Einsatz chinesischer KI-Modelle in Europa: gehostete API oder selbst gehostete Modellgewichte

Die KI-Verordnung ist herkunftsneutral

Die Verordnung (EU) 2024/1689 unterscheidet an keiner Stelle zwischen chinesischen, amerikanischen oder europäischen Modellen. Ihr Anwendungsbereich richtet sich nach der Funktion und dem Ort der Wirkung: Sie erfasst Anbieter, die KI-Systeme oder KI-Modelle mit allgemeinem Verwendungszweck in der EU in Verkehr bringen, unabhängig davon, wo sie niedergelassen sind, und sie erfasst Anbieter und Betreiber in Drittländern, wenn die Ausgabe des Systems in der EU verwendet wird, wie es Art. 2 Abs. 1 vorsieht; die Fragen und Antworten zu KI-Modellen mit allgemeinem Verwendungszweck der Kommission wiederholen dies für Modellanbieter unabhängig vom Ort ihrer Niederlassung.

Für den europäischen Abnehmer folgt daraus zweierlei. Erstens: Ihre Betreiberpflichten treffen Sie selbst, gleich welcher Herkunft das Modell ist. Die Transparenzregeln, die wir in unserem Update zu Art. 50 behandelt haben, und die KI-Kompetenz des Personals gelten in gleicher Weise, ob das Modell aus Hangzhou oder aus San Francisco stammt; dasselbe gilt für die seit Februar 2025 geltenden Regeln über verbotene Praktiken, und es wird für die Hochrisiko-Regeln gelten, sobald sie anwendbar sind, nach der konsolidierten Fassung vom 27. Juli 2026 ab dem 2. Dezember 2027 für Systeme nach Anhang III und ab dem 2. August 2028 für Systeme nach Anhang I. Zweitens: Ein chinesischer Anbieter, der den EU-Markt bedient, hat EU-Pflichten, die er erfüllen mag oder auch nicht (ein Modell, das bereits vor dem 2. August 2025 in Verkehr war, hat bis zum 2. August 2027 Zeit, sie zu erfüllen), und die Lücke zwischen Pflicht und Erfüllung wird zu Ihrer Sorgfaltsfrage, denn Sie sind es, den die Durchsetzung erreicht.

Gehostete API oder selbst gehostete Modellgewichte

Rechtlich entscheidend ist die Architektur. Weg A, die gehostete API: Jeder Prompt und jedes Dokument, das Ihre Mitarbeitenden hineinkopieren, gelangt auf die Server des Anbieters, zusammen mit Konto- und Nutzungsdaten. Stehen diese Server in China, werden die personenbezogenen Daten in diesem Datenfluss, und solche sind fast immer enthalten, im Sinne von Kapitel V der Datenschutz-Grundverordnung (DSGVO) an ein Drittland ohne Angemessenheitsbeschluss übermittelt, denn China steht nicht auf der Liste der Angemessenheitsbeschlüsse der Kommission. Die Übermittlung braucht deshalb geeignete Garantien und eine Transfer-Folgenabschätzung (Transfer Impact Assessment), die sich unmittelbar mit dem chinesischen Recht über staatliche Datenzugriffe auseinandersetzt; für alles Sensible ist diese Prüfung schwer zu bestehen.

Der italienische Garante hat bereits als dringliche Massnahme die endgültige Beschränkung der Verarbeitung personenbezogener Daten von betroffenen Personen in Italien durch die DeepSeek-Gesellschaften angeordnet, mit Provvedimento vom 30. Januar 2025 (docweb 10098477) (siehe auch die Mitteilung des Garante). Er stellte Verstösse gegen die Bestimmungen über die Zusammenarbeit, die Information, die Rechtsgrundlage, die Rechte der betroffenen Personen, die Sicherheit und den Vertreter fest und wertete die Speicherung in China als Sicherheitsmangel, nachdem er die Antworten der Gesellschaften, darunter das Argument, sie seien in Italien nicht tätig und das europäische Recht sei auf sie nicht anwendbar, als völlig unbefriedigend beurteilt hatte. Die Anordnung betrifft den gehosteten Dienst und sagt nichts über unabhängig gehostete DeepSeek-Gewichte; ein Übermittlungsinstrument allein hätte die festgestellten Mängel nicht behoben, und bis zum Datum dieses Updates war keine weitere Entscheidung des Garante zu DeepSeek veröffentlicht.

Weg B, selbst gehostete offene Modellgewichte: Sie laden das Modell herunter und betreiben es auf Infrastruktur in der EU oder in der Schweiz. Sofern niemand in China auf die Installation zugreifen kann, sei es über einen Fernzugriff für den Support, über Telemetrie, Logging oder eine Integration, werden keine personenbezogenen Daten gegenüber China offengelegt. Der Europäische Datenschutzausschuss (EDSA) behandelt den Fernzugriff aus einem Drittland als Übermittlung, wenn ein gesonderter Verantwortlicher oder Auftragsverarbeiter den Zugriff erhält, auch wenn die Daten in der EU gespeichert bleiben (Leitlinien 05/2021, Randnummer 16 und Beispiel 11; der Zugriff eigener Mitarbeitender des Verantwortlichen aus dem Ausland ist interne Verarbeitung, Beispiel 8); die Datenflüsse sind deshalb zu prüfen und zu dokumentieren. Der Serverstandort allein entscheidet nichts, und wo keine Übermittlung stattfindet, bleibt der Verantwortliche nach den Art. 5, 24 und 32 für eine Verarbeitung rechenschaftspflichtig, die ein Drittland erreicht.

Ein gesonderter Schweizer Hosting-Dienstleister bleibt für einen Verantwortlichen in der EU ein Empfänger in einem Drittland; die Übermittlung bedarf keiner weiteren Garantie, weil der Angemessenheitsbeschluss der Kommission für die Schweiz Bestand hat; die Schweiz liegt ausserhalb des EWR.

Ist die Übermittlungsfrage geklärt, bleibt die Arbeit am eigenen Compliance-Dossier des Einsatzes: das übliche DSGVO-Dossier für den Einsatz selbst, denn der Wegfall der Übermittlung liefert weder eine Rechtsgrundlage noch Transparenz, den Umgang mit Betroffenenrechten oder, wo der Anwendungsfall sie verlangt, eine Datenschutz-Folgenabschätzung; die Lizenzbedingungen (Lizenzen für offene Gewichte sind unterschiedlich, und manche enthalten Nutzungsbeschränkungen); Herkunft und Integrität des Modells, einschliesslich der datenschutzrechtlichen Herkunft der Gewichte. Die Stellungnahme 28/2024 des EDSA behandelt ein mit personenbezogenen Daten trainiertes Modell nur dann als anonym, wenn Extraktion und Wiedergabe (Regurgitation) dieser Daten mit vertretbaren Mitteln nicht ins Gewicht fallen, und erwartet von einem Verantwortlichen, der das Modell einsetzt, dass er in einem dem Risiko angemessenen Umfang beurteilt hat, ob das Modell durch unrechtmässige Verarbeitung entwickelt wurde; eine dokumentierte Prüfung der Lage bei den Trainingsdaten gehört deshalb ins Dossier. Hinzu kommen Sicherheitstests, bevor die Gewichte in den produktiven Betrieb gelangen, die Beurteilung von Ausgabequalität und Bias für Ihren Anwendungsfall und, für Finanzunternehmen, die Logik zu Drittdienstleistern und zum Informationsregister, die wir in unserem Update zu DORA beschrieben haben.

Wann Sie zum Anbieter werden

Die Leitlinien für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck der Kommission vom 18. Juli 2025 behandeln den Fall, dass ein Modell durch Feinabstimmung (Fine-Tuning) oder auf andere Weise verändert wird. Die Leitlinien ziehen die Grenze eng: Wer ein Modell nachgelagert verändert, wird nur dann zum Anbieter des Modells, wenn die Änderung zu einer erheblichen Änderung der allgemeinen Verwendbarkeit, der Fähigkeiten oder des systemischen Risikos des Modells führt; als indikatives Kriterium gilt, dass der Rechenaufwand für das Training bei der Änderung ein Drittel des Rechenaufwands für das ursprüngliche Modell übersteigt. Wird diese Schwelle überschritten, knüpfen die Pflichten an die Änderung an, zum Beispiel die Ergänzung der technischen Dokumentation um das, was Sie geändert haben. Eine gewöhnliche Feinabstimmung lässt die Rolle für sich allein nicht wechseln.

Zwei Fragen sind auseinanderzuhalten. Wer Anbieter des KI-Modells mit allgemeinem Verwendungszweck ist, beantwortet der Test der erheblichen Änderung. Wer Anbieter des KI-Systems ist, das um das Modell herum gebaut wird, ist eine eigene Frage: Eine Organisation, die ein System um ein unverändertes Modell eines Dritten entwickelt und es in Verkehr bringt oder unter ihrem eigenen Namen in Betrieb nimmt, wobei die Inbetriebnahme auch den erstmaligen Eigengebrauch umfasst, ist Anbieter dieses Systems, mit den daraus folgenden Pflichten auf Systemebene und, bei einem Hochrisiko-KI-System, den Voraussetzungen des Art. 25. Zum Anbieter des Modells wird sie dadurch nicht, und wer Software eines Dritten so installiert, wie sie geliefert wird, wird dadurch überhaupt nicht zum Anbieter.

Die Tendenz besteht dennoch: Je mehr Sie verändern, integrieren und vermarkten, desto mehr nähert sich Ihre Stellung der eines Anbieters, bis hin zu den Kennzeichnungspflichten nach Art. 50 für ein System, das Sie unter eigener Marke in Verkehr bringen (ein Inhalte erzeugendes System, das bereits vor dem 2. August 2026 in Verkehr war, hat bis zum 2. Dezember 2026 Zeit, Art. 50 Abs. 2 zu erfüllen). Die Open-Source-Ausnahmen mildern Teile davon für Modelle, die unter freien und quelloffenen Lizenzen veröffentlicht werden, unter Bedingungen und nie für Modelle, die als Modelle mit systemischem Risiko eingestuft sind. In der Praxis gilt: Sobald in Ihrer Roadmap «Wir stimmen das Modell fein ab und liefern es aus» steht, muss die Analyse nach der KI-Verordnung anhand dieses Tests der erheblichen Änderung neu vorgenommen und dokumentiert werden, auch wenn das Ergebnis lautet, dass die Rolle nicht gewechselt hat.

Die übrigen Fragen

Vier weitere Fragen entscheiden über den tatsächlichen Einsatz. Vertraulichkeit: Eine gehostete chinesische API ist ein Dritter wie jeder andere, nur dass vertragliche Ansprüche gegen ihn realistischerweise schwerer durchzusetzen sind; vertrauliche Kundenunterlagen und Geschäftsgeheimnisse gehören unabhängig von der DSGVO-Analyse nicht in Weg A. Sektorregeln: Regulierte Unternehmen unterstehen zusätzlich ihren eigenen Regeln zu Auslagerung, Geheimhaltung und Resilienz. Beschaffungsvorgaben: Nach unserer Erfahrung geben Kunden der öffentlichen Hand und Grossunternehmen in ihren Verträgen zunehmend Beschränkungen für chinesische KI-Werkzeuge weiter; prüfen Sie, was Ihre eigenen Kundenverträge bereits zusagen, bevor Ihre Entwicklungsteams ein Modell auswählen. Und zur Schweiz: Massgebend ist dieselbe Architekturfrage, wobei die Prüfung der Bekanntgabe ins Ausland parallel nach dem Datenschutzgesetz (DSG) erfolgt; Schweizer Unternehmen sollten nicht davon ausgehen, dass die schweizerische Prüfung milder ausfällt, und Gruppen, die in beiden Rechtsordnungen tätig sind, sollten eine einzige Weisung für beide Regime verfassen. Ein pauschales Verbot empfehlen wir nicht: Eine dokumentierte, an der Architektur ausgerichtete Weisung nutzt den Kostenvorteil, wo das Risiko beherrschbar ist, schliesst den Einsatz aus, wo es das nicht ist, und lässt sich leichter vertreten als eine Regel, die als Reaktion auf Schlagzeilen geschrieben wurde.

Was das für Sie bedeutet

• Legen Sie die Architektur vor dem Modell fest, und schreiben Sie die Weisung ein einziges Mal. Die Wahl zwischen gehosteter API und selbst gehosteten Gewichten bestimmt den grössten Teil der rechtlichen Analyse; wählen Sie deshalb bewusst und für jeden Anwendungsfall. Ein einziges, an der Architektur ausgerichtetes Regelwerk für die EU und die Schweiz lässt sich leichter vertreten als Ad-hoc-Entscheide oder ein pauschales Verbot.
• Behandeln Sie gehostete chinesische APIs als Zonen, in die nur beschränkt Daten gelangen dürfen. Keine personenbezogenen Daten ohne eine Übermittlungslösung, die einer Prüfung standhält, und als Grundsatz Ihrer Weisung kein vertrauliches Material.
• Dokumentieren Sie den selbst gehosteten Einsatz. Das eigene DSGVO-Dossier des Einsatzes, die Lizenzprüfung, Herkunft (einschliesslich der Lage bei den Trainingsdaten) und Sicherheitstests, die Evaluationsergebnisse und, wo sie anwendbar sind, die Einträge zu Drittdienstleistern nach DORA.
• Wiederholen Sie die Analyse, wenn Sie ein Modell feinabstimmen, integrieren oder ausliefern. Nach den Leitlinien der Kommission für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck lässt nur eine erhebliche Änderung des Modells die Rolle auf Modellebene wechseln; wer aber ein eigenes System um das Modell herum baut und in Betrieb nimmt, auch für den internen Gebrauch, wird Anbieter dieses Systems. Beurteilen und dokumentieren Sie dies jedes Mal.

Isak Legal berät Unternehmen zur Governance des KI-Einsatzes, zur Beschaffung von Modellen und zum Zusammenspiel von KI-Verordnung, Datenschutz und Sektorregeln in der EU und der Schweiz. Mehr dazu auf unserer Seite KI, Daten & Technologie, oder nehmen Sie Kontakt auf.

Dieses Client Update dient ausschliesslich der allgemeinen Information, gibt den Stand vom 27. September 2026 wieder und stellt weder eine Rechtsberatung dar noch begründet es ein Mandatsverhältnis. Die Durchsetzungspraxis und die Auslegungshilfen in diesem Bereich entwickeln sich rasch; prüfen Sie den aktuellen Stand anhand der oben verlinkten offiziellen Quellen, bevor Sie handeln, und beachten Sie, dass die Hinweise auf einzelne Modelle nur der Veranschaulichung dienen. Für die Beratung in einer konkreten Angelegenheit nehmen Sie bitte Kontakt mit uns auf.