Ein Datenleck, dann eine Beschaffungsentscheidung
Frankreichs Finanzministerium teilte mit, dass seine Steuerbehörde, die DGFiP, Ziel eines Cyberangriffs wurde, bei dem Daten von rund 700.000 Steuerzahlern gestohlen wurden - darunter Namen, Geburtsdaten, Post- und E-Mail-Adressen, Telefonnummern, Steueridentifikationsnummern, Quellensteuersätze und Korrespondenz mit Beamten. Wenige Tage später erklärte Haushaltsminister David Amiel nach einer Kabinettssitzung in Paris gegenüber Journalisten, die Regierung werde sich an das wenden, was er souveräne KI-Unternehmen wie Mistral nannte, um staatliche Systeme auf jene Art von Schwachstellen zu testen, die den Vorfall erst möglich gemacht hatten. 'Das schließt OpenAI aus', sagte er.
Die Reihenfolge ist entscheidend: Dies ist keine abstrakte Souveränitätspolitik aus einem Strategiepapier, sondern eine konkrete Beschaffungsentscheidung als direkte Antwort auf ein benanntes Sicherheitsversagen, mit einem benannten Gewinner und einem benannten Ausschluss.
Souveränität war bereits der Plan
Amiels Ankündigung setzt eine politische Linie fort, die Frankreich bereits eingeschlagen hatte. Im Juni 2026 stellte er 'Notre IA' ('Unsere KI') vor, einen Regierungsplan zur Verbreitung souveräner KI-Werkzeuge im französischen öffentlichen Dienst. Dessen Herzstück, ein Assistent namens L'Assistant, aufgebaut auf dem Modell von Mistral und gehostet in SecNumCloud-zertifizierten Rechenzentren, wurde bereits vor dieser jüngsten Ankündigung an fast eine Million Staatsbedienstete ausgerollt.
Mistral, das 2023 gegründete Pariser Start-up mit einer Bewertung von mehr als 11 Milliarden Euro, ist zu Frankreichs Standardantwort geworden, wann immer das Land zeigen will, dass es sensible Systeme betreiben kann, ohne von US-Technologie abhängig zu sein. Die Unterstützung durch den Chip-Ausrüstungslieferanten ASML hat diese Positionierung weiter gestärkt. Der Auftrag zum Testen der Cybersicherheit ist ein neuer Anwendungsfall, der auf eine bestehende Beziehung aufgesetzt wird, keine eigenständige Entscheidung.
Warum das für jeden EU-Anbieter zählt, der an Regierungen verkauft
Für jedes Unternehmen, das KI-nahe Dienstleistungen an den europäischen öffentlichen Sektor oder regulierte Sektoren verkauft, ist dies der Moment, in dem 'souveräne KI' aufhörte, ein Schlagwort in einem Strategiepapier zu sein, und zu einem konkreten Posten in einer echten Beschaffungsentscheidung wurde, ausgelöst durch ein reales Datenleck mit einer realen Zahl. Ein Anbieter mit Hauptsitz in den USA wurde namentlich genannt und von einer konkreten, sicherheitskritischen Aufgabe ausgeschlossen - nicht aus Leistungsgründen, sondern aus Souveränitätsgründen. Dieselbe Frage nach Abhängigkeit von US-Anbietern im öffentlichen Sektor stellt sich derzeit auch für Deutschland und andere EU-Staaten.
| Datum | Entwicklung |
|---|---|
| Juni 2026 | Amiel stellt 'Notre IA' vor, einen Plan zur Verbreitung souveräner, auf Mistral basierender KI-Werkzeuge im französischen öffentlichen Dienst |
| Mitte August 2026 | Das Finanzministerium meldet den Cyberangriff auf die DGFiP; Daten von rund 700.000 Steuerzahlern gestohlen |
| Wenige Tage später | Amiel kündigt an, der Staat werde ausschließlich souveräne KI-Anbieter wie Mistral nutzen, OpenAI ausdrücklich ausgeschlossen, um Systemschwachstellen zu testen |
Jeder Anbieter, ob mit Sitz in der EU oder nicht, der um Regierungs- oder Infrastrukturaufträge irgendwo im Block konkurriert, sollte nun damit rechnen, dass eine echte Anforderung an souveränes Hosting oder souveräne Modelle in Ausschreibungstexten auftaucht, nicht nur ein Kästchen zur Datenresidenz, und sollte eine glaubwürdige, EU-kontrollierte Antwort bereithalten, bevor danach gefragt wird.
Was damit nicht geklärt ist
Dass ein Ministerium einen Anbieter von einem Testauftrag ausschließt, ist kein pauschales Verbot von US-KI-Werkzeugen im gesamten französischen Staat, und es sagt nichts darüber aus, ob Mistrals Werkzeuge tatsächlich besser darin sein werden als die von OpenAI, jene Art von Schwachstelle zu finden, die überhaupt erst das Leck von 700.000 Steuerzahlerdatensätzen ermöglichte. Souveränität und Sicherheitsfähigkeit sind getrennte Fragen, und Frankreich hat bislang öffentlich nur die erste beantwortet.
Der breitere EU-Vorstoß hin zu souveräner Cloud- und KI-Infrastruktur, von Gaia-X bis zu den geplanten KI-Gigafabriken des Blocks, steckt noch in den Anfängen und ist in der Praxis größtenteils national statt einheitlich. Frankreichs Entscheidung ist ein Datenpunkt für diesen breiteren Trend, kein Beweis dafür, dass er bereits EU-weit angekommen ist.
Weiterlesen: Eine gefälschte Denkfabrik zielte mit KI auf Frankreich und Deutschland | Mistral teilt souveräne KI in zwei Wetten
