Kein zweiter Kniefall: Warum Europa souveräne KI und ein souveränes Office braucht

Der Kniefall, den wir längst gemacht haben

Fragen Sie sich einen Moment lang, wem die Infrastruktur gehört, auf der Ihr Unternehmen läuft. Die E-Mails, die Dokumente, die Tabellen, die Kalender, die Dateiablage, die Videokonferenzen. In den meisten europäischen Unternehmen lautet die Antwort: Microsoft, Amazon oder Google. Das Office kommt aus Redmond, die Cloud aus Seattle, die Zusammenarbeit läuft über Rechenzentren, die zwar physisch in Frankfurt oder Dublin stehen können, aber rechtlich einem Konzern unter US-Jurisdiktion gehören.

Das ist keine Randnotiz, sondern der digitale Kern der europäischen Wirtschaft. Über Jahre hinweg haben Unternehmen und Behörden ihre kritischste Infrastruktur in die Hände weniger US-Hyperscaler gelegt: bequem, integriert, scheinbar alternativlos. Man kann es nüchtern beim Namen nennen: Es war ein Kniefall. Ein freiwilliger Verzicht auf Kontrolle über die eigenen Daten und die eigene Handlungsfähigkeit, im Tausch gegen Komfort. Diese Abhängigkeit ist nicht mehr Zukunft, sie ist der Status quo.

Und jetzt, wo die nächste technologische Welle rollt (Künstliche Intelligenz), schickt sich Europa an, denselben Fehler ein zweites Mal zu machen. Nur diesmal nicht bei der Ablage, sondern bei der Denkarbeit selbst.

Ein aktueller Anlass, aber nicht das eigentliche Thema

Zuletzt hat die Debatte um Claude Fable, ein neues KI-Modell aus den USA, vielen Entscheidern schlagartig vor Augen geführt, wie abhängig man von einem einzelnen US-Anbieter werden kann. Doch wer daraus schließt, es gehe um dieses eine Produkt oder diese eine Firma, hat den Punkt verfehlt.

Der Anlass ist nicht das Thema, sondern das Symptom. Die eigentliche Frage ist strukturell, und sie betrifft jeden US-Anbieter im kritischen Pfad Ihres Unternehmens gleichermaßen: Anthropic, OpenAI, Microsoft, Amazon, Google. Alle fünf sind US-Unternehmen, alle fünf unterliegen US-Recht. Wer bei einem von ihnen ein Klumpenrisiko sieht, muss es bei allen sehen. Es geht nicht um die Güte eines Modells. Es geht um Kontrolle und Abhängigkeit.

Warum kein Vertrag Sie schützt

Der entscheidende Denkfehler vieler IT-Verantwortlicher lautet: „Wir haben doch einen Vertrag." Ein Enterprise-Agreement, ein Service-Level-Agreement, Auftragsverarbeitungsklauseln, ein Rechenzentrum in der EU. Alles vertraglich abgesichert. Nur: US-Recht schlägt Vertrag. Ein zivilrechtlicher Vertrag zwischen Ihnen und einem US-Konzern bindet den US-Konzern. Er bindet nicht die US-Regierung. Ein privatrechtlicher Vertrag steht immer unter dem öffentlichen Recht des Landes, in dem der Anbieter sitzt.

Und dieses Recht kennt mehrere Hebel, mit denen die US-Verwaltung den Zugang europäischer Unternehmen zu US-Diensten jederzeit einschränken oder abschalten kann:

• Der CLOUD Act verpflichtet US-Anbieter, auf Daten Zugriff zu gewähren, die ihrer Kontrolle unterliegen, unabhängig davon, wo auf der Welt die Server physisch stehen. Ein Rechenzentrum in Frankfurt ändert an der Zugriffsbefugnis nichts, solange der Betreiber ein US-Unternehmen ist. Der Serverstandort ist eine Beruhigungspille, keine Rechtsgrundlage.
• Sanktionen über das OFAC, das Office of Foreign Assets Control, können ganze Länder, Branchen oder einzelne Unternehmen von der Nutzung US-amerikanischer Dienste ausschließen. Wen eine solche Liste erfasst, dem wird der Dienst nicht gekündigt. Er wird gegenstandslos. Ein Anbieter, der weiter liefert, macht sich selbst strafbar.
• Exportkontrollen stufen fortgeschrittene Technologie (und dazu zählt zunehmend auch KI) als kontrollierte Güter ein. Was exportiert, genutzt oder bereitgestellt werden darf, entscheidet die US-Verwaltung, nicht der Anbieter und schon gar nicht der europäische Kunde. Was heute frei verfügbar ist, kann morgen unter Genehmigungsvorbehalt stehen.
• Executive Orders erlauben es der US-Exekutive, mit kurzer Frist verbindliche Vorgaben zu erlassen, die kommerzielle Verträge überschreiben. Die Vorlaufzeit für europäische Kunden ist dabei regelmäßig null.

Das sind keine hypothetischen Szenarien und keine Panikmache, sondern geltendes US-Recht, unter dem jeder US-Anbieter operiert. Die Schrems-Urteile des Europäischen Gerichtshofs haben genau diesen Konflikt offengelegt: Das Datenschutzniveau der EU und die Zugriffsbefugnisse US-amerikanischer Behörden sind grundsätzlich schwer vereinbar. Zwei transatlantische Datenschutzabkommen sind an dieser Spannung bereits gescheitert, und jede Nachfolgeregelung steht unter demselben Vorbehalt. Keiner dieser Mechanismen setzt böse Absicht voraus. Es genügt, dass sich politische oder rechtliche Rahmenbedingungen ändern, und der Zugang, den Sie für selbstverständlich hielten, ist zu einer Frage der Zuständigkeit anderer geworden.

Der Kill-Switch trifft nicht ein Tool, sondern den ganzen Stack

Die gefährlichste Fehleinschätzung ist, das Risiko auf ein einzelnes Werkzeug einzugrenzen. Der Einwand „Wir suchen halt eine Alternative für das KI-Modell" greift viel zu kurz. Denn der Hebel liegt nicht bei einem Produkt, sondern bei der Jurisdiktion. Und die reicht durch den gesamten Stack.

Stellen Sie sich vor, ein Zugang würde tatsächlich eingeschränkt: über Sanktionen, über Exportkontrollen, über eine kurzfristige Anordnung. Was wäre betroffen? Nicht nur das KI-Modell, das Ihre Texte schreibt. Sondern potenziell das Office, in dem Sie diese Texte verfassen. Die Cloud, in der sie liegen. Der E-Mail-Dienst, über den sie versendet werden. Die Videokonferenz, in der sie besprochen werden. Wenn Office, Cloud und KI alle bei US-Anbietern liegen, ist das kein diversifiziertes Portfolio. Es ist ein einziger, zusammenhängender Abhängigkeitsblock unter einer einzigen Rechtsordnung. Die Abhängigkeiten sind nicht nebeneinander gestapelt, sie sind ineinander verschraubt.

Ein Kill-Switch trifft dann nicht ein Tool. Er trifft die Arbeitsfähigkeit des ganzen Unternehmens. Genau das macht die aktuelle Situation so heikel: Der erste Kniefall bei Cloud und Office ist längst geschehen. Wer jetzt auch noch die KI-Schicht (das Herzstück der künftigen Wertschöpfung) auf dieselben US-Anbieter setzt, verdoppelt die Falle nicht nur, er zurrt sie fest. Ein zweiter Kniefall, tiefer als der erste, an einer Schicht, die bis in Entscheidungsprozesse, Wissensarbeit und vertrauliche Kommunikation hineinreicht.

Souveränität ist keine Ideologie, sie ist Risikomanagement

Hier wird gern der Vorwurf laut, das sei antiamerikanisch oder technologiefeindlich. Das Gegenteil ist der Fall. US-Technologie ist leistungsfähig, und die genannten Unternehmen bauen herausragende Produkte. Darum geht es nicht. Es geht um eine nüchterne betriebswirtschaftliche Frage: Wollen Sie, dass die Handlungsfähigkeit Ihres Unternehmens von Entscheidungen abhängt, die in einer fremden Hauptstadt getroffen werden und auf die Sie null Einfluss haben?

Kein seriöser Geschäftsführer würde seine gesamte Lieferkette von einem einzigen Zulieferer in einem einzigen Rechtsraum abhängig machen, der jederzeit den Hahn zudrehen kann. Bei physischen Gütern ist das eine Selbstverständlichkeit. Bei digitaler Infrastruktur wurde dieselbe Grundregel jahrelang ignoriert. Digitale Souveränität ist deshalb keine politische Haltung, sondern schlicht Risikomanagement: die Fähigkeit, unter allen Umständen handlungsfähig zu bleiben. Ein leistungsfähiges Werkzeug bleibt wertlos, wenn ein Dritter über seine Verfügbarkeit entscheidet. Kontrolle schlägt Komfort, sobald der Ernstfall eintritt.

Nexoria: Datenwege und Anbieter nachvollziehen

Genau an diesem Punkt setzt Nexoria an. Für die Bewertung unserer Plattform benennen wir die einzelnen Verarbeitungsschritte und ihre Anbieter. Dateiablage und Suche sind von der KI-Antwortgenerierung sowie zusätzlichen Diensten und aktivierten Integrationen zu unterscheiden.

• Dateien und Suche in Deutschland. Backend, Datenbanken, Wissensindex und lokale Modelle für Embeddings und semantische Suche laufen auf Servern in Deutschland.
• Antworten aus Frankreich. Mistral AI verarbeitet die für die KI-Antwortgenerierung benötigten Inhalte in Frankreich. Die von Nexoria übermittelten Daten werden nach dem individuellen Auftragsverarbeitungsvertrag nicht für Modelltraining verwendet.
• Weitere Dienste getrennt prüfen. Die technische Fehlerüberwachung über Sentry, optionale E-Mail-Integrationen und der Telefonanschluss über Telnyx beim VoiceBot sind unter [Sicherheit](/security) mit ihren Datenwegen aufgeführt.
• Ein gemeinsamer Arbeitsplatz. Doc, Calc und Slides für Dokumente, Tabellen und Präsentationen, Mail für die Kommunikation, Drive für Dateien und Wissensbasis sowie Meet für Videokonferenzen gehören zur Nexoria-Produktfamilie. Die Datenwege hängen von den jeweils genutzten Funktionen ab.
• Offline-Verfügbarkeit. Als native Anwendung bleiben zentrale Funktionen verfügbar, auch wenn die Verbindung nach außen unterbrochen ist. Für die Nutzung externer KI-Dienste ist eine Verbindung erforderlich.

Diese Aufteilung macht die beteiligten Dienste überprüfbar. Sie ist keine Garantie, dass sämtliche Funktionen unabhängig von externen Anbietern oder rechtlichen und technischen Änderungen verfügbar bleiben.

Die Entscheidung steht jetzt an

Der erste Kniefall bei Cloud und Office lässt sich nicht ungeschehen machen, aber der zweite lässt sich verhindern. Die KI-Schicht wird gerade erst gebaut. Jedes Unternehmen entscheidet in diesen Monaten, auf welchem Fundament seine künftige Wertschöpfung ruht. Diese Entscheidung ist keine reine IT-Frage, sondern eine strategische Weichenstellung darüber, wer künftig die Kontrolle über Ihren digitalen Kern hat: Sie selbst oder eine Rechtsordnung, an der Sie nicht beteiligt sind.

Der aktuelle Anlass hat vielen die Augen geöffnet. Die kluge Reaktion ist nicht, hektisch einen US-Anbieter gegen den nächsten zu tauschen, sondern die Abhängigkeit an der Wurzel zu durchbrechen. Souveränität entsteht nicht durch bessere Verträge mit denselben Anbietern, sondern durch eine andere Architektur: eine, in der kein einziger kritischer Baustein einer fremden Rechtsordnung untersteht. Souveräne KI und ein souveränes Office, beides aus Europa, beides in Ihrer Hand.

Kein zweiter Kniefall.

Bereit für den nächsten Schritt? Lernen Sie Nexoria in einer persönlichen Demo kennen: Dateien und Suche in Deutschland, KI-Antwortgenerierung durch Mistral AI in Frankreich.

• Christian Klever ist CTO und Co-Founder von Nexoria Systems, Caan Grueneberg ist CEO und Co-Founder.