Lösung · EU-Cloud & Modelle (EU-Cloud)
Sana AI
Anbieter: Sana (Workday, Inc.)support.sana.ai
Schwedischer Enterprise-Wissensassistent + Agents über Unternehmensdaten (native Berechtigungen, SSO/SCIM); EU-/Schweden-Datenresidenz optional.
Anwender-Plattform · Enterprise-Search · EU-Residency
Souveränitäts-Profil
Recht (r)
3
Technik (t)
1
Autonomie (a)
2
Warum nicht höher als Stufe 1: Fremdstaatlicher Zugriff (US Cloud Act u.ä.) bleibt rechtlich möglich · keine Jurisdiktions-Souveränität. Stufe 2 erfordert einen EU-Anbieter ohne US-Mutter.
Datenblatt
- Jurisdiktion
- andere
- Betriebsmodell
- SaaS (EU-/SE-Datenresidenz optional)
- AVV verfügbar
- ja
- Training auf Kundendaten
- nein
- Offene Gewichte
- nein
- Selbst betreibbar
- nein
- Zertifikate
- ISO 27001 · SOC 2 · HITRUST
- Zuletzt geprüft
- 2026-09-14
Wofür sie taugt
Ein schwedischer Wissensassistent, der über die vorhandenen Systeme des Hauses sucht und dabei die bestehenden Berechtigungen berücksichtigt. Für Häuser, die einen europäischen Anbieter dieser Gattung suchen statt eines amerikanischen.
Grenzen
Sana gehört seit dem 04.11.2025 zu Workday. Die Übernahme ist abgeschlossen, das Produkt läuft heute als Sana Agents und Sana Learn weiter. Für die Einordnung ist das der entscheidende Punkt: die schwedische Herkunft bleibt, die Konzernmutter sitzt aber in den USA.
Wir haben die Jurisdiktion deshalb von EU auf „andere" gestellt und die erreichbare Stufe von 2 auf 1 zurückgenommen, so wie bei anderen Einträgen mit europäischer Betriebsgesellschaft und außereuropäischer Mutter. Das ist keine Aussage über die technische Qualität des Produkts, sondern über die Rechtslage, in der es steht.
Die Trainings-Zusage ist eindeutig und ausdrücklich: „Sana Agents does not use your data to train artificial intelligence or language models." Der Anbieter führt sich als „ISO 27001:2022 certified", „SOC Type I and Type II certified" und „fully GDPR compliant".
Zur Datenresidenz sagt dieselbe Seite nichts. Unser Datenblatt führt eine wahlweise EU- oder Schweden-Residenz; auf der öffentlichen Datenschutz-Auskunft des Anbieters ließ sich das am 01.08.2026 nicht bestätigen. Wenn der Speicherort für Sie das Kaufkriterium ist, lassen Sie ihn sich zusagen, statt ihn aus der schwedischen Herkunft des Unternehmens abzuleiten: Herkunft und Rechenzentrum sind zwei verschiedene Dinge.
Auch die Modellanbieter unter der Oberfläche nennt die Seite nicht. Bei einem Assistenten, der fremde Sprachmodelle einsetzt, gehört die Liste der Unterauftragnehmer zur Prüfung dazu.
Zur Einstufung: europäischer Anbieter. Für Stufe 3 fehlt der technische Schutz gegen Abfluss beim Anbieter, deshalb Stufe 2.
Restrisiken
- Fremdstaatliche Jurisdiktion: Der US Cloud Act (o.ä.) kann Zugriff erzwingen · auch bei EU-Hosting.
- Daten werden beim Anbieter verarbeitet (Klartext) · kein technischer Schutz gegen Abfluss.
- Proprietär ohne Eigenbetrieb: erhöhte Abhängigkeit / Lock-in, eingeschränkte Exit-Optionen.
Pflichten beim Einsatz
- Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abschließen; ggf. Datenschutz-Folgenabschätzung (Art. 35); Verarbeitung in EU-Region.
- Transfergrundlage sichern (SCC/Angemessenheit), Transfer Impact Assessment durchführen und das Cloud-Act-Restrisiko bewusst dokumentieren.
- KI-VO-Pflichten (Hochrisiko nach Annex III, Transparenz nach Art. 50) hängen vom Anwendungsfall ab · separat prüfen.
- Gilt immer: KI-Kompetenz sicherstellen (Art. 4 KI-VO, seit 2.2.2025) · Mitarbeitende schulen, Nutzungsregeln festlegen, beides dokumentieren.
Weiterführend
Quellen3
- Sana: Datenverarbeitung und Datenschutz (kein Training auf Kundendaten, ISO 27001:2022, SOC 2) anbieter-doku · abgerufen 2026-08-01 · belegt: training
- Workday: Abschluss der Übernahme von Sana (04.11.2025), Produktlinien Sana Agents und Sana Learn presse · abgerufen 2026-09-14 · belegt: jurisdiktion
- Sana: Sicherheit der Agent-Plattform (SOC 2, ISO 27001, HITRUST) anbieter-doku · abgerufen 2026-09-14 · belegt: zertifikate
Prüfhistorie
- 2026-08-01 Kürzel-Beleg sana.ai durch die Datenschutz-Auskunft des Anbieters ersetzt. Belegt sind Trainings-Ausschluss und Zertifikate. Nicht belegt und deshalb offen benannt: die in unserem Datenblatt geführte wahlweise EU- oder Schweden-Residenz und die Liste der eingesetzten Modellanbieter. (support.sana.ai)
- 2026-09-14 Konzernzugehörigkeit nachgezogen: Sana gehört seit 04.11.2025 zu Workday, Inc. (US). Jurisdiktion von EU auf andere, t von 2 auf 1, satisfiesStufe damit von 2 auf 1 (min(r,t)), analog zur Behandlung anderer Einträge mit außereuropäischer Mutter. Zertifikate um HITRUST und die Typ-Angaben präzisiert. (newsroom.workday.com, sanalabs.com/agent-platform-security)
- 2026-09-14 HITRUST ins Zertifikatsfeld ergänzt. Eine Typangabe zu SOC 2 macht der Anbieter für sich selbst nicht, deshalb bleibt sie offen. (sanalabs.com/agent-platform-security)
- 2026-09-14 Beleg-URL nachgezogen, die Sicherheitsseite liegt jetzt unter /products/sana/security. (sanalabs.com/products/sana/security)
Nächster Schritt
Ob Stufe 1 für Ihr Vorhaben genügt, hängt von Ihren Daten, der Rechtslage und dem Einsatzzweck ab. Die Peilung ermittelt Ihre Mindeststufe in vier Schritten (KI-VO, Daten, Branche, Unabhängigkeit) und zeigt anschließend alle Lösungen, die sie erfüllen. Im Erstgespräch klären wir, welcher Weg zu Ihrem Anwendungsfall passt.