OpenAI führt regionale Datenresidenz für API-, Enterprise- und Edu-Kunden in zehn Märkten ein

Was OpenAI konkret aktiviert hat

OpenAI erlaubt berechtigten Geschäftskunden nun, Kundeninhalte dauerhaft in einer ausgewählten Region zu speichern. Die Liste umfasst Europa, das Vereinigte Königreich, die Vereinigten Staaten, Kanada, Japan, Südkorea, Singapur, Indien, Australien und die Vereinigten Arabischen Emirate – weitere Regionen sollen folgen.

Die Funktion gilt für drei Produkte: ChatGPT Enterprise, ChatGPT Edu und die API Platform. Das Unternehmen ordnet dies in den Kontext von über 1 Million Geschäftskunden ein, die OpenAI direkt nutzen.

Bei ChatGPT Enterprise und Edu wird die Residenz bei der Erstellung des Workspace festgelegt. Zu den gespeicherten Inhalten zählen Unterhaltungen, hochgeladene Dateien, Custom GPTs und Ergebnisse der Bildgenerierung. Diese Bandbreite ist relevant, weil sich bei diesen Produkten von Natur aus Inhalte auf Seiten von OpenAI ansammeln.

Der API-Weg ist eine Entscheidung pro Projekt, keine Kontoeinstellung

Für Frontend- und Anwendungsteams ist die API-Mechanik das entscheidende Detail. Datenresidenz ist kein globaler Schalter. Ein für erweiterte Datenkontrollen zugelassener Kunde aktiviert sie, indem er im API-Dashboard ein neues Projekt anlegt und eine Region auswählt. Anfragen über dieses Projekt werden innerhalb der Region verarbeitet.

Dieses projektbezogene Modell prägt die Architektur. Bedient eine einzelne Anwendung Nutzer in mehreren regulierten Regionen, braucht man mehrere Projekte – und damit mehrere API-Keys, separate Routing-Logik und eine Zuordnung von Nutzer-Jurisdiktion zum richtigen Projekt-Endpunkt. Diese Logik muss irgendwo im eigenen Stack verankert sein, und sie muss stimmen, bevor eine Anfrage gesendet wird.

OpenAI gibt außerdem an, dass für diese API-Projekte Modellanfragen und -antworten nicht dauerhaft auf den eigenen Servern gespeichert werden. Das ist eine stärkere Aussage als reine regionale Speicherung: Im zustandslosen API-Fall gibt es schlicht keinen gespeicherten Inhalt, der irgendwo residieren könnte. Die Residenz-Auswahl steuert, wie die Anfrage verarbeitet wird, nicht, wo eine gespeicherte Kopie liegt.

Datenresidenz ergänzt bestehende Kontrollen, ersetzt sie nicht

OpenAI positioniert Datenresidenz als Ergänzung zu bereits bestehenden Kontrollen, nicht als Ersatz. Dazu zählen AES-256 für ruhende Daten, TLS 1.2+ für die Übertragung und Enterprise Key Management für Kunden, die eigene Verschlüsselungsschlüssel mitbringen.

Das Unternehmen bekräftigt zudem, dass Modelle nicht mit Business-Plan- oder API-Daten trainiert werden, sofern Kunden dem nicht ausdrücklich zustimmen, und verweist auf GDPR, CCPA, SOC 2 Type 2, ISO/IEC 27001, 27017, 27018, 27701 sowie CSA STAR neben einem Data Processing Addendum.

Für die API Platform und die ChatGPT-Geschäftsprodukte bleiben Daten vertraulich, sicher und vollständig im Eigentum des Kunden. Die Datenresidenz verbessert die Datenkontrolle für Geschäftskunden zusätzlich.Montana Labs

Die praktische Einordnung: Datenresidenz beantwortet eine Standortfrage, die Verschlüsselung, Opt-out-Training und eine DPA nicht klären. Für Teams, deren einziges Hindernis der physische Speicherort war, schließt dies die letzte Lücke. An Eigentum oder Trainingspraxis ändert sich nichts – das war bereits geregelt.

Die Konsequenz: Region wird zu einem zentralen Feld im Anfrage-Routing

Die konkrete Folge dieser Ankündigung ist, dass die Jurisdiktion eines Nutzers vor einem OpenAI-Aufruf geklärt und einem bestimmten Projekt zugeordnet werden muss. Die Residenz wird bei der Projekt- oder Workspace-Erstellung festgelegt und lässt sich nicht nachträglich per Anfrage-Header patchen.

Das verschiebt Arbeit in die Frontend- und API-Gateway-Ebene: Erfassung oder Ableitung der Region bei der Anmeldung, Zuweisung von Nutzern zum richtigen Workspace oder Projekt und Verhinderung von regionsübergreifenden Datenlecks, wenn jemand reist oder ein Konto mehrere Jurisdiktionen umfasst.

Nichts davon ist exotisch, aber es ist echte Ingenieursarbeit, die die Ankündigung impliziert, ohne sie auszubuchstabieren. Das Angebot ist heute in zehn Märkten verfügbar; die Kosten der korrekten Integration tragen die Teams, die die Anwendungen darauf aufbauen.