Sind Ihre Daten bei amerikanischen KI-Anbietern sicher?

Die kurze Antwort: ja, aber unter Bedingungen. Die meisten führenden KIs sind amerikanisch. ChatGPT, Gemini, Claude. Für Nutzerinnen und Nutzer in Frankreich ist das Senden personenbezogener Daten an diese Dienste eine Datenübermittlung außerhalb der Europäischen Union. Die DSGVO regelt diese Übermittlung. Seit Juli 2023 erlaubt das EU-US Data Privacy Framework sie gegenüber zertifizierten US-Unternehmen. Dieser Rahmen bleibt nach dem Urteil Schrems II jedoch umstritten. Die sicherste Methode: Anonymisieren Sie Ihre Daten vor dem Senden. Ohne personenbezogene Daten im Prompt gibt es keine Übermittlung mehr zu regeln.

Daten an eine US-KI zu senden ist eine Übermittlung außerhalb der EU

Setzen wir den Rahmen. Die meisten KI-Modelle für Verbraucher werden in den Vereinigten Staaten gehostet. Wenn Sie Text in ChatGPT einfügen, reisen Ihre Daten zu US-Servern. Enthält dieser Text personenbezogene Daten, handelt es sich um eine internationale Datenübermittlung. Die DSGVO (Datenschutz-Grundverordnung) behandelt diesen Fall in ihrem Kapitel V. Eine Übermittlung außerhalb der EU ist nur auf einer gültigen Rechtsgrundlage rechtmäßig. Das ist kein Verwaltungsdetail. Es ist eine Bedingung der Rechtmäßigkeit.

Was die DSGVO für eine Übermittlung verlangt

Kapitel V der DSGVO sieht mehrere Rechtsgrundlagen vor. Sie können keine Daten außerhalb der EU übermitteln, ohne eine davon. Hier sind die wichtigsten.

• Ein Angemessenheitsbeschluss der Europäischen Kommission. Er erkennt an, dass ein Land ein gleichwertiges Schutzniveau bietet.
• Standardvertragsklauseln (SCC), unterzeichnet zwischen dem Datenexporteur und dem Datenimporteur.
• Verbindliche interne Datenschutzvorschriften (BCR), für Übermittlungen innerhalb einer Unternehmensgruppe.

Für die Vereinigten Staaten ist der einfachste Weg der Angemessenheitsbeschluss. Er besteht seit 2023, ist aber an Bedingungen geknüpft. Sehen wir uns an, was er genau abdeckt.

Das Data Privacy Framework, nach Schrems II

Am 10. Juli 2023 verabschiedete die Europäische Kommission einen Angemessenheitsbeschluss. Er stützt sich auf das EU-US Data Privacy Framework (DPF). Konkret kann ein US-Unternehmen personenbezogene Daten aus der EU ohne zusätzliche Formalität empfangen. Unter einer Bedingung: nach dem DPF zertifiziert zu sein. Die Zertifizierung ist freiwillig. Das Unternehmen muss sich verpflichten und dann auf der vom US-Handelsministerium geführten Liste erscheinen. Nicht alle US-Unternehmen treten bei. Ein KI-Anbieter ist also nur abgedeckt, wenn er sich zertifiziert hat.

Das DPF ersetzt den Privacy Shield. Der Gerichtshof der Europäischen Union hatte diesen im Juli 2020 für ungültig erklärt. Das ist das sogenannte Urteil „Schrems II“. Der Gerichtshof beurteilte das US-Recht damals als unzureichend gegenüber den Überwachungsprogrammen. Zuvor war bereits 2015 der Safe Harbor gefallen.

Wie steht es heute? Das DPF ist in Kraft. Es hat eine erste Prüfung bestanden: Das Gericht der Europäischen Union wies im September 2025 eine Klage ab. Doch der Rahmen bleibt umstritten. Die Vereinigung noyb von Max Schrems hat mögliche neue Klagen angedeutet. Auch politische Fragen betrafen die US-Aufsichtsorgane. Man sollte es also weder als endgültig gesichert ansehen noch für gefallen erklären.

Der CLOUD Act und die digitale Souveränität

Ein weiterer Punkt nährt die europäische Besorgnis. Manche US-Gesetze, wie der CLOUD Act, können einen Anbieter zwingen, der der US-Gerichtsbarkeit unterliegt. Er muss möglicherweise Daten an die Behörden herausgeben. Auch dann, wenn diese Daten außerhalb der Vereinigten Staaten gespeichert sind. Das ist einer der Antriebe der Debatte über die digitale Souveränität. Die Idee ist einfach: die Kontrolle über die eigenen Daten behalten, ohne von einem fremden Recht abhängig zu sein. Für viele französische Unternehmen ist das zu einem Auswahlkriterium geworden.

Es gibt europäische Alternativen

Sie sind nicht auf US-KIs beschränkt. Europäische Akteure gewinnen an Bedeutung. Mistral AI, ein französisches Unternehmen, ist ein Beispiel. Laut seiner Dokumentation hostet Mistral die Daten standardmäßig in Europa. Das Unternehmen erklärt, nativ der DSGVO zu unterliegen. Ebenfalls laut Mistral werden die Ein- und Ausgaben seiner API 30 Tage aufbewahrt, um Missbrauch zu bekämpfen, und dann gelöscht. Sie würden nicht zum Training seiner Modelle verwendet, außer bei ausdrücklicher Zustimmung. Diese Richtlinien ändern sich: Prüfen Sie sie direkt bei Mistral, bevor Sie sich entscheiden.

Die Lösung: vor dem Senden anonymisieren

Es gibt eine robuste Lösung, welche KI Sie auch wählen. Anonymisieren Sie Ihren Text, bevor Sie ihn senden. Die Logik ist einfach. Ohne personenbezogene Daten im Prompt gibt es keine Übermittlung personenbezogener Daten mehr zu regeln. Ihre sensiblen Daten bleiben unter Ihrer Kontrolle, im Browser. Das ist keine von einer Behörde zertifizierte gesetzliche Ausnahme. Es ist eine Risikominderung an der Wurzel.

Die KI behält ihren vollen Nutzen. Sie denkt über die Struktur Ihrer Anfrage nach. Sie sieht nie die echten Werte. Sie selbst stellen anschließend die echten Daten lokal wieder her. Hier ist die Methode, Schritt für Schritt.

1. 1Erkennen Sie die personenbezogenen Daten in Ihrem Text: Name, Adresse, E-Mail, Kennungen.
2. 2Ersetzen Sie sie durch umkehrbare Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI, ob amerikanisch oder nicht.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten — Name, Adresse, E-Mail, API-Schlüssel — und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur ein anonymisierter Text erreicht das Modell. Ob die KI amerikanisch oder europäisch ist, sie findet dort nur Token. Sie behalten die Kontrolle über Ihre Daten, ohne auf die Leistungsfähigkeit der führenden Modelle zu verzichten.