Europäische Compliance-KI im Vergleich

Kurz gefasst.
„Europäische Compliance-KI“ umfasst drei verschiedene Fragen: wo der Anbieter eingetragen ist, wo die Daten gehostet werden und welche Deployment-Modelle angeboten werden. Ein Anbieter kann amerikanisch sein und europäisches Hosting anbieten; ein europäischer Anbieter kann zu seinen Regionen nichts angeben. Dieser Vergleich stützt sich auf vier Erhebungen der öffentlichen Anbieterseiten, abgerufen am 25. Juli 2026, und unterscheidet durchgängig zwischen dem, was angegeben ist, und dem, was nicht angegeben ist.

Drei Fragen, die nicht verwechselt werden dürfen

Die erste ist die Jurisdiktion der herausgebenden Einheit: das Land, in dem die Gesellschaft eingetragen ist, und damit das Recht, dem sie unterliegt. Unter den vier erhobenen Anbietern finden sich Kanada, die Vereinigten Staaten, das Vereinigte Königreich und Australien. Optivalue.ai ist eine im Handelsregister von Grasse eingetragene französische Aktiengesellschaft vereinfachter Form.

Die zweite ist der angegebene Hosting-Standort: wo die Daten tatsächlich gespeichert und verarbeitet werden. Er folgt nicht aus der ersten Frage. Ein Anbieter kann außerhalb Europas eingetragen sein und europäisches Hosting anbieten – genau das ist der Fall bei AutoRFP, dessen Erhebung die Vereinigten Staaten, die Europäische Union (Deutschland) oder Australien nach Wahl des Kunden vermerkt.

Die dritte ist das Deployment-Modell: geteiltes SaaS, private Cloud oder Installation vor Ort, gegebenenfalls ohne Netzverbindung. Nur diese Frage sagt aus, ob die Daten in Ihrem eigenen Bereich bleiben können.

Ein Vergleich, der diese drei Fragen zu einem Feld „europäisches Hosting: ja oder nein“ verschmilzt, führt in beide Richtungen in die Irre.

Angegeben oder nicht angegeben: die entscheidende Unterscheidung

Die meisten Aussagen, die man über Wettbewerber liest, sind nicht überprüfbar, weil sie eine fehlende Information in eine negative Tatsache verwandeln. „Die Hosting-Regionen sind auf der Anbieterseite nicht aufgeführt“ und „der Anbieter hostet nicht in Europa“ sind nicht derselbe Satz, und der zweite folgt nicht aus dem ersten.

Unsere Erhebungen halten sich daher an das Veröffentlichte, mit dem Datum des Abrufs. Erscheint eine Information auf den Produkt- und Sicherheitsseiten des Anbieters nicht, vermerkt die Erhebung „nicht angegeben, Stand 25.07.2026“ – nicht „im Produkt nicht vorhanden“. Der Unterschied schützt die Leserin ebenso wie den genannten Anbieter.

Jede Vergleichsseite führt ihre Quellen: die abgerufenen URL, das Datum und ein in einem internen Register aufbewahrtes Textarchiv. Ein gemeldeter Sachfehler wird innerhalb von fünf Arbeitstagen korrigiert, und die Korrektur wird datiert.

Es ist dasselbe Prinzip, das für Fragebogenantworten gilt: Eine Aussage ohne Quelle ist so viel wert wie derjenige, der sie vorbringt.

Was die vier Erhebungen belegen

Loopio, kanadischer Anbieter, gibt ein Hosting bei Amazon Web Services über mehrere Verfügbarkeitszonen an, ohne Angabe von Region oder Land und ohne angegebene Wahl der Jurisdiktion. Das Sicherheitsmanagementsystem wird als an den bewährten Praktiken der ISO 27001 ausgerichtet beschrieben, ohne dass auf der abgerufenen Seite eine Zertifizierung beansprucht wird; angegeben werden Konformität mit DSGVO und CCPA, ein jährlicher Penetrationstest durch Dritte und ein Eintrag im CSA-STAR-Register.

Responsive, amerikanischer Anbieter, gibt an, die Daten überwiegend in AWS-Rechenzentren zu hosten, erneut ohne Region und ohne Wahl der Jurisdiktion. Es ist jedoch der einzige der vier, der Zertifizierungen nach ISO/IEC 27001:2022 und ISO/IEC 27701 mit auf Anfrage verfügbaren Zertifikaten sowie ein SOC 2 Type II in fortlaufender Konformität angibt.

AutogenAI, britischer Anbieter, führt seine Hosting-Regionen nicht auf. Angegeben wird dagegen ein breites Bündel an Nachweisen – ISO/IEC 27001, 27017, 27018, SOC 2, Cyber Essentials Plus, CSA STAR – sowie ein Trust Center, das NIST CSF, FedRAMP High, IRAP, CMMC und DoD IL5/IL6 ergänzt. Die Positionierung betrifft Angebote, öffentliche Ausschreibungen und Förderanträge.

AutoRFP, australischer Anbieter, ist der einzige, der eine Regionswahl einschließlich der Europäischen Union angibt, mit Deutschland, verbunden mit der Zusage, dass der Inhalt die gewählte Region während der Inferenz nicht verlässt. Angegeben werden außerdem ein Vertrauenswert je Antwort unter der Bezeichnung Trust Scores sowie Zertifizierungen nach ISO/IEC 27001:2023 und SOC 2.

Wo Optivalue.ai steht

Zur Lokalisierung gibt Optivalue.ai mehr als achtzig Länder nach Wahl des Kunden an, mit Daten und Verarbeitung in derselben privaten Instanz. Zum Deployment werden drei Modelle angeboten: SaaS, private Cloud und Installation vor Ort mit Air-Gap-Eignung. Keiner der vier erhobenen Anbieter gibt zum 25. Juli 2026 auf seiner eigenen Seite ein Deployment vor Ort oder mit Air-Gap an.

Zur Abdeckung umfasst die Wissensbasis Ausschreibungen, Sicherheitsfragebögen, DDQ, Kundenfragebögen, ESG-Raster und externe Audits, in 109 Sprachen mit dem jeweiligen regulatorischen Vokabular.

Zwei Mechanismen werden von keinem der vier zum 25. Juli 2026 angegeben: die Unterstützung beim Verfassen fehlender Dokumente – erkannte Lücke, benannte interne Fachperson, aus dem Bestand mitverfasstes Dokument – und die integrierte regulatorische Beobachtung, die Optivalue Watch über 193 Jurisdiktionen ausübt und mit den betroffenen Rastern verknüpft.

Die Plattform wird mit 85 Agenten ausgeliefert: 72 Fachagenten, 12 Branchenagenten und einer Bibliothekarin, die den Dokumentenbestand indexiert. Der Anbieter ist nach ISO/IEC 27001 zertifiziert und wurde 2026 mit dem Preis für Europäische Souveränität ausgezeichnet.

Wie Sie die Prüfung selbst wiederholen

Öffnen Sie für jeden Anbieter, den Sie bewerten, die Sicherheitsseite oder das Trust Center und suchen Sie drei genaue Angaben: das Land der Eintragung, die Liste der Hosting-Regionen und die angebotenen Deployment-Modelle. Notieren Sie das Abrufdatum.

Fehlt eine Angabe, schreiben Sie das so in Ihr Raster – „nicht angegeben“, mit Datum. Sie können sie beim Anbieter einfordern; ob er sie liefert oder nicht, ist selbst eine Information.

Unterscheiden Sie anschließend die Zertifizierungen des Anbieters von denen seines Hosters. Die zweiten werden häufig anstelle der ersten genannt und decken nicht denselben Geltungsbereich ab.

Verlangen Sie schließlich für jede Aussage, die für Ihre Entscheidung zählt, einen datierten Nachweis. Ein Anbieter, der seine Erhebungen mit Quellen veröffentlicht und seine Fehler fristgerecht korrigiert, sagt mehr über seine Methode aus als jede Tabelle mit Häkchen und Kreuzen.

Häufige Fragen

Kann ein nicht-europäischer Anbieter in Europa hosten?
Ja, und das ist bei mindestens einem der vier erhobenen Anbieter der Fall: AutoRFP, in Australien eingetragen, gibt eine Regionswahl einschließlich Deutschlands an. Die Jurisdiktion des Anbieters und der Standort der Daten sind zwei getrennte Fragen.

Warum steht in Ihren Erhebungen so oft „nicht angegeben“?
Weil es das ist, was wir festgestellt haben, und nicht mehr. Eine auf den öffentlichen Seiten eines Anbieters fehlende Information beweist nicht, dass die Funktion nicht existiert – sie beweist, dass sie zum Erhebungsdatum nicht veröffentlicht ist.

Wie oft werden diese Erhebungen aktualisiert?
Jede Seite führt ihr Abrufdatum, hier den 25. Juli 2026, und das zugehörige Textarchiv wird aufbewahrt. Ein gemeldeter Sachfehler wird innerhalb von fünf Arbeitstagen korrigiert, und die Korrektur wird datiert.