Datenschutz
Mistral, Aleph Alpha & lokale Modelle: Welche KI deine Kundendaten in der EU hält
Hendrik BenevidesKI-Berater und TÜV-zertifizierter KI-Trainer
TL;DR
„Server in der EU“ heißt nicht „rechtssicher in der EU“. Gehört der Anbieter zu einem US-Konzern, kann der US CLOUD Act Behördenzugriff erzwingen, trotz Hosting in Frankfurt. Wer mit sensiblen Mandantendaten arbeitet, prüft drei Dinge: Wo sitzt der Anbieter, wo stehen die Server, welche Verträge und Zertifikate gibt es. EU-Anbieter wie Mistral, On-Premise-Lösungen oder lokale Modelle sind die saubereren Wege.
Als Finanzberater oder Makler unterliegst du faktisch einer Verschwiegenheitspflicht, und der DSGVO sowieso. Sobald du ein KI-Tool mit echten Kundendaten fütterst, wird die Frage „Wo landen diese Daten?“ zur Compliance-Frage. Der häufigste Irrtum dabei: Viele glauben, ein US-Anbieter mit „EU-Region“ oder „Frankfurt-Hosting“ sei automatisch DSGVO-sicher. Das ist er nicht.
Der Grund heißt US CLOUD Act: Ein US-Mutterkonzern kann von US-Behörden verpflichtet werden, Daten herauszugeben, selbst wenn diese physisch auf einem Server in der EU liegen. Der Hosting-Standort allein schützt dich also nicht. Entscheidend ist, wem der Anbieter rechtlich gehört.
Die drei Prüffragen vor jedem KI-Tool
1. Wo sitzt der Anbieter rechtlich?
Ein in der EU inkorporiertes Unternehmen unterliegt EU-Recht und der DSGVO, und eben nicht dem US CLOUD Act. Das ist das wichtigste einzelne Kriterium.
2. Wo stehen die Server wirklich?
Hosting-Standort EU ist notwendig, aber nicht hinreichend. Frag nach den tatsächlichen Rechenzentren und nach Subunternehmern in der Verarbeitungskette.
3. Gibt es einen AV-Vertrag und Zertifikate?
Ist der Anbieter dein Auftragsverarbeiter mit AV-Vertrag (AVV)? Liegen Zertifikate wie ISO 27001, SOC 2, BSI C5 oder die neue ISO 42001 (KI-Managementsysteme) vor? Sie sind Signale: keine Garantie, aber ein guter Filter.
Die Anbieter-Landschaft 2026
Mistral (Frankreich)
EU-ansässig, unterliegt EU-Recht und DSGVO, mit EU-gehostetem Sprachmodell („Le Chat“). Der naheliegendste Einstieg, wenn du ein leistungsfähiges Modell mit europäischer Rechtsbasis willst.
Aleph Alpha (Deutschland)
Deutscher Anbieter mit Fokus auf erklärbare, unternehmenstaugliche KI und teils On-Premise- bzw. Private-Cloud-Betrieb, interessant, wenn Daten das Haus möglichst nicht verlassen sollen. Konditionen und Eignung im Einzelfall prüfen.
Lokale / Open-Source-Modelle
Open-Source-Modelle auf eigener Hardware oder in der Private Cloud: Die Rohdaten verlassen dein System nie. Reicht für Standardaufgaben wie Zusammenfassen, Klassifizieren oder Stichwort-Extraktion, erreicht aber nicht die Spitzenleistung der großen Cloud-Modelle.
Zwei pragmatische Wege
Du musst dich nicht zwischen „maximal sicher“ und „maximal leistungsfähig“ entscheiden; du kannst beides kombinieren:
Der Sicherheits-Pfad
EU-Anbieter oder lokales Modell für alles mit Personenbezug. Große US-Cloud-Modelle nur für generische, anonymisierte Aufgaben, etwa allgemeine Textbausteine ohne Kundendaten.
Der Hybrid-Pfad
Du pseudonymisierst lokal (Namen, Adressen, Vertragsnummern raus) und schickst nur den entschärften Rest an ein leistungsstarkes Modell. So nutzt du Spitzenleistung, ohne identifizierbare Daten preiszugeben.
Was du jetzt tun solltest
- 1 Inventur: Liste alle KI-Tools auf, in die heute Kundendaten fließen, auch das beiläufige ChatGPT-Fenster.
- 2 Drei Prüffragen anwenden: Sitz, Server, Verträge/Zertifikate, pro Tool durchgehen.
- 3 Sensibles trennen: Mandantendaten auf den Sicherheits- oder Hybrid-Pfad, Generisches darf in die großen Modelle.
- 4 Dokumentieren: Welche Daten gehen wohin, auf welcher Rechtsgrundlage? Koppel das an dein DSGVO-Verarbeitungsverzeichnis.
- 5 AV-Verträge abschließen: Mit jedem Anbieter, der personenbezogene Daten verarbeitet.
Häufige Fragen
Reicht ein US-Anbieter mit EU-Servern?
Rechtlich heikel: Wegen des US CLOUD Act kann der Mutterkonzern zur Datenherausgabe verpflichtet werden, trotz EU-Hosting. Für sensible Daten ist ein EU-Anbieter oder eine lokale Lösung die sauberere Wahl.
Was ist ISO 42001?
Eine relativ neue Norm für KI-Managementsysteme. Sie zeigt, dass ein Anbieter KI-Risiken strukturiert managt: ein gutes Signal, aber kein Ersatz für die rechtliche Prüfung.
Muss ich ganz auf US-Modelle verzichten?
Nein. Über Pseudonymisierung und den Hybrid-Pfad kannst du leistungsstarke Modelle nutzen, ohne identifizierbare Kundendaten preiszugeben, solange du es sauber dokumentierst.
DSGVO-Check für deinen KI-Einsatz
Im KI-Audit gehen wir deine Tools durch, trennen sensible von unkritischen Daten und legen einen datenschutzkonformen KI-Stack für dein Beratungsbusiness fest.
KI-Audit anfragenÜber den Autor
Hendrik Benevides
KI-Berater und TÜV-zertifizierter KI-Trainer
Ich zeige dir, wie du mit KI über dich hinauswächst.
Mehr über mich