Gilt der Cloud Act für die Enterprise-Angebote der großen LLM?

Kurz gefasst.
Der Cloud Act ist ein US-Gesetz aus dem Jahr 2018. Es erlaubt US-Behörden, von Anbietern, die ihrer Jurisdiktion unterliegen, die Herausgabe von Daten zu verlangen – auch dann, wenn diese Daten außerhalb der Vereinigten Staaten gespeichert sind. Gilt er für die Enterprise-Angebote der großen Anbieter generativer KI? Ja, unabhängig vom Hosting-Standort. „Ihre Daten werden nicht zum Training unserer Modelle verwendet“ ist eine Zusage zur Nutzung; über die Jurisdiktion – also darüber, wer den Anbieter rechtlich zwingen kann – sagt sie nichts.

Nutzung und Jurisdiktion: die Unterscheidung, die der Markt im Vagen lässt

Enterprise-Angebote bringen echte Zusagen mit sich: kein Training auf Ihren Inhalten, Verschlüsselung, Vertraulichkeitsverpflichtungen. Die Frage der Jurisdiktion ist jedoch anderer Natur: Welchem Recht unterliegt der Anbieter, und wer kann ihn rechtlich zwingen?

Ein US-amerikanischer Anbieter bleibt dem US-Recht unterworfen – auch bei einem deutschen Kunden, dessen Daten in Frankfurt liegen. Lokales Hosting verändert die Latenz, nicht das anwendbare Recht.

Vertretbares Risiko oder rote Linie, je nach Branche

Für viele Organisationen bleibt dieses Risiko theoretisch und tragbar. Für andere ist es eine rote Linie: Verteidigung, Gesundheitswesen, öffentliche Hand, Betreiber kritischer Einrichtungen, Unternehmen, deren Unterlagen industrielle Souveränitätsinformationen oder Lokalisierungsklauseln enthalten.

Für diese Organisationen ist die einzige belastbare Antwort struktureller Natur: ein Betreiber, der europäischem Recht unterliegt, Daten, die keinen Anbieter unter extraterritorialer Jurisdiktion durchlaufen, und ein Deployment beim Kunden oder auf einer als souverän eingestuften Cloud.

Die Frage an jeden KI-Anbieter lautet: welcher Jurisdiktion unterliegen Sie – und welcher unterliegen Ihre Unterauftragnehmer für die Inferenz? Die Antwort muss in einen Satz passen.

Der Ansatz von Optivalue.ai

Optivalue.ai ist ein europäischer Betreiber: eine private KI je Kunde, on-premise oder auf souveräner Cloud betrieben, ohne Durchlauf über einen dem Cloud Act unterliegenden Anbieter, mit garantierter Löschung der Daten zum Vertragsende.

Dieser Beitrag dient der Information und stellt keine Rechtsberatung dar. Für Ihre konkreten Pflichten ziehen Sie die amtlichen Texte und eine qualifizierte Fachperson heran.

Häufige Fragen

Genügt Hosting in Europa, um dem Cloud Act zu entgehen?
Nein. Das Gesetz folgt dem Anbieter, nicht dem Server.

Sind alle Unternehmen gleichermaßen betroffen?
Nein. Es handelt sich um eine branchenspezifische Risikoanalyse; für einzelne Branchen ist es eine vertragliche oder regulatorische rote Linie.