AI in der EU: vier Hosting-Optionen, drei mit Haken
Azure OpenAI ist ab Werk nicht DSGVO-fertig, Bedrock nur mit EU-Profil. Welche der vier Hosting-Optionen wir 2026 für regulierte Branchen empfehlen.
DSGVO + AI Act + DORA — die Compliance-Landschaft in der EU ist 2026 komplex. Vier Hosting-Optionen, drei mit Vorsicht zu genießen.
1. US-Cloud (Standard OpenAI/Anthropic API) — ❌
Datenübertragung in die USA, Schrems-II-Risiko, kein DPF-Self-Cert ist ausreichend für Banken oder Healthcare. Nur für nicht-personenbezogene Daten OK.
2. Azure OpenAI Service EU — ⚠️
“Region EU” heißt nicht “Daten bleiben in der EU”. Microsoft kann global deine Tokens für Abuse-Monitoring routen. Standard-Tier nicht Schrems-II-fest. Es geht — aber mit Enterprise-Agreement, Lockbox und Audit-Setup.
3. AWS Bedrock in der EU — ✓ (mit Caveat)
Anthropic-Modelle über Frankfurt (eu-central-1) erreichbar. Aktuelle Modelle wie Sonnet 5.5 laufen dort aber nicht fest in Frankfurt, sondern nur über ein Profil: Das EU-Profil verteilt auf mehrere EU-Regionen, das globale weltweit. Datenhoheit also nur mit dem EU-Profil, nicht schon durch die Wahl von Frankfurt (AWS-Datenblatt Sonnet 5.5). Neue Modelle kommen nicht pauschal später: Sonnet 5.5 war am 28.09.2026 am selben Tag auf Bedrock wie bei Anthropic. Aber: Latency-Tax, Modell-Auswahl kleiner, und das EU-Profil stand bei Sonnet 5.5 erst einige Tage nach dem Start im Datenblatt.
4. Self-Hosted (vLLM / Modal / OVH) — ✓✓
Volle Kontrolle, kompatibel mit DORA-Audit-Anforderungen. Für regulierte Branchen unser Default. Kosten höher, dafür kein Compliance-Stress.
Häufige Fragen
- Ist der Azure OpenAI Service automatisch DSGVO-konform?
- Nein. Der Azure OpenAI Service ist nicht DSGVO-fertig ab Werk — Region, AVV, Trainings-Opt-Out und Logging müssen aktiv konfiguriert werden. Von vier gängigen EU-Hosting-Optionen sind drei für regulierte Branchen faktisch Fallen; die saubere Wahl hängt vom konkreten Setup ab.