Kurzantwort
Welche Sicherheitsnachweise sollten Unternehmen bei Enterprise AI vergleichen?
Alle vier verglichenen Plattformen dokumentieren technische und administrative Sicherheitskontrollen, aber mit unterschiedlichen Schwerpunkten. nuwacom nennt unter anderem Mandantentrennung und Verschlüsselung, Langdock ISO- und SOC-Nachweise sowie Workflow-Kontrollen, OpenAI Verschlüsselung, Enterprise Key Management und Zugriffssteuerung, Microsoft einen Defense-in-Depth-Ansatz mit bestehenden Microsoft-365-Berechtigungen, DLP und Security-Dashboards. Diese Herstellerangaben ersetzen keinen Security Review der konkreten Konfiguration. [19][77][78][79][25][30][46]
Fakten aus Herstellerunterlagen. Die Eignung für einen konkreten Einsatz ist eine redaktionelle Einordnung, keine gemessene Überlegenheit.
Antwort-Map
Was diese Seite beantwortet
Die wichtigsten Entscheidungsfragen sind direkt mit den ausführlichen, quellengebundenen Antworten auf dieser Seite verknüpft.
Prüfkriterien
4 Kriterien, die getrennt geprüft werden sollten
Sicherheitsarchitektur
Verschlüsselung, Mandantentrennung, Identitätskontrollen, Audit-Nachweise, Netzwerkgrenzen und Sicherheitsfunktionen getrennt von Datenschutzversprechen prüfen.
Administration
SSO, SCIM, Rollen, Gruppen, Provisionierung und zentrale Admin-Kontrollen im tatsächlich gebuchten Produktumfang prüfen.
Datenschutz & DPA
DPA beziehungsweise AVV, Rechtsgrundlage, Unterauftragnehmer und die konkrete Datenverarbeitung getrennt prüfen.
Hosting & Datenregion
Speicherregion, Verarbeitungsregion, Modellregion und mögliche Drittlandtransfers nicht als dieselbe Zusage behandeln.
Auf einen Blick
Wie unterscheiden sich die dokumentierten Angebote?
| Kriterium | ChatGPT Enterprise | nuwacom | Microsoft 365 Copilot | Langdock |
|---|---|---|---|---|
| Sicherheitsarchitektur | ChatGPT Enterprise: dokumentierte Verschlüsselung, Monitoring, Schlüssel- und Zugriffskontrollen. [19] Die dokumentierten Kontrollen gelten je nach Produkt, Berechtigung und aktivierter Funktion in unterschiedlichem Umfang. Zertifizierungen und Plattformkontrollen ersetzen keinen Review der eigenen Workspace-Konfiguration, verbundenen Tools und Datenflüsse. | nuwacom: dokumentierte Mandantentrennung und Verschlüsselung. [30][46] Herstellerdokumentation ersetzt weder einen eigenen Security Review noch die Prüfung von Verträgen, Unterauftragnehmern und konkreter Konfiguration. | Microsoft Copilot: Defense in Depth, bestehende Berechtigungen, DLP und Security-Dashboards. [79][25] Copilot übernimmt vorhandene Berechtigungen und kann deshalb bereits zu weit freigegebene Inhalte nicht automatisch korrigieren. Einzelne Dashboard-Funktionen befinden sich im Preview-Status; Rollen, Lizenzen und aktivierte Microsoft-Sicherheitsprodukte beeinflussen den verfügbaren Umfang. | Langdock: ISO 27001/SOC 2, Verschlüsselung und administrative Workflow-Sicherheitskontrollen. [77][78] Trust-Center- und Produktdokumentation belegen dokumentierte Kontrollen, aber keinen unabhängigen Security Review der konkreten Kundenkonfiguration. Einzelne Auditberichte sind zugriffsbeschränkt; aktivierte Workflow-Funktionen und Deployment-Varianten müssen separat geprüft werden. |
| Administration | ChatGPT Enterprise: SAML-SSO und SCIM. [19][20] Berechtigungen und Integrationen vor einem Rollout mit der eigenen Organisationsstruktur prüfen. | nuwacom: Rollen, SSO, MFA und zentrale Workspace-Verwaltung. [30][46] Provisionierung, Gruppenmapping und Rechte-Lebenszyklus müssen mit dem eigenen Identitätssetup getestet werden. | Microsoft 365 Copilot: Microsoft-Administration. [26][23] Vorhandene Microsoft-Lizenzen sind ein Ausgangspunkt, aber kein Beleg für jeden Copilot-Funktionsumfang. | Langdock: SSO, SCIM und SAML dokumentiert. [13] Provisionierung, Gruppenmapping und Deprovisionierung müssen mit dem eigenen Identitätsanbieter getestet werden. |
| Datenschutz & DPA | ChatGPT Enterprise: DPA, kein Training standardmäßig und europäische Residenzoptionen. [20][21] Datenresidenz und Inferenzresidenz haben einen definierten Geltungsbereich. Apps, Webfunktionen, Unterauftragnehmer und die konkrete Workspace-Konfiguration müssen separat bewertet werden. | nuwacom: DPA, EU-Verarbeitung und kein Modelltraining mit Kundendaten laut Anbieterunterlagen. [60][59] Eine DPA und technische Schutzmaßnahmen machen einen konkreten Einsatz nicht automatisch DSGVO-konform. Rechtsgrundlage, Datenarten, aktivierte Modelle, Unterauftragnehmer, Transfers und Konfiguration müssen im Einzelfall geprüft werden. | Microsoft Copilot: Microsoft DPA, Enterprise Data Protection und kein Foundation-Model-Training mit Unternehmensdaten. [25][24] Websuchanfragen und einzelne Modelloptionen können abweichende Datenflüsse und Bedingungen haben. Die EU Data Boundary gilt nicht pauschal für jede verbundene Funktion. | Langdock: DPA, EU-Hosting und kein Training mit Kundendaten laut Anbieter. [12] Nicht jedes Modell ist pauschal in der EU gehostet. Vertragsvariante, Modellregion, Unterauftragnehmer und konkrete Verarbeitung müssen geprüft werden. |
| Hosting & Datenregion | ChatGPT Enterprise: europäische Residenzoptionen. [21] Die Region umfasst EWR und Schweiz. Speicherung und GPU-Inferenz sind unterschiedliche Zusagen mit begrenztem Geltungsbereich; kein pauschales „alles in Deutschland“. | nuwacom: Azure EU, deutsche IONOS- und StackIT-Optionen sowie BYOC. [30][47] Das ist keine pauschale Aussage, dass jede Verarbeitung ausschließlich in Deutschland stattfindet. Modellregion, Unterauftragnehmer und Vertragsvariante müssen separat geprüft werden. | Microsoft 365 Copilot: EU-Zusagen mit Ausnahmen. [25][24] Websuchanfragen und Anthropic-Modelle fallen nicht pauschal unter dieselben EU-Data-Boundary-Zusagen. Deutschland-exklusives Hosting ist damit nicht belegt. | Langdock: EU-Anwendung; Modellregion konfigurationsabhängig. [12] Nicht jedes Modell ist damit pauschal EU-gehostet. Dedicated- und On-Premise-Varianten haben eigene Bedingungen. |
Herstellerangaben, keine Messwerte aus einem Produkttest. Einschränkungen stehen in jeder Zelle. Die Abschnitte darunter erläutern die Entscheidung.
Nächster Schritt
Anbieter direkt prüfen
Öffnen Sie die offizielle Anbieter-Seite, um aktuelle Leistungen, Konditionen und Details direkt beim Anbieter zu prüfen.
Entscheidungshilfe · Einordnung
Was sollte eine Security-Prüfung von Datenschutz und Governance unterscheiden?
Security, Datenschutz und Governance überschneiden sich, beantworten aber unterschiedliche Fragen. Security betrachtet technische und administrative Schutzmechanismen, Datenschutz die rechtmäßige Verarbeitung und Vertragslage, Governance Rollen und Freigaben. Für eine Beschaffung sollten diese Ebenen getrennt dokumentiert werden, damit Zertifikate oder Verschlüsselungsangaben nicht fälschlich als vollständige Datenschutz- oder Governance-Bewertung gelesen werden. [19][77][78][79][25][30][46][20][21][12][24][60][59]
OpenAI dokumentiert für Geschäftsdaten AES-256-Verschlüsselung im Ruhezustand und TLS 1.2 oder höher bei der Übertragung, optionale Enterprise Key Management-Funktionen, 24/7-Sicherheitsmonitoring sowie Enterprise-Zugriffskontrollen wie SCIM und rollenbasierte Berechtigungen. [19]
Einordnung und Grenze: Die dokumentierten Kontrollen gelten je nach Produkt, Berechtigung und aktivierter Funktion in unterschiedlichem Umfang. Zertifizierungen und Plattformkontrollen ersetzen keinen Review der eigenen Workspace-Konfiguration, verbundenen Tools und Datenflüsse.
Unterlage geprüft: · Nicht praktisch getestet
OpenAI dokumentiert für ChatGPT Enterprise eine DPA zur Unterstützung der DSGVO-Compliance, kein Training auf Geschäftsdaten standardmäßig sowie Kontrollen für Datenaufbewahrung, Zugriffe und europäische Residenzoptionen. [20][21]
Einordnung und Grenze: Datenresidenz und Inferenzresidenz haben einen definierten Geltungsbereich. Apps, Webfunktionen, Unterauftragnehmer und die konkrete Workspace-Konfiguration müssen separat bewertet werden.
Unterlage geprüft: · Nicht praktisch getestet
nuwacom dokumentiert getrennte Speicher, isolierte Datenbank-Volumes, eine eigene Vektordatenbank und eine eigene Domain je Kunde. Für Verschlüsselung werden TLS 1.2 und 1.3 im Transport sowie AES-256 im Ruhezustand genannt. [30][46]
Einordnung und Grenze: Herstellerdokumentation ersetzt weder einen eigenen Security Review noch die Prüfung von Verträgen, Unterauftragnehmern und konkreter Konfiguration.
Unterlage geprüft: · Nicht praktisch getestet
nuwacom stellt einen öffentlich zugänglichen Datenverarbeitungsvertrag bereit und beschreibt sich darin bei der Verarbeitung von Kundendaten als Auftragsverarbeiter. Die Sicherheitsseite nennt Verarbeitung und Speicherung innerhalb der EU sowie kein Training von KI-Modellen mit Kundendaten. [60][59]
Einordnung und Grenze: Eine DPA und technische Schutzmaßnahmen machen einen konkreten Einsatz nicht automatisch DSGVO-konform. Rechtsgrundlage, Datenarten, aktivierte Modelle, Unterauftragnehmer, Transfers und Konfiguration müssen im Einzelfall geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft dokumentiert für Microsoft Copilot einen mehrschichtigen Defense-in-Depth-Ansatz, die Übernahme bestehender Microsoft-365-Identitäts- und Zugriffsregeln, berechtigungsgebundenen Datenzugriff sowie DLP-, Oversharing- und Security-Dashboard-Funktionen für die Überwachung von KI-Risiken. [79][25]
Einordnung und Grenze: Copilot übernimmt vorhandene Berechtigungen und kann deshalb bereits zu weit freigegebene Inhalte nicht automatisch korrigieren. Einzelne Dashboard-Funktionen befinden sich im Preview-Status; Rollen, Lizenzen und aktivierte Microsoft-Sicherheitsprodukte beeinflussen den verfügbaren Umfang.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft dokumentiert für das geschäftliche Copilot-Angebot Enterprise Data Protection unter der Microsoft DPA, Unterstützung für die DSGVO sowie die Zusage, Prompts, Antworten und Microsoft-Graph-Daten nicht zum Training von Foundation Models zu verwenden. [25][24]
Einordnung und Grenze: Websuchanfragen und einzelne Modelloptionen können abweichende Datenflüsse und Bedingungen haben. Die EU Data Boundary gilt nicht pauschal für jede verbundene Funktion.
Unterlage geprüft: · Nicht praktisch getestet
Langdock dokumentiert im eigenen Trust Center ISO 27001:2022 und SOC 2 Type II sowie technische und organisatorische Sicherheitskontrollen wie Verschlüsselung, eingeschränkten Produktionszugriff und Disaster-Recovery-Verfahren. Für Workflows können Workspace-Administratoren zusätzlich Code- und HTTP-Request-Nodes deaktivieren, um benutzerdefinierte Codeausführung oder ausgehende API-Aufrufe zu beschränken. [77][78]
Einordnung und Grenze: Trust-Center- und Produktdokumentation belegen dokumentierte Kontrollen, aber keinen unabhängigen Security Review der konkreten Kundenkonfiguration. Einzelne Auditberichte sind zugriffsbeschränkt; aktivierte Workflow-Funktionen und Deployment-Varianten müssen separat geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Langdock dokumentiert GDPR-Ausrichtung, einen Data Protection Addendum, EU-Hosting für die Anwendung und die meisten konfigurierbaren Modelle sowie kein Training mit Kundendaten. [12]
Einordnung und Grenze: Nicht jedes Modell ist pauschal in der EU gehostet. Vertragsvariante, Modellregion, Unterauftragnehmer und konkrete Verarbeitung müssen geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
- Technische Sicherheitskontrollen getrennt von Datenschutzversprechen erfassen.
- SSO, SCIM, Rollen und Provisionierung im gebuchten Paket prüfen.
- Speicher-, Verarbeitungs- und Modellregion getrennt dokumentieren.
- Auditberichte und Zertifikate auf Geltungsbereich und Aktualität prüfen.
- Verbundene Tools, Workflows und ausgehende Datenflüsse separat bewerten.
Entscheidungshilfe · Einordnung
Welche Sicherheitskontrollen dokumentieren die vier Enterprise-AI-Plattformen?
nuwacom dokumentiert Mandantentrennung und Verschlüsselung. Langdock weist im Trust Center ISO 27001:2022 und SOC 2 Type II sowie technische und organisatorische Kontrollen aus und erlaubt zusätzliche Workflow-Beschränkungen. OpenAI beschreibt Verschlüsselung, Enterprise Key Management, Monitoring und Enterprise-Zugriffskontrollen. Microsoft beschreibt Defense in Depth, bestehende Identitäts- und Datenzugriffsregeln sowie DLP- und Security-Dashboards. Der dokumentierte Umfang ist nicht mit einem unabhängigen Penetrationstest gleichzusetzen. [19][77][78][79][25][30][46]
OpenAI dokumentiert für Geschäftsdaten AES-256-Verschlüsselung im Ruhezustand und TLS 1.2 oder höher bei der Übertragung, optionale Enterprise Key Management-Funktionen, 24/7-Sicherheitsmonitoring sowie Enterprise-Zugriffskontrollen wie SCIM und rollenbasierte Berechtigungen. [19]
Einordnung und Grenze: Die dokumentierten Kontrollen gelten je nach Produkt, Berechtigung und aktivierter Funktion in unterschiedlichem Umfang. Zertifizierungen und Plattformkontrollen ersetzen keinen Review der eigenen Workspace-Konfiguration, verbundenen Tools und Datenflüsse.
Unterlage geprüft: · Nicht praktisch getestet
nuwacom dokumentiert getrennte Speicher, isolierte Datenbank-Volumes, eine eigene Vektordatenbank und eine eigene Domain je Kunde. Für Verschlüsselung werden TLS 1.2 und 1.3 im Transport sowie AES-256 im Ruhezustand genannt. [30][46]
Einordnung und Grenze: Herstellerdokumentation ersetzt weder einen eigenen Security Review noch die Prüfung von Verträgen, Unterauftragnehmern und konkreter Konfiguration.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft dokumentiert für Microsoft Copilot einen mehrschichtigen Defense-in-Depth-Ansatz, die Übernahme bestehender Microsoft-365-Identitäts- und Zugriffsregeln, berechtigungsgebundenen Datenzugriff sowie DLP-, Oversharing- und Security-Dashboard-Funktionen für die Überwachung von KI-Risiken. [79][25]
Einordnung und Grenze: Copilot übernimmt vorhandene Berechtigungen und kann deshalb bereits zu weit freigegebene Inhalte nicht automatisch korrigieren. Einzelne Dashboard-Funktionen befinden sich im Preview-Status; Rollen, Lizenzen und aktivierte Microsoft-Sicherheitsprodukte beeinflussen den verfügbaren Umfang.
Unterlage geprüft: · Nicht praktisch getestet
Langdock dokumentiert im eigenen Trust Center ISO 27001:2022 und SOC 2 Type II sowie technische und organisatorische Sicherheitskontrollen wie Verschlüsselung, eingeschränkten Produktionszugriff und Disaster-Recovery-Verfahren. Für Workflows können Workspace-Administratoren zusätzlich Code- und HTTP-Request-Nodes deaktivieren, um benutzerdefinierte Codeausführung oder ausgehende API-Aufrufe zu beschränken. [77][78]
Einordnung und Grenze: Trust-Center- und Produktdokumentation belegen dokumentierte Kontrollen, aber keinen unabhängigen Security Review der konkreten Kundenkonfiguration. Einzelne Auditberichte sind zugriffsbeschränkt; aktivierte Workflow-Funktionen und Deployment-Varianten müssen separat geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Entscheidungshilfe · Einordnung
Wann sind nuwacom oder Langdock aus Security-Sicht besonders prüfenswert?
nuwacom ist prüfenswert, wenn Mandantentrennung, eigene Datenbank- und Vektorbereiche, Verschlüsselung und flexible europäische Betriebsmodelle zusammen bewertet werden sollen. Langdock ist prüfenswert, wenn zusätzlich zu Zertifizierungen konkrete Workspace- und Workflow-Kontrollen relevant sind, etwa das Sperren von Code- oder HTTP-Nodes. Bei beiden Anbietern müssen Deployment, Paketgrenzen und konkrete Kundenkonfiguration separat geprüft werden. [30][46][47][77][78][13]
nuwacom dokumentiert getrennte Speicher, isolierte Datenbank-Volumes, eine eigene Vektordatenbank und eine eigene Domain je Kunde. Für Verschlüsselung werden TLS 1.2 und 1.3 im Transport sowie AES-256 im Ruhezustand genannt. [30][46]
Einordnung und Grenze: Herstellerdokumentation ersetzt weder einen eigenen Security Review noch die Prüfung von Verträgen, Unterauftragnehmern und konkreter Konfiguration.
Unterlage geprüft: · Nicht praktisch getestet
Die nuwacom Plattform verarbeitet und speichert Daten laut freigegebenen Faktenunterlagen in der Microsoft Azure EU Cloud mit bevorzugtem Standort Frankfurt am Main. Für Enterprise-Kunden werden zusätzlich Deployments auf IONOS und StackIT in deutschen Rechenzentren sowie Bring-your-own-Cloud angeboten. [30][47]
Einordnung und Grenze: Das ist keine pauschale Aussage, dass jede Verarbeitung ausschließlich in Deutschland stattfindet. Modellregion, Unterauftragnehmer und Vertragsvariante müssen separat geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Langdock dokumentiert im eigenen Trust Center ISO 27001:2022 und SOC 2 Type II sowie technische und organisatorische Sicherheitskontrollen wie Verschlüsselung, eingeschränkten Produktionszugriff und Disaster-Recovery-Verfahren. Für Workflows können Workspace-Administratoren zusätzlich Code- und HTTP-Request-Nodes deaktivieren, um benutzerdefinierte Codeausführung oder ausgehende API-Aufrufe zu beschränken. [77][78]
Einordnung und Grenze: Trust-Center- und Produktdokumentation belegen dokumentierte Kontrollen, aber keinen unabhängigen Security Review der konkreten Kundenkonfiguration. Einzelne Auditberichte sind zugriffsbeschränkt; aktivierte Workflow-Funktionen und Deployment-Varianten müssen separat geprüft werden.
Unterlage geprüft: · Nicht praktisch getestet
Langdock nennt SSO, SCIM und SAML im Business-Angebot. [13]
Einordnung und Grenze: Provisionierung, Gruppenmapping und Deprovisionierung müssen mit dem eigenen Identitätsanbieter getestet werden.
Unterlage geprüft: · Nicht praktisch getestet
Entscheidungshilfe · Einordnung
Welche Security-Kontrollen dokumentiert ChatGPT Enterprise?
OpenAI dokumentiert für Geschäftsdaten AES-256-Verschlüsselung im Ruhezustand und TLS 1.2 oder höher bei der Übertragung, optionales Enterprise Key Management, 24/7-Sicherheitsmonitoring sowie SCIM und rollenbasierte Berechtigungen für passende Enterprise-Konfigurationen. Welche Funktionen tatsächlich verfügbar sind, hängt vom Produkt, der Berechtigung und den aktivierten Workspace-Funktionen ab. [19][20][21]
OpenAI dokumentiert für Geschäftsdaten AES-256-Verschlüsselung im Ruhezustand und TLS 1.2 oder höher bei der Übertragung, optionale Enterprise Key Management-Funktionen, 24/7-Sicherheitsmonitoring sowie Enterprise-Zugriffskontrollen wie SCIM und rollenbasierte Berechtigungen. [19]
Einordnung und Grenze: Die dokumentierten Kontrollen gelten je nach Produkt, Berechtigung und aktivierter Funktion in unterschiedlichem Umfang. Zertifizierungen und Plattformkontrollen ersetzen keinen Review der eigenen Workspace-Konfiguration, verbundenen Tools und Datenflüsse.
Unterlage geprüft: · Nicht praktisch getestet
ChatGPT Enterprise unterstützt laut OpenAI SAML-SSO und automatisierte Nutzerverwaltung über SCIM. [19][20]
Einordnung und Grenze: Berechtigungen und Integrationen vor einem Rollout mit der eigenen Organisationsstruktur prüfen.
Unterlage geprüft: · Nicht praktisch getestet
OpenAI dokumentiert für ChatGPT Enterprise eine DPA zur Unterstützung der DSGVO-Compliance, kein Training auf Geschäftsdaten standardmäßig sowie Kontrollen für Datenaufbewahrung, Zugriffe und europäische Residenzoptionen. [20][21]
Einordnung und Grenze: Datenresidenz und Inferenzresidenz haben einen definierten Geltungsbereich. Apps, Webfunktionen, Unterauftragnehmer und die konkrete Workspace-Konfiguration müssen separat bewertet werden.
Unterlage geprüft: · Nicht praktisch getestet
Entscheidungshilfe · Einordnung
Welche Security-Kontrollen dokumentiert Microsoft 365 Copilot?
Microsoft beschreibt für Copilot einen mehrschichtigen Defense-in-Depth-Ansatz, die Übernahme von Microsoft-365-Identitäts- und Zugriffsregeln, berechtigungsgebundenen Datenzugriff sowie DLP-, Oversharing- und Security-Dashboard-Funktionen. Ein wichtiger Gegenpunkt ist, dass Copilot bestehende Berechtigungen übernimmt: bereits zu weit freigegebene Inhalte müssen organisatorisch und technisch bereinigt werden. [79][25][26][23][24]
Microsoft dokumentiert für Microsoft Copilot einen mehrschichtigen Defense-in-Depth-Ansatz, die Übernahme bestehender Microsoft-365-Identitäts- und Zugriffsregeln, berechtigungsgebundenen Datenzugriff sowie DLP-, Oversharing- und Security-Dashboard-Funktionen für die Überwachung von KI-Risiken. [79][25]
Einordnung und Grenze: Copilot übernimmt vorhandene Berechtigungen und kann deshalb bereits zu weit freigegebene Inhalte nicht automatisch korrigieren. Einzelne Dashboard-Funktionen befinden sich im Preview-Status; Rollen, Lizenzen und aktivierte Microsoft-Sicherheitsprodukte beeinflussen den verfügbaren Umfang.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft 365 Copilot wird über Lizenzzuweisungen und administrative Copilot-Einstellungen in der Microsoft-Umgebung gesteuert. [26][23]
Einordnung und Grenze: Vorhandene Microsoft-Lizenzen sind ein Ausgangspunkt, aber kein Beleg für jeden Copilot-Funktionsumfang.
Unterlage geprüft: · Nicht praktisch getestet
Microsoft dokumentiert für das geschäftliche Copilot-Angebot Enterprise Data Protection unter der Microsoft DPA, Unterstützung für die DSGVO sowie die Zusage, Prompts, Antworten und Microsoft-Graph-Daten nicht zum Training von Foundation Models zu verwenden. [25][24]
Einordnung und Grenze: Websuchanfragen und einzelne Modelloptionen können abweichende Datenflüsse und Bedingungen haben. Die EU Data Boundary gilt nicht pauschal für jede verbundene Funktion.
Unterlage geprüft: · Nicht praktisch getestet
Entscheidungshilfe · Einordnung
Wie sollte ein Enterprise-AI-Security-Pilot geprüft werden?
Ein Security-Pilot sollte reale Identitäts-, Berechtigungs- und Datenflussfälle verwenden und nicht bei einer Zertifikatsliste enden. Testfälle sollten unter anderem Provisionierung, Rollenwechsel, gesperrte Quellen, externe Verbindungen, Auditierbarkeit und ein bewusst falsch konfiguriertes Zugriffsbeispiel abdecken. Ergebnisse sind als Beobachtung der getesteten Konfiguration zu dokumentieren, nicht als pauschale Sicherheitszertifizierung.
- Provisionierung und Deprovisionierung eines Testnutzers prüfen.
- Rollen- und Gruppenwechsel mit konkreten Ressourcen testen.
- Mindestens einen unerlaubten Datenzugriff als Negativfall prüfen.
- Ausgehende Integrationen und Workflow-Rechte dokumentieren.
- Audit- und Incident-Nachweise für den gebuchten Umfang anfordern.
Nachweise
Quellen und Recherchegrenzen
17 hier verwendete Quellen. Geprüft bedeutet: öffentliche Unterlage gelesen. Es bedeutet nicht: Funktion selbst getestet oder Herstellerzusicherung rechtlich bestätigt.
- 12Langdock: Privacy & Security
· Herstellerquelle
Geprüfter Bereich: EU application/most models; no training; permissions; deployment
- 13Langdock: Pricing
· Herstellerquelle
Geprüfter Bereich: Chat & Agents; Workflows; Governance; API; adjustable selector
- 19OpenAI: Business data privacy, security, and compliance
· Herstellerquelle
Geprüfter Bereich: No training by default; AES-256 at rest; TLS 1.2+ in transit; EKM; retention; 24/7 monitoring; SOC 2/ISO certifications; enterprise access controls
- 20OpenAI: Enterprise privacy
· Herstellerquelle
Geprüfter Bereich: SAML SSO; internal sources; retention; GPTs; API platform
- 21OpenAI: Data residency and inference residency for ChatGPT
· Herstellerquelle
Geprüfter Bereich: Eligibility; Europe EEA + Switzerland; storage vs inference scope
- 23Microsoft: Microsoft Copilot overview
· Herstellerquelle
Geprüfter Bereich: Basic/Premium distinction; Microsoft 365 apps; Graph; model choice
- 24Microsoft: Anthropic models in Microsoft Online Services
· Herstellerquelle
Geprüfter Bereich: Opt-in regions; EU Data Boundary exclusion; separate data-retention terms
- 25Microsoft: Enterprise data protection
· Herstellerquelle
Geprüfter Bereich: DPA; no foundation-model training; permissions; web search and model exceptions
- 26Microsoft: License options for Microsoft Copilot
· Herstellerquelle
Geprüfter Bereich: Add-on subscription prerequisites; work vs web-based chat
- 30nuwacom: nuwacom Plattform: Fakten und Einordnung
· Herstellerquelle
Geprüfter Bereich: FAQ, Plattformzusammenfassung, Sicherheit, API und Betriebsmodelle
- 46nuwacom: Sicherheitsmaßnahmen
· Herstellerquelle
Geprüfter Bereich: Verschlüsselung, Authentifizierung und Sicherheitsmaßnahmen
- 47
- 59nuwacom: Sichere KI für Unternehmen
· Herstellerquelle
Geprüfter Bereich: EU-Verarbeitung und Speicherung, kein Training mit Kundendaten, Verschlüsselung, RBAC, Audit-Logs und Bereitstellungsmodelle
- 60nuwacom: Datenverarbeitungsvertrag
· Herstellerquelle
Geprüfter Bereich: Auftragsverarbeitung, DSGVO, Weisungsbindung, EU-Verarbeitung, TOMs und Verantwortlichkeiten des Kunden
- 77Langdock: Langdock Trust Center
· Herstellerquelle
Geprüfter Bereich: ISO 27001:2022; SOC 2 Type II; encryption; restricted production access; disaster recovery; EU subprocessors and data processing
- 78Langdock: Security Controls
· Herstellerquelle
Geprüfter Bereich: Workspace administrators can disable Code and HTTP Request nodes to restrict custom code execution and outbound API access
- 79Microsoft: Security for Microsoft Copilot
· Herstellerquelle
Geprüfter Bereich: Defense in depth; Microsoft 365 identity/access controls; permissions-respecting data access; DLP/oversharing controls; Copilot security dashboards