Oft ja, aber die Antwort hängt von vier Entscheidungen ab, nicht vom Namen des Modells: wo die Daten gespeichert werden, wo die Inferenz läuft, wer als Auftragsverarbeiter handelt und ob personenbezogene Daten auf dem Weg eine Grenze überqueren. Treffen Sie diese Entscheidungen pro Arbeitsablauf, halten Sie sie schriftlich fest und lassen Sie sie von Ihrer Rechtsberatung bestätigen. Dies ist keine Rechtsberatung.
#Das Wichtigste in Kürze
- Der Name des Modells entscheidet nicht über die Rechtskonformität; Speicherung, Inferenz, Auftragsverarbeiter und Übermittlung tun es.
- Der Ort der Inferenz zählt genauso viel wie der Speicherort, denn jeder Modellaufruf verarbeitet die Daten dort, wo das Modell läuft.
- Welche Modelle ein Anbieter in welchem Land anbietet, ändert sich oft; lassen Sie sich die aktuelle Liste der Regionen daher schriftlich und mit Datum geben.
- Wählen Sie zuerst das Hosting und dann das Modell, sonst darf der Pilot womöglich nie in Produktion gehen.
- Nichts davon ist Rechtsberatung: Ihre Rechtsberatung bestätigt die Rechtsgrundlage, bevor Kundendaten verwendet werden.
#Was regeln die Datenschutzgesetze der VAE und Saudi-Arabiens?
In den VAE regelt das Bundesgesetzesdekret Nr. 45 von 2021 zum Schutz personenbezogener Daten den Umgang mit personenbezogenen Daten (Regierungsportal der VAE). In Saudi-Arabien ist das Gesetz zum Schutz personenbezogener Daten (PDPL) seit dem 14. September 2024 vollständig durchsetzbar, und SDAIA ist die Aufsichtsbehörde (Clyde & Co, September 2024).
Beide Gesetze regeln, wie personenbezogene Daten verarbeitet und übermittelt werden. Was sie für Ihren konkreten Arbeitsablauf verlangen und wie sie einen Modellaufruf aus einem anderen Land behandeln, sind Fragen für Ihre Rechtsberatung. Dieser Beitrag gibt Ihnen die Entscheidungen an die Hand, die Sie in dieses Gespräch mitbringen. Er ist keine Rechtsberatung, lassen Sie also jeden Punkt rechtlich bestätigen.
#Warum zählt der Ort der Inferenz und nicht nur der Speicherort?
Viele Teams prüfen, wo die Datenbank steht, und hören dann auf. Doch jedes Mal, wenn ein Arbeitsablauf einen Kundendatensatz an ein Modell schickt, wird dieser Datensatz dort verarbeitet, wo das Modell läuft. Liegt die Speicherung im Inland und findet die Inferenz in einer anderen Region statt, sind personenbezogene Daten trotzdem gereist. Lassen Sie sich die Inferenzregion vom Anbieter schriftlich geben, für jedes Modell, mit dem Datum der Bestätigung.
Dasselbe gilt für Protokolle, Prompt-Caches, Kopien für Auswertungen und Support-Zugriffe des Anbieters. Jede dieser Stellen ist ein Ort, an dem Kundendaten liegen oder gelesen werden können. Führen Sie sie gleichrangig neben der Hauptdatenbank auf, nicht erst danach.
#Welche KI-Modelle lassen sich in den VAE oder in Saudi-Arabien hosten?
Wir nennen hier kein Modell und kein Land, denn die Verfügbarkeit nach Region legen die einzelnen Cloud-Anbieter und Modellhersteller fest, und sie ändert sich mit neuen Versionen. Fragen Sie den Anbieter nach seiner aktuellen Liste der Regionen für genau die Modellversion, die Sie nutzen wollen. Lassen Sie sie sich schriftlich geben, notieren Sie das Datum und prüfen Sie sie vor jedem neuen Arbeitsablauf erneut.
Zu den Optionen, die sich vergleichen lassen, gehören meist ein Modell, das ein Cloud-Anbieter in einer inländischen Region bereitstellt, ein Open-Weight-Modell auf einer Infrastruktur, die Sie kontrollieren, und die eigene API eines Herstellers. Jede beantwortet die Entscheidungen unten anders, vergleichen Sie sie also anhand dieser Entscheidungen statt anhand von Benchmark-Werten.
#Was sollten Sie für jeden Arbeitsablauf festhalten?
- Speicherung: wo die Quelldaten, die Protokolle und alle Kopien liegen und wer sie lesen kann.
- Inferenz: die Region, in der das Modell für diesen Arbeitsablauf läuft, vom Anbieter schriftlich und mit Datum bestätigt.
- Auftragsverarbeiter: wer die Daten in Ihrem Auftrag verarbeitet, der Modellhersteller, der Cloud-Anbieter oder beide, und was der Vertrag dazu sagt.
- Grenzüberschreitende Übermittlung: ob ein Schritt personenbezogene Daten ins Ausland schickt und welche Rechtsgrundlage Ihre Rechtsberatung dafür bestätigt hat.
- Datenminimierung: welche Felder das Modell tatsächlich braucht. Namen, IDs und Kontonummern lassen sich vor dem Aufruf oft maskieren.
Die Frage nach dem Auftragsverarbeiter haben wir ausführlich in Wer ist Auftragsverarbeiter, wenn KI in Ihrer Cloud läuft? behandelt. Behandeln Sie Kundentexte außerdem als nicht vertrauenswürdige Eingaben: Prompt Injection ist das erste Risiko auf der Liste der OWASP Top 10 for LLM Applications.
We are
Stennir hält Speicherung, Inferenz, Auftragsverarbeiter und Übermittlung für jeden Arbeitsablauf fest, hostet dort, wo Ihre Vorgaben es verlangen, und überlässt Ihnen Konten, Daten und Ausschalter.
We aren't
Stennir ist keine Anwaltskanzlei und gibt keine Rechtsgutachten ab. Ihre Rechtsberatung bestätigt die Rechtsgrundlage, bevor etwas mit Kundendaten läuft.
#Lässt sich ein Arbeitsablauf automatisieren, ohne Daten in eine US-Cloud zu verlagern?
Oft ja, indem Sie das Hosting vor dem Modell wählen. Beginnen Sie mit dem Arbeitsablauf und den Daten, die er berührt, wählen Sie eine Bereitstellung, die Speicherung und Inferenz dort hält, wo Ihre Vorgaben es verlangen, und wählen Sie dann ein Modell, das dort verfügbar ist. Wer zuerst das Modell wählt, landet bei einem Piloten, den die Rechtsabteilung nicht für die Produktion freigibt.
Käufer stellen diese Frage auch auf Arabisch: «هل يجوز استخدام ChatGPT مع بيانات العملاء في السعودية حسب نظام حماية البيانات الشخصية؟». Der Rahmen ist derselbe, und Stennir arbeitet ihn mit Ihrem Team auf Arabisch und Englisch durch.
#Was sollte eine Compliance- oder Operations-Leitung als Nächstes tun?
Wählen Sie einen Arbeitsablauf, der Kundendaten berührt, und füllen Sie die fünf Entscheidungen oben aus. Bringen Sie das Blatt zu Ihrer Rechtsberatung. Die KI-Beratung nennt in ihrer empfohlenen Umsetzung die Hosting-Region, und die KI-Umsetzung betreibt den Arbeitsablauf dort, wo Ihre Vorgaben es verlangen. Siehe KI für Compliance, machen Sie die kostenlose Bereitschaftsprüfung oder buchen Sie ein 30-minütiges Gespräch.
#Häufige Fragen
Ist es in Saudi-Arabien zulässig, ChatGPT mit Kundendaten zu nutzen?
Das hängt davon ab, wie die Daten verarbeitet, gespeichert und übermittelt werden, nicht vom Produktnamen. Das PDPL wird von SDAIA durchgesetzt, und Ihre Rechtsberatung muss die Rechtsgrundlage für jeden Arbeitsablauf bestätigen. Dies ist keine Rechtsberatung. Bringen Sie Ihrer Rechtsberatung die Entscheidungen zu Speicherung, Inferenz, Auftragsverarbeiter und Übermittlung für den konkreten Einsatz mit.
Wo bleiben unsere Daten?
Dort, wo Sie es entscheiden, Arbeitsablauf für Arbeitsablauf. Stennir hält die Speicherregion, die Inferenzregion und jeden Ort fest, an dem eine Kopie liegen kann, etwa Protokolle und Caches. Die Konten laufen auf Ihren Namen, sodass Sie die Einstellungen selbst einsehen und ändern oder schließen können, ohne uns zu fragen.
Was brauchen Sie von uns für den Start?
Den Arbeitsablauf, an den Sie denken, die Felder, die er berührt, Ihre aktuellen Cloud- und Anbieterverträge und eine Ansprechperson in Recht oder Compliance. Damit lässt sich die Hosting-Entscheidung treffen, bevor ein Modell gewählt wird, und genau diese Reihenfolge sorgt dafür, dass ein Pilot später in Produktion gehen kann.
Was könnte schiefgehen?
Der typische Fehler: Die Speicherung wird geprüft, die Inferenz übersehen. Die Datenbank bleibt im Inland, während jeder Modellaufruf woanders hingeht. Weitere Fehler sind Protokolle in einer anderen Region, Support-Mitarbeitende des Anbieters, die Prompts lesen können, und ein Anbieter, der seine Liste der Regionen ändert, nachdem Sie unterschrieben haben. Prüfen Sie die Liste vor jedem neuen Arbeitsablauf erneut.
