionen investiert. Aber ein zentraler Unterschied bleibt bestehen – der Firmensitz und damit die geltende Jurisdiktion. OpenAI, Anthropic und Google unterliegen US-Recht, einschließlich des CLOUD Acts, der US-Behörden unter bestimmten Umständen Zugriff auf im Ausland gespeicherte Daten ermöglicht. Mistral als einziger großer Anbieter mit EU-Sitz unterliegt ausschließlich europäischem Recht.
Für viele Anwendungsfälle – etwa den allgemeinen Einsatz von ChatGPT im Büroalltag – ist dieser Unterschied nachrangig. Aber sobald personenbezogene Daten, Gesundheitsdaten, Finanzdaten oder interne Strategiedokumente verarbeitet werden, wird die Jurisdiktionsfrage zum handfesten Beschaffungskriterium.
Souveränität jenseits des Hostings: Was wirklich zählt
Ein häufiger Irrtum: Datensouveränität bedeutet „Daten in der EU speichern und fertig." In Wirklichkeit umfasst sie 2026 deutlich mehr. Der Detecon-Bericht vom Weltwirtschaftsforum in Davos 2026 fasst es treffend zusammen: Europas regulatorisches Rahmenwerk – DSGVO, Data Act, NIS2, DORA und AI Act zusammengenommen – definiert Souveränität nicht nur über den Standort, sondern über Portabilität, Rechenschaftspflicht, Überprüfbarkeit, Cyberresilienz und Lebenszyklus-Governance.
Für kleinere Betriebe lässt sich das in fünf praktische Fragen übersetzen: Wo werden meine Daten physisch gespeichert und verarbeitet? Kann ich meine Daten und Konfigurationen bei einem Anbieterwechsel mitnehmen? Kann ich auf Anfrage nachweisen, wie mein KI-System Entscheidungen trifft? Wer kontrolliert die Verschlüsselungsschlüssel – ich oder der Anbieter? Und wie widerstandsfähig ist die Infrastruktur gegen Cyberangriffe oder Ausfälle?
Europäische Alternativen wachsen – aber es braucht Realismus
Neben Mistrals Infrastrukturoffensive gibt es weitere europäische Initiativen. Der Deutschland-Stack – eine Zusammenarbeit von Telekom, SAP, Siemens und ServiceNow – bietet einen souveränen Full-Stack für KI-Anwendungen mit 0,5 ExaFLOPS Rechenleistung. Die EU-Kommission fördert über die Apply-AI-Strategie und KI-Gigafactories gezielt den Aufbau europäischer Rechenkapazitäten. Und mit Open-Source-Modellen, die lokal betrieben werden können – sei es über Mistral, Llama oder Qwen –, gibt es erstmals praktikable Wege, KI ohne Cloud-Abhängigkeit einzusetzen.
Aber Realismus ist wichtig: Für die meisten kleineren Betriebe wird der pragmatische Weg 2026 eine Mischstrategie sein. Unkritische Aufgaben – Textentwürfe, Rechercheunterstützung, allgemeine Brainstorming-Hilfe – lassen sich problemlos über US-Dienste abwickeln. Für sensible Daten und regulierte Anwendungen empfiehlt sich eine EU-native Lösung oder zumindest eine Data-Residency-Konfiguration bei einem der großen Anbieter.
Checkliste: KI-Beschaffung mit Datenhoheit im Blick
Fazit: Datenhoheit ist kein Luxusthema – es ist Betriebsrisiko
Die Zeiten, in denen KI-Beschaffung eine reine IT-Entscheidung war, sind vorbei. 2026 ist es eine Geschäftsentscheidung, die Datenschutz, Compliance, Lieferantenrisiko und strategische Unabhängigkeit miteinander verbindet. Die gute Nachricht für kleinere Betriebe: Die Auswahl an Anbietern mit europäischen Data-Residency-Optionen war nie größer. OpenAI, Google und Anthropic haben ihr Angebot massiv erweitert. Mistral und andere europäische Anbieter bieten echte Alternativen mit EU-Jurisdiktion. Und die regulatorischen Anforderungen – so komplex sie klingen – bauen in den meisten Fällen auf bestehenden DSGVO-Prozessen auf.
Wer als kleines Unternehmen heute KI einkauft, sollte die sieben Fragen aus der Checkliste zur Grundlage jeder Beschaffungsentscheidung machen. Nicht weil es Pflicht ist – sondern weil es den eigenen Betrieb schützt.