Chromes Embedding-Modell aus DSGVO-Perspektive: Lokale Verarbeitung ist nicht gleich Datensouveränität

Das neue integrierte Embedding-Modell von Google Chrome ermöglicht die lokale, browserinterne Generierung semantischer Vektoren und reduziert damit die Notwendigkeit, Rohtextdaten an externe KI-Dienste zu übertragen. Aus DSGVO-Sicht ist dies eine bedeutende architektonische Änderung: Die Embedding-Inferenz kann auf dem Endgerät des Nutzers erfolgen und unterstützt so die Grundsätze der Datenminimierung und des Privacy by Design (Art. 5 und Art. 25 DSGVO).

Allerdings bedeutet lokale Inferenz allein nicht automatisch DSGVO-Konformität oder eine rein EU-basierte Datenverarbeitung.

Obwohl der zu embeddende Inhalt während der Inferenz auf dem Gerät verbleiben kann, ist Chrome selbst eine von Google verwaltete Plattform. Dies wirft relevante DSGVO-Fragen auf, darunter:

- Ob Telemetrie-, Diagnose- oder Nutzungsmetadaten übertragen werden - Wo zugehörige Backend-Dienste (z.B. Modellverteilung, Updates, Monitoring) gehostet werden - Welche juristischen Personen als Verantwortliche oder Auftragsverarbeiter agieren

Mit anderen Worten: Das Verhindern, dass Rohinhalte an eine Embedding-API gesendet werden, reduziert zwar das Risiko, eliminiert aber nicht die Notwendigkeit einer Datenübertragungsprüfung gemäß DSGVO Kapitel V, wenn personenbezogene Daten weiterhin in Verbindung mit US-basierten Diensten verarbeitet werden.

Für Organisationen in regulierten oder datenschutzsensiblen Umgebungen sollte Chromes Embedding-Modell daher als datenschutzverbessernde technische Maßnahme betrachtet werden – nicht als eigenständige DSGVO-Lösung. Eine ordnungsgemäße Bewertung der Google-Dokumentation, Datenflüsse und vertraglichen Garantien bleibt unerlässlich.