Wenn Sie die Diskussion rund um den geplanten Cloud and AI Development Act (CADA) der Europäischen Union verfolgt haben, könnten Sie leicht zu einem von zwei Extremen kommen:
Entweder hat Europa endlich alle Herausforderungen rund um digitale Souveränität gelöst – oder globale Cloud-Anbieter stehen kurz davor, komplett vom europäischen Markt zu verschwinden.
Wie so oft liegt die Wahrheit irgendwo dazwischen.
In Gesprächen mit Kunden in ganz Europa begegnen mir beide Sichtweisen. Einige befürchten, dass CADA vor allem zusätzliche Komplexität bringt, ohne die eigentlichen Probleme zu lösen. Andere sehen darin das Ende der Hyperscaler in Europa. Beides greift zu kurz.
Aus meiner Sicht ist CADA weder ein Allheilmittel noch ein Grund zur Sorge. Es ist ein wichtiger Schritt, weil es einen klareren Rahmen schafft, um Souveränitätsrisiken bewusster zu steuern.
Diese Risiken verschwinden dadurch aber nicht einfach – und genau das sollte man im Blick behalten.
Bei digitaler Souveränität geht es im Kern um Geschäftsrisiken
Wenn wir über digitale Souveränität sprechen, wird es schnell technisch. Dabei ist das Thema im Kern ein ganz klassisches Geschäftsthema. Oder anders gesagt: Es geht um Risikomanagement – und das wird im Zeitalter von KI immer wichtiger.
Unternehmen bewerten täglich unterschiedlichste Risiken – von Cyberangriffen über Betriebsstörungen bis hin zu Lieferkettenproblemen oder Naturkatastrophen. Digitale Souveränität gehört genau in diese Kategorie.
KI verändert dabei die Perspektive. Anders als klassische Anwendungen speichern KI-Systeme Daten nicht nur, sie verarbeiten sie aktiv, lernen daraus und treffen auf dieser Basis Entscheidungen. Deshalb geht es bei Souveränität nicht mehr nur darum, wo Daten liegen, sondern auch darum, wo Intelligenz entsteht, wie sie gesteuert wird und ob Entscheidungen nachvollziehbar bleiben.
Digitale Souveränität lässt sich dabei in drei zentrale Bereiche unterteilen:
- Datensouveränität
- Operative Souveränität
- Technische Souveränität
In der Praxis drehen sich die Fragen oft um ganz konkrete Risiken:
- Könnte eine ausländische Regierung Zugriff auf sensible Daten bekommen?
- Könnten geopolitische Spannungen den Zugang zu wichtiger Technologie einschränken?
- Entstehen rechtliche Risiken durch die Rechtsordnung eines Anbieters?
Das sind keine rein technischen Fragen – das sind Themen für die Unternehmensführung. Genau deshalb sollte CADA als strategischer Rahmen verstanden werden.
Bei CADA geht es um mehr Kontrolle, nicht um vollständige Abschottung
Ein häufiges Missverständnis ist, dass CADA Hyperscaler ausschließt oder Unternehmen in abgeschottete IT-Umgebungen zwingt. Das ist nicht der Fall.
Vielmehr wird CADA voraussichtlich klarere Anforderungen an Souveränitätskontrollen definieren – und gleichzeitig ermöglichen, weiterhin von globalen Cloud-Ökosystemen zu profitieren.
Tatsächlich bewegt sich der Markt ohnehin schon in diese Richtung. Hyperscaler investieren zunehmend in souveräne Cloud-Angebote: lokale Betriebsmodelle, eingeschränkte Zugriffsrechte, kundenseitig gesteuerte Verschlüsselung, isolierte Umgebungen oder partnerbasierte Modelle für stark regulierte Workloads.
Die eigentliche Frage ist also nicht „Hyperscaler oder Europa“, sondern: Wie lassen sich globale Cloud-Fähigkeiten, europäische Anforderungen und souveräne Betriebsmodelle sinnvoll kombinieren?
Für viele Unternehmen bedeutet das: Es geht nicht um ein Entweder-oder zwischen Public Cloud und eigener Infrastruktur, sondern um den richtigen Mix – je nach Risiko und Anforderung.
Der risikobasierte Ansatz in der Praxis
Ein gutes Beispiel dafür ist der Bankensektor. Banken arbeiten schon lange mit genau diesem Ansatz: Hochsensible Kernsysteme bleiben streng kontrolliert, während weniger kritische Anwendungen – etwa Analytics oder Kundenservices – in die Public Cloud verlagert werden, wenn der Nutzen überwiegt.
CADA schafft dafür nun einen klareren Rahmen und erweitert die verfügbaren Optionen zwischen klassischer Public Cloud und vollständig eigener Infrastruktur.
Für Banken – und viele andere Branchen – wird die Entscheidungsfindung dadurch strukturierter: Welche Workloads können in der Standard-Cloud bleiben? Wo sind zusätzliche souveräne Kontrollen nötig? Und wo braucht es vollständig isolierte Umgebungen?
Im Grunde wird damit ein Ansatz formalisiert, den viele regulierte Unternehmen ohnehin schon verfolgen.
Ziel ist Kontrolle – nicht komplette Unabhängigkeit
Ein weiteres Missverständnis ist die Vorstellung, Europa könne sich vollständig von außereuropäischen Technologieanbietern unabhängig machen. Aktuell ist das schlicht nicht realistisch.
Es gibt derzeit keinen vollständig europäischen Technologie-Stack, der alle Anforderungen abdecken könnte. Trotzdem versuchen manche Unternehmen, möglichst alle ausländischen Komponenten zu vermeiden. Das ist verständlich – aber oft nicht praktikabel und mit erheblichen Kompromissen verbunden.
Natürlich gibt es Szenarien, in denen geopolitische Spannungen Auswirkungen haben könnten. Entscheidungen sollten aber auf realistischen Risikobewertungen basieren – nicht auf Extremannahmen.
Am Ende geht es darum, die richtige Balance zu finden: ausreichend Kontrolle, ohne sich unnötig einzuschränken.
Wie berechtigt ist die Kritik an CADA?
Viele Kritikpunkte an CADA tauchen immer wieder auf. Schauen wir uns einige davon an.
„CADA ist protektionistisch und bremst Innovation.“
Diese Sorge ist nachvollziehbar. In der Praxis müssen Unternehmen aber nicht zwischen Innovation und Souveränität wählen. Erfolgreiche Strategien kombinieren beides: Hyperscaler dort, wo sie sinnvoll sind, souveräne Lösungen dort, wo sie notwendig sind, und hybride Modelle dazwischen.
„CADA macht alles teurer und komplizierter.“
Das kommt darauf an, womit man vergleicht.
Ja, zusätzliche Kontrollen können Kosten verursachen. Aber im Vergleich zum Aufbau und Betrieb eigener Infrastruktur können souveräne Cloud-Lösungen sogar effizienter sein.
Wichtiger ist: CADA fördert einen differenzierten Umgang mit Workloads. Nicht alles braucht das höchste Maß an Souveränität. Ein gezielter Ansatz hilft, Kosten im Griff zu behalten.
„Europa hat nicht genug eigene Kapazitäten.“
Das stimmt teilweise. Das europäische Ökosystem entwickelt sich noch, und es gibt Lücken.
Aber Fortschritt muss nicht perfekt sein. Unternehmen können schrittweise vorgehen: bestehende Cloud-Angebote nutzen und gleichzeitig gezielt souveräne Fähigkeiten aufbauen.
Ein gutes Beispiel für funktionierende internationale Zusammenarbeit ist die Angemessenheitsvereinbarung zwischen der EU und Japan. Sie ermöglicht den sicheren Datenaustausch ohne zusätzliche Hürden und zeigt, dass Souveränität auch durch vertrauenswürdige Partnerschaften entstehen kann.
„Die Regeln sind zu unklar.“
Auch das ist ein berechtigter Punkt. Regulierung lässt oft Spielraum, weil sich Technologie schneller entwickelt als Gesetze.
Für Unternehmen bedeutet das: Sie müssen die Vorgaben in konkrete Architektur- und Betriebsmodelle übersetzen. Dabei hilft Erfahrung – und ein klarer Blick auf das eigene Risikoprofil.
Welche Branchen sind zuerst betroffen?
Langfristig wird CADA viele Branchen betreffen. Einige werden die Auswirkungen aber früher spüren.
Dazu gehören vor allem Energie- und Versorgungsunternehmen, die kritische Infrastruktur betreiben und gleichzeitig stark modernisieren müssen.
Auch Banken, Pharmaunternehmen, Verteidigungsorganisationen und der öffentliche Sektor stehen besonders im Fokus.
Warum CADA auch eine Chance ist
CADA sollte kein Grund zur Verunsicherung sein, sondern eine Chance für bessere Entscheidungen.
Es geht nicht darum, alles sofort souverän zu machen. Der erste Schritt ist, die eigenen Risiken zu verstehen, Workloads sinnvoll zu klassifizieren und darauf basierend eine klare Strategie zu entwickeln.
Bei NTT DATA unterstützen wir Sie dabei, genau diese Balance zu finden: zwischen Kontrolle und Offenheit, zwischen Sicherheit und Innovation.
Unser Ansatz kombiniert Souveränitätsanalysen, Workload-Klassifizierung und eine schrittweise Umsetzung. So können Sie bestehende Cloud-Lösungen weiter nutzen – und gleichzeitig dort gezielt souveräne Strukturen aufbauen, wo es wirklich notwendig ist.
IHR NÄCHSTER SCHRITT
Erfahren Sie mehr über die Private and Sovereign AI Services von NTT DATA und sprechen Sie mit uns darüber, wie Sie KI-Kontrolle im großen Maßstab umsetzen können – für mehr Autonomie, Resilienz und Wettbewerbsvorteile.