Lösung · Managed Cloud & Modell-APIs (Cloud-API)
Google Vertex AI (EU)
Anbieter: Google Cloudcloud.google.com
Gemini in EU-Region/Multi-Region; AVV, kein Training (Default). Neueste Modelle teils nur über EU-Multi-Region. Cloud-Act-Restrisiko.
AVV · EU-Region · Cloud-Act-Risiko
Souveränitäts-Profil
Recht (r)
1
Technik (t)
1
Autonomie (a)
0
Warum nicht höher als Stufe 1: Fremdstaatlicher Zugriff (US Cloud Act u.ä.) bleibt rechtlich möglich · keine Jurisdiktions-Souveränität. Stufe 2 erfordert einen EU-Anbieter ohne US-Mutter.
Datenblatt
- Jurisdiktion
- US
- Betriebsmodell
- Managed Cloud (US-Hyperscaler), EU-Region/Multi-Region
- AVV verfügbar
- ja
- Training auf Kundendaten
- nein
- Offene Gewichte
- nein
- Selbst betreibbar
- nein
- Zertifikate
- BSI C5 · ISO 27001 · SOC 2 · ISO 42001
- Zuletzt geprüft
- 2026-08-01
Wofür sie taugt
Googles Gemini-Modelle über die Cloud-Plattform, mit Auftragsverarbeitungsvertrag und einer Verarbeitung, die sich auf die EU begrenzen lässt. Der naheliegende Weg für Häuser, die bereits mit Google Cloud arbeiten.
Grenzen
Eine EU-Region allein sichert die EU-Verarbeitung nicht zu. Google schreibt in der Endpunkt-Dokumentation: „Endpoints don't guarantee data residency or in-region ML processing." Zugesichert wird sie erst über die Mehr-Regionen-Endpunkte: „Multi-region endpoints allow you to ensure that machine learning processing of Customer Data by the service stays within a specific jurisdictional boundary, such as the United States or the European Union." Für die EU ist das der Endpunkt aiplatform.eu.rep.googleapis.com. Wer die EU-Verarbeitung braucht, richtet sie also ausdrücklich ein, statt sich auf die Regionswahl zu verlassen.
Ausbleibende Speicherung ist ebenfalls ein eigener Schritt. Zum Training sagt Google zu: „Google won't use your data to train or fine-tune any AI/ML models without your prior permission or instruction." Für die Missbrauchsüberwachung werden Prompts jedoch protokolliert; wer das nicht will, muss eine Ausnahme beantragen, und bei einzelnen erweiterten Funktionen ist eine vollständig ausbleibende Speicherung laut Google unter Umständen nicht erreichbar.
Hinweis zur Dokumentation: Google hat die Unterlagen zur generativen KI von Vertex AI unter dem Namen „Gemini Enterprise Agent Platform" neu geordnet. Die früheren Adressen unter cloud.google.com/vertex-ai/generative-ai/ leiten dorthin um (geprüft am 01.08.2026). Vertex AI selbst besteht weiter, nur die Belegstellen liegen woanders.
Zur Einstufung: US-Mutter, deshalb Stufe 1.
Restrisiken
- Fremdstaatliche Jurisdiktion: Der US Cloud Act (o.ä.) kann Zugriff erzwingen · auch bei EU-Hosting.
- Daten werden beim Anbieter verarbeitet (Klartext) · kein technischer Schutz gegen Abfluss.
- Proprietär ohne Eigenbetrieb: erhöhte Abhängigkeit / Lock-in, eingeschränkte Exit-Optionen.
Pflichten beim Einsatz
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abschließen; ggf. Datenschutz-Folgenabschätzung (Art. 35); Verarbeitung in EU-Region.
- Transfergrundlage sichern (SCC/Angemessenheit), Transfer Impact Assessment durchführen und das Cloud-Act-Restrisiko bewusst dokumentieren.
- KI-VO-Pflichten (Hochrisiko nach Annex III, Transparenz nach Art. 50) hängen vom Anwendungsfall ab · separat prüfen.
- Gilt immer: KI-Kompetenz sicherstellen (Art. 4 KI-VO, seit 2.2.2025) · Mitarbeitende schulen, Nutzungsregeln festlegen, beides dokumentieren.
Weiterführend
Quellen2
- Google Cloud: Gemini Enterprise Agent Platform und ausbleibende Datenspeicherung (Trainings-Beschränkung) anbieter-doku · abgerufen 2026-08-01 · belegt: training
- Google Cloud: Bereitstellungen und Endpunkte (Datenresidenz nur über Mehr-Regionen-Endpunkte) anbieter-doku · abgerufen 2026-08-01
Prüfhistorie
- 2026-08-01 Kürzel-Beleg cloud.google.com durch zwei Quellen ersetzt. Wesentlicher Befund: eine EU-Region sichert die EU-Verarbeitung nach Googles eigener Dokumentation nicht zu, das leisten erst die Mehr-Regionen-Endpunkte. Nebenbefund: die Unterlagen zur generativen KI von Vertex AI heißen jetzt „Gemini Enterprise Agent Platform", die alten Adressen leiten dorthin um. (docs.cloud.google.com)
Nächster Schritt
Ob Stufe 1 für Ihr Vorhaben genügt, hängt von Ihren Daten, der Rechtslage und dem Einsatzzweck ab. Die Peilung ermittelt Ihre Mindeststufe in vier Schritten (KI-VO, Daten, Branche, Unabhängigkeit) und zeigt anschließend alle Lösungen, die sie erfüllen.