eustella und die Frage, was an europäischer KI wirklich souverän ist

Mit eustella geht heute ein Wiener Startup an den Start, das eine vollständig souveräne europäische KI-Agenten-Plattform verspricht. Der Zeitpunkt ist kein Zufall: Die jüngsten Exportbeschränkungen rund um die leistungsfähigsten Modelle einzelner US-Anbieter haben vorgeführt, wie schnell europäische Nutzerinnen und Nutzer von außen ausgesperrt werden können. Genau diese Abhängigkeit adressiert eustella. Das ist begrüßenswert. Die Aussage, Datenhoheit und technologische Kontrolle blieben "zu 100 Prozent in Europa", verdient aber eine genauere Betrachtung, weil Souveränität bei KI kein binärer Zustand ist, sondern in Schichten zerfällt.

Was eustella anbietet

eustella tritt als breit aufgestellter KI-Agent auf: Recherche, Reiseplanung, News, Bildgenerierung, Erstellung von Präsentationen, eigene Agenten, Projekte und Gruppenarbeit, dazu eine Memory-Funktion für persönliche Vorlieben und Inhalte. Verfügbar ist die Anwendung für iOS, Android und Web, der Einstiegspreis liegt bei 5,99 Euro im Monat.

Funktional positioniert sich eustella damit als direkte Alternative zu den bekannten US-Diensten, preislich sogar darunter.

Der eigentliche Differenzierungsanspruch liegt aber nicht in der Funktion, sondern in der Infrastruktur und der versprochenen Souveränität. Hier lohnt sich eine nähere Betrachtung.

Betriebssouveränität ist real, Modellsouveränität nur teilweise

eustella betreibt alle Modelle selbst und ausschließlich auf europäischer Infrastruktur bei IONOS Cloud, unter deutscher Jurisdiktion. Das ist ein substanzieller Punkt. Der US CLOUD Act greift nur auf Daten zu, die der Kontrolle US-amerikanischer Anbieter unterliegen, unabhängig vom physischen Serverstandort. Ein Anbieter unter deutscher Jurisdiktion mit deutscher Konzernmutter entzieht sich diesem Zugriff in einer Weise, die eine reine "EU-Region" bei einem US-Hyperscaler nicht leistet. Diese Betriebssouveränität ist der starke Teil des Versprechens. Schwächer wird das Bild bei den Modellen selbst.

eustella setzt auf Gemma (Google), Qwen (Alibaba), gpt-oss-120b (OpenAI), Mistral (Mistral AI) und Flux (Black Forest Labs).

Vier dieser fünf Modellfamilien stammen von US-amerikanischen oder chinesischen Entwicklern. Europäisch sind in dieser Liste nur Mistral und Flux. Das ist aber kein Widerspruch zum Eigenbetrieb, weil offene Modelle genau diesen Betrieb ohne Datenrückfluss erlauben. Es relativiert aber ein wenig die Formulierung "100 Prozent europäisch". Souverän ist der Betrieb, nicht die Herkunft der Modelle. Die Trainingsdaten, die Architekturentscheidungen und die wirtschaftliche Wertschöpfung bei der Modellentwicklung liegen weiterhin überwiegend außerhalb Europas. Wer Souveränität als Kontrolle über die gesamte Lieferkette versteht, findet sie hier auf der Betriebsebene, nicht auf der Ebene der Modellentstehung.

Open Weight ist nicht Open Source

Die Aussendung spricht von "Open Weight und Open Source" in einem Atemzug. Diese Begriffe sind nicht deckungsgleich, und der Unterschied ist für eine Souveränitätsbewertung wesentlich.

Open Weights bedeutet, dass die trainierten Gewichte eines Modells frei verfügbar sind und lokal betrieben werden können. Das ist die Grundlage dafür, dass eustella die Modelle ohne Datenabfluss an die Entwickler betreiben kann und darf. Das ist der eigentliche technische Hebel des Konzepts. Open Source im strengen Sinn würde darüber hinaus offengelegte Trainingsdaten, Trainingscode und eine reproduzierbare Pipeline verlangen. Diese Vollständigkeit erfüllen die genannten Modelle in der Regel nicht. Für die Praxis heißt das: Eigenbetrieb und Datenkontrolle sind gegeben, eine vollständige Nachvollziehbarkeit oder gar Reproduzierbarkeit der Modelle ist es nicht. Die Differenzierung gehört in jede ehrliche Souveränitätsdebatte, weil sie den Unterschied zwischen Kontrolle über den Betrieb und Kontrolle über die Technologie markiert.

DSGVO-Perspektive: gute Ansätze, offene Belege

Aus Datenschutzsicht klingen die zentralen Zusagen stimmig: keine Datenweitergabe an die Modellentwickler, Verarbeitung ausschließlich in der EU, keine Nutzung von Nutzerdaten für das Training. Das adressiert die wesentlichen Schwachstellen, an denen US-Dienste typischerweise scheitern, insbesondere die Drittlandübermittlung nach Kapitel V DSGVO und die Verarbeitung zu Trainingszwecken.

Entscheidend ist allerdings, ob diese Zusagen belastbar dokumentiert sind. Eine Souveränitätsbewertung lebt nicht von Pressetexten, sondern von Datenschutzerklärung, Auftragsverarbeitungsverträgen und einem nachvollziehbaren Löschkonzept. Besonders die Memory-Funktion verdient Aufmerksamkeit: Wer persönliche Vorlieben, Interessen und Inhalte dauerhaft speichert, braucht eine saubere Rechtsgrundlage nach Art. 6 DSGVO, gelebte Datenminimierung nach Art. 5 Abs. 1 lit. c und ein funktionierendes Verfahren für Auskunft und Löschung nach Art. 15 und 17. Diese Punkte sind vor einem produktiven Einsatz, gerade in regulierten Branchen, jedenfalls zu prüfen.

Agentic Commerce schafft neue Datenflüsse

Der spannendste, aber datenschutzrechtlich heikelste Teil ist die Entwicklung vom Chatbot zum handlungsfähigen Agenten. Über Integrationen zu Bitpanda für Krypto-Daten und Geizhals für Produkt- und Preisvergleiche soll eustella nicht nur beraten, sondern für die Nutzerinnen und Nutzer recherchieren und perspektivisch handeln. Genau an dieser Schnittstelle entstehen neue Datenflüsse zu Dritten.

Die offene Frage lautet: Welche Nutzerdaten verlassen eustella in Richtung dieser Partner, sobald eine Anfrage gestellt wird, und in welcher datenschutzrechtlichen Rolle stehen die Beteiligten zueinander? Je nach Ausgestaltung ist zwischen Auftragsverarbeitung nach Art. 28 und gemeinsamer Verantwortlichkeit nach Art. 26 DSGVO zu unterscheiden, mit jeweils unterschiedlichen vertraglichen und Transparenzpflichten. Souveränität auf der Modellebene nützt wenig, wenn personenbezogene Daten an der Agenten-Schnittstelle unkontrolliert abfließen. Für die Bewertung der Plattform wird dieser Bereich mit jeder weiteren Integration in den Bereichen Reisen, Navigation, Shopping und Bildung wichtiger.

Einordnung

eustella ist ein ernstzunehmender und absolut begrüssenswerter Schritt, die Richtung stimmt. Betriebssouveränität auf europäischer Infrastruktur unter deutscher Jurisdiktion, kombiniert mit offenen Gewichten und EU-interner Verarbeitung, adressiert reale Abhängigkeiten und löst sie auf der entscheidenden Betriebsebene. Für Organisationen im DACH-Raum, die eine Alternative zu US-Diensten suchen, ist das relevant.

Gleichzeitig lohnt der nüchterne Blick. Die Digitale Souveränität ist technologiebedingt abgestuft, nicht absolut. eustella liefert sie beim Betrieb und bei der Datenverarbeitung, nur eingeschränkt bei der Herkunft der Modelle und der Tiefe der Offenlegung. Die Formulierung "100 Prozent" ist Marketing, die zugrunde liegende Leistung ist es nicht. Wer eustella professionell bewerten will, prüft Datenschutzerklärung, Auftragsverarbeitung, das Datenschutzkonzept der Memory-Funktion und die Datenflüsse der Agenten-Integrationen. Genau dort entscheidet sich langfristig, ob aus einem guten Versprechen eine tragfähige, souveräne Lösung wird.