Lösung · Managed Cloud & Modell-APIs (Cloud-API)
Microsoft Foundry · EU Data Zone (vormals Azure OpenAI / Azure AI Foundry)
Anbieter: Microsoftlearn.microsoft.com
Managed OpenAI-/Foundry-Modelle in EU Data Zone; AVV, kein Training. Echtes Zero Data Retention nur auf Antrag (Enterprise). Cloud-Act-Restrisiko.
AVV · EU-Region · ZDR-auf-Antrag · Cloud-Act-Risiko
Souveränitäts-Profil
Recht (r)
1
Technik (t)
1
Autonomie (a)
0
Warum nicht höher als Stufe 1: Fremdstaatlicher Zugriff (US Cloud Act u.ä.) bleibt rechtlich möglich · keine Jurisdiktions-Souveränität. Stufe 2 erfordert einen EU-Anbieter ohne US-Mutter.
Datenblatt
- Jurisdiktion
- US
- Betriebsmodell
- Managed Cloud (US-Hyperscaler), EU Data Zone
- AVV verfügbar
- ja
- Training auf Kundendaten
- nein
- Offene Gewichte
- nein
- Selbst betreibbar
- nein
- Zertifikate
- BSI C5 · ISO 27001 · SOC 2 · ISO 42001
- Zuletzt geprüft
- 2026-09-14
Wofür sie taugt
Die OpenAI-Modelle und die übrigen von Microsoft vertriebenen Foundry-Modelle über die Azure-Schnittstelle, mit Auftragsverarbeitungsvertrag und der Möglichkeit, die Verarbeitung auf die EU zu begrenzen. Für Häuser, die ohnehin auf Azure arbeiten, ist das der Weg mit dem geringsten organisatorischen Widerstand.
Grenzen
Das Produkt heißt seit 2026 Microsoft Foundry. Die Dokumentation führt es durchgehend so („Microsoft Foundry brings together various Azure AI capabilities that were previously only available as standalone Azure services"); „Azure OpenAI" bezeichnet darin nur noch die Modellfamilie innerhalb von Foundry. Unser Eintragsname ist nachgezogen, der Slug bleibt aus Verlinkungsgründen unverändert.
„EU Data Zone" heißt EU-weit, nicht Deutschland. Microsoft beschreibt den Bereitstellungstyp so: „If you create a DataZone deployment in a Foundry resource located in a European Union Member Nation, prompts and responses may be processed in that or any other European Union Member Nation." Wer die Verarbeitung in einem bestimmten Land braucht, nimmt eine gewöhnliche regionale Bereitstellung statt der Data Zone. Ruhende Daten bleiben in beiden Fällen in der vom Kunden gewählten Geografie.
Der eigentliche Vorbehalt ist die Missbrauchsüberwachung, und sie heißt bei Microsoft nicht „Zero Data Retention". Ab Werk kann eine Stichprobe Ihrer Ein- und Ausgaben gespeichert und im Verdachtsfall von autorisierten Microsoft-Beschäftigten gelesen werden; für Modelle im Europäischen Wirtschaftsraum sitzen diese Personen laut Dokumentation im EWR. Abschalten lässt es sich nur auf Antrag: „managed customers may apply to modify abuse monitoring". Nach der Genehmigung entfallen Speicherung und menschliche Prüfung, die automatisierte Prüfung läuft weiter. Unsere Marke „ZDR auf Antrag" meint genau diesen Antrag, nicht eine Einstellung im Portal.
Zum Training ist die Zusage dagegen deutlich und braucht keinen Antrag: „prompts and completions are not used to train, retrain, or improve the base models".
An der Einstufung ändert all das nichts: der Anbieter ist US-amerikanisch, deshalb bleibt der Eintrag bei Stufe 1.
Restrisiken
- Fremdstaatliche Jurisdiktion: Der US Cloud Act (o.ä.) kann Zugriff erzwingen · auch bei EU-Hosting.
- Daten werden beim Anbieter verarbeitet (Klartext) · kein technischer Schutz gegen Abfluss.
- Proprietär ohne Eigenbetrieb: erhöhte Abhängigkeit / Lock-in, eingeschränkte Exit-Optionen.
Pflichten beim Einsatz
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abschließen; ggf. Datenschutz-Folgenabschätzung (Art. 35); Verarbeitung in EU-Region.
- Transfergrundlage sichern (SCC/Angemessenheit), Transfer Impact Assessment durchführen und das Cloud-Act-Restrisiko bewusst dokumentieren.
- KI-VO-Pflichten (Hochrisiko nach Annex III, Transparenz nach Art. 50) hängen vom Anwendungsfall ab · separat prüfen.
- Gilt immer: KI-Kompetenz sicherstellen (Art. 4 KI-VO, seit 2.2.2025) · Mitarbeitende schulen, Nutzungsregeln festlegen, beides dokumentieren.
Weiterführend
Quellen2
- Microsoft Learn: Daten, Datenschutz und Sicherheit für die von Azure vertriebenen Foundry-Modelle anbieter-doku · abgerufen 2026-08-01 · belegt: training
- Microsoft Foundry: Verfügbarkeit nach Cloud-Region (aktuelle Produktbezeichnung, Stand 21.08.2026) anbieter-doku · abgerufen 2026-09-14
Prüfhistorie
- 2026-08-01 Kürzel-Beleg learn.microsoft.com durch die Datenschutz-Dokumentation ersetzt. Dabei zwei Angaben präzisiert: die EU Data Zone sichert die Verarbeitung EU-weit zu, nicht länderscharf, und die Marke „ZDR auf Antrag" meint bei Microsoft die geänderte Missbrauchsüberwachung, nach deren Genehmigung Speicherung und menschliche Prüfung entfallen, die automatisierte Prüfung aber weiterläuft. (learn.microsoft.com)
- 2026-09-14 Produktname auf Microsoft Foundry gezogen; Azure OpenAI bezeichnet in der Doku nur noch die Modellfamilie innerhalb von Foundry. Slug unverändert gelassen. (learn.microsoft.com/en-us/azure/foundry/reference/region-support)
Nächster Schritt
Ob Stufe 1 für Ihr Vorhaben genügt, hängt von Ihren Daten, der Rechtslage und dem Einsatzzweck ab. Die Peilung ermittelt Ihre Mindeststufe in vier Schritten (KI-VO, Daten, Branche, Unabhängigkeit) und zeigt anschließend alle Lösungen, die sie erfüllen. Im Erstgespräch klären wir, welcher Weg zu Ihrem Anwendungsfall passt.