Der Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act, ist seit März 2018 in Kraft. Er stellt klar, dass amerikanische Anbieter elektronischer Kommunikations- und Speicherdienste den US-Strafverfolgungsbehörden auf entsprechende Anordnung hin Kundendaten herausgeben müssen, und zwar unabhängig davon, in welchem Land diese Daten gespeichert sind.
Warum die Landkarte in die Irre führt
Viele Anbieter werben mit einem Rechenzentrum in der Schweiz. Das ist für Latenz, Verfügbarkeit und teilweise für die Einhaltung von Aufbewahrungspflichten relevant. Für die Frage des behördlichen Zugriffs ist es das nicht. Sobald Sie Daten einem Anbieter anvertrauen, unterstehen sie faktisch dessen Rechtsordnung. Bei einem US-Konzern ist das amerikanisches Recht, auch wenn die Festplatte in Zürich steht.
| Konstellation | CLOUD Act anwendbar |
|---|---|
| US-Anbieter, Server in den USA | Ja |
| US-Anbieter, Server in der Schweiz | Ja |
| Schweizer Tochter eines US-Konzerns | In der Regel ja |
| Schweizer Anbieter ohne US-Mutter, Server in der Schweiz | Nein |
Was das für die Anbieterauswahl bedeutet
Wenn Sie den Zugriff nach CLOUD Act ausschliessen wollen, gibt es im Kern nur einen zuverlässigen Weg: einen Anbieter, der weder eine US-Muttergesellschaft noch massgebliche US-Kontrolle hat. Alles andere sind Abstufungen.
Weitere Massnahmen können das Risiko senken, es aber nicht beseitigen. Eine clientseitige Verschlüsselung, bei der der Anbieter die Schlüssel nie sieht, macht herausgegebene Daten wertlos, ist bei einem KI-Dienst aber naturgemäss schwierig: Das Modell muss den Klartext verarbeiten können. Ein sorgfältiger Auftragsbearbeitungsvertrag regelt Pflichten und Unterauftragnehmer, hebelt aber keine hoheitliche Anordnung aus.
Verhältnis zum Schweizer Datenschutzrecht
Der CLOUD Act und das DSG beantworten verschiedene Fragen. Das DSG regelt, ob Sie Personendaten ins Ausland bekanntgeben dürfen. Seit dem 15. September 2024 gelten die USA für Unternehmen mit Zertifizierung unter dem Swiss-U.S. Data Privacy Framework als angemessen, die Übermittlung an solche Unternehmen ist also ohne Zusatzgarantien zulässig. Der CLOUD Act regelt, ob amerikanische Behörden auf diese Daten zugreifen können. Die Antwort darauf bleibt ja.
Wie Bilano damit umgeht
Bilano wird von einer Schweizer Gesellschaft betrieben. Die Sprachmodelle laufen bei Infomaniak, einem Schweizer Unternehmen mit eigenen Rechenzentren in Genf und Zürich und ohne US-Muttergesellschaft. Damit besteht in der Verarbeitungskette von bexio über Bilano bis zum Modell kein Punkt, an dem der CLOUD Act greift.