Wann ist ein KI-Schreibtool wirklich \"europ\u00e4isch\"?<\/h2>\n\n\n\n![\"europ\u00e4ischen](\"https:\/\/abacusai-apps-d5b2f02aa7366ee940ee1c82-us-west-2.s3.us-west-2.amazonaws.com\/32156\/public\/uploads\/1787044377880-article-529b86c3-0924-403b-b32d-79fefab9634a-1787044377877.jpg\")
europ\u00e4ischen KI-Schreibtools<\/figcaption><\/figure>\n\n\n\nEine einheitliche rechtliche Definition f\u00fcr ein \"europ\u00e4isches KI-Schreibtool\" gibt es nicht. F\u00fcr eine sinnvolle Bewertung sollten drei Faktoren getrennt voneinander betrachtet werden: der Unternehmenssitz, der Ort der Datenverarbeitung und die Herkunft des zugrunde liegenden Sprachmodells. Aus keinem dieser Punkte l\u00e4sst sich automatisch auf die beiden anderen schlie\u00dfen, auch wenn Marketingseiten diese Unterschiede nur selten klar benennen. Au\u00dferdem ist entscheidend, was mit \"europ\u00e4isch\" \u00fcberhaupt gemeint ist: die EU, der gesamte Europ\u00e4ische Wirtschaftsraum (EWR) oder Europa im weiteren Sinne. Das Vereinigte K\u00f6nigreich, die Schweiz und andere europ\u00e4ische L\u00e4nder au\u00dferhalb der EU bzw. des EWR haben eigene Datenschutz- und \u00dcbermittlungsregelungen, die nicht automatisch den EU-Vorgaben entsprechen.<\/p>\n\n\n\n
- Unternehmenssitz<\/strong>: Wo der Anbieter rechtlich registriert ist (z. B. in Deutschland, Frankreich oder den Niederlanden). Daraus ergibt sich, welches Gesellschafts- und Steuerrecht gilt. Es sagt jedoch nichts dar\u00fcber aus, wo die Server stehen oder welches KI-Modell die Texte erzeugt.<\/li>
- Ort der Datenverarbeitung<\/strong>: Wo Prompts, Entw\u00fcrfe und Kontodaten tats\u00e4chlich gespeichert und verarbeitet werden. Auch ein in der EU entwickeltes Tool kann Daten \u00fcber eine US-Cloud-Region verarbeiten, sofern der Vertrag nicht ausdr\u00fccklich ein Hosting ausschlie\u00dflich in der EU bzw. im EWR zusichert.<\/li>
- Herkunft des KI-Modells<\/strong>: Ob das Schreibtool ein selbst trainiertes Sprachmodell nutzt, ein in der EU entwickeltes Modell lizenziert oder im Hintergrund auf ein US-basiertes Foundation Model zugreift, beispielsweise per API. Gerade dieser Punkt bleibt im Marketing vieler Anbieter h\u00e4ufig unerw\u00e4hnt.<\/li>
- \"In Europa gehostet\" vs. \"in Europa entwickelt\"<\/strong>: Ersteres beschreibt ausschlie\u00dflich den Serverstandort. Letzteres bezieht sich darauf, wo die Software und im Idealfall auch das Modell entwickelt wurden. Ein Tool kann in einem EU-Rechenzentrum gehostet werden und dennoch ein Modell au\u00dferhalb der EU nutzen \u2013 und umgekehrt.<\/li>
- Drei typische Konstellationen am Markt<\/strong>: EU-Unternehmen + in der EU entwickeltes Modell; EU-Unternehmen + Nicht-EU-Modell, meist aus den USA, das per API eingebunden wird; EU-Unternehmen + hybride L\u00f6sung aus EU-Infrastruktur und einem lizenzierten oder Open-Source-Modell.<\/li><\/ul>\n\n\n\n
Die Pflichten aus dem EU AI Act richten sich in erster Linie nach der Rolle einer Organisation \u2013 etwa als Anbieter eines General-Purpose-AI-Modells (GPAI), Anbieter eines KI-Systems oder Betreiber \u2013 sowie danach, ob das Modell oder System auf dem EU-Markt angeboten oder eingesetzt wird. Das Land, in dem ein Modell urspr\u00fcnglich entwickelt wurde, ist f\u00fcr sich genommen nicht ausschlaggebend. Ein Anbieter eines KI-Schreibtools, der ein General-Purpose-AI-Modell eines Drittanbieters integriert, ben\u00f6tigt m\u00f6glicherweise bestimmte Informationen vom Modellanbieter und kann eigene Pflichten auf Systemebene haben. Er \u00fcbernimmt jedoch nicht automatisch dessen GPAI-Transparenz- und Dokumentationspflichten, nur weil sein Unternehmen in der EU ans\u00e4ssig ist.<\/p>\n\n\n\n
Warum europ\u00e4ische Organisationen Alternativen zu US-Tools pr\u00fcfen<\/h2>\n\n\n\n
Das Interesse an Alternativen ist meist Teil des Risikomanagements und keine grunds\u00e4tzliche Pr\u00e4ferenz f\u00fcr eine bestimmte Region. Bei Beschaffungspr\u00fcfungen tauchen vor allem drei Faktoren immer wieder auf.<\/p>\n\n\n\n
Erstens ben\u00f6tigen grenz\u00fcberschreitende \u00dcbermittlungen personenbezogener Daten eine g\u00fcltige Grundlage nach Kapitel V der DSGVO. Liegt f\u00fcr das Zielland ein Angemessenheitsbeschluss vor, k\u00f6nnen Daten in der Regel ohne Standardvertragsklauseln (SCCs) oder eine separate Bewertung der Auswirkungen der Daten\u00fcbermittlung (Transfer Impact Assessment) \u00fcbermittelt werden. Werden stattdessen SCCs oder andere Garantien nach Artikel 46 genutzt, muss die datenexportierende Organisation pr\u00fcfen, ob diese Schutzmechanismen im jeweiligen Zielland tats\u00e4chlich wirksam sind, und gegebenenfalls zus\u00e4tzliche Ma\u00dfnahmen ergreifen. Je nach Komplexit\u00e4t der Unterauftragsverarbeiterkette kann dies f\u00fcr den Datenschutzbeauftragten mehrere zus\u00e4tzliche Arbeitsstunden pro neuem Anbieter bedeuten. Diese Regelungen betreffen ausdr\u00fccklich personenbezogene Daten. F\u00fcr vertrauliche, aber nicht personenbezogene Gesch\u00e4ftsdaten sind vor allem vertragliche Vereinbarungen, Sicherheitsanforderungen und gegebenenfalls branchenspezifische Vorschriften ma\u00dfgeblich. Zweitens spielt das Konzentrationsrisiko eine Rolle, wenn bereits mehrere gesch\u00e4ftskritische Tools von denselben ein oder zwei gro\u00dfen US-Cloud-Anbietern abh\u00e4ngen. Ein weiteres KI-Schreibtool aus demselben Technologie-Stack erh\u00f6ht diese Abh\u00e4ngigkeit, anstatt sie zu diversifizieren. Drittens sehen Beschaffungsrichtlinien im \u00f6ffentlichen Sektor und in regulierten Branchen wie Finanzwesen, Gesundheitswesen oder Rechtsdienstleistungen h\u00e4ufig eine formelle oder informelle Pr\u00e4ferenz f\u00fcr die Datenverarbeitung in der EU bzw. im EWR vor. Das ist Teil eines umfassenderen Anbieterrisikomanagements und keine pauschale Ablehnung von Software au\u00dferhalb der EU.<\/p>\n\n\n\n
\n\n\nFaktor<\/th>\n Typischer Ausl\u00f6ser<\/th>\n Praktische Auswirkung<\/th>\n<\/tr><\/thead>\n \n\nDaten\u00fcbermittlung und Schutzma\u00dfnahmen<\/td>\n Neuer Anbieter nutzt einen Auftragsverarbeiter au\u00dferhalb des EWR<\/td>\n DSB-Pr\u00fcfung des \u00dcbermittlungsmechanismus je Anbieter<\/td>\n<\/tr>\n \nAnbieterkonzentration<\/td>\n Mehrere zentrale Tools beim selben Cloud-Anbieter<\/td>\n Zus\u00e4tzlicher Eintrag im Risikoregister, aber kein Ausschlusskriterium<\/td>\n<\/tr>\n \nBranchenspezifische Beschaffungsrichtlinie<\/td>\n \u00d6ffentlicher Sektor, Finanzwesen, Gesundheitswesen, Rechtsdienstleistungen<\/td>\n Pr\u00e4ferenz f\u00fcr EU-\/EWR-Hosting in den Ausschreibungskriterien<\/td>\n<\/tr>\n \nVertragsverl\u00e4ngerung<\/td>\n J\u00e4hrliche oder zweij\u00e4hrliche SaaS-Verl\u00e4ngerung<\/td>\n Nat\u00fcrlicher Zeitpunkt f\u00fcr eine erneute Anbieterbewertung<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n\n\n\nDaraus l\u00e4sst sich keine allgemeine Regel ableiten, wonach EU-Tools grunds\u00e4tzlich sicherer und US-Tools grunds\u00e4tzlich riskanter w\u00e4ren. Entscheidend ist vielmehr eine individuelle Abw\u00e4gung anhand der Risikotoleranz der jeweiligen Organisation, ihrer Vertragszyklen und der branchenspezifischen Anforderungen.<\/p>\n\n\n\n
Bewertungskriterien f\u00fcr europ\u00e4ische KI-Schreibtools<\/h2>\n\n\n\n
Produktnamen, Tarife und Funktionslisten \u00e4ndern sich zu h\u00e4ufig, um dauerhaft als verl\u00e4ssliche Vergleichsgrundlage zu dienen. Eine Tabelle auf Basis der heutigen Marketingseiten kann schon im n\u00e4chsten Quartal veraltet sein. Eine kriterienbasierte Checkliste ist deshalb f\u00fcr die interne Bewertung belastbarer als ein statischer Produktvergleich. Dieser Leitfaden konzentriert sich daher auf den Beschaffungs- und Data-Governance-Prozess und nicht auf ein Ranking einzelner Produkte.<\/p>\n\n\n\n
F\u00fcnf praktische Pr\u00fcfungen bilden den Kern einer auf Compliance ausgerichteten Bewertung:<\/p>\n\n\n\n
\n\n\nKriterium<\/th>\n Was gepr\u00fcft werden sollte<\/th>\n Wo Nachweise zu finden sind<\/th>\n<\/tr><\/thead>\n \n\nUnternehmenssitz<\/td>\n Rechtstr\u00e4ger und Registrierungsland<\/td>\n Impressum, Angaben zum Vertragspartner im DPA<\/td>\n<\/tr>\n \nOrt der Datenverarbeitung<\/td>\n Rechenzentrumsregion f\u00fcr Speicherung und Verarbeitung<\/td>\n Liste der Unterauftragsverarbeiter, DPA-Anhang<\/td>\n<\/tr>\n \nHerkunft des KI-Modells<\/td>\n Eigenes, lizenziertes oder per Drittanbieter-API eingebundenes Modell<\/td>\n KI-\/Modelldokumentation des Anbieters<\/td>\n<\/tr>\n \nTransparenz bei Trainingsdaten<\/td>\n Ob Kundeneingaben standardm\u00e4\u00dfig f\u00fcr das Modelltraining verwendet werden<\/td>\n Nutzungsbedingungen, Opt-out-Regelung<\/td>\n<\/tr>\n \nVertragsbedingungen<\/td>\n Aufbewahrungsfristen, L\u00f6schverfahren, Haftungsbegrenzungen<\/td>\n DPA, Rahmenvertrag (Master Service Agreement)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n\n\n\nDrei Pr\u00fcfungen eignen sich als erste Filter, bevor man tiefer einsteigt: die aktuelle Liste der Unterauftragsverarbeiter und die Verarbeitungskette best\u00e4tigen, sich schriftlich zusichern lassen, ob Prompts und Entw\u00fcrfe f\u00fcr das Modelltraining verwendet werden und gegebenenfalls ein Opt-out vereinbaren sowie das tats\u00e4chlich eingesetzte Foundation Model identifizieren, statt sich mit Angaben wie \"fortschrittliche KI\" oder \"propriet\u00e4re Technologie\" zufriedenzugeben. Diese Punkte sind ein sinnvoller Ausgangspunkt, aber f\u00fcr sich allein noch kein Nachweis f\u00fcr Compliance. Eine umfassendere Pr\u00fcfung sollte au\u00dferdem die betroffenen Datentypen und Verarbeitungszwecke, die Rollen von Verantwortlichem und Auftragsverarbeiter, die Rechtsgrundlage bei der Verarbeitung personenbezogener Daten, Aufbewahrungs- und L\u00f6schverfahren, Sicherheitsma\u00dfnahmen, Betroffenenrechte sowie die Frage umfassen, ob f\u00fcr den konkreten Anwendungsfall eine Datenschutz-Folgenabsch\u00e4tzung oder eine Transferpr\u00fcfung erforderlich ist. Wie lange dieser Prozess dauert, h\u00e4ngt stark davon ab, wie schnell und vollst\u00e4ndig der Anbieter die erforderlichen Unterlagen bereitstellt und wie komplex die Kette der Unterauftragsverarbeiter ist. Ein gut dokumentierter Fall mit geringem Risiko kann schnell freigegeben werden, w\u00e4hrend zus\u00e4tzliche R\u00fcckfragen oder rechtliche Verhandlungen den Prozess deutlich verl\u00e4ngern k\u00f6nnen.<\/p>\n\n\n\n
Vergleiche zwischen Anbietern auf Basis \u00f6ffentlicher Marketingseiten haben einen entscheidenden Nachteil: Preise, Modellversionen und Hosting-Konfigurationen k\u00f6nnen sich \u00e4ndern, ohne dass Anbieter dazu \u00f6ffentliche \u00c4nderungsprotokolle f\u00fchren. Jeder Vergleich, der als Grundlage f\u00fcr eine Kaufentscheidung dient, sollte deshalb direkt anhand des aktuellen DPA des jeweiligen Anbieters \u00fcberpr\u00fcft werden, statt sich allein auf Zusammenfassungen Dritter \u2013 einschlie\u00dflich dieser \u2013 zu verlassen. F\u00fcr eine erste Vorauswahl europ\u00e4ischer Schreibassistenten werden h\u00e4ufig DeepL Write, LanguageTool und neuroflash genannt. F\u00fcr den konkret betrachteten Tarif sollten jedoch weiterhin der Rechtstr\u00e4ger, die Verarbeitungsregion, die Unterauftragsverarbeiter und der Modellanbieter gepr\u00fcft werden. Neben Compliance sollten die Favoriten au\u00dferdem anhand realistischer Schreibaufgaben, Sprachabdeckung, faktischer Zuverl\u00e4ssigkeit, redaktioneller Kontrollm\u00f6glichkeiten, Integrationen, Benutzerfreundlichkeit und Gesamtkosten verglichen werden. Erst diese Faktoren zeigen, ob ein Tool im redaktionellen Alltag tats\u00e4chlich geeignet ist.<\/p>\n\n\n\n
Europ\u00e4isches Tool oder US-Alternative: Wann ist welche Wahl sinnvoll?<\/h2>\n\n\n\n
Keine der beiden Optionen ist grunds\u00e4tzlich die richtige. Entscheidend ist, welche Anforderungen f\u00fcr die jeweilige Organisation am st\u00e4rksten wiegen und welches konkrete Produkt bzw. welcher Tarif betrachtet wird \u2013 nicht allein das Herkunftsland des Anbieters. Ein europ\u00e4isches Tool kann besonders dann besser passen, wenn interne Richtlinien oder Kundenvertr\u00e4ge strenge Vorgaben zur Datenresidenz machen, Ausschreibungen des \u00f6ffentlichen Sektors eine Verarbeitung in der EU bzw. im EWR verlangen, in regulierten Branchen wie Finanzwesen, Gesundheitswesen oder Rechtsdienstleistungen konkrete gesetzliche, vertragliche oder interne Vorgaben gelten oder strategisch die Abh\u00e4ngigkeit von wenigen gro\u00dfen US-Cloud- und KI-Anbietern reduziert werden soll. Wichtig ist jedoch: Selbst eine verbindliche Vorgabe zur Datenverarbeitung innerhalb der EU kann grunds\u00e4tzlich auch ein Anbieter au\u00dferhalb der EU erf\u00fcllen, wenn er eine passende regionale Bereitstellung anbietet. Entscheidend ist, wo die Daten tats\u00e4chlich verarbeitet werden \u2013 nicht automatisch, wo der Anbieter seinen Hauptsitz hat.<\/p>\n\n\n\n
Je nach Modell, Version und Bereitstellungsform kann auch ein nicht europ\u00e4isches Tool die pragmatischere Wahl sein. Einige gro\u00dfe Foundation Models werden sehr h\u00e4ufig aktualisiert, unterst\u00fctzen besonders gro\u00dfe Kontextfenster f\u00fcr lange Dokumente oder liefern starke mehrsprachige Ergebnisse in vielen wichtigen Weltsprachen. Solche Eigenschaften h\u00e4ngen st\u00e4rker vom konkreten Produkt und der jeweiligen Version ab als vom Herkunftsland des Anbieters. Mehrere europ\u00e4ische Anbieter haben Leistungsunterschiede inzwischen verkleinert, indem sie EU-basierte Infrastruktur mit lizenzierten oder Open-Source-Modellen kombinieren, statt ein vollst\u00e4ndig eigenes Modell von Grund auf zu trainieren. Ein solcher hybrider Ansatz kann Anforderungen an die Datenresidenz erf\u00fcllen, ohne die Modellleistung zwangsl\u00e4ufig einzuschr\u00e4nken. Die tats\u00e4chliche Qualit\u00e4t sollte dennoch immer f\u00fcr den konkreten Anwendungsfall getestet werden.<\/p>\n\n\n\n
Eine einheitliche rechtliche Definition f\u00fcr ein \"europ\u00e4isches KI-Schreibtool\" gibt es nicht. F\u00fcr eine sinnvolle Bewertung sollten drei Faktoren getrennt voneinander betrachtet werden: der Unternehmenssitz, der Ort der Datenverarbeitung und die Herkunft des zugrunde liegenden Sprachmodells. Aus keinem dieser Punkte l\u00e4sst sich automatisch auf die beiden anderen schlie\u00dfen, auch wenn Marketingseiten diese Unterschiede nur selten klar benennen. Au\u00dferdem ist entscheidend, was mit \"europ\u00e4isch\" \u00fcberhaupt gemeint ist: die EU, der gesamte Europ\u00e4ische Wirtschaftsraum (EWR) oder Europa im weiteren Sinne. Das Vereinigte K\u00f6nigreich, die Schweiz und andere europ\u00e4ische L\u00e4nder au\u00dferhalb der EU bzw. des EWR haben eigene Datenschutz- und \u00dcbermittlungsregelungen, die nicht automatisch den EU-Vorgaben entsprechen.<\/p>\n\n\n\n
- Unternehmenssitz<\/strong>: Wo der Anbieter rechtlich registriert ist (z. B. in Deutschland, Frankreich oder den Niederlanden). Daraus ergibt sich, welches Gesellschafts- und Steuerrecht gilt. Es sagt jedoch nichts dar\u00fcber aus, wo die Server stehen oder welches KI-Modell die Texte erzeugt.<\/li>
- Ort der Datenverarbeitung<\/strong>: Wo Prompts, Entw\u00fcrfe und Kontodaten tats\u00e4chlich gespeichert und verarbeitet werden. Auch ein in der EU entwickeltes Tool kann Daten \u00fcber eine US-Cloud-Region verarbeiten, sofern der Vertrag nicht ausdr\u00fccklich ein Hosting ausschlie\u00dflich in der EU bzw. im EWR zusichert.<\/li>
- Herkunft des KI-Modells<\/strong>: Ob das Schreibtool ein selbst trainiertes Sprachmodell nutzt, ein in der EU entwickeltes Modell lizenziert oder im Hintergrund auf ein US-basiertes Foundation Model zugreift, beispielsweise per API. Gerade dieser Punkt bleibt im Marketing vieler Anbieter h\u00e4ufig unerw\u00e4hnt.<\/li>
- \"In Europa gehostet\" vs. \"in Europa entwickelt\"<\/strong>: Ersteres beschreibt ausschlie\u00dflich den Serverstandort. Letzteres bezieht sich darauf, wo die Software und im Idealfall auch das Modell entwickelt wurden. Ein Tool kann in einem EU-Rechenzentrum gehostet werden und dennoch ein Modell au\u00dferhalb der EU nutzen \u2013 und umgekehrt.<\/li>
- Drei typische Konstellationen am Markt<\/strong>: EU-Unternehmen + in der EU entwickeltes Modell; EU-Unternehmen + Nicht-EU-Modell, meist aus den USA, das per API eingebunden wird; EU-Unternehmen + hybride L\u00f6sung aus EU-Infrastruktur und einem lizenzierten oder Open-Source-Modell.<\/li><\/ul>\n\n\n\n
Die Pflichten aus dem EU AI Act richten sich in erster Linie nach der Rolle einer Organisation \u2013 etwa als Anbieter eines General-Purpose-AI-Modells (GPAI), Anbieter eines KI-Systems oder Betreiber \u2013 sowie danach, ob das Modell oder System auf dem EU-Markt angeboten oder eingesetzt wird. Das Land, in dem ein Modell urspr\u00fcnglich entwickelt wurde, ist f\u00fcr sich genommen nicht ausschlaggebend. Ein Anbieter eines KI-Schreibtools, der ein General-Purpose-AI-Modell eines Drittanbieters integriert, ben\u00f6tigt m\u00f6glicherweise bestimmte Informationen vom Modellanbieter und kann eigene Pflichten auf Systemebene haben. Er \u00fcbernimmt jedoch nicht automatisch dessen GPAI-Transparenz- und Dokumentationspflichten, nur weil sein Unternehmen in der EU ans\u00e4ssig ist.<\/p>\n\n\n\n
Warum europ\u00e4ische Organisationen Alternativen zu US-Tools pr\u00fcfen<\/h2>\n\n\n\n
Das Interesse an Alternativen ist meist Teil des Risikomanagements und keine grunds\u00e4tzliche Pr\u00e4ferenz f\u00fcr eine bestimmte Region. Bei Beschaffungspr\u00fcfungen tauchen vor allem drei Faktoren immer wieder auf.<\/p>\n\n\n\n
Erstens ben\u00f6tigen grenz\u00fcberschreitende \u00dcbermittlungen personenbezogener Daten eine g\u00fcltige Grundlage nach Kapitel V der DSGVO. Liegt f\u00fcr das Zielland ein Angemessenheitsbeschluss vor, k\u00f6nnen Daten in der Regel ohne Standardvertragsklauseln (SCCs) oder eine separate Bewertung der Auswirkungen der Daten\u00fcbermittlung (Transfer Impact Assessment) \u00fcbermittelt werden. Werden stattdessen SCCs oder andere Garantien nach Artikel 46 genutzt, muss die datenexportierende Organisation pr\u00fcfen, ob diese Schutzmechanismen im jeweiligen Zielland tats\u00e4chlich wirksam sind, und gegebenenfalls zus\u00e4tzliche Ma\u00dfnahmen ergreifen. Je nach Komplexit\u00e4t der Unterauftragsverarbeiterkette kann dies f\u00fcr den Datenschutzbeauftragten mehrere zus\u00e4tzliche Arbeitsstunden pro neuem Anbieter bedeuten. Diese Regelungen betreffen ausdr\u00fccklich personenbezogene Daten. F\u00fcr vertrauliche, aber nicht personenbezogene Gesch\u00e4ftsdaten sind vor allem vertragliche Vereinbarungen, Sicherheitsanforderungen und gegebenenfalls branchenspezifische Vorschriften ma\u00dfgeblich. Zweitens spielt das Konzentrationsrisiko eine Rolle, wenn bereits mehrere gesch\u00e4ftskritische Tools von denselben ein oder zwei gro\u00dfen US-Cloud-Anbietern abh\u00e4ngen. Ein weiteres KI-Schreibtool aus demselben Technologie-Stack erh\u00f6ht diese Abh\u00e4ngigkeit, anstatt sie zu diversifizieren. Drittens sehen Beschaffungsrichtlinien im \u00f6ffentlichen Sektor und in regulierten Branchen wie Finanzwesen, Gesundheitswesen oder Rechtsdienstleistungen h\u00e4ufig eine formelle oder informelle Pr\u00e4ferenz f\u00fcr die Datenverarbeitung in der EU bzw. im EWR vor. Das ist Teil eines umfassenderen Anbieterrisikomanagements und keine pauschale Ablehnung von Software au\u00dferhalb der EU.<\/p>\n\n\n\n
\n\n
\n \nFaktor<\/th>\n Typischer Ausl\u00f6ser<\/th>\n Praktische Auswirkung<\/th>\n<\/tr><\/thead>\n \n Daten\u00fcbermittlung und Schutzma\u00dfnahmen<\/td>\n Neuer Anbieter nutzt einen Auftragsverarbeiter au\u00dferhalb des EWR<\/td>\n DSB-Pr\u00fcfung des \u00dcbermittlungsmechanismus je Anbieter<\/td>\n<\/tr>\n \n Anbieterkonzentration<\/td>\n Mehrere zentrale Tools beim selben Cloud-Anbieter<\/td>\n Zus\u00e4tzlicher Eintrag im Risikoregister, aber kein Ausschlusskriterium<\/td>\n<\/tr>\n \n Branchenspezifische Beschaffungsrichtlinie<\/td>\n \u00d6ffentlicher Sektor, Finanzwesen, Gesundheitswesen, Rechtsdienstleistungen<\/td>\n Pr\u00e4ferenz f\u00fcr EU-\/EWR-Hosting in den Ausschreibungskriterien<\/td>\n<\/tr>\n \n Vertragsverl\u00e4ngerung<\/td>\n J\u00e4hrliche oder zweij\u00e4hrliche SaaS-Verl\u00e4ngerung<\/td>\n Nat\u00fcrlicher Zeitpunkt f\u00fcr eine erneute Anbieterbewertung<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n\n\n\n Daraus l\u00e4sst sich keine allgemeine Regel ableiten, wonach EU-Tools grunds\u00e4tzlich sicherer und US-Tools grunds\u00e4tzlich riskanter w\u00e4ren. Entscheidend ist vielmehr eine individuelle Abw\u00e4gung anhand der Risikotoleranz der jeweiligen Organisation, ihrer Vertragszyklen und der branchenspezifischen Anforderungen.<\/p>\n\n\n\n
Bewertungskriterien f\u00fcr europ\u00e4ische KI-Schreibtools<\/h2>\n\n\n\n
Produktnamen, Tarife und Funktionslisten \u00e4ndern sich zu h\u00e4ufig, um dauerhaft als verl\u00e4ssliche Vergleichsgrundlage zu dienen. Eine Tabelle auf Basis der heutigen Marketingseiten kann schon im n\u00e4chsten Quartal veraltet sein. Eine kriterienbasierte Checkliste ist deshalb f\u00fcr die interne Bewertung belastbarer als ein statischer Produktvergleich. Dieser Leitfaden konzentriert sich daher auf den Beschaffungs- und Data-Governance-Prozess und nicht auf ein Ranking einzelner Produkte.<\/p>\n\n\n\n
F\u00fcnf praktische Pr\u00fcfungen bilden den Kern einer auf Compliance ausgerichteten Bewertung:<\/p>\n\n\n\n
\n\n
\n \nKriterium<\/th>\n Was gepr\u00fcft werden sollte<\/th>\n Wo Nachweise zu finden sind<\/th>\n<\/tr><\/thead>\n \n Unternehmenssitz<\/td>\n Rechtstr\u00e4ger und Registrierungsland<\/td>\n Impressum, Angaben zum Vertragspartner im DPA<\/td>\n<\/tr>\n \n Ort der Datenverarbeitung<\/td>\n Rechenzentrumsregion f\u00fcr Speicherung und Verarbeitung<\/td>\n Liste der Unterauftragsverarbeiter, DPA-Anhang<\/td>\n<\/tr>\n \n Herkunft des KI-Modells<\/td>\n Eigenes, lizenziertes oder per Drittanbieter-API eingebundenes Modell<\/td>\n KI-\/Modelldokumentation des Anbieters<\/td>\n<\/tr>\n \n Transparenz bei Trainingsdaten<\/td>\n Ob Kundeneingaben standardm\u00e4\u00dfig f\u00fcr das Modelltraining verwendet werden<\/td>\n Nutzungsbedingungen, Opt-out-Regelung<\/td>\n<\/tr>\n \n Vertragsbedingungen<\/td>\n Aufbewahrungsfristen, L\u00f6schverfahren, Haftungsbegrenzungen<\/td>\n DPA, Rahmenvertrag (Master Service Agreement)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n\n\n\n Drei Pr\u00fcfungen eignen sich als erste Filter, bevor man tiefer einsteigt: die aktuelle Liste der Unterauftragsverarbeiter und die Verarbeitungskette best\u00e4tigen, sich schriftlich zusichern lassen, ob Prompts und Entw\u00fcrfe f\u00fcr das Modelltraining verwendet werden und gegebenenfalls ein Opt-out vereinbaren sowie das tats\u00e4chlich eingesetzte Foundation Model identifizieren, statt sich mit Angaben wie \"fortschrittliche KI\" oder \"propriet\u00e4re Technologie\" zufriedenzugeben. Diese Punkte sind ein sinnvoller Ausgangspunkt, aber f\u00fcr sich allein noch kein Nachweis f\u00fcr Compliance. Eine umfassendere Pr\u00fcfung sollte au\u00dferdem die betroffenen Datentypen und Verarbeitungszwecke, die Rollen von Verantwortlichem und Auftragsverarbeiter, die Rechtsgrundlage bei der Verarbeitung personenbezogener Daten, Aufbewahrungs- und L\u00f6schverfahren, Sicherheitsma\u00dfnahmen, Betroffenenrechte sowie die Frage umfassen, ob f\u00fcr den konkreten Anwendungsfall eine Datenschutz-Folgenabsch\u00e4tzung oder eine Transferpr\u00fcfung erforderlich ist. Wie lange dieser Prozess dauert, h\u00e4ngt stark davon ab, wie schnell und vollst\u00e4ndig der Anbieter die erforderlichen Unterlagen bereitstellt und wie komplex die Kette der Unterauftragsverarbeiter ist. Ein gut dokumentierter Fall mit geringem Risiko kann schnell freigegeben werden, w\u00e4hrend zus\u00e4tzliche R\u00fcckfragen oder rechtliche Verhandlungen den Prozess deutlich verl\u00e4ngern k\u00f6nnen.<\/p>\n\n\n\n
Vergleiche zwischen Anbietern auf Basis \u00f6ffentlicher Marketingseiten haben einen entscheidenden Nachteil: Preise, Modellversionen und Hosting-Konfigurationen k\u00f6nnen sich \u00e4ndern, ohne dass Anbieter dazu \u00f6ffentliche \u00c4nderungsprotokolle f\u00fchren. Jeder Vergleich, der als Grundlage f\u00fcr eine Kaufentscheidung dient, sollte deshalb direkt anhand des aktuellen DPA des jeweiligen Anbieters \u00fcberpr\u00fcft werden, statt sich allein auf Zusammenfassungen Dritter \u2013 einschlie\u00dflich dieser \u2013 zu verlassen. F\u00fcr eine erste Vorauswahl europ\u00e4ischer Schreibassistenten werden h\u00e4ufig DeepL Write, LanguageTool und neuroflash genannt. F\u00fcr den konkret betrachteten Tarif sollten jedoch weiterhin der Rechtstr\u00e4ger, die Verarbeitungsregion, die Unterauftragsverarbeiter und der Modellanbieter gepr\u00fcft werden. Neben Compliance sollten die Favoriten au\u00dferdem anhand realistischer Schreibaufgaben, Sprachabdeckung, faktischer Zuverl\u00e4ssigkeit, redaktioneller Kontrollm\u00f6glichkeiten, Integrationen, Benutzerfreundlichkeit und Gesamtkosten verglichen werden. Erst diese Faktoren zeigen, ob ein Tool im redaktionellen Alltag tats\u00e4chlich geeignet ist.<\/p>\n\n\n\n
Europ\u00e4isches Tool oder US-Alternative: Wann ist welche Wahl sinnvoll?<\/h2>\n\n\n\n
Keine der beiden Optionen ist grunds\u00e4tzlich die richtige. Entscheidend ist, welche Anforderungen f\u00fcr die jeweilige Organisation am st\u00e4rksten wiegen und welches konkrete Produkt bzw. welcher Tarif betrachtet wird \u2013 nicht allein das Herkunftsland des Anbieters. Ein europ\u00e4isches Tool kann besonders dann besser passen, wenn interne Richtlinien oder Kundenvertr\u00e4ge strenge Vorgaben zur Datenresidenz machen, Ausschreibungen des \u00f6ffentlichen Sektors eine Verarbeitung in der EU bzw. im EWR verlangen, in regulierten Branchen wie Finanzwesen, Gesundheitswesen oder Rechtsdienstleistungen konkrete gesetzliche, vertragliche oder interne Vorgaben gelten oder strategisch die Abh\u00e4ngigkeit von wenigen gro\u00dfen US-Cloud- und KI-Anbietern reduziert werden soll. Wichtig ist jedoch: Selbst eine verbindliche Vorgabe zur Datenverarbeitung innerhalb der EU kann grunds\u00e4tzlich auch ein Anbieter au\u00dferhalb der EU erf\u00fcllen, wenn er eine passende regionale Bereitstellung anbietet. Entscheidend ist, wo die Daten tats\u00e4chlich verarbeitet werden \u2013 nicht automatisch, wo der Anbieter seinen Hauptsitz hat.<\/p>\n\n\n\n
Je nach Modell, Version und Bereitstellungsform kann auch ein nicht europ\u00e4isches Tool die pragmatischere Wahl sein. Einige gro\u00dfe Foundation Models werden sehr h\u00e4ufig aktualisiert, unterst\u00fctzen besonders gro\u00dfe Kontextfenster f\u00fcr lange Dokumente oder liefern starke mehrsprachige Ergebnisse in vielen wichtigen Weltsprachen. Solche Eigenschaften h\u00e4ngen st\u00e4rker vom konkreten Produkt und der jeweiligen Version ab als vom Herkunftsland des Anbieters. Mehrere europ\u00e4ische Anbieter haben Leistungsunterschiede inzwischen verkleinert, indem sie EU-basierte Infrastruktur mit lizenzierten oder Open-Source-Modellen kombinieren, statt ein vollst\u00e4ndig eigenes Modell von Grund auf zu trainieren. Ein solcher hybrider Ansatz kann Anforderungen an die Datenresidenz erf\u00fcllen, ohne die Modellleistung zwangsl\u00e4ufig einzuschr\u00e4nken. Die tats\u00e4chliche Qualit\u00e4t sollte dennoch immer f\u00fcr den konkreten Anwendungsfall getestet werden.<\/p>\n\n\n\n
- Ort der Datenverarbeitung<\/strong>: Wo Prompts, Entw\u00fcrfe und Kontodaten tats\u00e4chlich gespeichert und verarbeitet werden. Auch ein in der EU entwickeltes Tool kann Daten \u00fcber eine US-Cloud-Region verarbeiten, sofern der Vertrag nicht ausdr\u00fccklich ein Hosting ausschlie\u00dflich in der EU bzw. im EWR zusichert.<\/li>