Värdskap för AI-modeller i Tyskland i enlighet med GDPR

Det viktigaste i korthet

Tre vägar: egen hårdvara, hyrd GPU-server, modelltjänst i Tyskland.
Exempel: Hetzner (GPU-server), STACKIT och IONOS (modelltjänster).
Obligatoriskt: AVV, protokoll- och rättighetskoncept, dokumentation.
Tysk plats förenklat, ersätter dock ingen dataskyddsbedömning.

AI-modeller kan anpassas på tre sätt att driva i Tyskland i enlighet med GDPR: på egen hårdvara, på hyrda GPU-servrar i tyska datacenter eller via Modelltjänster från tyska molnleverantörer som STACKIT eller IONOS. Vilken väg som passar beror på datamängd, antal användare och egen IT-kompetens. I alla fall avgör behandlingsplats, personuppgiftsbiträdesavtal, loggning och åtkomstkoncept om dataskyddsreglerna följs.

Varför hosting i Tyskland?

Många molnbaserade AI-tjänster behandlar data i USA eller globalt. Det är i princip möjligt med avtal och EU-US Data Privacy Framework, men innebär extra granskningsarbete och är för många företag fortfarande en kvarstående risk – till exempel på grund av amerikanska myndigheters åtkomst till data hos amerikanska leverantörer. Vid Bearbetning i Tyskland hos en europeisk leverantör eliminerar i stor utsträckning tredjelandsproblematiken. För hälso-, social- och klientdata är detta ofta det mest självklara valet.

Alternativ 1: Egen hårdvara

Servern står i det egna huset. Maximal kontroll, inga data hos tredje part – men ni står för inköp, el, kylning, underhåll och driftsäkerhet. Särskilt lämpligt vid befintlig IT och varaktigt hög belastning. Frågor om hårdvara besvaras av Vilken hårdvara behöver en egen AI?.

Alternativ 2: Hyrd GPU-server i Tyskland

En datacentraloperatör tillhandahåller en server med grafikkort; där kör ni (eller en tjänsteleverantör) öppna modeller själva – till exempel med Ollama och Open WebUI. Ett exempel är Hetzners dedikerade GPU-server med 20 GB grafikminne. Ni behåller kontrollen över modell och data utan att köpa egen hårdvara.

Alternativ 3: Modelltjänster från tyska molnleverantörer

Ni driver ingen server, utan använder öppna modeller via ett gränssnitt – debitering sker efter användning. Exempel:

STACKIT AI Model Serving (molntjänst från Schwarz-gruppen): öppna modeller som gpt-oss, Qwen och Gemma via ett OpenAI-kompatibelt gränssnitt, bearbetning i europeiska datacenter.
IONOS AI Model Hub: bearbetning uteslutande i tyska datacenter; enligt leverantören loggas inget innehåll, endast tidpunkt, modell och antal token för debiteringen.
Fler leverantörer: Även andra europeiska moln- och hostingleverantörer erbjuder nu modellgränssnitt. Jämför modellutbud, bearbetningsplats och avtalsvillkor.

Fördelen: Du kan ofta enkelt ställa om befintliga verktyg som arbetar med OpenAI-gränssnittet till en tysk leverantör.

Checklista för GDPR-kompatibel AI-hosting

Bearbetningsplats: Var bearbetas modell, indata, loggar och säkerhetskopior?
Leverantör: Europeiskt företag eller dotterbolag till ett koncernföretag från ett tredjeland?
AVV: Avtal om personuppgiftsbiträde enligt artikel 28 i GDPR, lista över underbiträden.
Loggning: Sparas inmatningar? Hur länge? Vem kan se dem?
Utbildning: Uteslutning av att dina uppgifter används för träning.
Åtkomst och rättigheter: Vem får lämna vilka uppgifter till modellen? Inloggning via Single Sign-On.
Dokumentation: Förteckning över behandlingsaktiviteter och vid behov konsekvensbedömning avseende dataskydd.
EU AI Act: Transparens gentemot användare och tillräcklig AI-kompetens hos medarbetarna – se EU AI Act.

Vilket alternativ passar vem?

Litet team, lite IT: Modelltjänst från en tysk leverantör eller hyrd server med drift av en tjänsteleverantör.
Känsliga data, medelstor volym: hyrd GPU-server med egen modell – full kontroll utan egen hårdvara.
Hög kontinuerlig belastning, egen IT:egen hårdvara eller flera hyrda servrar.

För teknikintresserade

Många modelltjänster erbjuder OpenAI-kompatibla gränssnitt – byten mellan leverantörer är därför relativt enkla.
För egna servrar rekommenderas en separation mellan modellserver och applikationer samt krypterade anslutningar.
Var uppmärksam på den tillgängliga kontextlängden och begränsningarna för antal förfrågningar per minut för modelltjänster.

bettersorted använder för sina kunder öppna, insynsbara komponenter – driftade på servrar i Tyskland och samlade i automaisa Hub. Vi ger tillverkaroberoende rådgivning, är registrerad rådgivare hos BAFA och auktoriserad INQA-coach. Rådgivning och vägledd införande kan stödjas med 80 % genom INQA-Coaching; den lämpliga vägen visas av Bidragskontroll. För ett förutsättningslöst första samtal: Kontakt.

Exempel: vårdtjänst med känsliga uppgifter

Ett illustrativt scenario: En ambulant vårdtjänst vill sammanfatta samtalsanteckningar och låta förslag till dokumentation förberedas. Hälsouppgifter är särskilt skyddade. Verksamheten väljer en hyrd GPU-server i Tyskland med en öppen modell, åtkomst endast via den centrala inloggningen, ingen lagring av inmatningar längre än arbetsdagen och en konsekvensbedömning avseende dataskydd före start.

Frågor till varje AI-hostingleverantör

I vilket land och vilket datacenter sker behandlingen – även säkerhetskopior?
Omfattas leverantören eller ett moderbolag av ett tredjelands lagstiftning?
Sparas, loggas eller används inmatningar för träning?
Vilka underleverantörer är involverade?
Vilka modeller finns tillgängliga och hur länge erbjuds de?
Hur rapporteras säkerhetsincidenter?

Glöm inte dokumentationen

Till en dataskyddskonform drift hör en post i förteckningen över behandlingar, uppdaterade dataskyddsinformationer, ett rättighets- och raderingskoncept och – vid känsliga uppgifter – en konsekvensbedömning avseende dataskydd. Era dataskyddsombud bör involveras tidigt.

Kostnader och stöd

Kostnaderna för GDPR-konform AI-hosting består av tre delar: Installation (planering, installation, anslutning, tester), löpande drift (server eller hosting, uppdateringar, övervakning, säkerhetskopiering) och stöd till medarbetarna (utbildning, regler, kontaktpersoner). Vi anger inga fasta priser eftersom omfattning och utgångsläge varierar kraftigt. Själva programvaran medför inga licenskostnader för open source-lösningar.

Det är inte tekniken som finansieras, utan Rådgivning och guidad införande: Genom INQA-Coaching täcker staten 80 % av coachningskostnaderna i hela landet (upp till 11.520 €, checkar till 30.06.2028). En förhandsanalys kan subventioneras via BAFA-Beratungsförderung – med 80 % i de nya förbundsländerna, Lüneburg och Trier, annars 50 %, för ansökningar till 31.12.2026. För investeringar erbjuder vissa delstater egna program – se Finansieringsmöjligheter för företag i Tyskland.

Vanliga frågor

Var kan jag hosta AI-modeller i enlighet med GDPR?

På egen hårdvara, på hyrda GPU-servrar i tyska datacenter eller via modelltjänster från tyska eller europeiska molnleverantörer som STACKIT eller IONOS – i varje fall med personuppgiftsbiträdesavtal och ett tydligt åtkomstkoncept.

Är en serverplats i Tyskland automatiskt förenlig med GDPR?

Nej. Platsen förenklar mycket, men det krävs fortfarande ett personuppgiftsbiträdesavtal, koncept för rättigheter och radering, dokumentation och vid behov en konsekvensbedömning avseende dataskydd.

Vad är billigast: egen server eller modelltjänst?

Vid låg eller varierande användning oftast modelltjänsten, eftersom endast den faktiska användningen betalas. Vid varaktigt hög användning kan en egen eller hyrd server löna sig.