Was KI-Dominanz, Kapitalabhängigkeit und Souveränität für die Compliance bedeuten

Der "2026 European Deep Tech Report" von Lakestar, Walden Catalyst Ventures und Dealroom ist auf den ersten Blick ein Report für Investoren. 160 Seiten Kapitalflüsse, Finanzierungsrunden und Ökosystem-Kennzahlen. Wer ihn nur so liest, übersieht das eigentlich Relevante. Denn hinter den Zahlen steht eine Machtfrage, die unmittelbar in den Zuständigkeitsbereich von Datenschutzbeauftragten, CISOs und Complianceverantwortlichen fällt: Auf wessen Modellen, Chips und Rechenzentren läuft die KI, mit der europäische Unternehmen künftig personenbezogene Daten verarbeiten?

Novel AI war 2025 erneut die am stärksten finanzierte Deep-Tech-Kategorie in Europa. 3,4 Milliarden US-Dollar Risikokapital, ein Plus von 27 Prozent, über die Hälfte des gesamten europäischen Deep-Tech-Kapitals. Mistral holte allein eine Series-C-Runde über 1,7 Milliarden Euro. Der Report beschreibt eine europäische KI-Landschaft, die in Sprachsynthese, KI-gestütztem Engineering, Voice-Agenten und den neu aufkommenden World Models durchaus mithält.

Die eigentliche Aussage steht aber im Kapitel zur Finanzierungslücke. Beim Schnittpunkt von KI und Deep Tech beträgt der Abstand zwischen Europa und den USA das Zwölffache. 81 Milliarden Dollar flossen dabei an drei US-Unternehmen: xAI, OpenAI und Anthropic. Bei den Foundational Models liegt der europäische Anteil am weltweiten VC-Kapital bei vier Prozent, der US-Anteil bei 92 Prozent. Bei KI-Chips und Prozessoren sind es sechs Prozent für Europa gegenüber 60 Prozent für die USA.

Für die Praxis heißt das: Die Basisschicht der KI, also Modelle und die Hardware, auf der sie trainiert und betrieben werden, wird auf absehbare Zeit außerhalb der EU kontrolliert.

Der Report positioniert Europas Chance folgerichtig nicht beim Modellbau, sondern in Effizienz, Einsatzfähigkeit und agentischen Workflows. Ein zitierter Investor bringt es auf den Punkt: KI verschiebe sich weg von den Hyperscale-Rechenzentren hinein in regulierte Branchen, souveräne Infrastruktur und Edge-Umgebungen. Genau diese Verschiebung ist der Punkt, an dem Compliance ins Spiel kommt.

Bemerkenswert ist eine Randnotiz zum Regulierungsklima. Die frühe Umsetzung des EU AI Act erweise sich als pragmatischer als befürchtet, weshalb Gründer wieder näher an der technologischen Frontlinie operierten. Diese Einschätzung stammt aus Investorensicht und beschreibt Investitionsbereitschaft, nicht den Wegfall von Pflichten. Die AI-Kompetenzpflicht nach Art. 4 AI Act und die Transparenzpflichten nach Art. 50 gelten unverändert. "Pragmatisch" bedeutet hier: kalkulierbares Risiko, nicht Deregulierung.

Der Report macht die Souveränitätsfrage explizit. Ein zitierter Initiator formuliert die Grundthese in der aktuellen Realpolitik so, dass technologische Souveränität geopolitische Souveränität sei. Untermauert wird das mit einer Zahl, die man aus Compliance-Perspektive nicht übersehen sollte: 70 Prozent der großvolumigen Spätphasenfinanzierung für europäische Deep-Tech-Startups kommen von nicht-europäischen Investoren, primär aus den USA.

Der Report benennt die Folge unverblümt. Diese Abhängigkeit erzeuge eine strategische Abhängigkeit und eine Governance-Fehlausrichtung ("governance misalignment") gerade bei Unternehmen, die souveränitätskritische Technologien bauen. Anders gesagt: Wer die Wachstumsfinanzierung stellt, verschiebt über Board-Sitze, Sitzverlagerungen und M&A auch den Schwerpunkt der Kontrolle. 137 Unicorns haben europäische Gründer, aber 40 Prozent sind mittlerweile in den USA ansässig. Über 80 Prozent der Exits laufen über M&A, der Großteil davon wertmäßig an US-Käufer.

Dem stellt Europa öffentliches Kapital entgegen. Mehr als 50 Milliarden Euro pro Jahr fließen laut Report in KI, Chips, Space und Verteidigung. Konkret genannt werden das EuroHPC-Vorhaben mit sieben Milliarden Euro bis 2027, die französische Ankündigung von 109 Milliarden Euro über fünf Jahre für KI und Rechenzentren, der EU Chips Act mit 43 Milliarden Euro bis 2030 sowie der auf fünf Milliarden Euro angelegte Scaleup Europe Fund. Parallel adressiert die EU die Fragmentierung: 43 Länder mit uneinheitlicher Regulierung ohne konzentrierte Talent-Cluster. Das im Januar 2026 in Davos gestartete "EU Inc" beziehungsweise 28. Regime, das eine unionsweite Online-Firmengründung ermöglichen soll, wurde vom Europäischen Parlament mit 492 Stimmen angenommen.

Für Complianceverantwortliche ist die Fragmentierung keine abstrakte Standortfrage. Sie ist der Grund, warum grenzüberschreitende Datenverarbeitung, uneinheitliche aufsichtsbehördliche Praxis und divergierende nationale Umsetzungen den Aufwand real in die Höhe treiben. Souveränität und Compliance sind hier zwei Seiten derselben Medaille.

Der Report spricht Datenschutz nicht direkt an, das ist nicht sein Zweck. Die datenschutzrechtliche Konsequenz ergibt sich aber zwingend aus der beschriebenen Architektur.

Wenn die Modelle aus den USA stammen und die Trainings- und Inferenz-Infrastruktur überwiegend von US-Anbietern betrieben wird, dann ist jede KI-gestützte Verarbeitung personenbezogener Daten potenziell ein Drittlandtransfer nach Kapitel V DSGVO (Art. 44 ff.). Das ist kein theoretisches Problem. Die Instabilität des EU-US Data Privacy Framework, die anhängigen Verfahren und das absehbare Schrems-III-Risiko machen die Transferfrage zum bestimmenden Datenschutzthema der kommenden Jahre. Wer seine KI-Verarbeitung auf einer außereuropäisch kontrollierten Basisschicht aufbaut, verlagert dieses Risiko nicht, sondern verankert es tiefer in seinen Prozessen.

Interessant ist, welche KI-Teilbereiche der Report bei Novel AI ausdrücklich listet: On-Device AI, Federated Learning und Synthetic Data Generation. Das sind aus Datenschutzsicht keine Randnotizen, sondern genau die Architekturen, mit denen sich Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) und Privacy by Design (Art. 25 DSGVO) technisch umsetzen lassen.

Souveräne, europäisch betriebene und effiziente KI ist damit nicht nur industriepolitisch wünschenswert, sondern ein konkreter Hebel für datenschutzkonforme Verarbeitung. Der im Report beschriebene europäische Fokus auf Effizienz und Deployment trifft sich hier mit den Interessen der Datenschutzpraxis.

Der Report ist eine Investmentanalyse, aber seine Kennzahlen sind eine präzise Risikolandkarte für Compliance. Fünf Punkte lassen sich daraus ableiten:

• Erstens, Lieferantenabhängigkeit ernst nehmen. Wenn 70 Prozent der Kapital- und damit Kontrollstruktur des KI-Stacks außerhalb Europas liegen, wird die Auswahl von Anbietern zur Kernaufgabe. Das betrifft Auftragsverarbeitungsverträge nach Art. 28 DSGVO, belastbare Transfer Impact Assessments und dokumentierte geeignete Garantien nach Art. 46 DSGVO. Bei US-Anbietern gehört die Frage nach der DPF-Zertifizierung und deren Bestandssicherheit in jede Prüfung.
• Zweitens, den AI Act nicht anhand der Investorenstimmung kalibrieren. Dass die Umsetzung als pragmatisch wahrgenommen wird, entlastet nicht von der AI-Kompetenzpflicht nach Art. 4, den Transparenzpflichten nach Art. 50 und der Risikoklassifizierung entlang der Rollenverteilung Provider und Deployer. Der zeitliche Fahrplan der gestaffelten Anwendbarkeit bleibt der Maßstab, nicht die Marktstimmung.
• Drittens, KI-Verarbeitungen datenschutzrechtlich sauber aufsetzen. Für risikoreiche KI-Anwendungen greift regelmäßig die Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO, sinnvollerweise verzahnt mit der Risikoklassifizierung des AI Act. On-Device- und Federated-Ansätze sowie synthetische Daten sollten dabei aktiv als datensparende Gestaltungsoptionen geprüft werden, nicht erst nachträglich als Kompensation.
• Viertens, digitale Souveränität als Compliance-Anforderung behandeln, nicht nur als Strategiethema. Konkret heißt das: europäische Alternativen bewerten, Exit-Strategien für den Anbieterwechsel definieren, Konzentrationsrisiken bei einzelnen Hyperscalern dokumentieren. Für regulierte Sektoren überlappt das direkt mit NIS2 (Lieferkettensicherheit) und DORA (IKT-Drittparteienrisiko, Register informationsbezogener Vereinbarungen).
• Fünftens, die Governance-Frage stellen. Der Report warnt vor "governance misalignment" bei ausländisch finanzierten Unternehmen. Übersetzt in die Complianceebene: Wer trifft die Entscheidungen über Datenverarbeitung, Modellauswahl und Infrastruktur tatsächlich, und sitzen diese Entscheider innerhalb oder außerhalb des europäischen Rechtsrahmens? Diese Frage gehört in die Risikobewertung ebenso wie in die Vertragsgestaltung.

Der European Deep Tech Report 2026 zeichnet ein selbstbewusstes Bild eines wachsenden Ökosystems, auch in Europa. Für Complianceverantwortliche ist die zentrale Botschaft eine andere: Europas KI-Zukunft baut derzeit auf einer Basisschicht auf, deren Kontrolle größtenteils außerhalb der EU liegt. Solange das so bleibt, ist jede Diskussion über Datenschutz, Informationssicherheit und digitale Souveränität am Ende eine Diskussion über dieselbe Abhängigkeit. Verantwortung umzusetzen bedeutet hier, diese Abhängigkeit zu benennen, zu dokumentieren und dort zu reduzieren, wo es der Rechtsrahmen verlangt.

Quelle: 2026 European Deep Tech Report