DSGVO-konforme KI für Unternehmen europäisch & sicher

Der US CLOUD Act verpflichtet US-Unternehmen, Daten an amerikanische Behörden herauszugeben – unabhängig davon, wo die Server stehen. Ein EU-Rechenzentrum eines US-Anbieters löst das Problem deshalb nicht.

Seit dem CLOUD Act von 2018 gilt: Amerikanische Anbieter müssen auf behördliche Anordnung Daten herausgeben, auch wenn diese ausschließlich in Europa gespeichert sind. Wer OpenAI, Google oder Microsoft als KI-Motor nutzt, übermittelt Inhalte und Nutzereingaben an genau solche Anbieter – und gibt die Kontrolle potenziell aus der Hand. Spätestens seit dem Schrems-II-Urteil des EuGH ist klar, wie fragil Datentransfers in die USA rechtlich sind.

Unser Ansatz:

• Europäische Modelle. Auf Wunsch nutzen wir ausschließlich Modelle wie Mistral (Frankreich) – leistungsstark und vollständig dem europäischen Rechtsrahmen unterstellt, ohne Cloud-Act-Risiko.
• Selbst gehostete Modelle. Wo maximale Souveränität gefragt ist, läuft die KI lokal auf Ihrer eigenen Infrastruktur. Ihre Daten verlassen Ihr Haus nicht.
• Keine US-Anbieter, wenn Sie es nicht wollen. Sie entscheiden, welche Modelle zum Einsatz kommen – transparent und dokumentiert. Und wenn ein US-Modell für einen unkritischen Anwendungsfall die beste Wahl ist, treffen Sie diese Entscheidung bewusst – je Anwendungsfall, nicht pauschal.
• DSGVO by Design. Datenminimierung, Auftragsverarbeitungsvertrag (AVV), klare Löschkonzepte und EU-Hosting sind Teil der Lösung, nicht nachträgliches Beiwerk.

Wie das technisch funktioniert – Modellwahl je Anwendungsfall, Protokollierung, On-Premises-Betrieb – zeigt unsere Plattform dConnect – KI mit Ihrem Wissen.

Ist der Einsatz von ChatGPT & Co. im Unternehmen DSGVO-konform möglich?

Grundsätzlich ja – aber nicht, indem Mitarbeiter einfach den öffentlichen Chat nutzen. Es braucht eine kontrollierte Einbindung über die API mit Auftragsverarbeitungsvertrag, klaren Regeln, welche Daten übermittelt werden dürfen, und dem Ausschluss der Nutzung für das Modell-Training. Für viele Anwendungsfälle ist ein europäisches Modell wie Mistral die deutlich unkompliziertere Wahl – wir beraten Sie ehrlich, was zu Ihrem Szenario passt.

Was ist der US CLOUD Act – und warum betrifft er auch EU-Server?

Der CLOUD Act (2018) verpflichtet US-Unternehmen, amerikanischen Behörden auf Anordnung Daten herauszugeben – unabhängig davon, wo diese gespeichert sind. Ein Rechenzentrum in Frankfurt schützt also nicht, wenn der Betreiber ein US-Anbieter ist. Deshalb setzen wir standardmäßig auf europäische Anbieter wie Mistral oder auf selbst gehostete Modelle.

Reicht es nicht, wenn der KI-Anbieter Server in der EU hat?

Nein. Entscheidend ist nicht nur der Serverstandort, sondern wer rechtlich Zugriff hat. US-Anbieter unterliegen dem CLOUD Act – auch für ihre europäischen Rechenzentren. Echte Datensouveränität erreichen Sie mit europäischen Anbietern im europäischen Rechtsrahmen oder mit Modellen auf Ihrer eigenen Infrastruktur.

Brauchen wir einen Auftragsverarbeitungsvertrag (AVV)?

Sobald personenbezogene Daten im Spiel sind – und das sind sie bei Nutzereingaben praktisch immer – ja. Der AVV mit dem KI-Anbieter ist Pflicht, dazu gehören technisch-organisatorische Maßnahmen (TOMs) und ein Löschkonzept. Wir bringen die nötigen Unterlagen und Prozesse mit und stimmen sie mit Ihrem Datenschutzbeauftragten ab.

Können die Sprachmodelle komplett bei uns laufen (On-Premises)?

Ja. Wo maximale Souveränität gefragt ist – etwa bei Behörden oder besonders sensiblen Daten – betreiben wir die KI auf Ihrer eigenen Infrastruktur. Ihre Daten verlassen Ihr Haus dann überhaupt nicht. Unsere Plattform dConnect ist dafür ausgelegt und benötigt keine Spezial-Infrastruktur.

Was passiert mit den Eingaben unserer Nutzer?

Nutzereingaben werden nur zur Beantwortung der jeweiligen Anfrage verarbeitet und nicht zum Training von Modellen verwendet. Jeder Aufruf wird protokolliert, sodass Sie jederzeit nachweisen können, welche Daten wofür verarbeitet wurden. Speicherfristen und Löschwege legen wir gemeinsam in Ihrem Löschkonzept fest.