Zurück zum Blog
Compliance·25. Mai 2026·7 Min. Lesezeit

DSGVO-Compliance für LLMs in Frankreich — Pseudonymisierung, DPA und Souveränität

Vollständige Checkliste für die DSGVO-konforme Bereitstellung von Claude / Gemini / GPT: Code zur Pseudonymisierung personenbezogener Daten, mit wem ein DPA gemäß Artikel 28 zu unterzeichnen ist, Zero Data Retention direkt bei Anthropic und Google, die Mistral-Frage und die Souveränität der KI, Protokollhosting und Information der betroffenen Personen.

Ein LLM (Claude, Gemini, GPT) DSGVO-konform in einem französischen Unternehmen einsetzen – die vollständige Checkliste: Pseudonymisierung von Daten, Auftragsverarbeitungsvertrag (DPA), Zero Data Retention, Hosting der Logs sowie die Frage nach Mistral und digitaler Souveränität.

Das regulatorische Minimum

  1. Pseudonymisierung personenbezogener Daten vor jedem externen LLM-Aufruf
  2. DPA nach Artikel 28 DSGVO, unterzeichnet mit jedem Auftragsverarbeiter, der Daten verarbeitet. Kunavo bietet kein solches an: Wenn Ihre Verarbeitung es erfordert, schließen Sie den Vertrag direkt mit dem Modellanbieter
  3. Aktuelles Verzeichnis der Verarbeitungstätigkeiten, einschließlich des Zwecks jedes LLM-Aufrufs
  4. Information der betroffenen Personen: Ihre Datenschutzrichtlinie muss die Nutzung von KI erwähnen

1) Pseudonymisierung – sofort einsatzbereiter Code

Bevor der Prompt Ihr Backend verlässt, ersetzen wir direkte Identifikatoren durch Token. Die Zuordnungstabelle bleibt lokal:

pseudonymiser.py
# Pseudonymiser les données personnelles avant l'appel LLM
import re
from openai import OpenAI

PATTERNS = [
    (re.compile(r"[\w.+-]+@[\w-]+\.[\w.-]+"), "<EMAIL>"),
    (re.compile(r"\b(?:\+33|0)\s*[1-9](?:\s*\d{2}){4}\b"), "<PHONE_FR>"),
    # Numéro de sécurité sociale français (15 chiffres)
    (re.compile(r"\b[12]\d{2}(?:0[1-9]|1[012])(?:\d{2})(?:\d{3})(?:\d{3})(?:\d{2})\b"), "<NIR>"),
    # IBAN FR
    (re.compile(r"\bFR\d{2}\s?(?:\d{4}\s?){5}\d{3}\b"), "<IBAN_FR>"),
]

def pseudonymiser(texte: str) -> tuple[str, dict]:
    masque = texte
    mapping = {}
    for i, (pat, tag) in enumerate(PATTERNS):
        for m in pat.finditer(texte):
            cle = f"{tag}_{i}_{m.start()}"
            mapping[cle] = m.group(0)
            masque = masque.replace(m.group(0), f"[{cle}]")
    return masque, mapping

Das LLM sieht „[EMAIL_0_42] hat [IBAN_FR_3_158] bestellt“ statt der echten Identifikatoren. Wenn die Antwort die Werte wieder einsetzen muss (zum Beispiel für eine Bestätigungs-E-Mail), erfolgt die Rücksubstitution erst danach, niemals im API-Aufruf.

2) DPA – wer was unterzeichnen muss

  • Sie ↔ Kunavo: Kunavo bietet kein DPA nach Artikel 28 DSGVO an. Ihre Requests werden in den Vereinigten Staaten verarbeitet und an Upstream-Anbieter übermittelt, deren eigene Datenschutz- und Aufbewahrungsrichtlinien für den Inhalt gelten
  • Sie ↔ Modellanbieter: Wenn Ihre Verarbeitung ein DPA erfordert, unterzeichnen Sie es direkt mit Anthropic, OpenAI oder Google im Rahmen deren Enterprise-Bedingungen
  • Standardvertragsklauseln (SCC): Prüfen Sie bei Übermittlungen in die USA (Anthropic, OpenAI), dass die von der Europäischen Kommission genehmigten SCC in dem DPA enthalten sind, das Sie mit dem Anbieter unterzeichnen

3) Zero Data Retention (ZDR): direkt mit dem Anbieter

Standardmäßig speichern Anthropic und Google Prompt-Logs 30 Tage (Anthropic) bzw. 60 Tage (Google) zur Missbrauchsüberwachung. Für DSGVO-sensible Workloads:

  • Kunavo: kein ZDR. Die Requests laufen über unser Gateway in den USA und anschließend über Upstream-Anbieter, deren eigene Aufbewahrungsrichtlinien gelten
  • Anthropic ZDR: von Anthropic für Enterprise-Kunden angeboten, mit einem direkten Vertrag mit Anthropic
  • Google Vertex AI EU: Bei einem direkten Vertrag mit Google Cloud ist Routing zu europe-west1 (Belgien) oder europe-west4 (Niederlande) möglich — Daten verlassen die EU nicht. Kunavo bietet keine EU-Region an
  • OpenAI: ZDR im Enterprise-Tarif, mit einem direkten Vertrag mit OpenAI

Die Mistral- und Souveränitätsfrage

Viele französische Teams möchten ihre Abhängigkeit von US-Anbietern verringern. Drei Gesichtspunkte sind zu berücksichtigen:

  • Mistral über Kunavo: nein. Kein Mistral-Modell und kein anderer europäischer Anbieter ist im Katalog enthalten, und es gibt kein auf europäische Anbieter beschränktes Routing.
  • Mistral direkt: Für wirklich sensible Fälle (öffentlicher Sektor, Gesundheitswesen) bietet Mistral eine On-Premises-Bereitstellung an. Kunavo ersetzt diesen Bedarf nicht.
  • Beides kombinieren: Mistral direkt für sensible Fälle, Claude über Kunavo für anspruchsvolles Reasoning. Es handelt sich um zwei Anbieter und zwei Schlüssel, und Ihr Code entscheidet, wohin jeder Aufruf geht.

Hosting von Logs und Datenresidenz

  • Kunavo-Routing: innerhalb des Gateways in einer einzigen Region (US-East, Ashburn). Nur der davorliegende Anycast-Edge beendet TLS in Ihrer Nähe.
  • Kontobeständigkeit und Abrechnung: eine einzige primäre Datenbank in US-East mit täglich verschlüsselten Snapshots des Volumes. Weder EU-only-Routing noch Speicherung in einer EU-Region, auch nicht auf Anfrage.
  • Ihre Anwendungslogs: Hosten Sie sie selbst in der EU (OVH, Scaleway, Hetzner). Seien Sie nicht das schwächste Glied

Information der betroffenen Personen – was Sie mitteilen müssen

Wenn Sie personenbezogene Daten durch ein LLM verarbeiten lassen, muss die Datenschutzrichtlinie dies erwähnen. Minimales Template:

Wir verwenden Modelle künstlicher Intelligenz (Anthropic Claude, Google Gemini, OpenAI GPT) als Auftragsverarbeiter über Kunavo (https://kunavo.com) für folgende Zwecke: [Klassifizierung, Zusammenfassung, Antwortgenerierung usw.]. Personenbezogene Daten werden vor der Übermittlung pseudonymisiert. Kunavo verwendet diese Daten nicht zum Trainieren von Modellen; jeder Modellanbieter verarbeitet sie gemäß seinen eigenen Datenschutz- und Aufbewahrungsrichtlinien. Sie haben gemäß den Artikeln 15 bis 21 der DSGVO das Recht auf Auskunft, Berichtigung, Widerspruch und Löschung.

Was vor dem Produktivgang zu prüfen ist

  • DPA, unterzeichnet mit jedem Auftragsverarbeiter (direkt mit dem Modellanbieter: Kunavo bietet kein DPA an)
  • Verzeichnis der Verarbeitungstätigkeiten aktuell
  • Pseudonymisierung an einer echten Stichprobe getestet (Leckrate < 0,1 %)
  • Logs in einer EU-Region
  • Verfahren zur Beantwortung von Anfragen gemäß Artikel 17 (Recht auf Löschung)
  • Datenschutzrichtlinie aktualisiert und zugänglich
  • DPO konsultiert, wenn die Verarbeitung umfangreich oder sensibel ist

Bereit zum Start? Kostenlos registrieren und anschließend ab 10 $ aufladen.

Verwandte ausführliche Beiträge