Ihre Prompts gehören nicht nach Virginia — das Argument für EU-souveräne Inferenz

Überlegen Sie, was Ihre Organisation tatsächlich an eine LLM-API schickt. Vertragsentwürfe vor der Unterschrift. Patientennotizen, die zusammengefasst werden. Kundenbeschwerden, Quellcode, Vorstandsmemos, Personalfälle. Prompts sind keine Telemetrie — sie sind ein Live-Feed der sensibelsten Texte Ihres Unternehmens, in JSON serialisiert und in die Region verschifft, in der Ihr Anbieter terminiert. Für die meisten europäischen Unternehmen ist das Northern Virginia.

Das sollte Sie mehr beunruhigen, als es das tut.

Zwei Gesetze, die sich nicht beide befolgen lassen

Das strukturelle Problem kennt jeder Datenschutzbeauftragte, und es wird trotzdem routinemäßig weggewunken. Der US-amerikanische CLOUD Act verpflichtet US-Anbieter, Daten in ihrem Besitz, Gewahrsam oder ihrer Kontrolle herauszugeben — unabhängig davon, wo sie gespeichert sind. Die Frankfurt-Region eines US-Inferenzanbieters ist eine Beruhigungsdecke: Die Daten liegen in Deutschland, die rechtliche Pflicht sitzt in Washington. Die DSGVO wiederum verbietet genau diese Art der Offenlegung an Drittstaatsbehörden außerhalb ordentlicher Rechtswege (Artikel 48).

Ein US-kontrollierter Auftragsverarbeiter mit personenbezogenen EU-Daten lebt dauerhaft zwischen diesen beiden Pflichten. Wenn sie kollidieren, tragen Sie — der Verantwortliche — das Compliance-Risiko.

Der Gerichtshof hat uns bereits gesagt, wie das endet. Schrems II (2020) erklärte Privacy Shield für ungültig, gerade weil US-Überwachungsrecht EU-Betroffenen keinen wirksamen Rechtsschutz bietet. Das Nachfolge-Framework steht aus denselben Gründen unter demselben rechtlichen Beschuss, und jede Rechtsabteilung weiß: Ein Übermittlungsmechanismus, der zweimal gekippt wurde, ist kein Fundament — er ist ein Countdown. Standardvertragsklauseln heilen das auch nicht: Vertragliche Zusagen können kein Gesetz aushebeln, das den Anbieter zu Hause bindet.

Prompts erhöhen den Einsatz weiter. Anders als ein Datenbank-Backup ist ein Prompt notwendigerweise Klartext — die GPU muss ihn lesen, um zu antworten. Sie können sich nicht herausverschlüsseln; Sie können nur wählen, durch wessen Jurisdiktion der Klartext läuft.

Was „EU-souverän" hier bedeutet — präzise

„Souverän" ist zu einem Aufkleber geworden, den US-Hyperscaler auf eine Region kleben. Wir verwenden das Wort für etwas Überprüfbares. Auf ElephantPools EU-Souverän-Stufe gilt:

• Ausschließlich attestierte EU-Maschinen. Ihre Anfragen werden nur an Maschinen geroutet, die physisch in der EU stehen — attestiert oder unter direktem Vertrag — und nie an den allgemeinen Pool. Das Routing erzwingt der Scheduler, nicht ein Versprechen in einem PDF.
• Keine Übermittlungen, weil es nichts zu übermitteln gibt. Prompts und Antworten werden im RAM verarbeitet, nie auf Platte geschrieben, nie fürs Training verwendet und verlassen nie EU-Territorium. Wo keine Übermittlung stattfindet, braucht es keinen Übermittlungsmechanismus.
• Europäischer Betreiber, europäisches Recht. Das Netzwerk betreibt De Buck Technologies, ein belgisches Unternehmen, unter belgischer Jurisdiktion. Keine US-Mutter, keine CLOUD-Act-Exposition — per Konstruktion.
• Eine Standard-AVV, bereit für Ihre Artikel-28-Checkliste und Ihr nächstes Audit — keine Einzelverhandlung.

Und weil alles auf Modellen mit offenen Gewichten läuft — Qwen3.8, GLM-5.2, DeepSeek V4-Flash und Co. — sitzt auch kein Blackbox-Modellanbieter oberhalb Ihrer Daten. Sie können genau inspizieren, was Ihren Text verarbeitet.

Wer das wirklich braucht

Wenn Sie einen Hobby-Chatbot bauen: ehrlich gesagt, betreiben Sie ihn, wo Sie wollen. EU-souveräne Inferenz ist für die Workloads, bei denen „wahrscheinlich in Ordnung" keine Antwort ist:

• Gesundheitswesen — klinische Notizen und Patientenkommunikation sind besondere Kategorien nach Artikel 9; ein US-Auftragsverarbeiter ist ein Prüfungsbefund, der auf seinen Auditor wartet.
• Recht — das Anwaltsgeheimnis überlebt den Kontakt mit einem vorladbaren Dritten in einer anderen Jurisdiktion nicht.
• Finanzen — DORA und nationale Aufsichten fragen zunehmend, wo genau die Inferenz stattfindet, nicht nur, wo Daten „gespeichert" sind.
• Öffentlicher Sektor — mehrere Mitgliedstaaten schließen Nicht-EU-Auftragsverarbeiter für Bürgerdaten inzwischen schlicht aus. Das ist kein Trend zum Absichern; das ist Vergaberealität.

Souveränität ohne Souveränitätsaufschlag

Der übliche Einwand ist der Preis: Europäische Souveräns-Clouds verlangen einen saftigen Aufschlag für die Flagge. ElephantPools verteilter Pool dreht das um — effiziente Community- und Flottenhardware quer durch Europa, ein 80/20-Split statt Rechenzentrumsmargen, und Token-Preise, die die Souveräns-Clouds bei etwa der Hälfte ihrer Tarife unterbieten. Compliance und Kosten zeigen ausnahmsweise in dieselbe Richtung.

Ihre Prompts sind die ehrlichste Aufzeichnung Ihres Geschäfts, die es gibt. Halten Sie sie unter einem Rechtssystem, das Ihnen Rechenschaft schuldet.