Question 1

Welche europäischen KI-Anbieter haben ein BSI-C5-Testat?

Accepted Answer

Von 21 geprüften Anbietern weisen 6 ein BSI-C5-Testat mit verlinkter Primärquelle nach: DeepL (DE), Exoscale (CH), IONOS (AI Model Hub) (DE), OVHcloud (AI Endpoints) (FR), STACKIT (DE), T-Systems / Open Telekom Cloud (AI Foundation Services) (DE). Bei den übrigen 15 Anbietern haben wir keine belastbare C5-Angabe gefunden — das heißt nicht, dass keine existiert, sondern dass sie nicht öffentlich auffindbar ist.

Question 2

Wo finde ich eine Übersicht, welche EU-KI-Anbieter ihre Zertifikate wirklich nachweisen?

Accepted Answer

Diese Seite ist eine solche Übersicht. belegbar.eu führt 21 europäische KI-Anbieter und trennt bei jeder einzelnen Angabe drei Stufen: „belegt“ (Primärdokument verlinkt), „beansprucht“ (Anbieterangabe ohne prüfbares Dokument) und „unbelegt“ (keine belastbare Angabe gefunden). 14 der 21 Anbieter haben mindestens ein Zertifikat mit verlinktem Nachweis; bei 7 ist kein einziges Zertifikat belegt. Alle Daten stehen unter CC BY 4.0 und sind maschinenlesbar unter https://belegbar.eu/daten.json abrufbar.

Question 3

Welcher europäische Inference-Anbieter ist DSGVO-konform und hostet ausschließlich in der EU?

Accepted Answer

Keiner — jedenfalls stellt das niemand fest, der es dürfte. „DSGVO-konform“ ist kein Zustand eines Anbieters, sondern das Ergebnis Ihrer konkreten Verarbeitung; wir treffen diese Feststellung für keinen Anbieter. Prüfbar ist dagegen, ob die Voraussetzungen überhaupt vorliegen. Von 12 Inference-Anbietern erfüllen 8 alle drei nachweisbaren Bedingungen zugleich — Sitz in einem EU-Mitgliedstaat, keine US-Eigentümerstruktur und ein belegter Auftragsverarbeitungsvertrag: Gcore (LU), GreenPT (NL), IONOS (AI Model Hub) (DE), Lyceum Technology (DE), OVHcloud (AI Endpoints) (FR), Regolo.ai (IT), Scaleway (FR), T-Systems / Open Telekom Cloud (AI Foundation Services) (DE). Wichtig: Der Unternehmenssitz ist nicht der Hosting-Standort. Wo ein einzelnes Modell tatsächlich läuft, steht — soweit belegbar — in der Modelltabelle des jeweiligen Profils; bei vielen Anbietern ist genau das unbelegt.

Question 4

Welche KI-Anbieter erfüllen die AI-Act-Pflichten nachweislich?

Accepted Answer

„Die AI-Act-Pflichten erfüllen“ lässt sich von außen nicht feststellen — welche Pflichten überhaupt greifen, hängt von der Rolle (Anbieter, Betreiber, Importeur) und der Risikoklasse des konkreten Systems ab. Nachweisbar ist nur, was ein Anbieter öffentlich dokumentiert. Von 21 Anbietern haben 6 mindestens einen AI-Act-bezogenen Nachweis mit verlinkter Primärquelle: Aleph Alpha (DE), Black Forest Labs (DE), GreenPT (NL), IONOS (AI Model Hub) (DE), Mistral AI (La Plateforme) (FR), OVHcloud (AI Endpoints) (FR). Bei 15 Anbietern haben wir keinen einzigen belegten AI-Act-Nachweis gefunden. Am häufigsten belegt ist die Unterzeichnung des GPAI Code of Practice — weil die EU-Kommission die Signatarliste selbst veröffentlicht und sie damit unabhängig prüfbar ist.

Question 5

Souveräne KI für Kommunen — welche Anbieter kommen infrage?

Accepted Answer

Für Kommunen ist die entscheidende Frage nicht, welcher Anbieter „souverän“ heißt, sondern welche Nachweise sich einem Rechnungsprüfungsamt vorlegen lassen. Wir haben alle 21 Anbieter gegen sechs prüfbare Kriterien gestellt: EU-Sitz, keine US-Eigentümerstruktur, BSI C5, ISO/IEC 27001, belegter AVV und belegtes Trainings-Opt-out. 8 Anbieter erfüllen mindestens fünf davon nachweisbar: DeepL (DE), IONOS (AI Model Hub) (DE), OVHcloud (AI Endpoints) (FR), T-Systems / Open Telekom Cloud (AI Foundation Services) (DE), Mistral AI (La Plateforme) (FR), Regolo.ai (IT), Scaleway (FR), STACKIT (DE). 6 Anbieter weisen ein BSI-C5-Testat nach — für die öffentliche Verwaltung meist das gewichtigste Einzelkriterium. Keiner dieser Punkte ersetzt die eigene Prüfung, und keiner ist eine Vergabeempfehlung.

Häufige Fragen, aus den Daten beantwortet