Rechenzentrum in Europa reicht nicht

Warum der Standort die falsche Frage ist

Die entscheidende Größe ist die Kontrolle über die Daten, nicht ihr Aufenthaltsort. Betreibt eine europäische Tochtergesellschaft eines US-Konzerns die Anlage, während der Konzern ihre Administration oder ihre Schlüssel steuert, besteht diese Kontrolle. Umgekehrt wird der Standort erst dann zum Argument, wenn er mit einem Betreiber zusammenfällt, der ohne Mitwirkung aus dem anderen Rechtsraum arbeiten kann.

Neben der Herausgabepflicht gibt es eine zweite Ebene: Befugnisse zur Überwachung ausländischer Kommunikation richten sich an Anbieter elektronischer Kommunikationsdienste. Genau diese Konstellation stand im Zentrum der europäischen Rechtsprechung zum Datentransfer in die USA, und sie ist unabhängig davon, ob die Übermittlung datenschutzrechtlich auf einer tragfähigen Grundlage steht.

Welche Inhalte in einem KI-Dienst besonders empfindlich sind

Anders als in eine Dateiablage geht in ein Sprachmodell das hinein, woran gerade gearbeitet wird, und das ist häufig der Rohstoff und nicht das fertige Dokument. Typisch sind Vertragsentwürfe, Kalkulationen vor der Freigabe, Personalvorgänge, medizinische und anwaltliche Inhalte und die interne Bewertung eines Vorgangs. In der Summe sind diese Eingaben aussagekräftiger als der Bestand in der Ablage, weil sie die Absicht mitliefern.

Besonders eng wird es bei Berufsgeheimnissen. Für ärztliche, anwaltliche und steuerberatende Tätigkeit ist die Offenbarung fremder Geheimnisse strafbewehrt, und die Einbindung externer Dienstleister ist nur unter besonderen Anforderungen zulässig. Wer in diesen Bereichen arbeitet, entscheidet nicht je Werkzeug, sondern je Datenart, und hält diese Entscheidung schriftlich fest.

Was Verschlüsselung leistet und was nicht

Verschlüsselung im Ruhezustand und auf dem Transportweg ist notwendig und schützt gegen Diebstahl und Mitlesen. Gegen eine Anordnung an den Betreiber hilft sie nur, wenn die Schlüssel nicht in seiner Hand liegen. Bei einem Sprachmodell kommt eine harte Grenze hinzu: Der Text muss für die Verarbeitung im Klartext vorliegen, sonst kann das Modell nicht damit arbeiten.

Verfahren, bei denen die Verarbeitung in einer abgeschirmten Umgebung stattfindet, verkleinern den Kreis derer, die mitlesen können. Sie ändern nichts daran, wer den Dienst betreibt und wem gegenüber eine Anordnung ergehen kann. Wer solche Verfahren einsetzt, beschreibt sie deshalb als Risikominderung und nicht als Ausschluss, sonst steht die eigene Zusage später auf wackligem Grund.

Maßnahmen, die tatsächlich etwas verschieben

Wirksam ist zuerst die Trennung nach Datenart: Was nicht in den Dienst muss, geht auch nicht hinein. Eine kurze Liste ausgeschlossener Inhalte, die bei der Einführung besprochen wird, wirkt stärker als jede nachträgliche Kontrolle, weil sie genau in dem Moment im Kopf ist, in dem jemand etwas einfügen will.

Danach kommen die Fragen an den Vertrag: Welche Gesellschaft ist Betreiber, welche Unterauftragnehmer sind beteiligt, wer hat administrativen Zugriff, wer verwaltet die Schlüssel und wie wird über behördliche Anfragen informiert, soweit das zulässig ist. Anbieter, die dazu überhaupt etwas veröffentlichen, tun das meist in Berichten über eingegangene Anfragen, und schon deren Existenz ist eine Auskunft.

Für Inhalte, bei denen kein Restrisiko bleiben darf, führt der Weg zu einem Betrieb ohne fremden Betreiber. Das ist teurer und langsamer, und es ist die einzige Variante, in der die Frage nach dem Zugriff gar nicht erst entsteht. Diese Variante lohnt sich für eine Klasse von Inhalten, selten für alle.