Bund lässt Mistral fallen: Was Firmen bei der KI-Wahl lernen
Was gemeldet wurde und was wir daraus nicht ableiten sollten
Golem.de berichtet, dass die Bundesregierung den geplanten KI-Rahmenvertrag mit Mistral und SAP vorerst nicht weiterverfolgt. Die Überschrift der Meldung spricht davon, dass der Bund Mistral „fallen lässt". Mehr Details enthält die Zusammenfassung, die uns vorliegt, nicht. Warum der Vertrag gestoppt wurde, wer die Entscheidung getrieben hat und ob es in Zukunft einen neuen Anlauf gibt, wissen wir nicht, und wir werden hier nicht darüber spekulieren.
Das ist wichtig, weil solche Nachrichten gern überinterpretiert werden. Man liest „Bund stoppt europäische KI-Zusammenarbeit" und schließt daraus, dass europäische Anbieter nichts taugen, oder umgekehrt, dass hinter den Kulissen ein Skandal steckt. Beides lässt sich aus dem, was bekannt ist, nicht belegen. Ein Rahmenvertrag ist zunächst ein Beschaffungsinstrument: Er legt fest, zu welchen Bedingungen Behörden Leistungen abrufen können. Wenn er platzt, heißt das nur, dass dieses Instrument in dieser Form nicht kommt. Es sagt nichts darüber aus, ob die Technik gut oder schlecht ist.
Was sich aber sehr wohl sagen lässt: Auch ein Vorhaben, das auf höchster politischer Ebene angestoßen wurde, mit einem bekannten europäischen KI-Anbieter und einem der größten deutschen Softwarehäuser, kann kippen. Wenn das der Bundesregierung passieren kann, kann es jedem Mittelständler passieren, der seine KI-Strategie an einen einzelnen Lieferanten, einen einzelnen Vertrag oder ein einzelnes Produkt hängt.
Warum diese Meldung auch einen Handwerksbetrieb oder Händler betrifft
Man könnte einwenden, dass die Beschaffung des Bundes mit der eines Betriebs mit 40 Beschäftigten nichts zu tun hat. Auf den ersten Blick stimmt das. Auf den zweiten gibt es drei Verbindungen.
Erstens sind die Signale des Bundes ein Stück Orientierung für den Markt. Viele Mittelständler warten ab, welche Anbieter sich in Deutschland durchsetzen, weil sie hoffen, dass Verwaltung und Großkunden eine Vorauswahl treffen. Je weniger belastbar diese Vorauswahl ist, desto weniger können Sie sich darauf verlassen. Sie müssen Ihre Entscheidung selbst begründen können.
Zweitens zeigt der Fall, wie schnell sich Rahmenbedingungen ändern. KI-Produkte, Preismodelle, Nutzungsbedingungen und Rechenzentrumsstandorte entwickeln sich in Monaten, nicht in Jahren. Ein Anbieter, der heute zu Ihren Anforderungen passt, kann morgen die Konditionen ändern, ein Produkt einstellen oder von einem anderen Unternehmen übernommen werden. Das gilt für Start-ups genauso wie für Konzerne.
Drittens hängen bei KI mehr Pflichten und Risiken dran als bei den meisten anderen Software-Entscheidungen. Es geht um Daten, die Sie in ein System eingeben, um Ergebnisse, auf die Sie sich verlassen, und um rechtliche Vorgaben, die für Ihren Betrieb gelten, egal welchen Anbieter Sie wählen. Verantwortlich bleiben Sie, nicht der Lieferant.
Anbieterabhängigkeit: Das eigentliche Risiko
Der Fachbegriff dafür ist Lock-in. Gemeint ist der Zustand, in dem ein Wechsel so teuer, so aufwendig oder so riskant wird, dass man ihn praktisch nicht mehr vollzieht, selbst wenn der Anbieter schlechter oder teurer wird. Bei KI entsteht dieser Zustand schneller, als viele denken.
Ein typisches Beispiel aus der Praxis: Ein Unternehmen testet einen KI-Assistenten für Angebotstexte. Die Mitarbeiter gewöhnen sich daran, es entstehen Vorlagen, Anweisungen und kleine Automatisierungen, die genau auf die Eigenheiten dieses einen Systems zugeschnitten sind. Nach einem halben Jahr hängen Abläufe daran. Wenn der Anbieter nun die Preise anhebt, bestimmte Funktionen streicht oder sich die Datenschutzlage ändert, stehen Sie vor der Wahl: zahlen und hinnehmen, oder umbauen.
Lock-in entsteht bei KI an mindestens vier Stellen:
- Anweisungen und Prompts: Was bei einem Modell hervorragende Ergebnisse liefert, funktioniert bei einem anderen oft nur mit Anpassungen.
- Schnittstellen und Integrationen: Wer sein Warenwirtschaftssystem, sein Ticketsystem oder seine Website direkt an die Schnittstelle eines Anbieters anschließt, muss beim Wechsel diese Anbindungen neu bauen.
- Eigene Daten und Wissensbestände: Wenn Dokumente, Produktdaten oder Kundenhistorie in einem proprietären Format beim Anbieter liegen, ist der Export zäh oder unvollständig.
- Gewohnheiten und Schulung: Auch der menschliche Faktor zählt. Teams, die auf ein Werkzeug eingeübt sind, wechseln ungern.
Man muss deshalb nicht auf KI verzichten. Aber man sollte von Anfang an so bauen, dass ein Wechsel möglich bleibt. Dazu gleich mehr.
Datenschutz: Wohin gehen Ihre Daten wirklich?
Bei der Auswahl eines KI-Anbieters wird die Frage nach dem Datenschutz häufig auf ein Häkchen reduziert: „Ist der Anbieter DSGVO-konform?" Das greift zu kurz. Ob ein Anbieter dem Datenschutzrecht genügt, hängt davon ab, wie Sie ihn einsetzen, welche Daten Sie ihm geben und welche vertraglichen Grundlagen bestehen.
Fragen, die Sie vor dem Einsatz klären sollten:
1. Welche Daten gehen in das System? Ein Werbetext ohne Personenbezug ist etwas anderes als eine E-Mail eines Kunden mit Namen, Anschrift und Beschwerde. Noch heikler sind Gesundheitsdaten, Bewerberdaten oder Informationen aus laufenden Verträgen.
2. Wo werden die Daten verarbeitet? Entscheidend ist der Standort der Verarbeitung und ob Unterauftragnehmer außerhalb der EU beteiligt sind.
3. Werden Ihre Eingaben zum Training verwendet? Viele Dienste unterscheiden zwischen Privat- und Geschäftskundenangeboten. Was in der einen Variante abgeschaltet ist, kann in der anderen standardmäßig laufen.
4. Gibt es einen Auftragsverarbeitungsvertrag? Sobald personenbezogene Daten im Spiel sind, brauchen Sie ihn. Ohne ihn sollten Sie solche Daten nicht eingeben.
5. Wie lange werden Eingaben gespeichert, und können Sie sie löschen?
Gerade hier liegt der Charme europäischer Angebote, auf den auch die Meldung indirekt zielt: Wenn Anbieter, Verarbeitung und Vertragsrecht im selben Rechtsraum liegen, werden viele Fragen einfacher zu beantworten. Einfacher heißt aber nicht automatisch erledigt. Auch bei einem europäischen Anbieter müssen Sie die Punkte oben prüfen. Und auch ein außereuropäischer Anbieter kann mit geeigneten Verträgen und Einstellungen für bestimmte Zwecke vertretbar sein. Es gibt keine pauschale Antwort, sondern nur eine Entscheidung pro Anwendungsfall.
Europäische Alternativen: Chance mit Augenmaß
Das Aus des Rahmenvertrags ist kein Argument gegen europäische KI. Es ist ein Argument für nüchterne Prüfung. Wer sich für einen europäischen Anbieter interessiert, sollte genauso kritisch fragen wie bei jedem anderen Lieferanten.
Was für europäische Angebote sprechen kann:
- Klarere rechtliche Zuständigkeit und oft einfachere Vertragsgestaltung für Datenschutzfragen.
- Weniger Abhängigkeit von einzelnen großen Plattformen außerhalb Europas, was strategisch beruhigend sein kann.
- Ansprechpartner in der eigenen Zeitzone und Sprache, was im Störungsfall nicht zu unterschätzen ist.
Was man nüchtern bedenken sollte:
- Funktionsumfang und Qualität variieren je nach Aufgabe stark. Für manche Anwendungen genügt ein kleineres, günstigeres Modell, für andere nicht. Das müssen Sie am eigenen Anwendungsfall testen, nicht an Marketingversprechen.
- Junge Anbieter haben weniger Vorgeschichte. Fragen Sie nach Referenzen, Verfügbarkeitszusagen und wie der Support tatsächlich arbeitet.
- „Europäisch" ist kein Gütesiegel. Ein Anbieter kann seinen Sitz in Europa haben und trotzdem Dienste von Dritten außerhalb Europas einbinden. Fragen Sie nach der gesamten Verarbeitungskette.
Die Konsequenz für die Praxis: Entscheiden Sie nicht nach Herkunft allein, sondern nach nachweisbaren Eigenschaften. Und halten Sie sich die Möglichkeit offen, mehr als einen Anbieter zu nutzen.
Worauf Sie bei der Wahl eines KI-Anbieters achten sollten
Aus dem Vorangegangenen lässt sich eine praktische Prüfliste ableiten. Sie passt auf einen Zettel und ist für jedes Unternehmen anwendbar, ob mit eigener IT-Abteilung oder ohne.
Vertrag und Konditionen
- Wie lang ist die Mindestlaufzeit, und wie kündigen Sie?
- Wie werden Preise geändert, und mit welcher Vorlaufzeit müssen Änderungen angekündigt werden?
- Was passiert mit Ihren Daten nach Vertragsende, und in welchem Format erhalten Sie sie zurück?
Datenschutz und Sicherheit
- Gibt es einen Auftragsverarbeitungsvertrag, und sind Unterauftragnehmer und Verarbeitungsorte transparent benannt?
- Können Sie die Nutzung Ihrer Eingaben zu Trainingszwecken ausschließen?
- Wie sind Zugriffe geregelt: Einzelkonten, Rollen, Protokollierung?
Technik und Wechselbarkeit
- Nutzt der Anbieter offene, gut dokumentierte Schnittstellen?
- Können Sie Ihre Anweisungen, Wissensbestände und Konfigurationen exportieren?
- Lässt sich der Dienst über eine Zwischenschicht ansprechen, sodass ein Austausch des Modells nicht Ihre gesamte Anwendung umwirft?
Betrieb und Verlässlichkeit
- Gibt es verbindliche Aussagen zur Verfügbarkeit?
- Wer ist im Störungsfall erreichbar, und wie schnell?
- Wie transparent kommuniziert der Anbieter über Änderungen am Produkt?
Wenn ein Anbieter diese Fragen nicht klar beantworten kann oder will, ist das selbst eine Antwort.
Sicherheit und Regulierung: Die Pflichten bleiben bei Ihnen
Viele Betriebe unterschätzen, dass die Einführung von KI auch ein Sicherheitsthema ist. Sobald Mitarbeiter Daten in einen externen Dienst kopieren, entsteht ein neuer Abflussweg. Sobald Sie KI-gestützte Funktionen in Ihre Website oder Ihren Shop einbauen, entsteht eine zusätzliche Angriffsfläche. Sobald Zugangsdaten für einen KI-Dienst in einer Konfigurationsdatei liegen, ist das ein weiteres Geheimnis, das geschützt werden muss.
Deshalb gehört die KI-Auswahl in Ihr Sicherheitskonzept. Eine solide Grundlage dafür ist ein sauberer Rahmen für IT-Sicherheit: Wer hat Zugriff, wie werden Konten abgesichert, was wird protokolliert, was passiert bei einem Vorfall. Das gilt unabhängig davon, ob Sie einen europäischen oder außereuropäischen Anbieter einsetzen.
Hinzu kommt der regulatorische Druck. Je nach Branche und Größe fallen Unternehmen unter Vorgaben zur Cybersicherheit, die auch den Umgang mit Lieferanten und Dienstleistern betreffen. Wenn Sie wissen wollen, ob Sie betroffen sind und was das konkret für Ihre Lieferkette bedeutet, lohnt sich ein Blick auf unsere Hinweise zu NIS2 und IT-Sicherheit für kleine und mittlere Unternehmen. Der Kerngedanke ist einfach: Wer Dienstleister einbindet, muss deren Risiken in die eigene Betrachtung einbeziehen. Ein KI-Anbieter ist ein Dienstleister wie jeder andere, nur mit besonders sensiblem Zugang zu Ihren Inhalten.
Wichtig dabei: Wir sprechen hier über Grundsätze, nicht über eine Rechtsberatung. Wie die Pflichten im Einzelfall aussehen, sollten Sie mit Ihrer Datenschutzbeauftragten oder Ihrem Rechtsbeistand klären.
Wie Sie technisch unabhängig bleiben
Anbieterunabhängigkeit ist keine Frage der Gesinnung, sondern der Architektur. Drei Prinzipien helfen auch kleinen Teams.
Erstens: Eine Schicht dazwischen. Statt jede Anwendung direkt an einen KI-Anbieter anzubinden, bauen Sie eine einzige interne Schnittstelle, über die alle Anfragen laufen. Wenn Sie später den Anbieter wechseln, ändern Sie diese eine Stelle und nicht zehn Anwendungen. Für einen Mittelständler bedeutet das nicht zwingend Eigenentwicklung. Oft genügt es, bei der Auswahl von Software darauf zu achten, dass sie mehrere Modelle unterstützt.
Zweitens: Eigene Wissensbestände gehören Ihnen. Produktdaten, Handbücher, Preislisten und Vorlagen sollten in einem Format und an einem Ort liegen, den Sie kontrollieren. Der KI-Dienst greift darauf zu, er besitzt sie nicht. So bleibt Ihr Wissen auch dann nutzbar, wenn der Dienst wechselt.
Drittens: Betrieb in vertrauenswürdiger Umgebung. Wo Sie KI-gestützte Anwendungen selbst betreiben oder in Ihre bestehenden Systeme einbinden, spielt die Hosting-Umgebung eine Rolle: Standort, Zugriffsschutz, Backups, Updates. Ein Managed Hosting kann hier entlasten, weil jemand die Plattform pflegt und Sie sich auf die Anwendung konzentrieren können. Entscheidend ist auch hier wieder: Sie behalten Zugriff auf Ihre Daten und können umziehen, wenn nötig.
Zusätzlich sollten Sie Tests einplanen. Wer einen Anwendungsfall mit zwei Anbietern parallel ausprobiert, bekommt ein Gefühl für Qualitätsunterschiede und weiß, dass ein Plan B existiert. Der Aufwand ist gering, der Erkenntnisgewinn hoch.
Typische Fehler, die wir in der Praxis sehen
Aus Gesprächen mit Betrieben kennen wir ein paar Muster, die immer wieder zu Ärger führen.
- Schatten-KI: Mitarbeiter nutzen private Konten bei KI-Diensten für dienstliche Aufgaben, weil es bequem ist. Die Geschäftsführung weiß nichts davon, Datenschutzprüfung gibt es nicht. Hier hilft keine Verbotsankündigung, sondern ein freigegebenes Angebot und eine kurze, verständliche Regel, was hineindarf und was nicht.
- Die Pilotfalle: Ein Test wird erfolgreich, läuft „vorübergehend" weiter und ist ein Jahr später produktiv, ohne dass Vertrag, Datenschutz und Sicherheit je sauber geprüft wurden.
- Preisgläubigkeit: Der günstigste Tarif wird gewählt, bis sich zeigt, dass Datenschutzfunktionen oder Support nur in einer teureren Stufe enthalten sind.
- Alles auf eine Karte: Ein ganzer Prozess wird so gebaut, dass er ohne genau einen Dienst nicht mehr funktioniert, ohne manuelle Rückfalllösung.
- Vertrauen auf Schlagzeilen: Eine Entscheidung wird getroffen, weil „der Bund das auch macht" oder weil ein Anbieter gerade in den Nachrichten ist. Die Meldung, um die es hier geht, zeigt, wie wenig tragfähig das sein kann.
Was das für den Mittelstand bedeutet
Aus der Meldung ergibt sich kein Alarm, aber ein klarer Auftrag: KI-Entscheidungen bewusst, dokumentiert und umkehrbar treffen. Konkret empfehlen wir diese Schritte, die sich in den meisten Betrieben innerhalb weniger Wochen umsetzen lassen.
1. Bestandsaufnahme machen. Listen Sie auf, welche KI-Dienste in Ihrem Unternehmen bereits genutzt werden, offiziell und inoffiziell. Fragen Sie Ihr Team ruhig direkt. Ohne diesen Überblick können Sie nichts steuern.
2. Anwendungsfälle priorisieren. Teilen Sie nach Sensibilität der Daten ein: unkritische Texte, interne Dokumente, personenbezogene Daten. Für jede Stufe gelten andere Anforderungen an den Anbieter.
3. Eine kurze KI-Richtlinie schreiben. Eine Seite genügt: Welche Dienste sind freigegeben, welche Daten dürfen nicht eingegeben werden, wer ist Ansprechpartner. Wichtiger als Länge ist Verständlichkeit.
4. Anbieter anhand der Prüfliste bewerten. Gehen Sie die Punkte zu Vertrag, Datenschutz, Technik und Betrieb durch und halten Sie das Ergebnis schriftlich fest. Das hilft auch bei späteren Nachfragen von Kunden oder Prüfern.
5. Zwei Wege offenhalten. Testen Sie für Ihren wichtigsten Anwendungsfall mindestens zwei Anbieter, am besten einen europäischen und einen weiteren. Entscheiden Sie dann nach Ergebnis, Kosten und Vertragslage.
6. Wechselbarkeit einbauen. Achten Sie bei jeder Integration darauf, dass Sie Daten exportieren und die Anbindung austauschen können. Kündigungsfristen, Exportformate und Preisänderungsklauseln gehören in die Vertragsprüfung.
7. Sicherheit mitdenken. Zugriffsrechte, Zwei-Faktor-Anmeldung, Schutz von Schlüsseln und Protokollierung gelten auch für KI-Dienste. Prüfen Sie, ob Ihr Sicherheitskonzept diese Dienste abdeckt, und klären Sie bei Bedarf, ob Vorgaben aus dem Bereich Cybersicherheit auf Sie zutreffen.
8. Regelmäßig nachsehen. Setzen Sie sich zweimal im Jahr einen Termin, an dem Sie Anbieter, Preise, Bedingungen und Alternativen kurz überprüfen. Der Markt bewegt sich schnell genug, dass sich das lohnt.
9. Nicht auf Rahmenverträge anderer warten. Wenn Ihnen KI heute einen klaren Nutzen bringt, müssen Sie nicht auf politische Vorentscheidungen warten. Starten Sie klein, mit unkritischen Daten und klaren Regeln, und bauen Sie aus.
Wenn Sie dabei Unterstützung wünschen, etwa bei der Einordnung Ihrer bestehenden Systeme oder bei der Frage, wo KI in Ihrer Umgebung sicher andocken kann, sprechen Sie uns an. Gerade für Betriebe in der Region helfen wir mit IT-Service in Friesland und kennen die typischen Rahmenbedingungen kleiner Teams.
Häufige Fragen
Heißt das Aus des Rahmenvertrags, dass Mistral keine gute Wahl für Unternehmen ist?
Nein, das lässt sich aus der Meldung nicht ableiten. Bekannt ist nur, dass der geplante Rahmenvertrag zwischen Deutschland, Mistral und SAP vorerst nicht weiterverfolgt wird. Die Gründe nennt die Zusammenfassung nicht. Ob ein Anbieter für Ihren Betrieb taugt, entscheiden Sie anhand eigener Tests, der Vertragsbedingungen und der Datenschutzlage.
Sollte ich als kleines Unternehmen grundsätzlich europäische KI-Anbieter bevorzugen?
Ein europäischer Sitz kann Datenschutz- und Vertragsfragen vereinfachen und ist strategisch beruhigend. Er ersetzt aber keine Prüfung, denn auch dort können Dritte an der Verarbeitung beteiligt sein. Am besten testen Sie einen europäischen und einen weiteren Anbieter für Ihren konkreten Anwendungsfall und entscheiden dann nach Ergebnis und Konditionen.
Was ist der häufigste Fehler bei der Einführung von KI im Mittelstand?
Meist fehlt der Überblick: Mitarbeiter nutzen Dienste auf eigene Faust, ohne Regeln und ohne Prüfung der Datenschutzlage. Der zweithäufigste Fehler ist, einen Pilotversuch ohne saubere Vertragsprüfung dauerhaft weiterlaufen zu lassen. Eine kurze Richtlinie und eine Bestandsaufnahme beheben beides mit wenig Aufwand.
Wie vermeide ich, dass ich an einen KI-Anbieter gebunden bin?
Binden Sie KI über eine zentrale Schnittstelle an, statt jede Anwendung direkt mit dem Anbieter zu verknüpfen. Halten Sie Ihre eigenen Daten und Wissensbestände in Formaten, die Sie selbst kontrollieren, und achten Sie im Vertrag auf Exportmöglichkeiten und Kündigungsfristen. So bleibt ein Wechsel machbar, wenn Preise, Funktionen oder Rahmenbedingungen sich ändern.
Muss ich meine KI-Nutzung im Rahmen der Cybersicherheit besonders absichern?
KI-Dienste sind externe Dienstleister mit Zugang zu Ihren Inhalten und gehören deshalb in Ihr Sicherheitskonzept. Dazu zählen Zugriffsrechte, Zwei-Faktor-Anmeldung, Schutz von Zugangsschlüsseln und klare Regeln, welche Daten eingegeben werden dürfen. Ob für Ihr Unternehmen zusätzliche gesetzliche Vorgaben gelten, sollten Sie im Einzelfall mit Fachleuten klären.