DORA und der CLOUD Act: zwei Gründe, die Inferenz auf eigener Hardware zu halten
Das eine ist ein europäisches Resilienzregime, das jede IKT-Abhängigkeit zählt; das andere ein US-Gesetz, das der Nationalität des Anbieters folgt, nicht seinem Rechenzentrum. Beide weisen für das regulierte Luxemburg in dieselbe Richtung.
DORAs Sicht auf einen KI-Anbieter
Der Digital Operational Resilience Act, anwendbar seit dem 17. Januar 2025, behandelt jeden IKT-Dienstleister als Dritten, der vertraglich zu binden, zu überwachen und – bei kritischen oder wichtigen Funktionen – im Informationsregister zu melden ist. Er verlangt Ausstiegsstrategien, eine Bewertung des Konzentrationsrisikos und bestimmte Vertragsklauseln.
Ein gehosteter KI-Dienst auf Kundenakten ist in diesem Sinne ein IKT-Drittanbieter. Wird er für einen Prozess kritisch, gilt der gesamte DORA-Apparat – und der Anbieter kann selbst als kritischer Drittanbieter unter EU-Aufsicht eingestuft werden.
Die Reichweite des CLOUD Act
Der US Clarifying Lawful Overseas Use of Data Act von 2018 erlaubt US-Behörden, Anbieter unter US-Jurisdiktion zur Herausgabe von Daten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle zu zwingen – unabhängig vom Speicherort. Ein EU-Rechenzentrum eines US-kontrollierten Unternehmens bringt Daten nicht außer Reichweite.
Für eine luxemburgische Bank unter Bankgeheimnis oder eine Kanzlei unter Berufsgeheimnis ist das nicht theoretisch: Es ist eine ausländische Anordnung, die das Unternehmen nicht sieht, gerichtet an einen Anbieter, den es nicht kontrolliert.
Hardware, die Ihnen gehört, in Luxemburg
Eine Appliance in Ihrer eigenen Infrastruktur ist kein IKT-Drittdienst für die Inferenz: kein Anbieter zu registrieren, kein Konzentrationsrisiko bei einem Hyperscaler, und die Ausstiegsstrategie ist trivial, weil nichts das Haus verlassen hat. Eine Maschine im Eigentum eines luxemburgischen Unternehmens, auf luxemburgischem Boden, ohne US-kontrollierten Verwahrer, bietet einer CLOUD-Act-Anordnung keinen Ansatzpunkt.
Die verbleibende Lieferantenbeziehung – Installation und Support – wird wie jeder Hardware-Wartungsvertrag dokumentiert.
Technische Orientierung, keine Rechtsberatung. Wir arbeiten mit Ihrem Datenschutzbeauftragten und Ihren Anwälten zusammen.
Offizielle Quellen
Relevante Branchen
Sehen Sie es auf Ihren eigenen Dokumenten.
Dreißig Minuten zu Ihrem Anwendungsfall, mit einer Auswahl Ihrer eigenen Dateien. Wir kommen zu Ihnen.