Inhalt6
Am 3. Juni 2026 hat die Europäische Kommission den Cloud and AI Development Act vorgestellt, einen Verordnungsvorschlag, der die Kapazität der Rechenzentren in der Union in fünf bis sieben Jahren mindestens verdreifachen will. Am 20. Oktober 2026 wird der Text im Rat Artikel für Artikel geprüft, und nichts ist verabschiedet. Gleichzeitig erinnern zwei französische Ankündigungen vom Oktober daran, dass die Frage der „souveränen“ Cloud bereits in Verträgen entschieden wird.
Dieser Artikel aus unserer Rubrik Infrastruktur und Cloud fasst den Vorschlag auf Grundlage der Seiten der Kommission und des Verfahrensdatenblatts des Europäischen Parlaments zusammen. Er ist keine Rechtsberatung: Der Text kann sich während der Verhandlungen noch grundlegend ändern.
Kurz gesagt
- Der Cloud and AI Development Act ist ein Verordnungsvorschlag vom 3. Juni 2026: Er ist nicht verabschiedet und begründet noch keine Pflicht.
- Er soll die Kapazität europäischer Rechenzentren in fünf bis sieben Jahren mindestens verdreifachen, indem er die Genehmigungen beschleunigt.
- Er schlägt ein vierstufiges Souveränitätsraster vor, von der bloßen Lokalisierung der Daten bis zum Fehlen jeder externen Abhängigkeit, zunächst für die öffentliche Beschaffung.
- Für die Wahl eines Hosters heute bleibt in Frankreich die SecNumCloud-Qualifizierung der ANSSI, der französischen Behörde für Cybersicherheit, die Referenz, Angebot für Angebot.
Was schlägt der Cloud and AI Development Act vor?
Der Text mit dem Aktenzeichen COM(2026) 502 gehört zum Paket zur technologischen Souveränität, das zusammen mit einer neuen Fassung der Chip-Verordnung vorgestellt wurde. Laut der Seite der Kommission zu dem Text ruht er auf drei Säulen: Forschung und Innovation in Cloud und KI, die Kapazität der Rechenzentren und die Autonomie der Union. Die Größenordnungen sind folgende:
mindestens: die angestrebte Kapazität der Rechenzentren der Union in fünf bis sieben Jahren
der Zeithorizont, bis zu dem die nötige Kapazität erreicht sein soll
der Vertrauenswürdigkeit, um die Souveränität eines Cloud-Angebots zu bewerten
Um das zu erreichen, vereinfacht und harmonisiert der Vorschlag die Genehmigungen für Rechenzentren, mit erleichterten Verfahren in „Beschleunigungsgebieten“, und will den Zugang zu Energie, Grundstücken, Wasser und Finanzierung erleichtern. Er schafft außerdem einen gemeinsamen Rahmen für die Cloud-Beschaffung der Verwaltungen, damit diese ihre Kaufkraft bündeln, und unterstützt Open-Source-Lösungen.
Die vier vorgeschlagenen Souveränitätsstufen
Das ist der Teil, der einen Cloud-Käufer am meisten interessieren wird. Der Vorschlag definiert vier Vertrauensstufen, die öffentliche Stellen nach ihrer eigenen Risikoanalyse wählen würden. Laut der Seite der Kommission:
- Stufe 1: Die Daten werden in einer Infrastruktur innerhalb der Union verarbeitet und gespeichert.
- Stufe 2: Der Anbieter weist seine Unabhängigkeit von Drittstaaten und die Transparenz seiner Software-Lieferkette nach.
- Stufe 3: Der Anbieter ist im Besitz und unter Kontrolle aus der Union, mit zusätzlichen Kriterien wie der Staatsangehörigkeit des Personals; die Kommission kann Anbieter aus Drittstaaten anerkennen.
- Stufe 4: Der Anbieter hat vollständige Transparenz und Kontrolle über seine Software-Lieferkette, ohne jede Einflussnahme eines Drittstaats.
Die Mitgliedstaaten könnten einen Anbieter nach einem Audit auf einer bestimmten Stufe anerkennen. Das Raster zielt zunächst auf den öffentlichen Sektor; nichts verpflichtet ein privates Unternehmen, sich darauf zu beziehen, aber es liefert ein gemeinsames Vokabular, um einem Hoster die Frage zu stellen.
Das Wichtigste
Stufe 1, die Lokalisierung der Daten in der Union, schützt nicht vor extraterritorialen Gesetzen eines anderen Landes, wenn der Anbieter ihnen unterliegt. Das ist der ganze Unterschied zwischen einem Server in Europa und einem europäischen Anbieter, den wir in Kann man auf die amerikanischen Cloud-Riesen verzichten erläutern.
Wo stehen die Verhandlungen?
Der Text folgt dem ordentlichen Gesetzgebungsverfahren: Das Europäische Parlament und der Rat müssen ihn beide verabschieden.
- 3. Juni 2026
Die Kommission stellt den Vorschlag und seine Folgenabschätzung vor.
- 16. Juni 2026
Erste Prüfung in der Arbeitsgruppe „Telekommunikation und Informationsgesellschaft“ des Rates.
- 8., 22. und 29. September 2026
Prüfung Artikel für Artikel im Rat, von der öffentlichen Beschaffung bis zu jeder der drei Säulen.
- 6. Oktober 2026
Die Arbeitsgruppe hört den Juristischen Dienst des Rates zu dem Text an.
Die Termine des Rates stammen aus den vorläufigen Tagesordnungen, die der Rat der Europäischen Union veröffentlicht; das Verfahren trägt das Aktenzeichen 2026/0138(COD) in der Legislativen Beobachtungsstelle des Parlaments. Am 20. Oktober 2026 war weder eine Position des Parlaments noch des Rates verabschiedet, und daher ist auch kein Anwendungsdatum festgelegt.
Woran die Nachrichten vom Oktober erinnern
Zwei französische Ankündigungen des Monats zeigen, dass die Unternehmen nicht auf den europäischen Text warten:
- Das Taxiunternehmen G7 hat am 8. Oktober 2026 eine Partnerschaft mit S3NS offiziell gemacht, dem von Thales kontrollierten Gemeinschaftsunternehmen, das auf der Technologie von Google Cloud aufbaut, um einen Teil seiner Daten auf dem Angebot PREMI3NS zu hosten, das im Dezember 2025 die Qualifizierung SecNumCloud 3.2 erhielt, laut Le Monde Informatique. Der Rest seiner Daten bleibt in seinen eigenen Rechenzentren in Frankreich.
- Ein von Cloud Temple geführtes Konsortium, mit Thales, Bull, Vates und dem CEA, hat im Rahmen von France 2030 20 Millionen Euro vom französischen Staat erhalten, für ein Projekt von 47 Millionen Euro, das Ende 2028 zu einem französischen Cloud- und KI-Angebot für sensible Daten führen soll, laut Clubic.
Die erste Wahl ist hybrid, die zweite ist ein künftiges Angebot: Souveränität entsteht heute durch Verträge und Architektur, nicht durch ein einziges Label.
Was für die Wahl eines Hosters heute weiterhin gilt
Solange der Text nicht verabschiedet ist, gelten für ein Team von 20 bis 500 Personen drei Orientierungspunkte:
- Die Daten klassifizieren, bevor man wählt. Nicht alle erfordern dieselbe Stufe: Sensible oder regulierte Daten rechtfertigen ein qualifiziertes Angebot, der Rest kann bei einem großen Anbieter bleiben. Die Methode steht in unserem Leitfaden zum Cloud-Infrastrukturfundament, und ihr Gegenstück für KI-Modelle in den vier Stufen der privaten KI.
- Das Angebot prüfen, nicht den Anbieter. In Frankreich bezieht sich die SecNumCloud-Qualifizierung der ANSSI auf ein bestimmtes Angebot: Dieses prüft man im Katalog der Behörde, mit seinen Gültigkeitsdaten.
- Eine Ausstiegstür offenhalten. Der Data Act schafft die Gebühren für den Wechsel des Cloud-Anbieters zum 12. Januar 2027 ab, wie unser Kalender der Digitalregulierung in Erinnerung ruft; bleibt die Migrationsarbeit, die die Cloud-Migration, ohne alles kaputt zu machen beschreibt.
Wenn Ihre Daten durch KI-Werkzeuge laufen, kommen die Pflichten des AI Act hinzu, unabhängig vom Hoster: Sie sind in unserem Leitfaden zu AI Act und DSGVO für KMU zusammengefasst.
Aus der Praxis
Wir wenden dieses Raster auf unsere eigenen Entscheidungen an. Unser CRM Twenty läuft seit Anfang 2025 (interne Feststellung zum 20. Oktober 2026, für unsere eigenen Werkzeuge) auf einem Server, den wir selbst verwalten, neben unserer n8n-Automatisierung und unserer Reichweitenmessung. Diese Website dagegen wird seit dem 18. Oktober 2026 von einem amerikanischen Anbieter ausgeliefert, und die Kontaktanfragen werden dort in einem Speicher abgelegt, dessen Gerichtsbarkeit auf die Europäische Union festgelegt ist: Das ist Stufe 1 des Rasters, eine bewusste Lokalisierungsentscheidung für wenig sensible Daten, mit einem schriftlichen Rückfallverfahren.
Zu merkendes Datum: vorerst keines; der nächste Schritt ist die Verabschiedung einer Position durch den Rat und dann durch das Parlament. Um Ihr eigenes Fundament zu legen, mit klassifizierten Daten und Ausstiegstür, sehen Sie sich unser Angebot selbst gehosteter Stack an.
Häufige Fragen
Was ist der Cloud and AI Development Act?
Ein Vorschlag für eine europäische Verordnung, den die Kommission am 3. Juni 2026 vorgestellt hat. Er soll die Kapazität der Rechenzentren in der Union in fünf bis sieben Jahren mindestens verdreifachen, ihre Genehmigungen beschleunigen, einen gemeinsamen Rahmen für die Cloud-Beschaffung der Verwaltungen und ein vierstufiges Souveränitätsraster schaffen.
Gilt der Cloud and AI Development Act bereits?
Nein. Es ist ein Vorschlag, der seit Juni 2026 im Rat geprüft wird und den das Europäische Parlament und der Rat noch verabschieden müssen, jeder für sich und dann gemeinsam. Es ist kein Anwendungsdatum festgelegt, und der Inhalt kann sich während der Verhandlungen ändern, einschließlich des Souveränitätsrasters und des Kapazitätsziels.
Werden die vier Souveränitätsstufen für private Unternehmen verbindlich?
Der Vorschlag richtet sie zunächst an öffentliche Stellen, die eine Stufe nach ihrer Risikoanalyse wählen würden. Ein privates Unternehmen müsste sich nicht daran halten, aber das Raster liefert ihm klare Kriterien, um einen Hoster zu befragen: Lokalisierung, Unabhängigkeit, Kontrolle und Software-Lieferkette.
Sollte man auf diesen Text warten, um eine souveräne Cloud zu wählen?
Nein. In Frankreich dient die SecNumCloud-Qualifizierung der ANSSI bereits als Referenz für sensible Daten, Angebot für Angebot; in anderen Ländern gibt es eigene nationale Rahmen. Der künftige europäische Text kann nach seiner Verabschiedung hinzukommen, aber die Klassifizierung Ihrer Daten, die Wahl des Angebots und Ihre Ausstiegstür entscheiden Sie schon heute.
Quellen
- Der Seite der Kommission zu dem Text (neuer Tab)digital-strategy.ec.europa.eu
- Vorläufigen Tagesordnungen, die der Rat der Europäischen Union veröffentlicht (neuer Tab)data.consilium.europa.eu
- Legislativen Beobachtungsstelle des Parlaments (neuer Tab)oeil.europarl.europa.eu
- Le Monde Informatique (neuer Tab)lemondeinformatique.fr
- Clubic (neuer Tab)clubic.com
Vorläufigen Tagesordnungen, die der Rat der Europäischen Union veröffentlicht
Auf data.consilium.europa.eu lesen(neuer Tab)Jim · Gründer von Brain Plus AI
Ebenfalls lesenswert zu infrastruktur und cloud
Einordnen11 Min.
Souveräne Cloud: ohne die US-Giganten auskommen?
Europäische Anbieter halten nur noch 15 % ihres eigenen Cloud-Markts. Vollständige Souveränität ist außer Reichweite; selektive Souveränität dagegen beginnt damit, die eigenen Daten zu sortieren und einen Ausgang vorzusehen.
Praxisleitfaden12 Min. Der Leitfaden zum Thema
Cloud-Infrastruktur: das gemeinsame Fundament all Ihrer Projekte
Vor dem ersten Projekt regelt ein Fundament der Cloud-Infrastruktur ein für alle Mal Konten, Zugänge, Backups und Budget, und jedes folgende Projekt erbt es. Was es enthält, wo man es aufsetzt, was es kostet und warum sein Betrieb mehr zählt als seine Einrichtung.
Verstehen9 Min.
Zeitplan AI Act und Digitalrecht: die Fristen 2026 bis 2028
AI Act, Data Act, Cyber Resilience Act, NIS2, elektronische Rechnungsstellung und die ersten US-Gesetze: alle Termine, die für ein Unternehmen zählen, vom Herbst 2026 bis August 2028, auf einer einzigen, laufend aktualisierten Seite. Zu jeder Frist: wer betroffen ist und was vorzubereiten ist.