Wenn wir für ein Kundenprojekt einen Chatbot bauen, ein Produktbild generieren oder eine Stimme klonen, läuft im Hintergrund eine Sache, über die kaum jemand spricht: die eigentliche Rechenarbeit passiert fast immer auf Servern in den USA. Replicate, fal.ai, OpenAI, Together, die halbe Branche sitzt dort. Für eine deutsche Steuerkanzlei oder einen Hotelier auf Mallorca heißt das, dass die Prompts, Bilder und teils Kundendaten dieser Kanzlei einmal über den Atlantik und zurück reisen. Das ist der blinde Fleck der aktuellen KI-Welle, und wir gehen ihn bewusst anders an.
Was AI-Inference überhaupt ist
Kurz und ohne Fachchinesisch: Ein KI-Modell hat zwei Lebensphasen. Das Training ist der teure, einmalige Teil, bei dem das Modell lernt. Die Inference ist das, was danach millionenfach passiert, jedes Mal wenn jemand eine Frage stellt, ein Bild generiert oder eine Sprachnachricht in Text umwandelt. Bei jedem Chatbot-Satz, jedem generierten Foto, jeder Vorlesefunktion läuft eine Inference.
Diese Rechenarbeit braucht spezielle Grafikkarten, die die wenigsten Firmen selbst betreiben. Also mietet man sie als API bei einem Anbieter. Man schickt den Prompt hin, bekommt das Ergebnis zurück, zahlt pro Nutzung. Bequem, günstig, skalierbar. Und in den allermeisten Fällen steht der Server dieses Anbieters in Nord-Virginia, nicht in Frankfurt.
Warum die US-Cloud ein echtes DSGVO-Problem ist
Das ist kein Bauchgefühl, das ist Rechtslage. Zwei Dinge greifen hier ineinander.
Erstens der US CLOUD Act von 2018. Er verpflichtet US-Unternehmen, US-Behörden auf Verlangen Zugriff auf Daten zu geben, egal wo auf der Welt diese Daten physisch liegen. Ein US-Anbieter mit Rechenzentrum in Irland ist davon genauso betroffen wie einer in Texas. Der Serverstandort allein löst das Problem also nicht.
Zweitens die wacklige Rechtsgrundlage für den Datentransfer selbst. Der Europäische Gerichtshof hat 2020 im Schrems-II-Urteil das damalige Privacy Shield gekippt. Der Nachfolger, das EU-US Data Privacy Framework von Juli 2023, steht bereits wieder unter Beschuss, ein Abgeordneter des Europäischen Parlaments hat vor dem Gericht der EU dagegen geklagt. Wer seine Datenverarbeitung heute auf diese eine Angemessenheitsentscheidung stützt, baut auf einem Fundament, das in den letzten Jahren schon zweimal ins Wanken geraten ist.
Für die meisten KMU ist das lange abstrakt geblieben. Mit KI wird es konkret, weil plötzlich echte Inhalte durch diese Pipelines laufen: die E-Mail eines Patienten an den Praxis-Chatbot, das Foto einer Immobilie zur Aufbereitung, die aufgezeichnete Sprachnachricht eines Gastes. Das sind genau die Daten, die die DSGVO schützen will.
Was EU-souveräne Inference bedeutet
Die Gegenbewegung heißt Sovereign AI, souveräne KI. Der Kern ist einfach: Die Rechenleistung, die Modelle und der Vertragspartner sitzen in Europa, unterliegen europäischem Recht und keinem CLOUD Act. Deine Daten verlassen den europäischen Rechtsraum nicht.
Ehrlich gesagt ist Souveränität dabei ein Spektrum, kein Schalter. Manche Anbieter betreiben eigene Hardware in europäischen Rechenzentren, andere routen über europäische Regionen größerer Cloud-Anbieter, wieder andere aggregieren fremde Modelle und legen eine europäische Vertrags- und Abrechnungsschicht darüber. Der praktische Gewinn ist in allen Fällen derselbe: ein europäischer Ansprechpartner, DSGVO-native Verträge, Datenresidenz in der EU und ein Anbieter, der versteht, warum das keine Formalität ist.
Ein Beispiel direkt vor unserer Haustür: Socaity
Wenn wir für ein Projekt Bild-, Stimm- oder Video-Generierung brauchen, suchen wir die Rechenleistung zuerst in Europa. Einer der Anbieter, mit dem wir dafür zusammenarbeiten, sitzt zufällig fünf Minuten von unserem Büro entfernt, in Palma de Mallorca: Socaity.
Socaity bündelt KI-Modelle für Bild, Video, Stimme, 3D und Texterkennung hinter einer einzigen API, mit europäischem Routing, einem Vertragspartner und einer Rechnung. Der Ansatz ist bewusst als EU-souverän gebaut, der Firmensitz ist Palma, die Datenverarbeitung DSGVO-nativ. Statt sich bei fünf verschiedenen US-Diensten anzumelden und bei jedem einzeln die Auftragsverarbeitung zu klären, bekommt man einen europäischen Zugang für viele Modelle.
Für uns ist das mehr als eine technische Fußnote. Es ist ein konkretes Stück Infrastruktur aus dem eigenen Ökosystem, aufgebaut von einem Gründer, der aus zwanzig Jahren Handarbeit im Code kommt und Souveränität nicht als Marketing-Etikett benutzt, sondern als Architektur-Entscheidung. Genau die Art Partner, mit der wir arbeiten wollen.
Was das für dein Projekt heißt
Konkret heißt es, dass die Frage nach dem Serverstandort schon in die Planung gehört, nicht erst in die Datenschutzerklärung am Ende. Bevor ein Chatbot oder eine Bildpipeline in ein Projekt kommt, klären wir, wo die Inhalte verarbeitet werden. Bei allem, was mit personenbezogenen oder sensiblen Daten zu tun hat, ist die europäische Option die Voreinstellung, nicht die Ausnahme.
Das kostet selten mehr und bringt zwei Dinge auf einmal: rechtliche Ruhe und ein ehrliches Verkaufsargument. Ein Hotelier, der seinen Gästen sagen kann, dass ihre Anfragen die EU nicht verlassen, hat ein Vertrauensargument, das eine US-Pipeline nie liefern wird. Das passt zu der Art, wie wir ohnehin bauen: Die Websites, die wir ausliefern, hosten wir auf europäischen Servern, DSGVO-konform und ohne Tracking-Cookies. Die Inference-Schicht ist die logische Fortsetzung derselben Haltung.
Ehrlich: die Grenzen
Damit es fair bleibt. Die europäischen Anbieter sind heute kleiner als die US-Riesen. Das Modell-Angebot ist manchmal schmaler, manche neuen Modelle erscheinen zuerst auf US-Plattformen, und ein Teil der EU-Anbieter reicht im Hintergrund selbst wieder größere Kataloge durch. Wer das absolut größte Modell-Buffet zum niedrigsten Preis pro Aufruf sucht, landet momentan noch oft bei einem US-Dienst.
Die ehrliche Abwägung ist also nicht "EU immer und überall", sondern: Wo personenbezogene Daten fließen, wiegt die Rechtssicherheit schwerer als der letzte Cent Preisunterschied. Wo es um rein interne, anonyme Spielereien geht, kann ein US-Dienst völlig in Ordnung sein. Diese Unterscheidung treffen wir pro Projekt, nicht per Dogma.
Fazit
Die KI-Welle hat einen leisen Nebeneffekt: Sie schickt gerade sehr viele echte Kundendaten sehr vieler kleiner Firmen durch amerikanische Rechenzentren, meist ohne dass jemand die Frage gestellt hat. Für uns gehört diese Frage in die erste Planungsrunde, nicht in die Fußnote. Europäische Inference ist heute reif genug, dass man sie als Voreinstellung nehmen kann, ohne auf Qualität zu verzichten. Und dass einer der Anbieter dafür ein paar Straßen weiter in Palma sitzt, macht die Entscheidung nur einfacher. Wenn du wissen willst, wie wir das in einem konkreten Projekt umsetzen, schreib uns oder sieh dir an, wie wir arbeiten.
