Ospitare modelli di IA in Germania, conformi al GDPR

Il più importante in breve

Tre opzioni: hardware propria, server GPU in affitto, servizio di modello in Germania.
Esempi: Hetzner (server GPU), STACKIT e IONOS (servizi di modello).
Obbligatorio: AVV, concetto di protocollo e dei diritti, documentazione.
Sede tedesca semplifica, ma non sostituisce una verifica della protezione dei dati.

I modelli di IA possono essere su tre modi per operare in conformità al GDPR in Germania: su hardware propria, su server GPU a noleggio in data center tedeschi oppure tramite Servizi modello di fornitori cloud tedeschi come STACKIT o IONOS. La soluzione più adatta dipende dal volume dei dati, dal numero di utenti e dal proprio know-how IT. In tutti i casi, luogo di trattamento, contratto di trattamento dei dati, registrazione e concetto di accesso determinano la conformità alla protezione dei dati.

Perché hosting in Germania?

Molti servizi di IA cloud trattano i dati negli USA o a livello globale. Ciò è in linea di principio possibile con contratti e con il quadro UE-USA per la protezione dei dati, ma comporta un ulteriore onere di verifica e per molte aziende resta un rischio residuo – ad esempio a causa dell’accesso delle autorità statunitensi ai dati dei fornitori USA. In Elaborazione in Germania da parte di un fornitore europeo elimina in larga misura la problematica dei paesi terzi. Per i dati sanitari, sociali e dei clienti è spesso la scelta più ovvia.

Server con spie di stato nel data center

Opzione 1: Hardware propria

Il server si trova in sede. Controllo massimo, nessun dato presso terzi – ma l’azienda sostiene costi di acquisto, energia, raffreddamento, manutenzione e continuità operativa. Ha senso soprattutto in presenza di un’infrastruttura IT già esistente e di un utilizzo elevato e costante. Le domande sull’hardware vengono risposte da Di quale hardware ha bisogno una propria IA?.

Opzione 2: Server GPU in affitto in Germania

Un operatore di data center mette a disposizione un server con scheda grafica; su questo eseguite voi (o un fornitore di servizi) modelli open source in autonomia – ad esempio con Ollama e Open WebUI. Un esempio è il server GPU dedicato di Hetzner con 20 GB di memoria grafica. Mantenete il controllo su modello e dati, senza acquistare hardware proprio.

Opzione 3: servizi di modelli di provider cloud tedeschi

Non gestite un server, ma utilizzate modelli aperti tramite un’interfaccia, con fatturazione in base all’utilizzo. Esempi:

STACKIT AI Model Serving (cloud del gruppo Schwarz): modelli aperti come gpt-oss, Qwen e Gemma tramite un’interfaccia compatibile con OpenAI, elaborazione in data center europei.
IONOS AI Model Hub: elaborazione esclusivamente in data center tedeschi; secondo il provider, non vengono registrati contenuti, ma solo l’orario, il modello e il numero di token ai fini della fatturazione.
Altri fornitori: Anche altri fornitori europei di cloud e hosting offrono ormai interfacce per modelli. Confrontate la selezione dei modelli, il luogo di elaborazione e le condizioni contrattuali.

Il vantaggio: spesso potete passare senza problemi a un fornitore tedesco gli strumenti esistenti che lavorano con l’interfaccia OpenAI.

Checklist per un hosting di IA conforme al GDPR

Luogo di elaborazione: Dove vengono elaborati il modello, gli input, i log e i backup dei dati?
Fornitore: Azienda europea o filiale di un gruppo di un paese terzo?
AVV: Contratto di nomina a responsabile del trattamento ai sensi dell'art. 28 GDPR, elenco dei sub-responsabili.
Registrazione: Gli input vengono salvati? Per quanto tempo? Chi può consultarli?
Formazione: Esclusione che i vostri dati vengano utilizzati per l’addestramento.
Accesso e diritti: Chi può inserire quali dati nel modello? Accesso tramite Single Sign-On.
Documentazione: Registro delle attività di trattamento e, se necessario, valutazione d'impatto sulla protezione dei dati.
EU AI Act: Trasparenza verso gli utenti e adeguata competenza in materia di IA dei collaboratori – vedere EU AI Act.

Quale opzione è adatta a chi?

Piccolo team, poca IT: servizio di modello di un fornitore tedesco oppure server in affitto con gestione da parte di un fornitore di servizi.
Dati sensibili, volume medio: server GPU in affitto con modello proprio – pieno controllo senza hardware proprio.
Carico continuo elevato, IT interna:hardware propria o più server noleggiati.

Per chi è interessato alla tecnologia

Molti servizi di modelli offrono interfacce compatibili con OpenAI – il passaggio tra fornitori è quindi relativamente semplice.
Per i server propri si consiglia una separazione tra server dei modelli e applicazioni, oltre a connessioni crittografate.
Prestare attenzione, nei servizi di modello, alla lunghezza del contesto disponibile e ai limiti delle richieste al minuto.

bettersorted si affida per i propri clienti a componenti aperti e consultabili – gestiti su server in Germania e raccolti nel automaisa Hub. Forniamo consulenza indipendente dai produttori, siamo consulenti registrati presso il BAFA e coach autorizzati INQA. La consulenza e l’introduzione accompagnata possono essere finanziate all’80 % tramite il INQA-Coaching; il percorso più adatto lo indica il Verifica degli incentivi. Per un primo colloquio non vincolante: Contatto.

Esempio: servizio di assistenza domiciliare con dati sensibili

Uno scenario illustrativo: un servizio di assistenza domiciliare desidera far riassumere gli appunti dei colloqui e preparare bozze di documentazione. I dati sanitari sono particolarmente protetti. Il servizio sceglie un server GPU in affitto in Germania con un modello open source, accesso solo tramite autenticazione centralizzata, nessuna memorizzazione degli input oltre la giornata lavorativa e una valutazione d'impatto sulla protezione dei dati prima dell'avvio.

Domande per ogni fornitore di hosting AI

In quale paese e in quale data center avviene l’elaborazione – anche per i backup dei dati?
Il fornitore o una società madre è soggetto al diritto di un paese terzo?
Gli input vengono salvati, registrati o utilizzati per l’addestramento?
Quali subfornitori sono coinvolti?
Quali modelli sono disponibili e per quanto tempo vengono offerti?
Come vengono segnalati gli incidenti di sicurezza?

Non dimenticare la documentazione

Per un funzionamento conforme alla protezione dei dati sono necessari una registrazione nel registro delle attività di trattamento, informative sulla privacy aggiornate, un concetto per i diritti e la cancellazione e, in caso di dati sensibili, una valutazione d’impatto sulla protezione dei dati. I vostri responsabili della protezione dei dati dovrebbero essere coinvolti fin dall’inizio.

Costi e finanziamenti

I costi per un hosting AI conforme al GDPR si compongono di tre parti: Configurazione (pianificazione, installazione, integrazione, test), esercizio continuativo (server o hosting, aggiornamenti, monitoraggio, backup dei dati) e accompagnamento dei collaboratori (formazione, regole, referenti). Non indichiamo prezzi fissi, perché l’ambito e la situazione di partenza variano molto. Il software in sé, nelle soluzioni open source, non comporta costi di licenza.

Non viene finanziata la tecnologia, bensì la Consulenza e introduzione accompagnata: Tramite INQA-Coaching lo Stato copre a livello nazionale l’80 % dei costi di coaching (fino a 11.520 €, voucher fino al 30.06.2028). Un’analisi preliminare può essere sovvenzionata tramite il programma di promozione della consulenza BAFA-Beratungsförderung – con l’80 % nei nuovi Länder, a Lüneburg e Treviri, altrimenti il 50 %, per domande fino al 31.12.2026. Per gli investimenti, alcuni Länder offrono programmi propri – vedi Opportunità di finanziamento per le aziende in Germania.

Domande frequenti

Dove posso ospitare modelli di IA in conformità con il GDPR?

Su hardware proprio, su server GPU noleggiati in data center tedeschi oppure tramite servizi di modelli di fornitori cloud tedeschi o europei come STACKIT o IONOS – in ogni caso con un contratto di nomina a responsabile del trattamento e un chiaro concetto di accesso.

La presenza di un server in Germania è automaticamente conforme al GDPR?

No. La sede semplifica molte cose, ma servono comunque un AVV, concetti per i diritti e la cancellazione, documentazione e, se necessario, una valutazione d’impatto sulla protezione dei dati.

Cosa è più conveniente: un server proprio o un servizio di modello?

Con un utilizzo basso o variabile, di solito il servizio di modello, perché si paga solo l’uso effettivo. Con un utilizzo costantemente elevato, può convenire un server proprio o noleggiato.