Souveränität gibt es nicht im Abo

Über den drei materiellen Ebenen dieser Reihe liegt eine vierte, die alles andere rahmt: Wer legt fest, unter welchen Bedingungen so ein System überhaupt zulässig ist? Und was folgt daraus für eine Beratungsstelle mit drei Vollzeitstellen, die kein Rechenzentrum betreiben und keine Kanzlei bezahlen kann?

Dieser letzte Teil muss zwei Dinge leisten, die schwer zusammenpassen. Er muss eine brauchbare Empfehlung geben – sonst war die ganze Reihe eine Problembeschreibung ohne Ausgang. Und er muss ehrlich bleiben, auch da, wo die ehrliche Antwort der eigenen Erwartung widerspricht – gerade der von denen, die Big-Tech-Macht am schärfsten kritisieren. Denn eine Reihe, die vier Teile lang die Abhängigkeit von Big Tech kritisiert und am Ende „hostet halt alles selbst" ruft, wäre genau die wohlfeile Zuspitzung, um die es mir hier nicht geht. Am Ende steht deshalb keine Erlösung, sondern eine Richtung – und die zeigt weiter, als eine einzelne NGO gehen kann.

Die Pflicht, die zugleich das beste Werkzeug ist

Bevor eine Organisation ein KI-System mit sensiblen Daten in Betrieb nimmt, verlangt die DSGVO in Artikel 35 unter bestimmten Bedingungen eine Datenschutz-Folgenabschätzung – eine strukturierte Vorabprüfung der Risiken. Die deutschen Aufsichtsbehörden führen dafür eine „Muss-Liste", und darauf stehen genau die Zutaten eines NGO-Wissenssystems: die umfangreiche Verarbeitung besonderer Kategorien und der Einsatz neuer Technologie. In der Praxis heißt das: Für die allermeisten dieser Vorhaben ist die Folgenabschätzung nicht Kür, sondern Pflicht.

Das klingt nach Bürokratie, nach dem Formular, das man in der Bezirksverwaltung dreimal ausfüllt und zweimal verliert. Aber es ist ein Glücksfall. Denn die Folgenabschätzung zwingt dazu, genau die Fragen dieser Reihe der Reihe nach zu beantworten: Welche Daten fließen wohin (Teil 1)? Wer kann darauf zugreifen (Teil 2)? Was passiert bei einer Löschung (Teil 3)? Sie ist damit kein Formular, das man abhakt, sondern das Dokument, in dem eine Organisation ehrlich mit sich selbst wird – und zugleich der Nachweis, dass man seine Verantwortung ernst genommen hat, falls doch einmal jemand fragt. Wer sie gründlich macht, hat die halbe Reihe schon abgearbeitet. Wer sie überspringt, spart eine Woche Arbeit und riskiert alles.

Auch die Gegenrichtung stimmt nicht: „KI-Gesetz" heißt nicht „ab morgen streng"

Diesmal kommt die Fehlannahme aus der Verunsicherung, nicht aus der Empörung. Viele erwarten, der EU AI Act reguliere nun jedes KI-System scharf und sofort. Beides stimmt so nicht.

Der AI Act ist in Kraft, aber seine schärfsten Pflichten für „Hochrisiko"-Systeme wurden per „Digital Omnibus" im Sommer 2026 auf Ende 2027 verschoben – der Rat gab dazu Ende Juni 2026 grünes Licht. Und ob ein NGO-System überhaupt „Hochrisiko" ist, hängt vom Zweck ab, nicht von der Technik. Ein internes Recherchewerkzeug ist es in der Regel nicht. Ein System, das über den Zugang zu Sozialleistungen oder im Asyl- und Migrationskontext mitentscheidet, kann es sehr wohl sein – ausgerechnet das Feld, in dem viele dieser NGOs arbeiten. Die pauschale Aussage „RAG ist KI-Hochrisiko" ist also falsch; richtig ist: Es kommt auf den Einsatz an, und im Migrationsbereich lohnt die genaue Prüfung besonders. Ich nenne den verschobenen Zeitplan bewusst mit Datum, weil er zeitkritisch ist – wer diese Reihe später liest, sollte den Stand nachschlagen. Dass die Verschiebung ausgerechnet nach massivem Lobbydruck kam, ist ein eigenes Thema, das ich hier nur anmerke.

Die Empfehlung – gestaffelt, nicht heroisch

Jetzt das Versprechen aus der Einleitung: eine Empfehlung, die nicht überfordert. Sie fällt für unterschiedliche Organisationen unterschiedlich aus, und das ist keine Ausflucht, sondern der Kern.

Eine kleine NGO ohne eigene IT sollte den Self-Hosting-Traum nicht romantisieren. Hier kommt der Konflikt zwischen Souveränität und Sicherheit zu seinem Punkt: Ein von Ehrenamtlichen betriebener, ungepatchter Server ohne Backup ist ein größeres reales Risiko als ein seriöses europäisches Rechenzentrum. Ein Datenleck aus dem eigenen Keller ist kein Sieg für die Datenhoheit. Die ehrliche Empfehlung lautet für sie: ein europäischer Anbieter mit Auftragsverarbeitungsvertrag, kombiniert mit der Datenminimierung aus Teil 1 – Namen raus, bevor etwas ins System geht. Sicherheit ist eine Kompetenzfrage, keine Eigentumsfrage, und Kompetenz kann man einkaufen, ohne die Daten gleich an einen US-Konzern zu geben.

Eine mittlere NGO mit etwas IT oder einem Dienstleister kann den Hybrid-Weg gehen: das Sensibelste lokal oder in einer europäischen Cloud, Unkritisches darf bequemer laufen. Eine große Organisation mit eigener IT und großem sensiblem Bestand rechtfertigt den Aufwand des echten Self-Hostings – volle Löschhoheit, kein Drittzugriff, dafür die Last des Betriebs. In seiner konsequentesten Form ist das der vollständig lokale, agentische Aufbau aus Teil 2: ein lokaler Orchestrator und ein lokales Sprachmodell, air-gapped, bei dem nichts das eigene Netz verlässt – die technisch sauberste Antwort auf den CLOUD Act. Für alle gilt dieselbe Reihenfolge: erst die Daten klassifizieren (was ist überhaupt Artikel 9?), dann die Folgenabschätzung, dann die Technik. Die Anbieterwahl folgt der Datenlage, nicht umgekehrt.

Und ich sage es hier deutlich, weil ich in Teil 2 die lokale Lösung schon stark gemacht habe: Wo immer eine Organisation die Kompetenz hat oder sie sich mit anderen teilen kann, ist der lokale Betrieb nicht die aufwändige Marotte, als die er oft abgetan wird – er ist die einzige Variante, die die Machtfrage tatsächlich beantwortet. Der Aufwand ist real: Personal für Updates, Sicherheit, Backup, ein Modell, das gepflegt werden will. Aber der Gegenwert ist ebenso real: Niemand außerhalb des eigenen Netzes hat einen Hebel. Für eine Organisation, deren Kapital das Vertrauen der Schutzbedürftigen ist, kann das den Aufwand wert sein – und der Aufwand sinkt, je mehr sich zusammentun. Damit sind wir beim eigentlichen Punkt dieses Schlusses.

Der Punkt, an dem es der eigenen Überzeugung wehtut

Und hier kommt die Stelle, an der ich der eigenen Überzeugung in die Parade fahren muss. Die naheliegende Erzählung derer, die Konzernmacht bekämpfen, wäre: „Kauft europäisch, hostet selbst, und die Souveränität ist gewonnen." Sie ist zu bequem.

Erstens zeigt der Markt gerade, wie brüchig „europäische Souveränität" ist. Das deutsche Vorzeigeunternehmen für souveräne KI, Aleph Alpha, hat im Frühjahr 2026 einer Übernahme durch den nordamerikanischen Anbieter Cohere zugestimmt – als „Fusion" verkündet, faktisch geht die Mehrheit an Cohere, und vollzogen ist der Deal noch nicht einmal. Wer sein System auf „das deutsche Modell" gebaut hatte, sieht die Eigentümer- und Kontrollfrage über Nacht verschoben. „Europäisch" auf dem Etikett ist, wie schon bei Gaia-X in Teil 2, kein dauerhaftes Gütesiegel, sondern eine Momentaufnahme im Fluss des Kapitals. Heute souverän, morgen übernommen – das ist keine Ausnahme, das ist die Funktionsweise.

Zweitens – und hier nehme ich eine frühere Zuspitzung ausdrücklich zurück, denn sie stimmt so nicht mehr. Es ist nicht länger wahr, dass ein Eigenbau zwangsläufig auf US-Modellen läuft. Die offenen Modelle sind erwachsen geworden, und die stärksten kommen ausgerechnet nicht aus den USA: Nach den Vergleichsübersichten von 2026 stammen vier der fünf führenden Open-Weight-Modelle aus chinesischen Laboren – Qwen (Alibaba), DeepSeek, Kimi (Moonshot), GLM (Zhipu) –, dazu das europäische Mistral und das öffentliche Teuken. Sie haben den Abstand zur kommerziellen Spitze bei Alltags-, Recherche- und Coding-Aufgaben weitgehend geschlossen, und ihre Gewichte stehen unter freien Lizenzen zum Selbstbetrieb bereit – Qwen in kleineren Größen unter Apache 2.0, Kimi und GLM unter MIT-Varianten. Für das, was eine NGO braucht – zusammenfassen, wiederfinden, formulieren –, sind sie längst tauglich. Nur bei den allerschwersten Reasoning-Aufgaben liegt die geschlossene westliche Spitze noch vorn, und die trifft den NGO-Alltag selten.

Und jetzt der Punkt, der die scheinbare Ironie auflöst – denn in Teil 2 habe ich vor chinesischen Clouds gewarnt, und jetzt lobe ich chinesische Modelle. Das ist kein Widerspruch. Der Unterschied ist sogar der entscheidende: Ein Modell lokal zu betreiben ist das Gegenteil davon, Daten an dessen Cloud zu schicken. Die Gewichte sind nur Dateien, die Verarbeitung läuft auf dem eigenen Rechner, es geht nichts nach Peking oder San Francisco – das Drittstaaten-Problem aus Teil 2 entsteht gar nicht erst. Was bleibt, ist eine subtilere Ebene: Modelle tragen die Werte und blinden Flecken ihrer Herkunft mit sich, ein chinesisches bei heiklen politischen Themen ebenso wie ein amerikanisches, und das gehört bei der Auswahl bedacht. Dazu kommt eine Sicherheitsebene, die man nüchtern mitdenken sollte: Fremde Modellgewichte sind eine Black Box, die manipuliert sein kann – mit Verhaltensmustern, die erst bei bestimmten Eingaben zutage treten. Das spricht nicht gegen offene Modelle, wohl aber dafür, sie zu prüfen und keine kritische Entscheidung ungeprüft an sie zu delegieren. Die Datenhoheit aber ist mit offenen Gewichten lösbar – schon das ist der halbe Sieg. Die tiefere Machtfrage bleibt trotzdem: Die Fähigkeit, solche Modelle überhaupt zu trainieren, liegt bei einer Handvoll Konzerne und Staaten. Datenschutz-Compliance schützt konkrete Menschen – aber sie ist noch nicht Souveränität. Und ausgerechnet an dieser Stelle wartet eine Ironie, die man aushalten muss.

Die Ironie, die man aushalten muss

Man muss sich diese Volte auf der Zunge zergehen lassen. Der freie, nachnutzbare Teil des KI-Ökosystems – die Modelle, die man herunterladen, selbst betreiben und der eigenen Kontrolle unterwerfen kann – kommt 2026 zu großen Teilen aus einem autoritär regierten Staat. Während die selbsternannten Demokratien des Westens ihre stärksten Modelle wegschließen und pro Anfrage abrechnen, legt China die Gewichte offen auf den Tisch. Das ist starker Tobak für jede Erzählung, in der „offen", „frei" und „demokratisch" bruchlos dasselbe meinen.

Nur: Bevor daraus eine neue Heldengeschichte wird, gehört auch die kassiert. Meta stellt mit Llama ein prominentes US-amerikanisches Open-Weight-Modell – die Trennlinie läuft also nicht sauber zwischen Ost und West. Vor allem aber ist die chinesische Offenheit keine Wohltat, sondern Kalkül: Wer im Rückstand ist, verschenkt die Ware, die der Konkurrent teuer verkauft, und untergräbt damit dessen Geschäftsmodell. Offenheit ist hier eine Waffe im Standortkampf, kein Geschenk an die Zivilgesellschaft. Und „offene Gewichte" heißt nicht „offener Geist": Die Trainingsdaten bleiben meist geheim, und wer ein chinesisches Modell nach dem 4. Juni 1989 oder nach Xinjiang fragt, merkt schnell, dass Werte gleich mitgeliefert werden – nur eben andere.

Für eine NGO ist die Konsequenz trotzdem ermächtigend, und sie ist im besten Sinne materialistisch: Man muss das Werkzeug nicht mögen, um es zu benutzen. Man kann sich die Offenheit zunutze machen, die aus fremdem Eigeninteresse entstanden ist – die Gewichte nehmen, lokal betreiben, dem eigenen Zweck unterordnen –, ohne die Politik dahinter zu übernehmen. Das ist keine Reinheit, das ist Aneignung. Und es ist allemal ehrlicher als die Pose, man habe sich mit einem EU-Cloud-Abo aus der Abhängigkeit freigekauft. Wer die Werte im Modell fürchtet, prüft es – so wie man auch ein westliches Modell prüfen sollte, das seine eigenen blinden Flecken mitbringt.

Die eigentliche Antwort ist kollektiv – und sie hat schon angefangen

Hier könnte die Reihe resigniert enden: alles abhängig, nichts zu machen. Das wäre bequem und falsch. Denn wenn die einzelne Organisation die Modelle nicht selbst bauen kann, dann ist die Antwort nicht Verzicht, sondern gemeinsame, öffentlich getragene Infrastruktur – der Gedanke, dass digitale Grundversorgung ein Gemeingut ist wie Wasser, Schiene oder Rundfunk, und nicht das Privateigentum dreier Konzerne bleiben muss.

Das ist kein Manifest-Wunsch, das existiert bereits in ersten, noch bescheidenen Formen. Es gibt ein öffentlich finanziertes, europäisches Sprachmodell: Im Projekt OpenGPT-X haben Fraunhofer-Institute, das DFKI, Forschungszentrum Jülich und andere mit rund 14 Millionen Euro Förderung des Bundeswirtschaftsministeriums das Modell „Teuken-7B" entwickelt – von Grund auf auf allen 24 EU-Amtssprachen trainiert, unter freier Apache-2.0-Lizenz, frei herunterladbar. Ich bin ehrlich: Mit seinen sieben Milliarden Parametern spielt Teuken nicht in der Liga der großen kommerziellen Modelle, und das Projekt lief 2025 formal aus. Aber es ist der Beweis, dass ein öffentliches Modell möglich ist – eines, das niemandem gehört und allen zur Verfügung steht. Genau das ist die Blaupause, die es zu verteidigen und auszubauen gilt.

Auf der Ebene darüber formiert sich die politische Bewegung dazu. Die Initiative EuroStack fordert einen europäischen, auch gemeinwohlorientierten Technologie-Stack und benennt die Abhängigkeit beim Namen; Deutschland beteiligt sich erstmals an einem EU-Konsortium („Digital Commons EDIC"), das digitale Gemeingüter und Infrastrukturen schaffen soll. Und ganz praktisch zeigt das Zentrum für Digitale Souveränität (ZenDiS) mit seiner offenen Bürosuite openDesk, dass öffentliche Verwaltung sich aus der Abhängigkeit von Microsoft & Co. lösen kann – quelloffen, nachnutzbar, in öffentlicher Hand. Das sind, zugegeben, Anfänge, unterfinanziert und gegen mächtige Interessen. Aber sie zeigen die Richtung, und sie sind der Ort, an dem NGOs mehr tun können als sich einzurichten: sie nutzen, sie einfordern, sie politisch stützen.

Denn hier schließt sich der Kreis zur lokalen Lösung. Ein lokal betriebenes, quelloffenes, im Zweifel öffentlich finanziertes Modell auf eigener oder genossenschaftlich geteilter Infrastruktur – das ist nicht die technische Bastelvariante, als die es die Cloud-Anbieter gern darstellen. Es ist die einzige, die Unabhängigkeit nicht nur behauptet, sondern herstellt. Der Aufwand ist der Preis der Freiheit, und er sinkt, sobald man ihn teilt: mehrere kleine NGOs, ein gemeinsam betriebener Knoten, geteilte Kompetenz. Damit wird aus Datenschutz-Kleinklein eine politische Praxis.

Die Bilanz: was möglich ist, und was erst noch erkämpft werden muss

Damit zur Bilanz, mit der diese Reihe endet – zum Widerspruch zwischen radikalem Anspruch und pragmatischem Rat. Was lässt sich ehrlich sagen?

Auf der pragmatischen Seite: Eine NGO kann heute schon ein KI-Wissenssystem bauen, das die Menschen schützt, die ihr vertrauen. Sie kann Personenbezug minimieren, europäisch oder lokal verarbeiten, echte Löschbarkeit sicherstellen, eine ordentliche Folgenabschätzung machen. Das ist viel, es ist machbar, und es ist deutlich mehr als das, was die meisten „ChatGPT für unsere Akten"-Experimente derzeit leisten. Wer diese Reihe als Checkliste liest, hat ein verantwortbares System in Reichweite.

Auf der radikalen Seite bleibt die Grenze – aber sie ist keine Wand, sie ist eine Baustelle. Echte Souveränität, öffentlich getragene Modelle und Infrastruktur, die niemand über Nacht aufkaufen kann, ist für eine einzelne NGO nicht zu haben. Sie ist eine politische Aufgabe, und die gute Nachricht dieses Schlusses ist, dass an ihr bereits gearbeitet wird – in Fraunhofer-Rechenzentren, in EU-Konsortien, in einer offenen Bürosuite für Behörden. Das Beste, was eine Organisation heute tun kann, ist beides zugleich: das eigene System sauber bauen – und die gemeinsame Infrastruktur nutzen, fordern und stützen, die den einzelnen irgendwann aus der Abhängigkeit trägt.

Das ist kein Erlösungsversprechen, und es soll keins sein. Es ist die nüchterne Auskunft, die ich am Anfang versprochen habe: Man kann das Werkzeug haben, ohne die Menschen zu verraten. Und man kann, wenn man will, ein kleines Stück an etwas Größerem mitbauen. Die Illusion, dass man sich Souveränität einfach kauft, sollte man sich sparen. Die Arbeit an ihr fängt danach erst an – gemeinsam.

Dieser Text ist Orientierung, kein Rechtsrat – bei der konkreten Umsetzung braucht es datenschutzrechtliche Beratung. Zeitlich instabile Angaben – Stand des Data Privacy Framework, AI-Act-Fristen, Anbieterlage, Stand der offenen Modelle – sind auf dem Stand Juli 2026 und sollten vor Weiterverwendung geprüft werden. Zur vollständigen Quellenbasis: siehe die Übersicht der Reihe.