Am 12. Juni 2026, drei Tage nach dem Marktstart, verschwand eines der aktuell leistungsfähigsten KI-Modelle der Welt von den Bildschirmen seiner Kunden. Das amerikanische Handelsministerium hatte den Hersteller Anthropic angewiesen, den Zugang zu den Modellen Claude Fable 5 und Mythos 5 für ausländische Nutzer zu sperren, rund um den Globus, gestützt auf das Exportkontrollrecht. Die Anweisung galt ausländischen Nutzern; abgeschaltet wurde am Ende für alle: „We must abruptly disable Fable 5 and Mythos 5 for all our customers“, ohne Vorwarnung. Achtzehn Tage später hob dasselbe Ministerium die Kontrollen wieder auf; am 1. Juli war Fable 5 wieder da.Tatsache ist: Ob europäische Behörden, Unternehmen und Universitäten mit einem der stärksten KI-Werkzeuge ihrer Zeit arbeiten dürfen, entschied knapp drei Wochen lang ein Ministerium in Washington.Noch während der Sperre zeigte sich dasselbe Muster in milderer Form: Open AI gab sein neues Spitzenmodell Ende Juni zunächst nur in einer mit der US-Regierung abgestimmten Vorschau an ausgewählte Partner – und distanzierte sich zugleich selbst davon: „Wir glauben nicht, dass ein solcher staatlicher Zugangsprozess langfristig zum Standard werden sollte.“ Erst nach zwei Wochen öffnete Open AI das Modell für alle.Der Abschaltknopf, vor dem die Debatte um digitale Souveränität seit Jahren warnt, ist also keine Hypothese. Er liegt bei den Anbietern und ihrer Heimatregierung. Die gängige europäische Antwort darauf lautet: Dann betreiben wir die Modelle eben selbst, auf eigenen Servern, nach eigenem Recht. Diese Antwort greift aber zu kurz. Wer fremde Modelle selbst betreibt, gewinnt Kontrolle über den Betrieb. Die Kontrolle über die Technologie gewinnt er nicht. Wenn Europa mehr will als den sicheren Betrieb fremder Technik, muss es eigene Modelle bauen.Was „offen“ wirklich heißtUm zu sehen, warum, hilft eine Unterscheidung, die in der Debatte ständig verwischt wird. Die großen Sprachmodelle gibt es in zwei Formen. Die amerikanischen Spitzenmodelle von Open AI, Anthropic und Google sind geschlossen: Man erreicht sie nur über eine Schnittstelle, das Modell selbst bleibt beim Hersteller. Daneben stehen Modelle mit „offenen Gewichten“ – die Datei mit den trainierten Parametern lässt sich herunterladen, das Modell auf eigener Hardware betreiben.Das klingt nach Open Source, ist es aber nicht. Ein Modell mit offenen Gewichten entspricht in der Software einem Executable, einem übersetzten Programm: Der Benutzer kann es ausführen, aber der Quelltext, aus dem es entstand, also die Trainingsdaten und das Trainingsrezept, bleibt unter Verschluss. Kein einziges führendes Modell legt seine Trainingsdaten offen, auch die „offenen“ nicht.Auch bei den Lizenzen lohnt der zweite Blick. Metas Llama-Modell, lange das bekannteste „offene“ amerikanische KI-System, ist an eine hauseigene Community-Lizenz mit Nutzungsschwellen gebunden; nach den Kriterien der „Open Source Initiative“ ist das nicht offen. Die führenden chinesischen Modelle dagegen stehen unter permissiven Lizenzen wie MIT und Apache 2.0, unter denen auch große Teile der weltweiten Open-Source-Software stehen: nutzbar für jeden Zweck, auch kommerziell. Gemessen an den Maßstäben der Open-Source-Welt sind die chinesischen Spitzenmodelle damit offener als die amerikanischen.Souveränität zerfällt damit in zwei Fragen. Die erste betrifft den Betrieb: Wer kann abschalten, wer sieht die Daten? Die zweite betrifft den Inhalt: Wer bestimmt, was das Modell weiß, wertet und verschweigt – und wer baut die nächste Version?Man kann das eine Betriebssouveränität nennen und das andere technologische Souveränität. Offene Gewichte beantworten die erste Frage. Die zweite beantworten sie nicht.Das eigentliche Rennen läuft ohne EuropaAn der Spitze messen sich zwei Länder, und sie haben sich für entgegengesetzte Strategien entschieden. Amerika hält seine besten Modelle geschlossen und verkauft Zugang. China gibt viele seiner stärksten Modelle zum Herunterladen frei und verdient an dem, was sie ergänzt: an Cloud-Rechenzeit, an Chips, an der Bindung von Entwicklern.Dahinter steht Industriepolitik: Ein frei kopierbares Modell untergräbt den Burggraben der geschlossenen amerikanischen Anbieter und entzieht sich der einfachsten Form der Exportkontrolle. Ein Arbeitspapier der US-China-Kommission des amerikanischen Kongresses wertet Chinas offene Modelle im Verbund mit seiner Fertigungsmacht als die ernsteste langfristige Herausforderung für die amerikanische KI-Führung.Die Forschungsgruppe Epoch bezifferte im Januar 2026 den Rückstand der chinesischen auf die amerikanische Spitze auf im Mittel etwa sieben Monate. Auch die jüngsten Messungen zeigen die Annäherung: Moonshots Kimi K3, nur fünf Wochen nach Fable 5 und zunächst allein als Netzdienst erschienen (die offenen Gewichte sind angekündigt), kam der US-Spitze bis auf wenige Punkte nahe; bei lang laufenden realistischen Arbeitsaufgaben bleibt sie gleichwohl deutlich vorne.Das stärkste frei herunterladbare Modell der Welt ist derzeit ein chinesisches, und im Frühjahr 2026 stellten chinesische Modelle mit 41 Prozent erstmals den größten Anteil der Downloads auf der wichtigsten Modellplattform Hugging Face.Wie einseitig die Landkarte ist, hat im Juli wiederum das neue wissenschaftliche KI-Panel der Vereinten Nationen vermessen: Drei Viertel der Rechenleistung der fünfhundert größten KI-Rechencluster der Welt stehen in den USA, 15 Prozent in China; der Rest der Welt teilt sich ein Zehntel, und fast alle führenden Modelle stammen aus Unternehmen der beiden Länder.Für Europa hat das eine unbequeme Konsequenz. Wer heute ein offenes Modell auf europäischer Infrastruktur betreiben will, greift in der Praxis häufig zu einem chinesischen. Deutsche und französische Anbieter tun genau das schon: Die Schwarz-Tochtergesellschaft Stackit und der französische Cloud-Anbieter OVH Cloud nahmen Alibabas Qwen in ihre zwei Angebote auf; bei beiden ist es das jeweils größte Modell im Katalog. Europas Souveränitätsdebatte richtet sich gegen die Abhängigkeit von Amerika. Ihre praktische Antwort ist die Abhängigkeit von China.Was Selbstbetreiben löst – und was nichtDas Selbstbetreiben löst tatsächlich ein reales Problem. Der amerikanische Cloud Act verpflichtet Anbieter unter US-Jurisdiktion, auf behördliche Anordnung Daten herauszugeben, egal wo der Server steht; Chinas Geheimdienst- und Datensicherheitsgesetze erzeugen ein vergleichbares Risiko auf der anderen Seite. Beide Regime setzen am gehosteten Dienst an, nicht an der heruntergeladenen Datei.Wer offene Gewichte im eigenen Rechenzentrum betreibt, ist den Datenabfluss und den Abschaltknopf los, den amerikanischen wie den chinesischen. Das gilt allerdings nur so lange, wie das Modell isoliert betrieben wird. Bindet es externe Quellen ein oder ruft es externe Werkzeuge auf, entsteht wieder ein Kanal nach außen, über den ein kompromittiertes Modell Daten unbemerkt abfließen lassen könnte. Betriebssouveränität schützt vor fremdem Zugriff, nicht vor dem eigenen Anschluss ans Netz.Und die Autonomie selbst ist eine Lücke: Eine Garantie, dass hochautonome Agenten Anweisungen befolgen, gibt es nicht – in Laborversuchen umgingen Systeme sogar ihre eigene Abschaltung. Drei Abhängigkeiten aber bleiben.Erstens der Inhalt: Das Weltbild der Trainingsdaten steckt in der heruntergeladenen Datei und reist mit. Deepseeks Modell R1 trägt seine politische Zensur „im Gewicht“: Sie überlebt, wie Studien zeigen, auch den privaten Betrieb auf einer eigenen Hardware; entfernen ließ sie sich bisher nur durch Nachtraining. Auch Alibabas Qwen erklärt im lokalen Betrieb beispielsweise den Status Taiwans entlang der Pekinger Linie. Westliche Modelle tragen ihre eigenen Wertentscheidungen in sich, nur kommen sie uns vertrauter vor. Es geht dabei nicht nur um Politik. Modelle transportieren auch Auffassungen zur Gesellschaft, zum Rechtssystem, zur Medizin. Der Punkt ist immer derselbe: Wer das Modell nicht gebaut hat, bestimmt nicht, was drinsteckt.Zweitens die Integrität: Ein Modell ist kein transparentes Artefakt. Verdecktes Verhalten lässt sich in die Gewichte eintrainieren und übersteht, wie Anthropic-Forscher demonstriert haben, auch das übliche Sicherheitstraining des Betreibers; das Vergiften öffentlicher Trainingsdaten ist nach Stand der Forschung erschreckend billig. Ein heruntergeladenes Gewicht mag signiert sein; eine Garantie für die Integrität seines Trainings gibt es nicht.Drittens, und am meisten unterschätzt: die nächste Version. Das Selbstbetreiben macht die heutige Version unkündbar, nicht die kommende. Das größere, auf neueren Daten trainierte Nachfolgemodell muss der Hersteller erst wieder freigeben – so wie ein Softwareanbieter Patches und neue Releases verweigern kann. Metas Llama-Modell, eben noch das Aushängeschild offener amerikanischer KI, zeigt, wie schnell das geht: Das angekündigte Spitzenmodell erschien bis heute nicht, und der Konzern verlagerte seinen Schwerpunkt zu geschlossenen Modellen.Chinas Politik der offenen Gewichte gilt Beobachtern zwar als stabil, weil sie seiner Industriepolitik dient. Garantiert ist sie nicht. Wie wenig, das zeigte sich Anfang Juli: Nach einem Reuters-Bericht erwägt Peking, den Auslandszugang zu seinen besten Modellen zu beschränken – ausdrücklich auch für offene Gewichte. Wer nur fremde Gewichte betreibt, hat am Ende die eine Abhängigkeit gegen die andere getauscht, den fernsteuerbaren Anbieter gegen einen unkündbaren, aber fremdbestimmten Baustein.Der Einwand: zu teuer, zu spät, zu wenig ChipsGegen eigene europäische Modelle steht ein gewichtiger Einwand: Europa könne sich das Rennen nicht leisten. Die amerikanischen Hyperscaler planen für das Jahr 2026 Investitionen von mehr als 700 Milliarden Dollar, zum großen Teil für KI; das sogenannte Stargate-Projekt nennt weitere 500 Milliarden über mehrere Jahre; Europas Invest-AI-Programm will 200 Milliarden Euro „mobilisieren“, was etwas anderes ist als ausgeben. Und die Hardware fehle ohnehin.Hier lohnt der Blick auf China, denn China ist der Gegenbeweis in Echtzeit. Das Land steht unter amerikanischen Exportkontrollen und muss mit Chips arbeiten, die nach Analysen des Washingtoner Thinktanks CSIS im Bereich der Inferenz etwa 60 Prozent von Nvidias H100-Chips erreichen; beim Training ist der Abstand größer, und der Council on Foreign Relations erwartet, dass er pro Chip bis zum Jahr 2027 noch deutlich wächst.China gleicht das mit größeren Clustern, Milliardensubventionen und Ausdauer aus – und seine besten Modelle liegen nur Monate hinter der Weltspitze. Der Rückstand in der Hardware verhindert den Aufstieg nicht. Er verteuert ihn.Wie teuer, das zeigt ausgerechnet Deepseek. Als das Unternehmen Anfang 2025 die Börsen erschütterte, kursierte die Zahl von knapp sechs Millionen Dollar Trainingskosten. Sie stammt aus Deepseeks eigenem Bericht – und bezeichnet dort ausdrücklich nur den finalen Trainingslauf zu einem kalkulatorischen Mietpreis, ohne Vorstudien, Forschung und die Rechenzentren selbst.Das Analysehaus Semianalysis schätzt die tatsächlichen Gesamtkosten auf rund zweieinhalb Milliarden Dollar. Eigene Modelle sind also sicherlich kein Sechs-Millionen-Projekt. Aber sie sind auch kein unbeherrschbares Vorhaben: Sie kosten Milliarden, und das sind Summen, die Europa aufbringen kann, wenn es sie bündelt.Für Europa ist die Lage sogar günstiger, und das ist der entscheidende Punkt: Europa unterliegt diesen Exportkontrollen bislang nicht. Es darf die beste Hardware der Welt kaufen. Was ihm fehlt, das sind nicht Chips, sondern Kapitalvolumen, Bündelung und Wille. Gewiss, die China-Analogie trägt nur begrenzt – China hat einen riesigen Binnenmarkt, staatliche Lenkung und eine Datenrealität, die Europa nicht hat und nicht haben will. Und Europas eigentlicher Engpass könnte am Ende nicht einmal das Geld sein, sondern die Daten. Rechtssichere, mehrsprachige Trainingsdaten unter europäischem Urheber- und Datenschutzrecht zu erschließen, ist bislang ein ungelöstes Problem.Aber aus „schwer“ folgt nicht „unmöglich“. Die Bausteine liegen ohnehin bereit. Mistral, Europas wichtigstes KI-Labor, hat sich im Frühjahr gemeinsam mit Nvidia ausdrücklich zu offenen Spitzenmodellen bekannt. In Deutschland hat das Soofi-Konsortium im Juni den ersten Baustein einer souveränen Modellfamilie veröffentlicht. Und für die europäischen KI-Gigafabriken gingen 77 Interessenbekundungen aus 16 Mitgliedstaaten ein; der Bau der ersten Anlagen mit jeweils rund 100.000 Chips soll im kommenden Jahr 2027 beginnen. Kompetenz, Rechenleistung und Kapitalzugang wachsen zum ersten Mal gleichzeitig. Die Gelegenheit ist offen – auf Dauer bleibt sie es nicht.Zwei Gleise, ein ZielWas folgt daraus? Zweierlei, und zwar gleichzeitig. Kurzfristig sollte Europa offene Modelle konsequent auf eigener Infrastruktur betreiben und darüber eine prüfende Schicht legen. Dazu zählen standardisierte Prüfungen auf Verzerrung und verborgene Funktionen vor der Freigabe, dokumentierte Herkunft und eingefrorene Modellstände für kritische Anwendungen.Ein Teil davon ist heute noch Forschung, nicht Produkt: Verzerrungen großer Modelle lassen sich messen, aber nicht zuverlässig entfernen, eintrainierte Hintertüren nicht sicher aufspüren, Vergiftungen der Trainingsdaten kaum nachweisen. Die neuesten Systeme lernen überdies, Testsituationen zu erkennen und sich dort anders zu verhalten – die Prüfung kann von dem manipuliert werden, was sie prüfen soll.Fast alles, was den Blick ins Innere eines trainierten Modells voraussetzt, ist offene Forschung und gehört deshalb auf die europäische Forschungsagenda. Modellintegrität gehört neben Datenschutz in den Anforderungskatalog jeder öffentlichen Beschaffung. Das sichert den Betrieb heute. Langfristig aber führt an eigenen Modellen kein Weg vorbei, und sie gehören ins Zentrum der europäischen Industriepolitik, nicht an den Rand der Forschungsförderung.Eigene Modelle machen KI dabei nicht automatisch beherrschbar. Über verlässliche Methoden, um hochautonome Systeme zu kontrollieren, verfügt nach dem nüchternen Befund des neuen wissenschaftlichen KI-Panels der Vereinten Nationen gegenwärtig niemand, auch die Hersteller nicht. Nur ist das kein Einwand gegen eigene Modelle, sondern das zweite, eigenständige Argument für sie: Kontrolle, Sicherheit und Bewertung von KI sind offene Forschung, und diese Forschung benötigt Zugang zum Inneren der Modelle.Geschlossene Hersteller gewähren ihn gar nicht, offene Gewichte nur zur Hälfte: Die Parameter liegen offen, Trainingsdaten und Trainingsprozess bleiben fremd. Wer nie selbst baut, forscht an den drängendsten Fragen dieser Technik aus zweiter Hand. Das KI-Panel benennt die Folge: Länder ohne eigene KI-Infrastruktur und Prüfkapazität drohen die Möglichkeit zu verlieren, die Technologie mitzuentwickeln und globale Standards zu beeinflussen. Europa stiege mit eigenen Modellen also nicht in das Rennen ein, vor dem die Vereinten Nationen warnen; es erwürbe die Fähigkeit, dieses Rennen zu prüfen und mitzuregeln.Auch die stillschweigende Selbstbeschränkung auf Unternehmens- und Verwaltungskunden verdient eine Revision: Wer die Endnutzer kampflos den amerikanischen Anbietern überlässt, überlässt ihnen auch die Daten, die Gewohnheiten und die nächste Generation von Anwendungen. Die Unterscheidung trägt im Übrigen weit über die KI hinaus. Auch die Debatte um die souveräne Cloud handelt von genau dieser Grenze.Europa braucht den eigenen SchalterWer fremde Software in einem europäisch betriebenen Rechenzentrum laufen lässt, gewinnt Betriebssouveränität: Er kann Daten und laufenden Betrieb im eigenen Haus halten. Was die Software tut und wie es mit ihr weitergeht (Patches, Funktionen, die nächste Version), das bestimmt weiterhin der Hersteller. Dasselbe Muster kennt die amerikanische Bürosoftware in europäischen Amtsstuben, und dasselbe Muster kennen Mobilfunknetze, die heimische Betreiber auf der Technik weniger Ausrüster betreiben. Souverän betreiben und souverän beherrschen, das sind zwei verschiedene Dinge, bei der Cloud, der Bürosoftware und den Netzen wie bei den Modellen. Dass Europa es anders kann, wenn es will, zeigt das Satellitennavigationssystem Galileo: eigene Technik, kein fremder Schalter.Anfang Juli tagte in Genf zum ersten Mal der Globale Dialog der Vereinten Nationen über KI-Governance; die Auftaktsitzung blieb unverbindlich, die Fortsetzung folgt im Mai 2027 in New York. Dort entsteht eine dritte Ebene neben dem Betrieb und dem Eigenbau – internationale Normen. Europa könnte einbringen, was es nach innen ohnehin braucht, und das sind verbindliche Standards für die Bewertung von Modellen und für ihre Integrität. Gehör findet auf Dauer aber nur, wer selbst baut und selbst prüft.Ende Juni legte Washington den Schalter wieder um; seit dem 1. Juli ist Fable 5 für Europa wieder da, bis auf Weiteres. Man kann darin eine Beruhigung sehen. Man sollte darin eine Botschaft lesen: Der Schalter existiert, und er liegt im Ausland – in Washington für den laufenden Dienst, in Peking für den Nachschub an offenen Modellen. Ein eigener Schalter setzt ein eigenes Modell voraus.Haya Schulmann ist Professorin für Cybersicherheit an der Goethe-Universität Frankfurt und Mitglied im Direktorium des Nationalen Forschungszentrums für angewandte Cybersicherheit ATHENE.Michael Waidner ist Professor für Sicherheit in der Informationstechnik an der Technischen Universität Darmstadt, Leiter des Fraunhofer SIT und CEO von ATHENE.