Europäische KI-Schreibtools für Marketingteams, die die DSGVO beachten müssen

Warum die Frage nach einem europäischen KI-Schreibtool überhaupt aufkommt

Content-Teams, die ein KI-Schreibtool einführen, werden in der Regel eher von der Rechtsabteilung als von der Redaktion mit einer Frage konfrontiert: Wo genau werden der Text – und die Daten, aus denen er generiert wird – verarbeitet? Viele KI-Schreibdienste, darunter bekannte Tools wie ChatGPT, Jasper, Copy.ai und Writesonic, werden von Anbietern mit Hauptsitz in den USA betrieben oder greifen auf in den USA ansässige Unterauftragsverarbeiter zurück. Die tatsächlichen Speicher- und Verarbeitungsorte variieren jedoch je nach Produkt, Preisplan, Cloud-Region und Vertrag, und einige Unternehmensangebote bieten regionale Kontrollmöglichkeiten für die Datenverarbeitung. Der Standort des Nutzers sagt wenig darüber aus, wo die Daten tatsächlich landen. Dies ist nicht nur ein Problem der Datenstandorte und der Dokumentation, sondern wirft auch echte technische und organisatorische Sicherheitsfragen hinsichtlich Zugriffskontrollen, Datenaufbewahrung, Reaktion auf Vorfälle sowie des Risikos auf, dass vertrauliche Eingaben offengelegt oder wiederverwendet werden.

Die praktischen Schwierigkeiten zeigen sich in den Prüfungszyklen. Eine standardmäßige Prüfung bei der Softwarebeschaffung in einem mittelständischen Unternehmen kann zwischen einigen Tagen und mehreren Wochen dauern – je nachdem, wie schnell die Rechtsabteilung die Datenverarbeitungsvereinbarung (DPA), die Liste der Unterauftragsverarbeiter und die Mechanismen für internationale Datenübermittlungen eines neuen SaaS-Anbieters prüfen kann und wie sensibel die betreffenden Daten sind. Insbesondere bei KI-Schreibtools wird diese Prüfung manchmal ein zweites Mal ausgelöst, wenn ein Anbieter seinen zugrunde liegenden Modellanbieter wechselt, was sich auf die Verarbeitungskette auswirken kann, auch wenn sich am sichtbaren Produkt nichts ändert. Redaktionsteams, die nach täglichen oder wöchentlichen Veröffentlichungsrhythmen arbeiten, können dies als Diskrepanz zwischen schnellen Inhaltszyklen und langsameren Beschaffungsprozessen empfinden. An dieser Stelle überschneiden sich im Suchverhalten auch die Begriffe "europäisches KI-Schreibtool" und "EU-KI-Gesetz-konform", obwohl es sich nicht um dieselbe Frage handelt. Eine genauere Aufschlüsselung der regulatorischen Aspekte wird separat in diesem Leitfaden behandelt unter Prüfung der Einhaltung des EU-KI-Gesetzes bei europäischer KI-Software.

Was macht ein KI-Schreibtool eigentlich "europäisch"?

Es gibt keine einheitliche rechtliche Definition eines "europäischen KI-Schreibtools". Ein Tool lässt sich am besten bewerten, indem drei separate Faktoren unabhängig voneinander geprüft werden: Firmensitz, Ort der Datenverarbeitung und Herkunft des zugrunde liegenden Sprachmodells. Keiner dieser drei Faktoren impliziert automatisch die beiden anderen, und auf Marketingseiten wird diese Unterscheidung selten ausdrücklich getroffen. Zudem spielt es eine Rolle, ob mit "europäisch" die EU, der gesamte Europäische Wirtschaftsraum (EWR) oder Europa im weiteren Sinne gemeint ist – das Vereinigte Königreich, die Schweiz und andere europäische Länder außerhalb der EU/des EWR verfügen über eigene Datenschutz- und Datenübertragungsregelungen, die nicht automatisch den EU-Vorschriften entsprechen.

• Unternehmenszentrale: Wo der Anbieter seinen rechtlichen Sitz hat (z. B. in Deutschland, Frankreich oder den Niederlanden). Dies bestimmt, welches Gesellschaftsrecht und welche Steuerhoheit gelten, sagt jedoch nichts darüber aus, wo sich die Server befinden oder welches KI-Modell den Text generiert.
• Ort der Datenverarbeitung: Wo Eingaben, Entwürfe und Kontodaten tatsächlich gespeichert und verarbeitet werden. Ein Tool kann von einem in der EU ansässigen Unternehmen entwickelt werden, wobei die Daten dennoch über eine US-amerikanische Cloud-Region verarbeitet werden, es sei denn, im Vertrag ist ausdrücklich festgelegt, dass das Hosting ausschließlich in der EU bzw. im EWR erfolgen darf.
• Herkunft des Modells: Ob das Schreibtool ein eigenes, trainiertes Sprachmodell nutzt, ein in der EU entwickeltes Modell lizenziert oder im Hintergrund auf ein in den USA ansässiges Basismodell (z. B. über eine API) zurückgreift. Dies ist der Faktor, der in der Werbung der Anbieter am häufigsten unerwähnt bleibt.
• "In Europa gehostet" vs. "in Europa entwickelt": Ersteres bezieht sich ausschließlich auf den Standort des Servers; letzteres bezieht sich darauf, wo die Software und – im Idealfall – das Modell erstellt wurden. Ein Tool kann in einem Rechenzentrum in der EU gehostet werden, während es ein Modell aus einem Nicht-EU-Land ausführt, und umgekehrt.
• Drei realistische Kombinationen, die auf dem Markt erhältlich sind: EU-Unternehmen + in der EU entwickeltes Modell; EU-Unternehmen + Nicht-EU-Modell (in der Regel aus den USA), auf das über eine API zugegriffen wird; EU-Unternehmen + hybride Lösung, bei der EU-Infrastruktur mit einem lizenzierten oder Open-Source-Modell kombiniert wird.

Die Verpflichtungen gemäß dem EU-KI-Gesetz richten sich in erster Linie nach der Rolle einer Organisation – beispielsweise als Anbieter eines Allzweck-KI-Modells (GPAI), als Anbieter eines KI-Systems oder als Betreiber – sowie danach, ob dieses Modell oder System auf dem EU-Markt in Verkehr gebracht oder dort genutzt wird. Das Land, in dem ein Modell ursprünglich entwickelt wurde, ist an sich nicht der entscheidende Faktor. Ein Anbieter von Schreibwerkzeugen, der ein Allzweck-KI-Modell eines Drittanbieters integriert, benötigt möglicherweise bestimmte Informationen vom Anbieter dieses Modells und kann eigene Verpflichtungen auf Systemebene haben, übernimmt jedoch nicht automatisch die GPAI-Transparenz- und Dokumentationspflichten des Modellanbieters, nur weil der Anbieter seinen Hauptsitz in der EU hat.

Warum europäische Organisationen Alternativen zu US-amerikanischen Tools prüfen

Das Interesse an Alternativen ist in der Regel eher eine Maßnahme des Risikomanagements als eine Präferenz für eine Region gegenüber einer anderen. Bei Beschaffungsprüfungen tauchen immer wieder drei Faktoren auf.

Erstens erfordern grenzüberschreitende Übermittlungen personenbezogener Daten eine gültige Rechtsgrundlage gemäß Kapitel V der DSGVO. Gilt für das Bestimmungsland eine Angemessenheitsentscheidung, können Übermittlungen in der Regel ohne Standardvertragsklauseln (SCCs) oder eine gesonderte Folgenabschätzung zur Datenübermittlung erfolgen. Werden stattdessen SCCs oder eine andere Schutzmaßnahme gemäß Artikel 46 verwendet, muss die Organisation, die die Daten übermittelt, prüfen, ob diese Schutzmaßnahme für das betreffende Zielland tatsächlich wirksam ist, und gegebenenfalls ergänzende Maßnahmen ergreifen; ein Datenschutzbeauftragter wendet hierfür je nach Komplexität der Unterauftragsverarbeitungskette oft mehrere Stunden zusätzlicher Arbeit pro neuem Anbieter auf. Diese Übermittlungsregelung betrifft speziell personenbezogene Daten; die Übermittlung vertraulicher, aber nicht personenbezogener Geschäftsdaten unterliegt hauptsächlich vertraglichen Bestimmungen, Sicherheitsanforderungen und gegebenenfalls geltenden branchenspezifischen Vorschriften, nicht dem Übermittlungsmechanismus der DSGVO selbst. Zweitens wird das Konzentrationsrisiko zu einem Faktor, wenn bereits mehrere zentrale Geschäftstools von ein und demselben oder zwei großen US-Cloud-Anbietern abhängig sind; die Hinzunahme eines KI-Schreibtools aus demselben Stack erhöht das Risiko durch Abhängigkeit von einem einzigen Anbieter, anstatt es zu diversifizieren. Drittens legen Beschaffungsrichtlinien im öffentlichen Sektor und in regulierten Branchen – Finanzwesen, Gesundheitswesen, Rechtsdienstleistungen – oft eine formelle oder informelle Präferenz für eine Datenverarbeitung mit Sitz in der EU/im EWR fest, und zwar als Teil umfassenderer Rahmenwerke zum Anbieterrisiko und nicht als pauschale Ablehnung von Nicht-EU-Software.

All dies lässt sich nicht zu einer allgemeingültigen Regel verallgemeinern, wonach EU-Tools sicherer und US-Tools riskanter seien. Es handelt sich vielmehr um eine Abwägung, die von der Risikotoleranz der jeweiligen Organisation, dem Zeitplan für Vertragsverlängerungen und den branchenbezogenen Verpflichtungen abhängt.

Bewertungskriterien für europäische KI-Schreibtools

Produktnamen, Preisklassen und Funktionslisten ändern sich zu häufig, um als verlässliche Vergleichsgrundlage zu dienen; eine Tabelle, die auf der aktuellen Marketingseite basiert, kann bereits innerhalb eines Quartals veraltet sein. Eine kriterienbasierte Checkliste bietet eine dauerhaftere Grundlage für die interne Bewertung als ein statischer Produktvergleich, und dieser Leitfaden konzentriert sich auf diesen Beschaffungs- und Datenverwaltungsprozess und nicht auf die Rangfolge einzelner Produkte.

Fünf praktische Prüfschritte bilden den Kern einer Compliance-orientierten Überprüfung:

Drei Überprüfungen dienen als nützliche Vorabkontrollen, bevor man weiter voranschreitet: die Bestätigung des aktuellen Unterauftragnehmers und der Verarbeitungskette, die Einholung schriftlicher Bedingungen dazu, ob Prompts und Entwürfe für das Modelltraining verwendet werden (mit einer Opt-out-Klausel, falls dies der Fall ist), sowie die Ermittlung des konkret verwendeten Basismodells, anstatt sich mit einer Beschreibung wie "fortschrittliche KI" oder "proprietäre Technologie" zufrieden zu geben.“ Diese Überprüfungen sind ein Ausgangspunkt, stellen jedoch für sich genommen keinen Nachweis der Einhaltung der Vorschriften dar. Eine umfassendere Prüfung sollte zudem die betroffenen Datentypen und Verwendungszwecke, die Rollen des Verantwortlichen und des Auftragsverarbeiters, die Rechtsgrundlage für die Verarbeitung personenbezogener Daten, Aufbewahrungs- und Löschverfahren, Sicherheitsmaßnahmen, die Rechte der betroffenen Personen sowie die Frage umfassen, ob für den konkreten Anwendungsfall eine Datenschutz-Folgenabschätzung oder eine Transferprüfung erforderlich ist. Wie lange dies dauert, hängt stark davon ab, wie schnell und vollständig der Anbieter die Dokumentation bereitstellt, sowie von der Komplexität der Unterauftragsvergabe-Kette – ein gut dokumentierter Fall mit geringem Risiko kann schnell abgewickelt werden, während ein Fall, der zusätzliche Anfragen oder rechtliche Verhandlungen erfordert, erheblich länger dauern kann.

Vergleiche zwischen Anbietern auf der Grundlage öffentlicher Marketingseiten weisen eine gewisse Einschränkung auf: Preise, Modellversionen und Hosting-Vereinbarungen werden von den Anbietern ohne öffentliche Änderungsprotokolle aktualisiert. Jeder Vergleich, der für eine Kaufentscheidung herangezogen wird, sollte direkt anhand der aktuellen Datenschutzvereinbarung (DPA) des Anbieters überprüft werden, anstatt sich auf Zusammenfassungen von Dritten, einschließlich dieser, zu verlassen. Für eine erste Vorauswahl an Schreibassistenten mit Hauptsitz in Europa werden häufig Optionen wie DeepL Write, LanguageTool und neuroflash als Ausgangspunkt genannt; die juristische Person, die Verarbeitungsregion, die Unterauftragsverarbeiter und der Modellanbieter sollten jedoch für den konkret in Betracht gezogenen Tarif noch überprüft werden. Über die Einhaltung der Vorschriften hinaus lohnt es sich, die in die engere Wahl gekommenen Anbieter hinsichtlich repräsentativer Schreibaufgaben, Sprachabdeckung, sachlicher Zuverlässigkeit, redaktioneller Kontrollen, Integrationen, Benutzerfreundlichkeit und Gesamtkosten zu vergleichen, da diese Faktoren darüber entscheiden, ob ein Tool tatsächlich für redaktionelle Arbeit geeignet ist.

Europäisches Instrument oder US-amerikanische Alternative: Wann ist welche Wahl sinnvoll?

Keine der beiden Optionen ist grundsätzlich richtig; die richtige Wahl hängt davon ab, welche Einschränkung für eine bestimmte Organisation mehr Gewicht hat, sowie vom jeweiligen Produkt und Tarif – und nicht allein von der Nationalität des Anbieters. Ein europäisches Tool ist unter verschiedenen Bedingungen tendenziell die bessere Wahl: strenge Anforderungen an den Speicherort der Daten, die in internen Richtlinien oder Kundenverträgen festgelegt sind, Beschaffungsvorschriften des öffentlichen Sektors, die die Verarbeitung in der EU/im EWR als Ausschreibungskriterium nennen, die Tätigkeit in einer regulierten Branche (Finanzwesen, Gesundheitswesen, Rechtswesen), in der ein bestimmtes Gesetz, ein Vertrag oder eine interne Richtlinie dies vorschreibt, sowie ein allgemeines strategisches Ziel, die Abhängigkeit von einer kleinen Anzahl großer US-amerikanischer Cloud- und KI-Anbieter zu verringern. Es ist anzumerken, dass selbst eine verbindliche EU-Anforderung zur Datenstandortbindung grundsätzlich von einem Nicht-EU-Anbieter erfüllt werden kann, der eine geeignete regionale Bereitstellung anbietet – bei der Anforderung geht es darum, wo die Daten verarbeitet werden, und nicht automatisch darum, wo der Anbieter seinen Hauptsitz hat.

Ein nicht-europäisches Tool kann je nach konkretem Modell, Version und Anwendungsszenario weiterhin die pragmatische Wahl sein: Einige große Basismodelle werden regelmäßig aktualisiert, unterstützen sehr große Kontextfenster für die Verarbeitung langer Dokumente oder bieten eine leistungsstarke mehrsprachige Ausgabe in den wichtigsten Weltsprachen. Diese Eigenschaften variieren je nach Produkt und Version und lassen sich nicht zuverlässig anhand des Herkunftslandes des Anbieters bestimmen. Mehrere europäische Anbieter haben Leistungslücken verringert, indem sie eine in der EU angesiedelte Infrastruktur mit einem lizenzierten oder Open-Source-Modell kombinierten, anstatt ein vollständig proprietäres Modell von Grund auf neu zu trainieren – ein hybrider Ansatz, der dazu beitragen kann, die Anforderungen an den Datenstandort zu erfüllen, ohne die Modellfähigkeiten notwendigerweise einzuschränken, wobei die Ergebnisse jedoch weiterhin für den jeweiligen Anwendungsfall getestet werden müssen.

Eine realistische Einschätzung verzichtet darauf, einen universellen Gewinner zu küren. Unternehmen, die keinem regulatorischen Druck und keiner Vorschrift zur Datenlokalisierung unterliegen, sehen oft nur einen begrenzten praktischen Nutzen in einem Wechsel, wenn ihr aktuelles Tool die bestehenden Bestimmungen der Datenschutzbehörde bereits erfüllt. Unternehmen, die branchenspezifischen Beschaffungsvorschriften oder vertraglichen Speicherortverpflichtungen unterliegen, könnten hingegen feststellen, dass eine Verarbeitung in Europa faktisch erforderlich ist, unabhängig von der Funktionsgleichheit – dies sollte jedoch anhand der jeweils geltenden spezifischen Rechtsvorschrift, Ausschreibung, Kundenvereinbarung oder internen Richtlinie überprüft werden, anstatt von einem allgemeinen Ruf auszugehen. Teams, die CRM-Systeme zusammen mit Content-Tools evaluieren, stehen vor einem strukturell ähnlichen Entscheidungsprozess, der in dieser Übersicht über Europäische CRM-Alternativen für DSGVO-bewusste B2B-Teams.

Checkliste vor dem Wechsel des KI-Schreibtools

Ein Tool-Wechsel sollte als Beschaffungsentscheidung mit festgelegten Prüfschritten betrachtet werden und nicht als Einführung nach dem Prinzip „Versuch und Irrtum“. Die folgende Abfolge umfasst Prüfungen, durch die in der Regel bereits vor Vertragsunterzeichnung Compliance-Lücken aufgedeckt werden; die tatsächlichen Zeitrahmen für die einzelnen Schritte hängen eher vom Genehmigungsverfahren des jeweiligen Unternehmens und der Reaktionsfähigkeit des Anbieters ab als von einem festen Branchendurchschnitt.

1. Die vollständige Liste der Unterauftragsverarbeiter anfordern und schriftlich bestätigen, wo die Datenverarbeitung tatsächlich stattfindet, und nicht nur, dass der Anbieter EU-Kunden "unterstützt".
2. Erläuterung zur Verwendung von Standard-Trainingsdaten: Es sollte ausdrücklich abgefragt werden, ob der eingegebene Text standardmäßig zum Trainieren oder zur Feinabstimmung von Modellen verwendet wird und ob ein Opt-out vertraglich garantiert ist, anstatt dies als eine Option zu beschreiben, die sich ändern könnte.
3. Ermitteln Sie das zugrunde liegende Grundmodell und die gesamte Verarbeitungskette, die für den vertraglich vereinbarten Plan verwendet werden. Ein in den USA entwickeltes Modell kann in manchen Anwendungsfällen vollständig innerhalb der EU/des EWR betrieben werden, während in anderen Fällen die Konfiguration desselben Anbieters Anfragen an eine in den USA gehostete API weiterleiten kann – die Offenlegung dieser Tatsache in der DPA macht die Übermittlung transparent, ändert jedoch nichts daran, wo die Daten tatsächlich verarbeitet werden. Prüfen Sie den Plattformvertrag und die DPA direkt, da eine öffentliche, für Verbraucher bestimmte Datenschutzerklärung des zugrunde liegenden Modellanbieters möglicherweise nicht für eine Unternehmens- oder API-Vereinbarung gilt.
4. Aufbewahrungsfristen und Löschverfahren prüfen zu Entwürfen, Eingabeaufforderungen und generierten Ergebnissen, einschließlich der Frage, wie lange Daten nach einer Löschanforderung in den Sicherungskopien verbleiben.
5. Den Aufwand für die Integration abschätzen in bestehende Content-Workflows, einschließlich CMS-Plugins, Import von Styleguides und API-Authentifizierung. Der Zeitaufwand für eine vollständige redaktionelle Einführung hängt von der Teamgröße und den bestehenden Arbeitsabläufen ab; daher lässt er sich besser anhand der bisherigen Einführungserfahrungen des Unternehmens abschätzen als anhand einer pauschalen Zahl.
6. Fordern Sie aktuelle Nachweise zur Sicherheitsgewährleistung direkt beim Anbieter an, wie beispielsweise ein ISO/IEC 27001-Zertifikat oder einen SOC-2-Typ-II-Bericht (beachten Sie, dass es sich hierbei um unterschiedliche Arten von Nachweisen handelt – eine Zertifizierung im Gegensatz zu einem Prüfbericht), und prüfen Sie den Geltungsbereich, die abgedeckten Dienste, den Prüfungszeitraum und etwaige vermerkte Ausnahmen, anstatt sich auf ein auf der Marketing-Website angezeigtes Siegel zu verlassen.

Wird einer dieser sechs Schritte übersprungen, verlagert sich das Risiko von der Phase der Anbieterauswahl in die Betriebsphase, in der sich Lücken nur schwerer und kostspieliger beheben lassen.

Häufig gestellte Fragen zu europäischen KI-Schreibtools

Sind europäische KI-Schreibtools genauso leistungsfähig wie ChatGPT oder Jasper?

Die Leistungsfähigkeit hängt davon ab, welches zugrunde liegende Modell ein bestimmtes Tool verwendet, und nicht davon, wo der Anbieter seinen Hauptsitz hat. Anbieter, die ein eigenes oder ein lizenziertes, in der EU entwickeltes Modell einsetzen, können bei bestimmten Benchmarks hinter den größten US-amerikanischen Grundmodellen zurückbleiben, während Anbieter, die im Rahmen eines EU-Vertrags ein hybrides oder lizenziertes Nicht-EU-Modell nutzen, in Bezug auf die Ausgabequalität nahezu gleichwertige Ergebnisse erzielen können. Leistungsfähigkeit und geografische Herkunft sollten als getrennte Aspekte bewertet werden, idealerweise durch direkte Tests repräsentativer Aufgaben.

Gewährleistet die Verwendung eines europäischen Tools automatisch die Einhaltung der DSGVO?

Nein. Ein europäischer Firmensitz allein gewährleistet noch keine Einhaltung der DSGVO; die Einhaltung hängt von den konkreten Verarbeitungsvorgängen, der Rechtsgrundlage, der Datenverarbeitungsvereinbarung, dem tatsächlichen Serverstandort sowie davon ab, ob Unterauftragsverarbeiter außerhalb der EU/des EWR beteiligt sind und welche Schutzmaßnahmen gelten. Jeder dieser Punkte muss im Vertrag und in den zugrunde liegenden Unterlagen überprüft werden und darf nicht allein aufgrund des Standorts des Anbieters vorausgesetzt werden.

Kann ein europäisches KI-Schreibtool weiterhin mit einem in den USA entwickelten Sprachmodell arbeiten?

Ja, und das ist üblich. Ob diese Konfiguration eine strenge Anforderung hinsichtlich der ausschließlichen Speicherung in der EU/im EWR erfüllt, hängt davon ab, wie das Modell tatsächlich eingesetzt wird: Wenn es vollständig innerhalb der EU/des EWR betrieben wird, kann die Speicherung in der EU/im EWR gewährleistet werden; werden jedoch Anfragen an eine in den USA gehostete API gesendet, ist eine strenge Anforderung der ausschließlichen Speicherung in der EU in der Regel nicht erfüllt, nur weil die Datenübermittlung in der Datenschutzvereinbarung (DPA) offengelegt wird. Die gesamte Verarbeitungskette muss anhand der jeweils geltenden spezifischen Ansässigkeitsanforderungen überprüft werden.

Wie viel Zeit benötigt ein mittelgroßes Content-Team realistisch gesehen für die Umstellung auf die neuen Tools?

Dies hängt stark von der Sensibilität der Unternehmensdaten, den internen Genehmigungsverfahren, den Integrationen und der Vollständigkeit der Dokumentation des Anbieters ab. Ein gut dokumentierter Wechsel mit geringem Risiko kann von der ersten Bewertung bis zur Einführung innerhalb weniger Wochen abgeschlossen werden, während eine komplexere Prüfung, die Vertragsverhandlungen oder eine fragmentierte Kette von Unterauftragsverarbeitern umfasst, erheblich länger dauern kann. Teams sollten ihren eigenen Zeitplan eher anhand früherer Erfahrungen mit der Einbindung von Anbietern einschätzen als anhand allgemeiner Branchenangaben.

Die richtige Entscheidung trifft man anhand von Kriterien, nicht anhand von Etiketten

Der Standort des Unternehmenssitzes allein sagt nichts über die tatsächliche Einhaltung der Vorschriften aus; der Ort der Datenverarbeitung und die Herkunft des zugrunde liegenden Sprachmodells sind bei jeder seriösen Bewertung von mindestens gleicher Bedeutung. Ein als "europäisch" beworbenes Tool kann Eingaben dennoch über ein Nicht-EU-Grundmodell weiterleiten, und ein Tool mit einer Muttergesellschaft außerhalb der EU kann EU-Kundendaten dennoch ausschließlich in Rechenzentren innerhalb der EU/des EWR im Rahmen einer dokumentierten Datenschutzvereinbarung (DPA) verarbeiten. Zudem gibt es keine einheitliche, vereinbarte Definition dessen, was "europäisch" in diesem Zusammenhang bedeutet; daher lohnt es sich, ausdrücklich zu klären, ob sich die Bezeichnung auf den Hauptsitz, den Ort der Datenspeicherung oder die Herkunft des Modells bezieht.

Der nächste praktische Schritt für ein Content-Team, das einen Wechsel in Betracht zieht, ist ganz einfach: Fordern Sie die Liste der Unterauftragsverarbeiter an, klären Sie die gesamte Verarbeitungskette für das verwendete Modell und holen Sie vor der Unterzeichnung von jedem in die engere Wahl gekommenen Anbieter eine schriftliche Erklärung zur Verwendung der Trainingsdaten ein – wobei Marketingformulierungen wie "DSGVO-konform" eher als Ausgangspunkt für die Überprüfung und nicht als endgültige Feststellung zu betrachten sind.