Einen Request in der EU halten

Manche Arbeit darf die Europäische Union nicht verlassen. Wenn das Ihre Lage ist, nützt Ihnen ein Satz auf unserer Website wenig — Sie brauchen eine Eigenschaft des Requests. Es ist eine.

Sie anfordern

Ein Header. Alles andere bleibt ein gewöhnlicher OpenAI-kompatibler Aufruf:

curl https://app.elephantpool.ai/api/gateway/v1/chat/completions   -H "Authorization: Bearer $ELEPHANTPOOL_API_KEY"   -H "X-ElephantPool-Require: region:eu"   -H "Content-Type: application/json"   -d '{"model":"qwen3.8-27b","messages":[{"role":"user","content":"Hallo"}]}'

Ein Header statt eines Body-Felds, weil jede OpenAI-Client-Bibliothek Standard-Header erlaubt und fast keine ein unbekanntes Body-Feld durch ihre Typprüfungen lässt. Wer das JSON von Hand schreibt: "require": "region:eu" geht auch.

Die Anforderung ist ein präfix:wert-Tag. region:eu ist die, die die meisten wollen; country:be engt auf ein Land ein, und gpu:nvidia pinnt einen Hersteller, wenn ein Kernel es verlangt.

Was dann passiert

Der Scheduler gibt den Job nur einer Maschine, deren eigene Tags die Anforderung decken. Nicht „bevorzugt" — nur. Es gibt keinen Rückfall auf einen fast-passenden Host, wenn die Warteschlange voll ist, denn ein Rückfall machte das Ganze dekorativ.

Kann nichts in der Flotte sie erfüllen, bekommen Sie sofort ein 503, das die Anforderung nennt — statt eines Requests, der die Uhr absitzt und einen Timeout meldet. Eine falsche Diagnose zwei Minuten später ist schlimmer als eine richtige sofort.

Wie der Standort einer Maschine ermittelt wird

Aus der Adresse, von der sie sich verbindet, auf unserer Seite gegen eine lokale Länderdatenbank aufgelöst.

Die Maschine wird nie gefragt. Das ist der springende Punkt: ein Host, der sein eigenes region:eu deklarieren könnte, machte die Garantie wertlos — also sendet mahout kein Land, und es gibt kein Feld dafür. Der Tag wird serverseitig abgeleitet, oder er existiert nicht.

Es scheitert geschlossen. Keine Datenbank, eine nicht auflösbare Adresse, ein unbekanntes Land — alles ergibt keinen Regions-Tag, und eine Maschine ohne Tag bekommt nie Arbeit, die einen verlangt. Eine unbewiesene Behauptung ist weniger wert als keine.

Die Adresse behalten wir auch nicht. Eine IP ist ein personenbezogenes Datum, und „wir behalten nicht, was wir nicht brauchen" muss für Hosts wie für Kunden gelten. Gespeichert werden das Land und ein gesalzener Hash, der nur je mit sich selbst verglichen wird — damit eine umgezogene Maschine auffällt und neu platziert wird. Die Auflösung ist eine lokale Datei, kein Drittanbieterdienst: die Adresse jedes Hosts an eine Geolokations-API zu schicken, würde genau das leaken, was wir nicht zu sammeln versprechen.

Was das beweist und was nicht

• Es beweist, dass die Maschine, die Ihre Tokens produziert hat, sich beim Verbinden mit einer Adresse eines EU- oder EWR-Landes präsentierte, und dass der Scheduler sich weigerte, Ihren Job anderswohin zu routen.
• Es beweist nicht den physischen Standort der Hardware. Adress-Geolokation ist Indiz, nicht Attestierung, und ein entschlossener Host könnte durch ein EU-Netz routen.

Hardware-Attestierung — eine signierte Aussage des Sicherheitsprozessors der Maschine — würde die Lücke schließen; sie steht auf der Roadmap, nicht im Produkt. Bis sie kommt, nennen wir dies adressbasierte Platzierung, denn das ist es.

Zwei Dinge sind schon jetzt stärker als die Standortaussage und wiegen in den meisten Compliance-Fragen schwerer: die Kontrollebene läuft in der EU auf Hardware im Eigentum dieser Firma, ohne US-Mutter und damit ohne CLOUD-Act-Zugriff; und Prompts werden nirgends aufbewahrt, was die Frage nach ihrem kurzen Verarbeitungsort viel kleiner macht. Siehe Sicherheit und Datenschutz.

Wo Hosts das sehen

Die Seite jeder Maschine im Dashboard zeigt ihre Platzierung, gelesen aus denselben Tags, auf die der Scheduler matcht — nie aus einem hübscheren Feld, das dem Routing widersprechen könnte. Eine Maschine ohne ermittelten Standort sagt das, und erklärt, dass sie trotzdem gewöhnliche Arbeit nimmt.