Lösung · Managed Cloud & Modell-APIs (Cloud-API)
ChatGPT Enterprise / Business
Anbieter: OpenAIopenai.com
Generischer Enterprise-Chat-Assistent; Datenresidenz inkl. Europa, kein Training (Enterprise/Business). US-Mutter, Cloud-Act-Restrisiko.
Anwender-Plattform · EU-Residency · kein-Training
Souveränitäts-Profil
Recht (r)
1
Technik (t)
1
Autonomie (a)
0
Warum nicht höher als Stufe 1: Fremdstaatlicher Zugriff (US Cloud Act u.ä.) bleibt rechtlich möglich · keine Jurisdiktions-Souveränität. Stufe 2 erfordert einen EU-Anbieter ohne US-Mutter.
Datenblatt
- Jurisdiktion
- US
- Betriebsmodell
- Managed Cloud, Multi-Region (EU wählbar)
- AVV verfügbar
- ja
- Training auf Kundendaten
- nein
- Offene Gewichte
- nein
- Selbst betreibbar
- nein
- Zertifikate
- ISO 27001 · ISO 27017 · ISO 27018 · ISO 27701
- Zuletzt geprüft
- 2026-08-01
Wofür sie taugt
Der bekannteste Assistent als Arbeitsplatz für die Belegschaft, mit Verwaltung, Anmeldung über das Firmenkonto und Auftragsverarbeitungsvertrag. Für viele Häuser ist es der Einstieg, weil die Mitarbeitenden das Produkt privat schon kennen.
Grenzen
Kein Training ab Werk, mit einer benannten Ausnahme. OpenAI sagt zu: „By default, we do not use your business data for training our models. If you have explicitly opted in to share your data with us (for example, through our opt-in feedback mechanisms) to improve our services, then we may use the shared data to train our models." Wer also Rückmeldungs-Funktionen freigibt, gibt mehr frei als die Bewertung selbst.
Der wichtigste Vorbehalt betrifft den Zuschnitt dieses Eintrags. Die Datenresidenz ist nach OpenAIs eigener Beschreibung für „Eligible API customers and new ChatGPT Enterprise/Edu customers" verfügbar. ChatGPT Business wird dort nicht genannt, und die Formulierung „new" schließt bestehende Arbeitsbereiche aus: eine nachträgliche Umstellung ist nicht vorgesehen. Wer Europa als Speicherort braucht, klärt das vor der Einrichtung, nicht danach.
Speicherort und Rechenort sind zwei verschiedene Zusagen. Die Datenresidenz betrifft die ruhende Speicherung, die getrennt geführte Inferenz-Residenz die Ausführung auf der Grafikhardware. Beide gibt es für „Europe (EEA + Switzerland)", die Inferenz-Residenz setzt die Datenresidenz in derselben Region voraus.
Aufbewahrung: gelöschte Unterhaltungen verschwinden nach Anbieterangabe innerhalb von 30 Tagen aus den Systemen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
Zur Einstufung: US-Anbieter, deshalb Stufe 1.
Restrisiken
- Fremdstaatliche Jurisdiktion: Der US Cloud Act (o.ä.) kann Zugriff erzwingen · auch bei EU-Hosting.
- Daten werden beim Anbieter verarbeitet (Klartext) · kein technischer Schutz gegen Abfluss.
- Proprietär ohne Eigenbetrieb: erhöhte Abhängigkeit / Lock-in, eingeschränkte Exit-Optionen.
Pflichten beim Einsatz
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abschließen; ggf. Datenschutz-Folgenabschätzung (Art. 35); Verarbeitung in EU-Region.
- Transfergrundlage sichern (SCC/Angemessenheit), Transfer Impact Assessment durchführen und das Cloud-Act-Restrisiko bewusst dokumentieren.
- KI-VO-Pflichten (Hochrisiko nach Annex III, Transparenz nach Art. 50) hängen vom Anwendungsfall ab · separat prüfen.
- Gilt immer: KI-Kompetenz sicherstellen (Art. 4 KI-VO, seit 2.2.2025) · Mitarbeitende schulen, Nutzungsregeln festlegen, beides dokumentieren.
Weiterführend
- Enterprise-Datenschutz bei OpenAI (trust-center)
Quellen2
- OpenAI: Enterprise-Datenschutz (kein Training ab Werk, Aufbewahrung, Stand 08.01.2026) anbieter-doku · abgerufen 2026-08-01 · belegt: training
- OpenAI: Daten- und Inferenz-Residenz für ChatGPT (Europa, nur Enterprise und Edu, nur Neukunden) anbieter-doku · abgerufen 2026-08-01
Prüfhistorie
- 2026-08-01 Kürzel-Beleg openai.com durch zwei Quellen ersetzt, beide im Browser gelesen (403 gegen Server-Abrufe). Befund mit Folge für die Kaufentscheidung: die Datenresidenz nennt ausdrücklich nur API-Kunden sowie neue Enterprise- und Edu-Kunden. ChatGPT Business, das dieser Eintrag mit im Namen führt, ist dort nicht genannt, und bestehende Arbeitsbereiche können nicht nachträglich umgestellt werden. Das steht jetzt offen in den Grenzen. Zweiter Befund: Speicherort und Rechenort sind zwei getrennte Zusagen. (openai.com, help.openai.com)
Nächster Schritt
Ob Stufe 1 für Ihr Vorhaben genügt, hängt von Ihren Daten, der Rechtslage und dem Einsatzzweck ab. Die Peilung ermittelt Ihre Mindeststufe in vier Schritten (KI-VO, Daten, Branche, Unabhängigkeit) und zeigt anschließend alle Lösungen, die sie erfüllen.