Drei der größten US-KI-Anbieter – Apple, Google und Anthropic – vollziehen gerade, sichtbar an ihren Europa-Strategien, drei unterschiedliche Reaktionen auf dasselbe Regulierungsregime. Die Befunde zeigen, was digitale Souveränität konkret kostet.
Die Apple-Linie: strategische Verweigerung
Apple hat Apple Intelligence und die runderneuerte Siri mit iOS 18 für Europa ausgesetzt – auf iPhone und iPad; auf dem Mac läuft die Funktion bereits. Als Begründung nennt der Konzern den Digital Markets Act (DMA), der Interoperabilität und Systemzugriff für Drittanbieter-KI-Assistenten fordert. Apple argumentiert, dass diese Öffnung ohne eigene Sicherheitsvorkehrungen die Datensicherheit seiner Nutzer gefährde, da Siri tief auf Fotos, Nachrichten, E-Mails und Bildschirmkontext zugreift.
Die EU-Kommission weist diese Darstellung zurück. Ihre Kernthese: Der DMA verbiete Apple lediglich, eigene Dienste gegenüber Konkurrenten zu bevorzugen – er verhindere nicht die Einführung neuer Funktionen. EU-Recht sei „nicht verhandelbar". Apple hatte der Kommission einen „Trusted System Agent" als Kompromissarchitektur vorgeschlagen; der Vorschlag wurde abgelehnt.
Beide Positionen sind partiell nachvollziehbar, und das ist das eigentliche Problem. Ein KI-Assistent, der Zugriff auf alle persönlichen Gerätedaten hat und gleichzeitig Drittanbieter-Schnittstellen offenhalten muss, schafft real eine größere Angriffsfläche. Ob diese Fläche so groß ist, dass sie einen vollständigen Marktausschluss rechtfertigt, ist eine technische Frage, die weder Apple noch die Kommission bislang öffentlich quantifiziert haben. Was feststeht: Apples frühere EU-Verzögerungen bei KI-Funktionen zeigen ein Muster, das über Einzelfälle hinausgeht.
Die Google-Linie: Integration unter Druck
Google hat Gemini tiefer in sein Produkt-Ökosystem eingebettet als jeder andere Anbieter: Gmail, Docs, Google Maps, Pixel-Smartphones, Search. Das schafft eine Datenbasis, die herkömmliche Werbeplattformen strukturell nicht erreichen können.
Konkret: Gemini-basierte Performance-Max-Kampagnen generieren bis zu 20 Lifestyle-Bilder pro Produktkategorie wöchentlich, passen Gebote in Echtzeit an Nutzerintentionen an und werten Signale aus Gmail und Google Drive aus – Verhaltensschichten, die früheren Google-Ads-Systemen nicht zugänglich waren. Für 2025 gibt Google an, über 8,3 Milliarden schädliche Anzeigen mit Gemini-gestützten Systemen blockiert oder entfernt zu haben.
Datenschutzrechtlich ist das Modell unter der DSGVO unter Druck. Gemini-Chats werden standardmäßig 72 Stunden gespeichert; für Trainingszwecke können Daten bis zu drei Jahre vorgehalten werden, auch nach Nutzer-Löschung. Ob das mit dem DSGVO-Recht auf Vergessenwerden vereinbar ist, ist nicht abschließend geklärt. Für den Enterprise-Bereich bietet Google Cloud regionale Infrastruktur in EU-Geografien mit entsprechenden Datenschutz-Addenda; der Consumer-Gemini läuft hingegen auf globaler, US-zentrierter Infrastruktur.
Parallel dazu hat die Europäische Kommission DMA-Verfahren gegen Google eingeleitet, die den Zugang von Drittanbietern zu Gemini-Diensten innerhalb von Android sowie zu Suchmaschinendaten betreffen. Google wurde im September 2023 als DMA-Gatekeeper eingestuft. Google selbst warnt vor einer Sicherheitslücke, die durch die DMA-geforderte Datenweitergabe entstehen könnte – ein Echo des Apple-Arguments, mit dem Unterschied, dass Google in Europa weiter ausrollt, statt zu pausieren.
Vor dem EuGH läuft zudem ein urheberrechtliches Verfahren zur Frage, ob das Training von Gemini auf urheberrechtlich geschützten Inhalten europäischer Verlage zulässig ist. Das Urteil wird Trainingsstrategien aller großen Anbieter in der EU prägen.
Die Anthropic-Linie: eingeschränkter Zugang mit geopolitischem Vorzeichen
Anthropics Umgang mit seinem stärksten Modell, das intern unter dem Namen „Mythos" entwickelt wird, folgt einer anderen Logik. Veröffentlicht wurde bislang Claude Fable 5, eine eingeschränkte Version, bei der das Modell bei sicherheitsrelevanten Anfragen automatisch auf Claude Opus 4.8 zurückfällt – nach eigenen Angaben in weniger als fünf Prozent der Sitzungen. Mitglieder eines internen Zugangskreises namens Project Glasswing erhalten Zugang zu Mythos 5 mit reduzierten Sicherheitsschranken.
Den schärfsten Schnitt vollzog nicht ein europäischer Regulator, sondern die US-Regierung: Auf deren Anordnung deaktivierte Anthropic Mythos 5 und Fable 5 für ausländische Staatsangehörige vollständig. Das Max-Planck-Institut für Sicherheit und Privatsphäre hat untersucht, inwiefern Modelle dieser Leistungsklasse für offensive Cyberoperationen nutzbar sind; die Forschung legt nahe, dass Grenzen zwischen legitimer Sicherheitsforschung und Angriffsvorbereitung schwer zu ziehen sind. Für europäische Nutzer und Unternehmen, die auf diese Modellklasse setzen wollen, bedeutet die US-Exportkontrolle eine Zugangsunsicherheit, die von keiner EU-Regulierung gesteuert wird.
Der regulatorische Rahmen und seine tatsächliche Wirkung
Der EU AI Act, im März 2024 verabschiedet, klassifiziert KI-Systeme risikobasiert; erste Verbote gelten ab Februar 2025, Hochrisiko-Anforderungen ab August 2026. Systeme wie Siri AI und Gemini, die tief in persönliche Datensphären eingreifen, werden je nach Einsatzkontext als Hochrisiko eingestuft werden können – die genaue Klassifikation ist noch in der Durchführungsverordnung offen.
Die eigentliche Spannungslinie liegt nicht zwischen AI Act und Datenschutz, sondern zwischen DMA und DSGVO: Der DMA verlangt Datenweitergabe und Interoperabilität; die DSGVO verlangt Datenminimierung und schränkt genau diese Weitergabe ein. Wie die Kommission diesen Widerspruch im Einzelfall löst, ist bislang nicht transparent. Der Europäische Datenschutzausschuss (EDSA) hat Orientierungspunkte veröffentlicht, die allerdings keine verbindlichen Rechtsgrundlagen für KI-Training enthalten.
Die USA dominieren den globalen KI-Markt mit Blick auf Modellleistung und Infrastruktur. Europa hat starke Datenschutzstandards und Regulierungskompetenz – aber keinen globalen Frontrunner im Large-Language-Model-Bereich. Das ist keine zwangsläufige Schwäche, wenn Regulierung tatsächlich als Qualitätssignal positioniert wird: Unternehmen, die DSGVO-konforme KI-Systeme auf EU-Infrastruktur betreiben, haben einen Wettbewerbsvorteil gegenüber jenen, denen der Marktzugang durch Exportkontrolle oder Compliance-Lücken beschnitten wird.
Effizienz-Achse: Was die Verzögerungen kosten
Die Frage, ob Europas regulatorische Architektur KI-Innovation verlangsamt, lässt sich an einem Proxy messen: Wie lange liegen Feature-Parität und Marktverfügbarkeit zwischen den USA und der EU auseinander? Bei Apple sind es, Stand WWDC 2026, mehr als ein halbes Jahr für ein bereits angekündigtes Produkt. Bei Gemini läuft das Consumer-Produkt global, aber unter datenschutzrechtlichen Fragen, die zum Zeitpunkt des Rollouts nicht geklärt sind. Bei Anthropic ist der Abstand geopolitisch gesteuert, nicht regulatorisch verhandelbar.
Für Unternehmen in Bayern oder Baden-Württemberg, die KI-gestützte Prozesse planen, bedeutet das konkrete Planungsunsicherheit: Welche Modelle sind in sechs Monaten verfügbar, welche sind bis dahin durch Exportkontrolle gesperrt, welche durch laufende DMA-Verfahren in ihrer Funktionalität eingeschränkt? Diese Frage beantworten weder der AI Act noch die DSGVO allein.
Die eigentliche Kapazitätslücke Europas liegt weniger im regulatorischen Rahmen als im Fehlen eigener Modelle auf der Leistungsklasse von Gemini 3 oder Claude Mythos. Solange das so ist, bestimmen US-Exportpolitik und US-Konzernetrategie, welche KI-Fähigkeiten europäische Nutzer und Unternehmen erhalten – unabhängig davon, wie präzise das europäische Regelwerk ist.