Mistral, Aleph Alpha & lokale Modelle: Welche KI deine Kundendaten in der EU hält
TL;DR
„Server in der EU“ heißt nicht „rechtssicher in der EU“. Gehört der Anbieter zu einem US-Konzern, kann der US CLOUD Act Behördenzugriff erzwingen — trotz Hosting in Frankfurt. Wer mit sensiblen Mandantendaten arbeitet, prüft drei Dinge: Wo sitzt der Anbieter, wo stehen die Server, welche Verträge und Zertifikate gibt es. EU-Anbieter wie Mistral, On-Premise-Lösungen oder lokale Modelle sind die saubereren Wege.
Als Finanzberater oder Makler unterliegst du faktisch einer Verschwiegenheitspflicht — und der DSGVO sowieso. Sobald du ein KI-Tool mit echten Kundendaten fütterst, wird die Frage „Wo landen diese Daten?“ zur Compliance-Frage. Der häufigste Irrtum dabei: Viele glauben, ein US-Anbieter mit „EU-Region“ oder „Frankfurt-Hosting“ sei automatisch DSGVO-sicher. Das ist er nicht.
Der Grund heißt US CLOUD Act: Ein US-Mutterkonzern kann von US-Behörden verpflichtet werden, Daten herauszugeben — selbst wenn diese physisch auf einem Server in der EU liegen. Der Hosting-Standort allein schützt dich also nicht. Entscheidend ist, wem der Anbieter rechtlich gehört.
Die drei Prüffragen vor jedem KI-Tool
1. Wo sitzt der Anbieter rechtlich?
Ein in der EU inkorporiertes Unternehmen unterliegt EU-Recht und der DSGVO — und eben nicht dem US CLOUD Act. Das ist das wichtigste einzelne Kriterium.
2. Wo stehen die Server wirklich?
Hosting-Standort EU ist notwendig, aber nicht hinreichend. Frag nach den tatsächlichen Rechenzentren und nach Subunternehmern in der Verarbeitungskette.
3. Gibt es einen AV-Vertrag und Zertifikate?
Ist der Anbieter dein Auftragsverarbeiter mit AV-Vertrag (AVV)? Liegen Zertifikate wie ISO 27001, SOC 2, BSI C5 oder die neue ISO 42001 (KI-Managementsysteme) vor? Sie sind Signale — keine Garantie, aber ein guter Filter.
Die Anbieter-Landschaft 2026
Mistral (Frankreich)
EU-ansässig, unterliegt EU-Recht und DSGVO, mit EU-gehostetem Sprachmodell („Le Chat“). Der naheliegendste Einstieg, wenn du ein leistungsfähiges Modell mit europäischer Rechtsbasis willst.
Aleph Alpha (Deutschland)
Deutscher Anbieter mit Fokus auf erklärbare, unternehmenstaugliche KI und teils On-Premise- bzw. Private-Cloud-Betrieb — interessant, wenn Daten das Haus möglichst nicht verlassen sollen. Konditionen und Eignung im Einzelfall prüfen.
Lokale / Open-Source-Modelle
Open-Source-Modelle auf eigener Hardware oder in der Private Cloud — die Rohdaten verlassen dein System nie. Reicht für Standardaufgaben wie Zusammenfassen, Klassifizieren oder Stichwort-Extraktion, erreicht aber nicht die Spitzenleistung der großen Cloud-Modelle.
Zwei pragmatische Wege
Du musst dich nicht zwischen „maximal sicher“ und „maximal leistungsfähig“ entscheiden — du kannst beides kombinieren:
Der Sicherheits-Pfad
EU-Anbieter oder lokales Modell für alles mit Personenbezug. Große US-Cloud-Modelle nur für generische, anonymisierte Aufgaben — etwa allgemeine Textbausteine ohne Kundendaten.
Der Hybrid-Pfad
Du pseudonymisierst lokal — Namen, Adressen, Vertragsnummern raus — und schickst nur den entschärften Rest an ein leistungsstarkes Modell. So nutzt du Spitzenleistung, ohne identifizierbare Daten preiszugeben.
Was du jetzt tun solltest
- 1 Inventur: Liste alle KI-Tools auf, in die heute Kundendaten fließen — auch das beiläufige ChatGPT-Fenster.
- 2 Drei Prüffragen anwenden: Sitz, Server, Verträge/Zertifikate — pro Tool durchgehen.
- 3 Sensibles trennen: Mandantendaten auf den Sicherheits- oder Hybrid-Pfad, Generisches darf in die großen Modelle.
- 4 Dokumentieren: Welche Daten gehen wohin, auf welcher Rechtsgrundlage — koppel das an dein DSGVO-Verarbeitungsverzeichnis.
- 5 AV-Verträge abschließen: Mit jedem Anbieter, der personenbezogene Daten verarbeitet.
Häufige Fragen
Reicht ein US-Anbieter mit EU-Servern?
Rechtlich heikel: Wegen des US CLOUD Act kann der Mutterkonzern zur Datenherausgabe verpflichtet werden — trotz EU-Hosting. Für sensible Daten ist ein EU-Anbieter oder eine lokale Lösung die sauberere Wahl.
Was ist ISO 42001?
Eine relativ neue Norm für KI-Managementsysteme. Sie zeigt, dass ein Anbieter KI-Risiken strukturiert managt — ein gutes Signal, aber kein Ersatz für die rechtliche Prüfung.
Muss ich ganz auf US-Modelle verzichten?
Nein. Über Pseudonymisierung und den Hybrid-Pfad kannst du leistungsstarke Modelle nutzen, ohne identifizierbare Kundendaten preiszugeben — solange du es sauber dokumentierst.
DSGVO-Check für deinen KI-Einsatz
Im KI-Audit gehen wir deine Tools durch, trennen sensible von unkritischen Daten und legen einen datenschutzkonformen KI-Stack für dein Beratungsbusiness fest.
KI-Audit anfragen