Tresor AI: Wie ein europäischer Confidential AI Router auf Privatemode AI aufbaut

Tresor AI ist eine europäische KI-Plattform, bei der alle Cloud-Dienste, die vertrauliche Daten verarbeiten, in Confidential-Computing-Umgebungen laufen. Dadurch bleiben Nutzerdaten vor Infrastrukturanbietern und selbst vor Tresor als Serviceanbieter geschützt. Mit Tresor Chat und der Tresor API erhalten Kanzleien, Telekommunikationsanbieter, Personalberatungen und Finanzdienstleister Zugang zu großen Sprachmodellen. Eine zentrale Verarbeitung der Anfragen erfolgt seit dem ersten Tag über Privatemode.

Das Unternehmen baut auf Privatemode ein eigenes Produkt und bringt Confidential AI zu Organisationen, die selbst kein Integrationsprojekt aufsetzen würden. Wir haben mit Bob Krier, CEO von Tresor AI, über die Entscheidung und ihre Folgen gesprochen.

Die Ausgangslage

Als Tresor gegründet wurde, stand die Architektur fest: Tresor Chat und die Tresor API leiten ihre Anfragen über einen eigenen AI-Router an die Modelle weiter. Zum Zweck des Betreiberausschlusses laufen auch sie in einer Confidential-Computing-Umgebung. Was fehlte, war ein sicherer Partner für die Verarbeitung dahinter.

Zwei Anforderungen waren gesetzt. Die Verarbeitung sollte in der EU stattfinden und auf Confidential Computing beruhen. Außerdem musste sie hoch verfügbar sein, denn ein Router ist nur so verlässlich wie die darunter liegende Verarbeitungsschicht, an die er weiterleitet. Fällt sie aus, steht das Produkt für alle Kunden gleichzeitig.

“

Als wir die Firma gestartet haben, hat Privatemode für uns das Problem gelöst, einen EU-Anbieter mit Confidential AI zu finden. Von Tag 1 konnten wir uns darauf verlassen.

Wer vertrauliche KI braucht

Nach Kriers Erfahrung beschränkt sich der Bedarf längst nicht auf wenige Branchen mit hochsensiblen Daten wie Patientenakten. Unternehmen achten zunehmend darauf, was mit ihren Daten passiert, sobald diese einen KI-Dienst erreichen. Krier verweist auf Erhebungen, nach denen 57 Prozent der Beschäftigten einräumen, dass sensible Daten bereits in ChatGPT gelandet sind.

Der Kundenstamm von Tresor zeigt, wie breit das Feld ist:

• Telekommunikation: Ein Anbieter möchte mit Kundendaten aus seinem internen CRM automatisch Service-Angebote erzeugen.
• Executive Search: Bei der Besetzung von Positionen auf C-Level sind Daten über Kandidaten und Mandanten das zentrale Vertrauensgut.
• Anwaltskanzleien: Teams mit fünf bis zehn Personen fühlen sich persönlich für die Daten ihrer Mandanten verantwortlich.

“

Was sich diese Unternehmen am wenigsten leisten können, ist ein Data Leak. Das hält den Geschäftsführer nachts wach.

Eine Vorschrift, die Confidential Computing ausdrücklich verlangt, gibt es bisher nicht. Aufsichtsbehörden wie die luxemburgische CSSF legen aber fest, welche Anforderungen Finanzinstitute an die Datensicherheit erfüllen müssen. Confidential Computing kann helfen, diese Anforderungen technisch zu untermauern, weil die Architektur so gestaltet ist, dass der Betreiber der Verarbeitung keinen Zugriff auf die Daten hat. Viele Kunden schätzen zudem die Attestierungsberichte als Nachweis für Audits.

Der Attestation Report ist bei Audits wie der CSSF so wertvoll, weil er einen unabhängig prüfbaren Nachweis liefert, welcher Code in welcher versiegelten Enklave die Daten verarbeitet hat. Damit lassen sich zentrale Anforderungen wie Kontrolle bei Auslagerung (Rundschreiben CSSF 22/806), Schutz des Berufsgeheimnisses und laufende Überwachung von IKT-Dienstleistern nach DORA mit Evidenz statt Zusicherungen belegen. Tresor bietet an, diese Berichte längerfristig und verschlüsselt zu speichern.

Welche Alternativen Tresor geprüft hat

Neben Privatemode standen drei Wege zur Wahl. Keiner erfüllte die Kombination aus Betrieb in der EU, technischer Vertraulichkeit und Skalierbarkeit.

• Confidential-AI-Anbieter außerhalb der EU: Für europäische Kunden wenig glaubwürdig. Im Betrieb gab es zudem Schwierigkeiten.
• Lokale KI: Für eine Plattform, die viele Kunden gleichzeitig bedient, skaliert der Betrieb eigener Modelle auf eigener Hardware nicht.
• Hyperscaler mit Auftragsverarbeitungsvertrag: Ein AVV regelt vertraglich, was der Anbieter mit den Daten tun darf. Technisch verarbeitet der Anbieter die Prompts weiterhin im Klartext.

Gerade beim letzten Punkt unterscheidet Krier deutlich zwischen Kundengruppen. In einer Großbank hat ein Datenvorfall personelle Konsequenzen, das Geschäft aber läuft danach weiter. In einer Kanzlei mit zehn Personen steht nach einem Leck die Mandatsbeziehung selbst auf dem Spiel. Für diese Kunden reicht eine vertragliche Zusage nicht aus.

Integration in fünf Minuten

Die erste Integration von Privatemode in den Tresor Router dauerte fünf Minuten. Weil die Privatemode API mit der OpenAI-Schnittstelle kompatibel ist, musste Tresor eine einzige Codezeile ändern. Bestehende Tools und Abläufe liefen unverändert weiter.

Dasselbe gilt für die Kunden von Tresor. Wer Privatemode als Verarbeitungsschicht nutzen möchte, ist nach Kriers Angaben ebenfalls in wenigen Minuten startklar.

Privatemode liefert die vertrauliche KI-Verarbeitung, Tresor den vertraulichen Chat-Assistenten und die Kundenbeziehung. Eine kleine Kanzlei erhält so Confidential AI aus der EU über eine fertige Oberfläche, ohne eigenes Integrationsprojekt.

Was Tresor-Kunden prüfen können

Kunden von Tresor müssen sich nicht allein auf eine Zusage verlassen. Bevor die erste Anfrage die eigene Umgebung verlässt, lässt sich anhand kryptografischer Zertifikate prüfen, auf welcher Maschine und in welcher Umgebung die Verarbeitung stattfindet. Die Daten werden dort in einer hardware-isolierten Umgebung verarbeitet, deren Arbeitsspeicher durchgehend verschlüsselt bleibt.

Gegenüber den eigenen Kunden formuliert Krier das so:

“

Die KI läuft auf einer spezifischen Maschine, die eine sichere Umgebung bereitstellt, sodass niemand reinschauen kann. Sogar wir nicht. Diese Hardware liefert sogar einen kryptografischen Beweis, dass die Daten in dieser sicheren Umgebung verarbeitet wurden.

Was als Nächstes kommt

Tresor entwickelt Tresor Chat zu einem Online AI Workspace weiter, der Aufgaben selbstständig ausführt. Automatisierungen laufen über n8n, als Modell dient GLM-5.3 auf Privatemode. Ein Beispiel ist die Erstellung von Service-Angeboten für den Telekommunikationskunden:

1. Der Nutzer schreibt in Tresor Chat, dass er ein neues Service-Angebot braucht.
2. Tresor verbindet sich zu dem CRM des Kunden über MCP-Schnittstelle und holt sich die relevanten Kundendaten.
3. Das Modell erzeugt die Inhalte des Angebots als JSON und übermittelt die Daten an einen eigenen MCP-Server in n8n.
4. Dieser rendert daraus mit Typst und einer hinterlegten Vorlage ein PDF.
5. n8n legt das fertige PDF-Angebot im CRM ab.

Fazit

Für Tresor war Privatemode die Voraussetzung, um ein vertrauliches KI-Produkt aus Europa überhaupt anbieten zu können. Die Integration war in Minuten erledigt, und jeder neue Tresor-Kunde nutzt die Verarbeitung durch Privatemode, ohne selbst integrieren zu müssen. Krier sieht den Markt dabei erst am Anfang:

“

Tresor AI und Privatemode gehören zu den Ersten in diesem Feld. Das ist die Zukunft, für Confidential AI und für die Confidential Cloud insgesamt. Alle warten darauf, dass die EU davon Wind bekommt. Konkurrenz validiert nur, was wir seit Tag 1 verkaufen: Vertraulichkeit ist kein Nischenprodukt, sondern wird zum Standard.