Wochenbericht KW 41: EU weitet Auskunftsersuchen aus, geleakter DSGVO-KI-Entwurf, Mistral vs. Ecosia

Thema: AI-Act-Durchsetzung eskaliert

Virkkunen bestätigte im dpa-Interview (09.10.): Brüssel verlangt von OpenAI/Anthropic Auskunft, da deren Testsysteme unbeabsichtigt andere Firmen angriffen; auch ungenannte chinesische Firmen mussten antworten. Fortsetzung der Juli-Eskalation (erst 'im Gespräch', dann Ersuchen an 30+ Anbieter). Bußgeld bis 15 Mio./3% Umsatz möglich.

Strategische Relevanz: Erste explizite Einbeziehung chinesischer Anbieter in die AI-Act-Durchsetzung markiert eine neue Eskalationsstufe gegenüber der bisher auf westliche Frontier-Labore fokussierten Praxis.

EU-/DE-Impact: Direkt, EU-weit – Kernvollzug der AI-Act-Aufsicht über GPAI-Systemrisiko-Anbieter.

Einordnung: Für Governance-Verantwortliche: die Auskunftsersuchen-Kette wird konkreter und geografisch breiter, bleibt aber bislang nur über ein Kommissarin-Interview, nicht über ein offizielles Dokument bestätigt.

Thema: DSGVO-Digital-Omnibus-Konflikt um KI-Training

noyb veröffentlichte (21.09., Lücke 21.-27.09.) 'LIMITE'-Ratsdokumente: der irische Kompromisstext würde KI-Datenverarbeitung pauschal als 'berechtigtes Interesse' vermuten (Art. 88c/88bis) – ohne Einwilligung, auch für Nicht-Kunden. Deutschland schlage laut noyb Verschärfungen vor. Schrems nennt es 'digitale Enteignung'.

Strategische Relevanz: Erste Dokumentation dieses Rats-Standes hier; zeigt DSGVO-seitigen Deregulierungsdruck parallel zur AI-Act-Durchsetzung.

EU-/DE-Impact: Direkt, EU-weit – beträfe die Rechtsgrundlage für KI-Training auf personenbezogenen EU-Daten strukturell.

Einordnung: Für Compliance-Teams: ein Verhandlungstext, keine Norm – aber ernstzunehmend, da Staaten die Linie laut noyb informell mittragen. Die EDPB/EDPS-Stellungnahme vom 10.02. hielt eine eigene Vorschrift noch für unnötig.

Thema: Europäische KI-Souveränität unter Spannung

Mistral veröffentlichte 'Large 4' (06.10.), Aleph Alpha sein offenes 'Kolibri' (Nachtrag 03.10.) – beide als souveräne EU-Modelle positioniert. Zwei Tage später trennte sich Ecosia von Mistral (08.10.): Kroll nannte technische Rückstände und Frankreichs Atomstrom als Gründe, zweifelte zudem Mistrals Souveränität wegen dessen Nvidia-/Samsung-Investoren an.

Strategische Relevanz: Erster Fall, in dem ein EU-Kunde öffentlich die Souveränitätsrhetorik eines EU-Anbieters infrage stellt – ein Riss in der Erzählung.

EU-/DE-Impact: Direkt, Deutschland/EU – zwei deutsche Anbieter mit neuen Flaggschiffmodellen, ein deutscher Kunde mit öffentlichem Bruch.

Einordnung: Für Beschaffungsentscheider: 'europäische Souveränität' ist kein einheitlich geprüftes Kriterium, sondern je Anbieter unterschiedlich belastbar – Krolls Kritik ist seine eigene Bewertung.

Thema: Nationales Vollzugsrecht gegen KI-Rechenzentren

Finnlands Behörde LVV ordnete am 06.10. an, dass Google (Tuike Finland) den Bau an zwei Standorten (Muhos, Kajaani) bis 23.10. stoppt – mangels Umweltprüfung, obwohl bereits über 500ha Wald gerodet wurden. Stellungnahme bis 14.10. fällig. Betroffen: Googles größte Europa-Investition. Diese Lücke vom 06.10. wurde erst nachträglich entdeckt.

Strategische Relevanz: Konkrete Durchsetzung nationalen Umweltrechts gegen eine der größten laufenden KI-Infrastrukturinvestitionen in der EU – ein seltenes Beispiel realer behördlicher Handlungsmacht gegenüber Big-Tech-Rechenzentrumsausbau.

EU-/DE-Impact: Direkt – Finnland ist EU-Mitgliedstaat; kein expliziter Bezug zur EU-UVP-Richtlinie in den Quellen, bleibt rein nationales Verwaltungsrecht.

Einordnung: Für Infrastruktur-/Standort-Verantwortliche: nationales Umweltrecht kann milliardenschwere KI-Rechenzentrumsprojekte auch in der Bauphase stoppen, unabhängig vom AI Act.

Thema: Enterprise-AI als Kapitalmarktthema

Am KI-Investorentag in Bonn (05.10.) nannte Deutsche Telekom 2030-Ziele: ~2,5 Mrd. Euro Kosteneinsparungen, KI-Umsatz außerhalb der USA von ~250 Mio. Euro (2026) auf ~800 Mio. Euro (2030). 'Frag Magenta' verzeichnete 2,6 Mio. Kundenkontakte in H1/2026; US-Service-Anrufe sanken um 55%. Die Münchner 'Industrial AI Cloud' wird als 'souveräne KI' positioniert.

Strategische Relevanz: Einer der ersten konkret bezifferten KI-Geschäftspläne eines DAX-Konzerns macht KI explizit zum Kapitalmarktthema – ein mögliches Vorbild für andere deutsche Großkonzerne.

EU-/DE-Impact: Direkt, Deutschland – DAX-Konzern mit eigenem KI-Investorentag und konkreten Finanzzielen.

Einordnung: Die 2030-Ziele sind Unternehmensprognosen, keine extern geprüften Werte; die 'Souveränitäts'-Framing der Industrial AI Cloud bleibt Eigendarstellung der Telekom.

Thema: AI-Act-Transparenzpflichten in der Praxis

OpenAI beschrieb (Nachtrag 05.10.) ein EU-Text-Wasserzeichen ('textGrain') für ChatGPT/Codex, mit Bezug zum AI-Act-Transparenz-Code-of-Practice; eigene Grenze: 25% Wortersatz senkt Erkennung von ~92% auf 17%. Google öffnete (07.10.) seinen SynthID-Detektor breit (180 Mrd. markierte Inhalte); ein AI-Act-Bezug wird von Google selbst nicht hergestellt.

Strategische Relevanz: Dritter/vierter große Anbieter einer seit August laufenden Wasserzeichen-Serie – ein De-facto-Standard entsteht parallel zur formellen AI-Act-Normungsarbeit.

EU-/DE-Impact: Bei OpenAI direkt (eigene AI-Act-Code-Referenz), bei Google indirekt – der AI-Act-Bezug ist dort nur Einordnung dieses Briefings, keine Google-Aussage.

Einordnung: Für Compliance-Verantwortliche: Wasserzeichen wird marktüblich, bleibt aber laut OpenAI durch einfache Textbearbeitung leicht unterlaufbar.

Thema: Deutsche Datenschutzaufsicht in Bewegung

Prof. Dr. Moritz Hennemann trat (Nachtrag 01.10.) als neuer Bundesdatenschutzbeauftragter sein Amt an, als Nachfolger von Louisa Specht-Riemenschneider. Parallel warnten die Landesbehörden Niedersachsens (01.10.) und Berlins (02.10., eigene PM), später auch Hamburgs, vor Datenschutzrisiken durch OpenAIs geplante personalisierte ChatGPT-Werbung in der EU.

Strategische Relevanz: Personelle Neubesetzung der zentralen deutschen Datenschutzbehörde fällt mit einem frühen, geschlossenen Warnsignal mehrerer Landesbehörden gegenüber einem noch nicht live geschalteten OpenAI-Produkt zusammen.

EU-/DE-Impact: Direkt, Deutschland – BfDI als Faktenanker-Behörde; drei Landesdatenschutzbehörden als Primärquellen zu einem EU-weiten OpenAI-Vorhaben.

Einordnung: Für Datenschutzverantwortliche: deutsche Aufsichtsbehörden positionieren sich präventiv, bevor ein Produkt live geht – ein Hinweis, kein Verfahren oder Bußgeld.