Sicherheit, Missbrauch und Governance
Data Residency
Vorgaben zum geografischen oder rechtlichen Ort der Datenverarbeitung.
Data Residency bezeichnet die Frage, wo Daten verarbeitet und gespeichert werden, also in welchem Land und unter welcher Rechtsordnung. Für europäische Unternehmen ist das eine der ersten Fragen bei der Auswahl eines Dienstes, weil daran Datenschutzpflichten und vertragliche Zusagen hängen.
Verarbeitung, Speicherung und Betrieb können auseinanderfallen
Zu unterscheiden sind mehrere Ebenen: Wo läuft die eigentliche Verarbeitung, wo liegen gespeicherte Inhalte, wo werden Protokolldaten aufbewahrt, und wer hat als Betreiber Zugriff. Anbieter beschreiben diese Punkte getrennt, samt Ausnahmen etwa für Missbrauchsprüfungen. Anthropic: API and data retention
Für die Risikobewertung gehört das zu den Punkten, die vor dem Einsatz geklärt und dokumentiert werden. NIST: AI Risk Management Framework
So kannst du dir das vorstellen
Die Frage, in welchem Land das Archiv steht, in dem eure Akten liegen. Das Gebäude ist verschlossen, die Gesetze sind es nicht, und sie unterscheiden sich je nach Standort. Das Bild erklärt die rechtliche Dimension, nicht die technische Sicherheit.
Was es in der Praxis bedeutet
Prüfe bei jedem Dienst drei Angaben: den Ort der Verarbeitung, den Ort der Speicherung und die Bedingungen, unter denen Beschäftigte des Anbieters Inhalte einsehen dürfen. Zusagen gehören in den Vertrag, nicht auf die Produktseite.
Zu bedenken ist außerdem die Kette: Ein Dienst im europäischen Rechenzentrum kann Teilleistungen anderswo beziehen. Die Frage lautet also nicht nur, wo der Anbieter sitzt, sondern wo seine Unterauftragnehmer arbeiten.
Wo es verwechselt wird
Der Verarbeitungsort ist nicht dasselbe wie die Aufbewahrungsdauer und nicht dasselbe wie die Frage, ob Daten für Training verwendet werden. Drei verschiedene Zusagen, die getrennt zu prüfen sind.
Verwandte Begriffe
Data Retention, Zero Data Retention, No-Training Policy, Sovereign AI, EU AI Act, AI Governance.