Warum Europa.

Eine belgische Anwältin öffnet an einem Dienstagmorgen ihren Laptop, drückt eine Tastenkombination und diktiert ein Memo über die anstehende Übernahme eines Klienten. Sie hält die Taste, spricht vierzig Sekunden, lässt los. Der geschliffene Text landet in ihrem E-Mail-Entwurf. Sie schickt ihn ab.

Sie hat soeben vertrauliche Kundendaten in eine fremde Jurisdiktion exportiert. Sie wusste nicht, dass sie das tat. Ihre Kanzlei hat es nicht genehmigt. Ihre Anwaltskammer hat es nicht freigegeben. Das Diktiertool, das sie verwendete, warnte sie nicht. Denn aus dessen Sicht ist nichts schiefgegangen.

Das ist die unmarkierte Vorgabe moderner KI-Software. Das Audio reiste durch ein US-eingetragenes Unternehmen, wurde auf US-betriebener Infrastruktur verarbeitet und unterliegt nun US-Recht. Die Absicht der Anwältin spielt keine Rolle. Die Compliance-Richtlinie ihrer Kanzlei spielt keine Rolle. Der physische Serverstandort spielt keine Rolle. Sobald ihre Stimme in die Pipeline eines US-Anbieters überquert, hat sich die rechtliche Lage der Daten ihres Klienten geändert.

Die meisten, die diese Tools bauen, und die meisten, die sie benutzen, finden diese Tatsache unangenehm genug, um lieber nicht hinzusehen. Also markiert sie niemand. Also bleibt sie die Vorgabe.

Es gibt ein US-Gesetz von 2018, den Clarifying Lawful Overseas Use of Data Act, meist abgekürzt als CLOUD Act. Er tut eine Sache, die europäische Nutzer kennen sollten: Er zwingt US-eingetragene Unternehmen, auf eine gültige Aufforderung hin Daten an US-Strafverfolgungsbehörden herauszugeben, unabhängig davon, wo die Daten physisch liegen.

Lesen Sie diesen Satz noch einmal. Der Server kann in Frankfurt stehen. Die Firma kann eine niederländische Tochtergesellschaft, einen französischen DSB, ein belgisches Vertriebsbüro haben. Nichts davon zählt. Wenn die Muttergesellschaft in Delaware eingetragen ist, sind die Daten für US-Behörden erreichbar. Der CLOUD Act enthält außerdem Bestimmungen, die den Anbieter daran hindern können, den Kunden überhaupt über die Anfrage zu informieren.

2020 entschied der Europäische Gerichtshof in dem üblicherweise Schrems II genannten Verfahren, dass EU-US-Datenübertragungen unter dem damaligen Privacy-Shield-Rahmen nicht angemessen sind. Die Begründung des Gerichts war unter anderem, dass europäischen Nutzern kein wirksamer Rechtsbehelf gegen US-Überwachungsbefugnisse zur Verfügung steht. Das Gericht hat diese Sorge nicht erfunden. Es beschrieb eine strukturelle Realität, die der CLOUD Act zwei Jahre zuvor bereits per Gesetz bestätigt hatte.

Die DSGVO erhöht den Druck zusätzlich. Artikel 32 verpflichtet jeden Verantwortlichen, die Sicherheit der Verarbeitung zu gewährleisten, auch gegen unbefugte Offenlegung. Wer Verantwortlicher ist und einen Auftragsverarbeiter mit US-Sitz nutzt, steht vor einer Frage, die keine AGB vollständig beantworten kann.

Über die Schwere des Einzelfalls lässt sich streiten. Über die Architektur nicht. US-geroutetes Diktieren ist kein Policy-Problem, das ein besserer Vertrag lösen kann. Es ist ein jurisdiktionelles Problem, das verlangt, dass die Daten gar nicht erst die Grenze überqueren.

Ich schreibe Code für meinen Lebensunterhalt und diktiere alles, was ich schreibe. Den größten Teil des letzten Jahres habe ich Wispr Flow benutzt. Es funktioniert sehr gut. Das Team dahinter ist talentiert und das Produkt ist wirklich gut.

Eines Abends las ich dann den Teil ihrer Dokumentation, der erklärt, wohin das Audio wirklich geht. Ich las ihn zweimal. Ich klappte den Laptop zu. Ich saß eine Weile auf dem Balkon.

Der Datenpfad war genau das, was ich hätte erwarten sollen: ein US-eingetragenes Unternehmen, Verarbeitung über einen US-gehosteten Modellanbieter, Audio-Entscheidungen von US-Ingenieuren unter US-Recht. An der Technik war nichts auszusetzen. Am Team war nichts auszusetzen. An den Vorgaben war etwas faul, und die Vorgaben galten für mich, und sie galten für jeden belgischen, niederländischen und deutschen Berater, dem ich je den Link weitergegeben hatte.

Ich hatte seit Monaten Kunden-E-Mails dort hineindiktiert. Sie auch.

Ich habe es neu gebaut.

Olinra läuft auf Mistral-Modellen, die in der EU gehostet sind. Die API ist ein Fastify-Server in einem Hetzner-Rechenzentrum in Nürnberg. Die Authentifizierung ist Supabase in Frankfurt. Die Audio-Bytes fließen direkt in den Voxtral-Request-Body und werden verworfen, sobald die Antwort eintrifft. Es gibt keinen S3-Bucket, keinen Warm-Cache, kein Transkript, das irgendwo außerhalb Ihrer eigenen Maschine auf einer Disk lebt. Die Architektur ist die Marke, und die Marke ist die Architektur.

Sollte irgendetwas davon je aufhören wahr zu sein, ist die Marke vorbei. So ernst meine ich das.

Olinra ist die Antwort eines Unternehmens für eine Produktkategorie. Diktieren ist eine schmale Oberfläche. Diese Seite will nicht argumentieren, dass europäische Nutzer ihr Diktiertool wechseln sollen. Sie will argumentieren, dass europäische Nutzer aufhören sollen, US-Default-Routing als unvermeidlich zu behandeln. In jeder Produktkategorie, die sie berühren.

Die europäische Softwareindustrie hat zum größten Teil nicht um diese Annahme herum gebaut. Die amerikanische Softwareindustrie hat aus nachvollziehbaren Gründen auch nicht. Also muss jemand anfangen, und der Anfang sind kleine, nützliche Produkte, die eine Position beziehen und beweisen, dass die Position haltbar ist.

Olinra ist meines. Es wird andere geben. Fordern Sie sie von der Software, die Sie nutzen.