Wo Modelle betrieben werden

Die meisten Anleitungen fangen bei der Frage an, welches Modell das beste ist. Im Betrieb steht eine andere davor, und sie handelt kaum von Technik: Wer könnte sehen, was ich hineinschreibe, und wer sagt mir das mit welcher Verbindlichkeit zu?

Der Ort ist keine Entfernung

Die naheliegende Vorstellung ist eine Skala. Ganz links das Rechenzentrum irgendwo in Übersee, ganz rechts der eigene Laptop, und dazwischen wird der Weg kürzer. Diese Vorstellung führt in die Irre, weil die Entfernung nichts über den Zugriff sagt. Ein Server im Nachbarort, den ein anderer betreibt, ist für Ihre Daten ein fremdes Haus. Ein Rechenzentrum in Übersee, dessen Betreiber vertraglich zusichert, nichts anzusehen, kann die bessere Antwort sein.

Was Sie tatsächlich entscheiden, sind zwei Dinge, und sie hängen nur lose zusammen.

Welches Modell? Ein geschlossenes Spitzenmodell, dessen Gewichte nur der Hersteller hat, oder ein offenes, dessen Gewichte jeder laden kann.

Wer betreibt es? Der Hersteller selbst, ein großer Betreiber, ein europäischer Anbieter, Ihr eigener Server oder Ihr eigenes Gerät.

seitlich verschiebbar

eigene Darstellung, Stand 05.08.2026

Dasselbe Modell, zwei Auskünfte

Wie weit die beiden Fragen auseinanderliegen, zeigt ein Vergleich, den man selbst nachlesen kann.

Anthropic beantwortet die Frage nach europäischen Servern für die eigene Schnittstelle auf einer Hilfeseite zum Serverstandort (externe Seite, privacy.claude.com): Anfragen können in ausgewählte Länder in den USA, in Europa, in Asien und in Australien geleitet werden. Gespeichert werden die Daten in den USA, das steht dort als eigener Hinweis.

Dieselben Modelle, Opus 5 und Sonnet 5, stehen gleichzeitig in den europäischen Regionen eines großen Betreibers zur Verfügung, unter anderem in Frankfurt, Irland, Paris und Stockholm (Ver­füg­bar­keits­ta­belle (externe Seite, docs.aws.amazon.com), abgerufen am 05.08.2026). Das Modell ist dasselbe. Wo die Daten liegen, hängt dagegen am Betreiber.

Was ein Betreiber zusagt

Der Betreiber steht zwischen Ihnen und dem Hersteller. Microsoft sagt auf seiner Seite zum Datenschutz (externe Seite, learn.microsoft.com) für die Modelle, die es ausliefert, zweierlei zu. Eingaben und Ausgaben stehen OpenAI und den übrigen Herstellern dieser Modelle nicht zur Verfügung. Und die Modelle laufen in Microsofts eigener Azure-Umgebung, ohne Verbindung zu einem Dienst, den ihr Hersteller betreibt.

Amazon löst dieselbe Aufgabe über getrennte Konten und beschreibt in der Doku zum Datenschutz (externe Seite, docs.aws.amazon.com) die Folge davon: Weil die Hersteller der Modelle keinen Zugang zu diesen Konten haben, sehen sie weder die Protokolle von Amazon Bedrock noch die Eingaben und Antworten der Kunden.

Sie tauschen damit den Ver­trau­ens­emp­fänger gegen einen anderen. Wem Sie glauben, bleibt eine Entscheidung. Neu ist, dass Sie eine Wahl haben, und dass diese Wahl das Daten­schutz­ver­spre­chen mitbringt, das Sie bei demselben Haus vielleicht ohnehin schon eingekauft haben.

Die Stufen, die daraus entstehen

Der Hersteller selbst. Der Normalfall, das neueste Modell zuerst, die Zusage kommt von dem, der das Modell gebaut hat.

Ein großer Betreiber. Dieselben Modelle in einer fremden Umgebung, mit der Zusage dieses Betreibers und dessen Regionen. Die Stufe wird im Gespräch am häufigsten übersehen.

Ein europäischer Anbieter. Offene Modelle als Schnittstelle, mit einer Festlegung auf einen Verarbeitungsort. IONOS etwa beschränkt die Verarbeitung in seinem Modell-Dienst (externe Seite, docs.ionos.com) auf Deutschland.

Ein eigener Server. Sie laden ein offenes Modell und betreiben es selbst. Der Text verlässt Ihre Umgebung nie, dafür kaufen Sie Hardware, betreiben sie und sind für die Aktualität selbst verantwortlich.

Der eigene Rechner. Dasselbe eine Nummer kleiner. Ein Programm wie Ollama (externe Seite, ollama.com) lädt ein Modell und führt es auf Ihrem Laptop aus. Was dabei geht und was nicht, rechnet Ebene 3 vor.

Für ein geschlossenes Spitzenmodell sehen die letzten drei Stufen anders aus, und zwar aus einem einzigen Grund: Betreiben kann es nur, wem der Hersteller die Gewichte gibt. Ein europäischer Anbieter reicht ein solches Modell deshalb weiter. T-Systems führt Claude und GPT-Modelle in seiner Modellliste (externe Seite, docs.llmhub.t-systems.net) und gibt die Anfragen dafür an Microsoft Azure oder Google Cloud. Ins eigene Rechenzentrum kommt ein geschlossenes Modell nur, wenn der Hersteller das anbietet. Google tut das für Gemini, in einer abgeschotteten Cloud beim Kunden (Produktseite (externe Seite, cloud.google.com)). Auf den eigenen Laptop kommt ein solches Modell gar nicht. Wie das für ein einzelnes Modell aussieht, zählt Nutzung und Anpassung von LLMs, Kapitel 06 Weg für Weg durch. Dass dabei auch Bewegung ist, zeigt eine Ankündigung (externe Seite, news.sap.com) vom 24.09.2025: OpenAI-Modelle sollen in einer deutschen Umgebung laufen, der Delos Cloud, die auf der Technik von Microsoft Azure aufsetzt. Geplant sind ein Ausbau auf 4000 Grafikprozessoren für KI-Anwendungen und ein Start im Jahr 2026. Auch das bleibt eine Betreiberkette, sie wird nur länger und endet näher.

Offen heißt nicht, dass es bei Ihnen läuft

Der häufigste Kurzschluss in diesem Thema: Ein Modell mit offenen Gewichten gilt als das, was man selbst betreibt. Die beiden Eigenschaften haben nichts miteinander zu tun.

Offen heißt, die Gewichte sind herunterladbar, bei manchen Herstellern erst nach einer Freigabe (externe Seite, github.com). Lokal heißt, sie laufen auf Ihrer Hardware. Das eine macht das andere möglich. Unter welcher Lizenz eine solche Datei steht und von wem sie stammt, zeigt Nutzung und Anpassung von LLMs, Kapitel 02.

Kimi K3 ist das Musterbeispiel. Die Gewichte stehen öffentlich, jeder darf sie laden, und die Modellkarte (externe Seite, huggingface.co) nennt es das weltweit erste offene Modell der Drei-Billionen-Klasse; gezählt sind es 2,8 Billionen Parameter.

Die Dateien wiegen zusammen 1,56 Terabyte. Ein Laptop scheidet damit aus, ein gewöhnlicher Server auch. Was offen hier praktisch bedeutet: Sie können den Betreiber wechseln, statt an einen gebunden zu sein. Ausführlich steht das im Beitrag Was offene Gewichte wert sind, wenn sie 1,56 Terabyte wiegen.

Umgekehrt gilt dasselbe: Auf Ihrem Laptop läuft ausschließlich ein offenes Modell, weil Sie an die Gewichte der geschlossenen gar nicht herankommen.

Woran Sie die Wahl festmachen

Fünf Größen ziehen gleichzeitig, und keine davon lässt sich ohne die anderen beantworten.

Leistung. Zwischen einem Modell, das auf einen Laptop passt, und der Spitze liegt ein Abstand in der Güte, den Ebene 3 beziffert. Daneben steht das Tempo, und das hängt am eigenen Gerät: Ein Werkstattbericht misst, was die üblichen Beschleuniger auf einem Arbeitsrechner ausrichten.

Datenschutz. Wer darf die Eingaben rechtlich verarbeiten, und in welchem Land sitzt der Vertragspartner.

Datensicherheit. Wer könnte sie technisch sehen, auch ohne dazu berechtigt zu sein. Das ist eine eigene Frage, und Ebene 3 zeigt eine Bauform, die sie anders beantwortet als alle Stufen oben.

Verfügbarkeit. Ein eigener Server steht still, wenn niemand ihn pflegt. Ein Anbieter steht still, wenn er es tut.

Kosten. Eine Grafikkarte kostet dasselbe, ob sie rechnet oder wartet, ein Anbieter kostet je Anfrage.

„Wird das zum Training verwendet?“ hat keine Antwort, solange die Frage so gestellt ist. Sie hat vier, und welche gilt, hängt am Anbieter und an der Kontoart.

Dieselbe Firma, zwei Voreinstellungen

OpenAI schreibt beide Fälle auf dieselbe Hilfeseite zur Datennutzung (externe Seite, help.openai.com). Bei den ChatGPT-Tarifen für Privatpersonen, die Seite nennt Free, Plus und Pro, darf OpenAI die Inhalte zum Training seiner Modelle verwenden.

Die Richtung des Schalters steht gleich dabei. Voreingestellt ist das Training, abgeschaltet wird es von Hand, und der Widerspruch gilt für die Gespräche, die danach entstehen.

Weiter unten auf derselben Seite steht das Gegenteil, für die Firmenkonten: Eingaben und Ausgaben aus ChatGPT Business, ChatGPT Enterprise, ChatGPT Edu und der Schnittstelle gehen in der Voreinstellung nicht in die Verbesserung der Modelle.

Wer also über ein Firmenkonto oder die Schnittstelle arbeitet, hat die Frage schon beantwortet, ohne etwas einzustellen. Wer dieselbe Oberfläche mit einem privaten Zugang benutzt, hat sie ebenfalls beantwortet, in die andere Richtung.

Drei Anbieter, drei Antworten

Anthropic führt zwei getrennte Hilfeseiten, eine für kommerzielle Angebote und eine für Privatkonten. Die für Firmen nennt als letzte Änderung den 19.08.2026, die für Privatkonten den 16.03.2026. Für die kommerziellen gilt dasselbe wie bei OpenAI: Laut der Seite für Firmenkunden (externe Seite, privacy.claude.com) verwendet Anthropic Eingaben und Ausgaben aus den kommerziellen Produkten in der Voreinstellung nicht.

Für die Privatkonten steht dort allerdings der umgekehrte Schalter. Die Seite für Privatkonten (externe Seite, privacy.claude.com) zählt drei Fälle auf, in denen Gespräche in die Modell­ver­bes­se­rung gehen, und der erste ist die eigene Zustimmung, Chats und Pro­gram­mier­sit­zungen dafür freizugeben.

Bei Google liegt der Fall wieder anders. Gemini Apps verwendet die Unterhaltungen zur Verbesserung der Dienste, und Menschen lesen einen Teil davon. Die Daten­schutz­hin­weise zu Gemini Apps (externe Seite, support.google.com) formulieren die Folge daraus als Bitte: Vertrauliches, das ein Prüfer nicht sehen soll, gehört nicht hinein.

Stand 15.10.2026, nach den oben verlinkten Seiten. Bei den Privatkonten antworten alle drei Anbieter verschieden. Wer „die KI“ sagt und dabei an eine einheitliche Zusage denkt, meint drei verschiedene.

Die vierte Antwort kommt von jemand anderem

Alle drei Zeilen der Tabelle handeln vom Hersteller. Sobald ein Betreiber dazwischentritt, wird die Frage noch einmal neu beantwortet, und zwar von ihm. Amazon beschreibt für die fremden Modelle, die es ausliefert, einen Aufbau mit getrennten Konten, und die Doku zum Datenschutz (externe Seite, docs.aws.amazon.com) hält fest, dass die Hersteller der Modelle auf diese Konten keinerlei Zugriff haben.

Microsoft sagt dasselbe als Aufzählung dessen, was mit Eingaben und Ausgaben nicht geschieht. Ein Punkt darin betrifft den Hersteller des Modells: Laut der Seite zum Datenschutz (externe Seite, learn.microsoft.com) stehen sie weder OpenAI noch den übrigen Herstellern der Modelle zur Verfügung, die Microsoft verkauft.

Praktisch heißt das: Bei derselben Modellfamilie können drei verschiedene Verträge gelten, je nachdem, über welchen Weg Sie sie ansprechen. Für die Prüfung eines Vorhabens lautet die erste Frage deshalb, mit wem der Vertrag darüber besteht. Welches Modell darunter läuft, klärt sich danach.

Kein Training heißt nicht, dass niemand hineinsieht

Die Zusage, nichts zum Training zu verwenden, ist die bekannteste, und sie beantwortet nur eine von zwei Fragen. Die zweite lautet, ob ein Mensch die Eingaben zu sehen bekommt, und dafür gibt es einen eigenen Grund, der mit Training nichts zu tun hat: die Erkennung von Missbrauch.

Microsoft beschreibt sie ausführlich. Auffällige Anfragen können einer menschlichen Durchsicht vorgelegt werden, und die Seite zum Datenschutz (externe Seite, learn.microsoft.com) sagt, wer dafür zuständig ist: Die berechtigten Mitarbeiter von Microsoft sitzen im Europäischen Wirtschaftsraum.

Das ist eine gute Nachricht und zugleich der Beleg dafür, dass es diese Durchsicht gibt. Abschalten lässt sie sich nur auf Antrag und nach Prüfung.

Für die Praxis folgt daraus eine unbequeme Trennung. „Wird nicht trainiert“ ist eine Aussage über die Zukunft des Modells. „Sieht niemand“ ist eine Aussage über den Betrieb, und die steht woanders.

Der Daumen hebt die Einstellung auf

Hier wird es praktisch, denn dieser Teil steht bei zwei Anbietern unabhängig voneinander und fast gleich da. Auf OpenAIs Hilfeseite zur Datennutzung (externe Seite, help.openai.com) steht, dass man auch nach dem Widerspruch gegen das Training Rückmeldung zu einem Gespräch geben kann. Wer das tut, gibt das ganze Gespräch zu dieser Rückmeldung für das Training frei. Für ChatGPT Business, Enterprise und Edu schließt dieselbe Seite das ausdrücklich aus.

Anthropic nennt auf der Seite für Privatkonten (externe Seite, privacy.claude.com) zusätzlich die Frist: Nach einem Klick auf den Daumen hoch oder runter speichert Anthropic das ganze zugehörige Gespräch samt Inhalten, eigenen Stilen und Gesprächs­ein­stel­lungen bis zu fünf Jahre lang in einem gesicherten System.

Bei einem Privatkonto ist ein Klick auf den Daumen also eine Datenfreigabe für das ganze Gespräch, und zwar auch dann, wenn man dem Training vorher widersprochen hat. Das steht offen auf der Hilfeseite. Bekannt ist es trotzdem kaum, weil der Knopf wie eine Bewertung aussieht.

seitlich verschiebbar

eigene Darstellung, Stand 05.08.2026

Löschen löscht verschieden viel

Die dritte Frage nach Training und Ort ist die Aufbewahrung, und dort stehen konkrete Zahlen.

OpenAI beziffert auf der Seite für Geschäftskunden (externe Seite, openai.com) eine Frist, die nach dem Löschen läuft: Gelöschte Gespräche verschwinden innerhalb von 30 Tagen aus den Systemen, es sei denn, OpenAI muss sie von Rechts wegen aufbewahren.

Bei Google gibt es zwei Uhren nebeneinander. Die gewöhnliche Aktivität verschwindet laut den Daten­schutz­hin­weisen zu Gemini Apps (externe Seite, support.google.com) in der Voreinstellung nach 18 Monaten von selbst. Einstellen lassen sich auch 3 oder 36 Monate oder gar kein automatisches Löschen.

Für Unterhaltungen, die ein Mensch geprüft hat, gilt jedoch eine eigene Regel, und die überlebt das Löschen. Solche Chats und die Angaben dazu (Sprache, Gerätetyp, Standort, Rückmeldung) bleiben stehen, wenn man die Aktivität löscht, und werden bis zu drei Jahre aufbewahrt.

Das ist der Satz, den man gelesen haben sollte, bevor man sich auf den Löschknopf verlässt. Er löscht das, was Sie sehen. Was ein Prüfer bereits in der Hand hatte, bleibt bis zu drei Jahre.

Was daraus folgt

Prüfen Sie die Kontoart. Dieselbe Oberfläche verhält sich je nach Zugang verschieden, und der Unterschied ist die ganze Frage.

Behandeln Sie den Daumen im Privatkonto wie eine Freigabe. Er ist dort bei zwei von drei Anbietern belegt genau das. Wer bei einem heiklen Gespräch bewerten möchte, tut es besser an einem harmlosen.

Schreiben Sie das Ergebnis auf. Die verlinkten Seiten nennen ein Aktua­li­sie­rungs­datum und werden überschrieben statt versioniert. Eine Zusage, die Sie heute lesen, gilt für heute. Wer sie einmal geprüft hat, notiert Datum und Wortlaut, sonst prüft er beim nächsten Zweifel von vorn.

Die Frage „passt das auf meinen Rechner?“ hat eine Rechnung dahinter, und sie ist kurz genug, um sie im Kopf zu machen.

Die Rechnung hinter der Dateigröße

Ein Modell ist eine Liste von Zahlen, ein Gewicht je Parameter. Wie viel Platz es braucht, ergibt sich aus zwei Größen: wie viele Parameter, und wie viele Bit je Parameter gespeichert werden.

Trainiert wird üblicherweise mit 16 Bit, also zwei Byte je Parameter. Ein Modell mit 27 Milliarden Parametern käme damit auf rund 54 Gigabyte. Heruntergeladen wird etwas anderes. Die Bezugsseite von Gemma 3 (externe Seite, ollama.com) führt fünf Größen, mit 270 Millionen sowie 1, 4, 12 und 27 Milliarden Parametern, und nennt je Variante die Dateigröße in der voreingestellten Fassung: 3,3 Gigabyte für 4B, 8,1 für 12B und 17 für 27B, abgerufen am 05.08.2026. Die größte Variante wiegt damit knapp ein Drittel dessen, was die volle Genauigkeit verlangen würde.

Quantisierung, und wann sie eingebaut wird

Der Unterschied heißt Quantisierung: Die Gewichte werden gröber gespeichert, vier oder fünf Bit statt sechzehn. Das kostet Genauigkeit, und wie viel es kostet, hängt davon ab, wann es geschieht.

Der übliche Weg ist Schrumpfen nach dem Training. Der Verlust landet dann dort, wo er zufällig anfällt. Kimi K3 zeigt den anderen Weg, und die Modellkarte (externe Seite, huggingface.co) beschreibt ihn: Ab dem überwachten Fine-Tuning (SFT) lernt das Modell mit der Quantisierung im Blick, die Gewichte im Format MXFP4, die Aktivierungen in MXFP8, damit es auf möglichst vielen Recheneinheiten läuft.

Das Modell wurde also ab dem Fine-Tuning mit der groben Darstellung trainiert. Es rechnet den Verlust ein, statt ihn hinterher zu erleiden. Was das für die Größe ausmacht, rechnet der Beitrag Was offene Gewichte wert sind, wenn sie 1,56 Terabyte wiegen vor.

Wo die Grenze eines Geräts liegt

Entscheidend ist der Arbeitsspeicher, die Datei muss ganz hineinpassen. Dazu kommt Platz für das Kontextfenster, und der wächst mit dessen Länge. Als Näherung bei kurzen Texten: Nehmen Sie die Dateigröße, rechnen Sie ein Viertel dazu, und dieser Betrag muss frei sein, während alles andere weiterläuft. Ollama stellt auf Geräten mit weniger als 24 GiB Grafikspeicher eine Länge von 4.096 Token ein (Dokumentation zur Kontextlänge (externe Seite, docs.ollama.com)). Dort reicht die Näherung meist, bei kleinen Modellen wird es knapp, weil ihr Cache im Verhältnis zur Datei groß ist. Bei langen Texten wächst der Platz für den Kontext über die Datei hinaus. Wie weit, rechnet Nutzung und Anpassung von LLMs, Kapitel 04 vor.

seitlich verschiebbar

eigene Messung mit llama.cpp Build 11669, 19.10.2026

Für ein Gerät mit 16 Gigabyte heißt das bei Gemma 3: die 4B-Variante ohne Nachdenken, die 12B-Variante mit geschlossenen Programmen daneben. Die 27B-Variante braucht ein Gerät mit deutlich mehr Speicher.

Zwei Programme nehmen einem die Verwaltung ab. Ollama (externe Seite, ollama.com) lädt Modelle über einen Befehl und stellt eine Schnittstelle bereit, die sich wie die eines Anbieters ansprechen lässt. LM Studio (externe Seite, lmstudio.ai) macht dasselbe mit einer Oberfläche darüber. Beide führen GGUF-Dateien aus, LM Studio auf dem Mac zusätzlich Modelle für MLX. Welches Programm welches Format liest, zeigt Nutzung und Anpassung von LLMs, Kapitel 05.

Läuft und taugt sind zwei Fragen

Ein 4B-Modell startet auf jedem halbwegs aktuellen Laptop. Damit ist über die Qualität nichts gesagt. Der Abstand zur Spitze ist bei Aufgaben, die hauptsächlich Umformung sind, klein, etwa beim Zusammenfassen oder beim Herausziehen eines Felds. Bei Aufgaben über mehrere Schritte wird er groß, und das aus demselben Grund, den Grundkurs, Kapitel 10 beschreibt. Wie weit kleine Modelle inzwischen reichen, misst KI jenseits der Sprachmodelle, Kapitel 10.

Praktisch bewährt sich daraus eine Kette. Die Aufgabe geht zuerst an den Anbieter, und wenn der ausfällt oder die Daten dort nichts zu suchen haben, übernimmt das lokale Modell. Die Zusage dafür steht in der Daten­schutz­er­klä­rung von Ollama (externe Seite, ollama.com): Eingaben, Antworten und alle anderen Inhalte, die lokal verarbeitet werden, erhebt, speichert und überträgt Ollama nicht, und es hat keinen Zugriff darauf.

Im nächsten Absatz steht die Grenze dieser Zusage: Angaben zum Gerät und zur Nutzung, etwa die Programmversion und die Zahl der Anfragen, erhebt Ollama auch im lokalen Betrieb, nur ohne den Inhalt. Dieselbe Erklärung regelt die Rechenzeit, die Ollama seit dem Sommer 2026 verkauft; dort wird der Inhalt nur für die Dauer der Anfrage verarbeitet. Für die Stufe, um die es hier geht, zählt der lokale Betrieb.

Ein Beispiel für eine solche Stufung samt Messungen liegt im Bericht über eine eigene Diktier-App, wo die Nachbearbeitung des erkannten Textes lokal läuft.

Der eigene Server rechnet sich über die Auslastung

Zwischen Laptop und Anbieter liegt die Stufe, die im Firmenumfeld am häufigsten diskutiert wird: eigene Hardware im Serverraum oder bei einem Dienstleister. Drei Posten entscheiden, und keiner davon ist der Anschaffungspreis allein.

Auslastung. Eine Grafikkarte kostet dasselbe, ob sie rechnet oder wartet. Die Rechnung geht auf, wenn viele Anfragen gleichzeitig laufen, weil ein Modell dann mehrere Anfragen im selben Durchlauf bearbeitet. Bei zehn Anfragen am Tag zahlen Sie Hardware für 23 Stunden Leerlauf. Wie ein Server die Anfragen bündelt, erklärt Nutzung und Anpassung von LLMs, Kapitel 05.

Aktualität. Sie sitzen auf dem Modell, das Sie geladen haben. Ein Anbieter tauscht seine Modelle mehrmals im Jahr aus, ein eigener Betrieb bleibt stehen, bis jemand das nächste einspielt und die Kette dahinter erneut prüft.

Betrieb. Treiber, Speicher, Ausfälle, Überwachung. Der Aufwand entspricht dem jedes anderen Servers, und er fällt auch dann an, wenn niemand fragt.

Deshalb lohnt der Blick auf die Zwischenstufe, bevor eine Beschaffung beginnt. Wer die Verarbeitung in Europa braucht, bekommt sie bei den meisten großen Anbietern als Einstellung. Anthropic bietet sie an der eigenen Schnittstelle laut der Doku zur Datenresidenz (externe Seite, platform.claude.com) bisher nicht an, für Claude führt der Weg nach Europa über einen Cloud-Anbieter. Welche das sind, zählt Nutzung und Anpassung von LLMs, Kapitel 06 durch. Bei OpenAI etwa wählen berechtigte Kunden laut der Anleitung zu den Datenkontrollen (externe Seite, developers.openai.com) je Projekt eine Region, darunter Europa mit EWR und Schweiz. Welche Kunden berechtigt sind und was die Wahl kostet, steht in Kapitel 08.

Das beantwortet einen großen Teil der Fragen, die sonst zum eigenen Server führen, ohne dass jemand Hardware betreibt.

Die Region ist nicht der Schalter

Hier liegt die Falle, an der eine sorgfältig geplante Beschaffung scheitert. Eine europäische Region auszuwählen genügt nicht, denn daneben steht eine zweite Einstellung, die entscheidet, wo tatsächlich gerechnet wird. Microsoft benennt sie als Bereit­stel­lungstyp. Für die weltweite Variante steht auf der Seite zum Datenschutz (externe Seite, learn.microsoft.com), dass Eingaben und Antworten in jedem Gebiet verarbeitet werden können, in dem das betreffende Modell bereitsteht.

Die Ressource liegt dann in Europa, die Verarbeitung möglicherweise nicht. Eine Zwischenstufe legt die Verarbeitung auf einen Verbund von Ländern fest, eine regionale Bereitstellung auf das Gebiet der gewählten Region. Innerhalb dieses Gebiets darf Microsoft für den Betrieb zwischen Regionen wechseln. Wer eine Zusage braucht, prüft also beide Angaben, und die zweite steht anderswo als die Region.

Dasselbe gilt für die Fassung, die man bei sich hat: Ein nachtrainiertes Modell liegt dort, wo es entstanden ist, und bindet damit an den Betreiber, bei dem es entstand. Was diese Bindung für die Entscheidung bedeutet, steht in Kapitel 02.

Eine Stufe unterhalb des Vertrauens

Alle bisherigen Stufen laufen auf dieselbe Frage hinaus: Wem glauben Sie? Es gibt eine Bauform, die diese Frage anders stellt. Bei der vertraulichen Verarbeitung wird der Speicher der Recheneinheit verschlüsselt, und entschlüsselt wird erst innerhalb einer abgeschotteten Umgebung, an die auch der Betreiber nicht herankommt. NVIDIA beschreibt die Zusage im Glossar zur vertraulichen Verarbeitung (externe Seite, nvidia.com): Die Daten sind weder für den Hersteller des Modells noch für den Betreiber der Infrastruktur noch für einen Insider mit erweiterten Rechten zugänglich. Selbst Administratoren mit allen Systemrechten kommen nicht an die Daten und Modelle heran, die in einer solchen abgeschotteten virtuellen Maschine (CVM) laufen.

Damit verschiebt sich der Gegenstand des Vertrauens von einem Vertrag auf eine Hardware-Eigenschaft, die sich bescheinigen lässt. Der Preis dafür ist Aufwand bei der Einrichtung und ein Angebot, das noch nicht überall danebensteht. Für Vorhaben, bei denen die Frage nach dem Zugriff sonst zum eigenen Serverraum führt, lohnt die Nachfrage beim Betreiber trotzdem.