CADA: Europas Cloud- und KI-Infrastruktur im Fokus

Mit dem Cloud and AI Development Act (CADA) will die Europäische Union ihre Position im internationalen Wettbewerb um Cloud-Infrastruktur und Künstliche Intelligenz (KI) stärken. Der Vorschlag soll Investitionen erleichtern, neue Rechenkapazitäten schaffen und Europas Abhängigkeit von Anbietern aus Drittstaaten reduzieren.

Gleichzeitig wirft CADA wichtige Datenschutzfragen auf. Denn die Förderung europäischer KI soll auch durch einen besseren Zugang zu Daten für Entwicklung und Training unterstützt werden. Der Europäische Datenschutzbeauftragte (EDPS) begrüßt die Ziele grundsätzlich, fordert jedoch klare Grenzen: Cloud-Souveränität dürfe nicht mit Datenschutzkonformität gleichgesetzt werden.

CADA ist Teil der europäischen Strategie für mehr technologische Souveränität. Die Europäische Kommission sieht insbesondere langwierige Genehmigungsverfahren, begrenzten Zugang zu Energie, Land und Finanzierung sowie die starke Abhängigkeit von außereuropäischen Cloud-Anbietern als Herausforderungen.

Der Vorschlag konzentriert sich deshalb auf drei Bereiche: Forschung und Innovation, zusätzliche Rechenkapazitäten sowie größere technologische Autonomie.

Besonders ambitioniert ist der geplante Ausbau der Infrastruktur. Die Rechenzentrumskapazität innerhalb der Europäischen Union soll innerhalb von fünf bis sieben Jahren mindestens verdreifacht werden. Gleichzeitig sollen Genehmigungsverfahren für Rechenzentren beschleunigt und der Zugang zu Energie, Wasser, Flächen und Finanzierung verbessert werden.

CADA sieht außerdem einen einheitlichen europäischen Rahmen zur Bewertung der Cloud- und KI-Souveränität vor. Dieser soll vier unterschiedliche Sicherheits- beziehungsweise Souveränitätsstufen umfassen.

Auf der niedrigsten Stufe reicht es aus, wenn Daten innerhalb der Europäischen Union verarbeitet und gespeichert werden. Höhere Stufen stellen zusätzliche Anforderungen an die Unabhängigkeit von Drittstaaten, die Kontrolle der Software-Lieferkette sowie Eigentums- und Kontrollstrukturen der Anbieter.

Gerade für öffentliche Stellen und kritische Sektoren soll dadurch besser beurteilt werden können, welche Cloud-Angebote den jeweiligen Anforderungen an strategische Autonomie entsprechen.

Aus Datenschutzsicht ist entscheidend, dass diese Souveränitätsstufen keine eigene Datenschutz-Zertifizierung darstellen.

Der EDPS begrüßt zwar das Ziel, Europas digitale Souveränität und Resilienz zu stärken. Er betont jedoch, dass die Datenschutz-Grundverordnung (DSGVO) und die weiteren europäischen Datenschutzvorschriften weiterhin Ausgangspunkt jeder Verarbeitung personenbezogener Daten bleiben müssen.

Insbesondere dürfen sogenannte „Union Assurance Levels“ nicht so verstanden werden, als würden sie automatisch die Einhaltung der DSGVO bestätigen.

Auch die Speicherung von Daten innerhalb Europas löst nicht sämtliche Datenschutzfragen. Sobald personenbezogene Daten an Empfänger in Drittstaaten übermittelt oder aus Drittstaaten darauf zugegriffen werden kann, müssen die Vorgaben für internationale Datentransfers weiterhin eingehalten werden.

Der Vorschlag ist zugleich mehr als ein Infrastrukturgesetz. Er markiert einen möglichen Wandel in der europäischen KI-Politik.

Während die KI-Verordnung vor allem Risiken, Verbote und Anforderungen an Hochrisiko-Systeme reguliert, setzt CADA stärker auf Förderung und praktische Einführung. Der sogenannte „AI first“-Ansatz soll Unternehmen und öffentliche Stellen dazu bewegen, KI stärker als mögliche Lösung für bestehende Herausforderungen zu berücksichtigen.

Mitgliedstaaten sollen dazu nationale Cloud- und KI-Strategien entwickeln und sogenannte Centers for AI schaffen. Diese sollen insbesondere die Verbreitung von KI in strategischen Wirtschaftsbereichen und im öffentlichen Sektor beschleunigen.

Ein besonders datenschutzrelevanter Punkt ist die geplante Verbesserung der Datenverfügbarkeit.

Nationale Cloud- und KI-Strategien sollen Maßnahmen enthalten, mit denen der Zugang zu hochwertigen Daten für die KI-Entwicklung verbessert und bestehende Datenengpässe reduziert werden.

Dabei geht es sowohl um nicht personenbezogene als auch um personenbezogene Daten. Vorgesehen sind unter anderem Ansätze für gemeinsames KI-Training und die Wiederverwendung von Daten im öffentlichen Sektor oder Gesundheitsbereich.

Der Vorschlag setzt dabei teilweise auf datenschutzfreundliche Technologien. Genannt werden beispielsweise föderiertes Lernen, sichere Verarbeitungsumgebungen, Verschlüsselung, Pseudonymisierung, Anonymisierung und synthetische Daten.

Diese technischen Maßnahmen können Datenschutzrisiken reduzieren. Sie ersetzen jedoch nicht die Prüfung, ob personenbezogene Daten überhaupt rechtmäßig für die Entwicklung oder das Training eines KI-Systems verarbeitet werden dürfen.

CADA zeigt damit eine neue Schwerpunktsetzung der europäischen Digitalpolitik. Neben Regulierung und Risikobegrenzung treten stärker Industriepolitik, Infrastrukturaufbau und die Förderung von KI.

Gerade diese Verbindung macht eine klare Abgrenzung wichtig. Digitale Souveränität, europäische Datenhaltung und leistungsfähige Infrastruktur können den Datenschutz unterstützen, garantieren ihn aber nicht automatisch.

Unternehmen und öffentliche Stellen werden deshalb auch unter CADA prüfen müssen, auf welcher Rechtsgrundlage personenbezogene Daten verarbeitet werden, welche Daten tatsächlich erforderlich sind und ob internationale Datenübermittlungen zulässig sind.

Mit CADA will die Europäische Union ihre Cloud- und KI-Infrastruktur erheblich ausbauen und ihre strategische Abhängigkeit von Drittstaaten reduzieren. Gleichzeitig soll Europa KI nicht mehr nur regulieren, sondern Entwicklung und Einsatz aktiv fördern.

Datenschutzrechtlich entscheidend bleibt jedoch, dass technologische Souveränität nicht mit DSGVO-Konformität verwechselt wird. Gerade wenn CADA den Zugang zu Daten für KI-Training erleichtern soll, müssen Zweckbindung, Rechtsgrundlage, Datenminimierung und internationale Datentransfers weiterhin eigenständig geprüft werden.