Wenn wir einen Chatbot, eine Bildpipeline oder eine Sprachanwendung planen, müssen wir auch die Rechenarbeit dahinter klären. Prompts, Bilder und Ton können an einen externen Anbieter gehen. Dessen Firmensitz verrät noch nicht, wo genau diese Inhalte verarbeitet werden.
Für eine Steuerkanzlei oder einen Hotelier auf Mallorca ist das eine praktische Frage: Welche Inhalte verlassen das eigene System, welche Anbieter erhalten sie und unter welchen Regeln? Europäische Verarbeitung ist dafür eine mögliche Architektur, keine automatische Rechtsgarantie.
Was AI-Inference überhaupt ist#
Training entwickelt das Modell. Inferenz ist seine Anwendung: eine Antwort erzeugen, ein Bild bearbeiten oder eine Sprachnachricht transkribieren. Für dieselbe Anwendung können zusätzlich Suche, Speicher, Protokolle und Nachrichtenkanäle Daten verarbeiten.
Die Rechenleistung kann auf eigener Hardware oder bei einer Modell-API liegen. Welche Region eine API nutzt, muss anhand des konkreten Dienstes und seiner Konfiguration geprüft werden. Aus einem amerikanischen Firmensitz folgt nicht automatisch amerikanische Inferenz, genauso wenig wie aus einer europäischen Rechnung europäische Verarbeitung folgt.
US-Anbieter, Drittlandtransfers und der Rechtsstand#
Prüfstand: 30. September 2026. Bei personenbezogenen Daten sind Rechtsgrundlage, Auftragsverarbeitung und mögliche Drittlandübermittlungen getrennt zu prüfen. Ein US-Dienst ist nicht allein wegen seines Sitzes unzulässig.
Der CLOUD Act kann die Herausgabe gespeicherter Daten im Besitz, Gewahrsam oder unter Kontrolle eines erfassten Anbieters betreffen, unabhängig vom Speicherort. Er bedeutet nicht, dass jede Behörde ohne rechtmäßiges Verfahren beliebige Daten erhalten darf. Jurisdiktion, rechtliche Anordnung und Anbieterstruktur sind relevant. Ein EU-Rechenzentrum allein beseitigt diese Prüfung nicht.
Nach Schrems II wurde 2023 das EU-US Data Privacy Framework geschaffen. Das Gericht der EU wies die Klage dagegen am 3. September 2025 ab. Gegen dieses Urteil wurde ein Rechtsmittel eingelegt. Eine Klage oder ein Rechtsmittel ist nicht dasselbe wie die Aufhebung einer Angemessenheitsentscheidung. Ob eine konkrete Übermittlung auf das Framework gestützt werden kann, hängt unter anderem vom erfassten und entsprechend zertifizierten Empfänger ab.
Was EU-souveräne Inference bedeutet#
Souveränität ist kein einheitliches Gütesiegel. Man kann darunter europäische Hardware, europäische Vertragspartner oder Kontrolle über Modell und Betrieb verstehen. Diese Eigenschaften müssen einzeln benannt werden.
Für eine belastbare Zusage prüfen wir Inferenzregion, Speicherung, Logs, Unterauftragnehmer, Supportzugriffe und angebundene Funktionen. Ein europäischer Zwischenanbieter kann weitere Dienste nutzen. Sein Vertrag ersetzt nicht die Prüfung der gesamten Verarbeitungskette. Training, Aufbewahrung und Übermittlung sind dabei unterschiedliche Fragen.
Ein Beispiel in Palma: Socaity#
Socaity bietet KI-Dienste für Bild, Video, Stimme und weitere Aufgaben sowie unterschiedliche Hostingoptionen. Die Website nennt eine wählbare Region und unter anderem Azure, Scaleway und RunPod als Infrastrukturwege.
Das macht Socaity zu einer möglichen Option bei der Planung. Es belegt aber nicht, dass jeder Endpunkt standardmäßig ausschließlich in der EU verarbeitet wird oder jede Konfiguration ohne US-Anbieter auskommt. Für den gewählten Dienst müssen Region, Unterauftragnehmer, Aufbewahrung und Vertragsbedingungen konkret geklärt werden.
Was das für dein Projekt heißt#
Vor einer Integration halten wir fest, welche Daten eingegeben werden, wohin sie gehen und wer sie lesen darf. Bei personenbezogenen und besonders sensiblen Informationen gehört diese Prüfung vor den ersten produktiven Aufruf.
Ein Hotel kann Gästen nur dann zusagen, dass bestimmte Inhalte in der EU verarbeitet werden, wenn die gewählte Kette diese Aussage tatsächlich trägt. Die Zusage sollte außerdem sagen, welche Daten und Verarbeitungsschritte sie umfasst. Websitehosting, KI-Inferenz und externe Buchungs- oder Nachrichtenkanäle sind verschiedene Teile derselben Anwendung.
Kosten und Modellqualität werden für die benötigte Aufgabe verglichen. „EU kostet selten mehr“ oder „ohne Qualitätsverlust“ wären ohne diesen Vergleich keine belastbaren Aussagen.
Ehrlich: die Grenzen#
Ein kleinerer europäischer Katalog kann für die Aufgabe völlig ausreichen. Ein größerer Anbieter kann eine passende regionale Konfiguration haben. Beides muss geprüft werden; weder Herkunft noch Größe entscheiden allein.
Anonyme Eingaben verringern den Datenschutzbedarf, aber nur, wenn sich Personen tatsächlich nicht identifizieren lassen. Auch nicht personenbezogene interne Informationen können vertraulich sein. Ein Foto, eine Aufnahme oder eine scheinbar neutrale Anfrage sollte deshalb nicht vorschnell als unkritisch gelten.
Fazit#
Europäische Inferenz kann ein sinnvoller Bestandteil eines kontrollierten Aufbaus sein. Entscheidend ist die nachgewiesene Verarbeitungskette statt einer pauschalen Herkunftszusage. Wenn du wissen willst, wie das für dein Projekt aussieht, schreib uns.
Quellen und Prüfstand#
Geprüft am 30. September 2026.
