SOC 2: welche europäischen KI-Anbieter es nachweisen
Kurz: 1 von 21 geprüften Anbietern weist SOC 2 mit verlinkter Primärquelle nach: Mistral AI (La Plateforme) (FR). 11 berufen sich darauf, ohne einen prüfbaren Nachweis zugänglich zu machen: Black Forest Labs (DE), DeepL (DE), Exoscale (CH), Gcore (LU), GreenPT (NL), Nebius (Token Factory) (NL), Nordference (EE), OVHcloud (AI Endpoints) (FR), Requesty (GB), STACKIT (DE), T-Systems / Open Telekom Cloud (AI Foundation Services) (DE). Bei 9 Anbietern haben wir keine belastbare Angabe dazu gefunden.
| Anbieter | Land | Angabe im Original | Status | Beleg | Anmerkung |
|---|---|---|---|---|---|
| Mistral AI (La Plateforme) | FR | SOC 2 Type II | belegt | Quelle | Letter of Attestation im Trust Center trust.mistral.ai ohne Anmeldung herunterladbar (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit 08.10.2026), datiert 18.12.2025, 'Unqualified Opinion': 'Prescient Assurance LLC confirms SOC 2 Type 2 compliance by Mistral AI in accordance with the AICPA's Trust Service Criteria for Security.' Prüfzeitraum 'August 15, 2025 to November 15, 2025'. Belegt ist nur das Kriterium Security (nicht Availability, Confidentiality o. a.); der vollständige Bericht mit Systembeschreibung ist nicht öffentlich. |
| Black Forest Labs | DE | SOC 2 Type II | beansprucht | Quelle | Auf der Enterprise-Seite genannt; Trust-Center trust.bfl.ai läuft bei Vanta (JS-Seite, Inhalt/Auditbericht ohne Login ungeprüft, 08.10.2026) |
| DeepL | DE | SOC 2 Type II | beansprucht | Quelle | Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Der aktuelle Bericht (01.01.–30.06.2025) ist im Trust Center zugriffsbeschränkt; öffentlich ist nur das Prüfurteil der HKKG für 01.10.2022–30.09.2023 (verlinkt auf deepl.com/en/pro-data-security, PDF am 09.10.2026 erneut abgerufen), das den heutigen Stand nicht belegt. Berichtszeitraum 01.01.–30.06.2025; auch auf deepl.com/en/pro-data-security beworben, Bericht als Download. Stand 08.10.2026 (wie 04.10.) kein neuerer Bericht im Trust Center; ein Bridge Letter (Erklärung der DeepL-Geschäftsleitung, keine Prüfung) deckt 01.07.2025–30.07.2026 und kündigt das nächste Audit für Kalenderwoche 24/2026 an. Für die Zeit nach dem 30.07.2026 liegt öffentlich weder Bericht noch Bridge Letter vor |
| Exoscale | CH | SOC 2 Type II | beansprucht | Quelle | Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Bericht nicht öffentlich; exoscale.com/compliance/soc-2/ (Abruf 09.10.2026): 'available for download via the Compliance Center to customers and partners. For more details, or to request the report under NDA, please contact our Compliance Team.' |
| Gcore | LU | SOC 2 Type 1 | beansprucht | Quelle | Das Vanta-Trust-Center trustcentre.gcore.com nennt unter 'Compliance' ‚SOC 2 Type 1‘ und bietet einen ‚SOC 2 type 1 report‘ an, nur nach Zugangsanfrage (am 09.10.2026 im Browser gelesen, gleich wie am 08.10.2026; ohne Browser nicht lesbar, da JS-Seite). Kein Bericht und kein Prüfer öffentlich einsehbar. Type 1 bewertet nur die Ausgestaltung der Kontrollen zu einem Stichtag, nicht ihre Wirksamkeit über einen Zeitraum (Type 2). gcore.com/infrastructure nennt SOC 2 nicht. |
| GreenPT | NL | SOC 2 Type II | beansprucht | Quelle | greenpt.com/privacy (Abschnitt „Security Certifications“, am 05.10. und 08.10.2026 gleich): „Our infrastructure maintains ISO 27001 and SOC 2 Type II certifications“. Gemeint ist laut Wortlaut die Infrastruktur, nicht GreenPT BV; kein Bericht verlinkt. Die Seite „Security & Compliance“ von Scaleway nennt am 08.10.2026 kein SOC 2; für Verda ungeklärt. Wessen SOC-2-Bericht gemeint ist: ungeklärt |
| Nebius (Token Factory) | NL | SOC 2 Type II | beansprucht | Quelle | Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Bericht nur nach NDA; nebius.com/trust-center/soc-2 (Abruf 09.10.2026): 'a non-disclosure agreement (NDA) is required to access the Nebius SOC 2 Type II report'. Prüfer Deloitte und Umfang nur laut Trust Center. Inkl. HIPAA-Mapping; zudem SOC 3 |
| Nordference | EE | SOC 2 Type II | beansprucht | Quelle | Nur als Schlagwort in der Branchenkachel 'Finance' auf der Startseite ('DORA', 'SOC 2 Type II', 'Audit Trails'); kein Report auffindbar (05.10.2026). |
| OVHcloud (AI Endpoints) | FR | SOC 1/2/3 | beansprucht | Quelle | Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Die SOC-Berichte sind nicht öffentlich; belegt war nur die Nennung im Compliance-Portal des Anbieters. SSAE 16/ISAE 3402 Type 2 im Compliance-Portal gelistet. Neu auf der Produktseite AI Endpoints (08.10.2026, nicht in der Archivkopie vom 05.10.): 'ISO 27001, SOC 2 Type II, and HDS (health data) certified service'; damit ordnet der Anbieter die Zertifizierung ausdrücklich dem Dienst AI Endpoints zu, ein Bericht oder Geltungsbereich-Dokument dazu ist nicht verlinkt (Archivkopie web.archive.org/web/20261008040757). |
| Requesty | GB | SOC 2 Type II | beansprucht | Quelle | Laut Security-Seite (Tabelle 'compliance / status September 2026', abgerufen 08.10.2026) 'SOC 2 Type II programme in progress', noch nicht erteilt, kein Zieltermin; Status verweist auf trust.requesty.ai (lädt nur per JavaScript, ohne Browser nicht lesbar) |
| STACKIT | DE | SOC 2 | beansprucht | Quelle | Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Kein Bericht veröffentlicht; die Zertifikatsseite (Abruf 09.10.2026) verlinkt keinen ISAE-3000-/SOC-2-Bericht. ISAE 3000 (SOC 2) und ISAE 3402 begleitend zum C5-Testat. |
| T-Systems / Open Telekom Cloud (AI Foundation Services) | DE | SOC 2 | beansprucht | Quelle | Nur beansprucht (bis 09.10.2026 hier „belegt“, Strenge-Runde Frage 217): Kein SOC-1- oder SOC-2-Bericht öffentlich; der auf der Zertifikatsseite verlinkte 'TS OTC SOC 3 Report.pdf' ist kennwortgeschützt und ließ sich am 09.10.2026 nicht öffnen. SOC 1 Type II, SOC 2 Type II und SOC 3. |
| EUrouter | NL | SOC 2 | unbelegt | – | Am 05.10.2026 auf denselben Seiten wie ISO 27001 gesucht: nicht erwähnt. |
| Infomaniak | CH | SOC 2 | unbelegt | Quelle | Kein SOC-2-Bericht: die Zertifikatsseite nennt am 04.10.2026 ISO 27001, 9001, 14001, 50001, die Swiss-Labels und B Corp, SOC 2 nicht |
| Lyceum Technology | DE | SOC 2 | unbelegt | Quelle | Laut eigener Aussage aktuell nicht zertifiziert |
| Opper AI | SE | SOC 2 | unbelegt | – | Am 05.10.2026 gesucht auf Startseite, Security Overview, AI-Compliance-Seite, Preisseite, DPA, AGB, Datenschutzerklärung und Trust Center: nicht erwähnt. Im Trust Center steht 'SOC 2' nur in der Fußzeile als Werbung des Werkzeug-Anbieters, nicht als Angabe über Opper. |
Keine Angabe gefunden (5)
Aleph Alpha, Hetzner, IONOS (AI Model Hub), Regolo.ai, Scaleway
„Angabe im Original“ ist der Wortlaut, den wir beim Anbieter vorgefunden haben. Dieselbe Norm wird unterschiedlich benannt. Für diese Übersicht fassen wir die Schreibweisen zusammen, ohne den Originaltext zu verändern.