Black Forest Labs
Synthèse de la propriété et de l’exposition au CLOUD Act.
-
Souverain UE Détenu et exploité dans l’UE/EEE/Suisse, sans exposition au CLOUD Act identifiée.
-
Basé UE Exploité dans l’UE, avec au plus une exposition américaine mineure ou transitoire.
-
Hébergé UE Cette fiche Hébergement UE disponible, mais une maison mère américaine ou un sous-traitant hyperscaler crée une exposition matérielle.
-
Lié aux US Exploité par une entité constituée aux États-Unis, directement soumise à la juridiction américaine.
Freiburg-based German image-generation lab (FLUX models, Stable Diffusion creators), but heavily US-VC-funded; open-weight FLUX [schnell] under Apache 2.0.
Black Forest Labs propose un hébergement européen en Allemagne, mais une maison mère ou un sous-traitant américain laisse une exposition matérielle au CLOUD Act. Référencé dans la catégorie IA souveraine.
Notes d’évaluation
Black Forest Labs (Freiburg, Germany, with an additional SF lab) is the FLUX-model company founded in 2024 by the Stable Diffusion core team (Robin Rombach, Andreas Blattmann, Dominik Lorenz, Patrick Esser, Bjorn Ommer), ISO 27001 certified and produces open-weight image-generation models (FLUX.2 max/pro/flex/klein, plus historical FLUX [schnell] Apache 2.0 and FLUX [dev] non-commercial), but the cap table is dominated by US capital (Andreessen Horowitz, Salesforce Ventures, General Catalyst, NVIDIA, Anjney Midha AMP) after a US$31M seed (Aug 2024) and US$300M Series B at US$3.25B valuation (Dec 2025); Temasek (SG) is the only non-US institutional. EU-HQ, ISO 27001:2022 and SOC 2 Type II certified, but eu_hq_us_funded with material CLOUD Act exposure for the managed API; no public DPA URL and no sub-processors list, although a DPA and vendor-assessment materials are available on request. Self-hosted FLUX [schnell] on EU GPU infrastructure eliminates CLOUD Act exposure.
Constats
- CLOUD Act
- Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
-
- Actionnariat
- Propriété
Où se situe le contrôle ultime de la société exploitante.
-
Propriété UE Établie et contrôlée dans l'UE ; pas de participation américaine notable.
-
Siège UE, financement US Cette fiche Siège dans l'UE mais contrôlée par des capitaux américains (VC/PE).
-
Filiale UE, maison mère US Société d'exploitation européenne détenue par une société mère américaine.
-
Propriété US La société exploitante a elle-même son siège aux États-Unis.
-
Autre Une juridiction hors UE. La propriété suisse/EEE compte ici comme européenne ; le Royaume-Uni et d'autres non.
-
- Sous-traitants
- — non divulgué
Signaux vérifiés
-
Hébergement UE / adéquation: Oui
-
Opérateur UE / adéquation: Oui
-
Aucune exposition au CLOUD Act: Non
-
DPA public: Non
-
Sous-traitants divulgués: Non
-
Clients open source: Oui
-
Certification tierce: Oui
L'exposition dépend de votre mode d'exploitation.
Exploité par l'éditeur : les sous-traitants ci-dessous s'appliquent.
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
Déployez sur votre propre infrastructure UE et vous contrôlez l'hébergement et chaque sous-traitant.
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Cette fiche Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
Aller à
À propos de Black Forest Labs
Black Forest Labs is the German image-generation research lab founded in 2024 by the core team behind Stable Diffusion (Robin Rombach, Andreas Blattmann, Dominik Lorenz, Patrick Esser, and Björn Ommer) whose 2022 paper "High-Resolution Image Synthesis with Latent Diffusion Models" (originating from Ludwig-Maximilians-Universität München and Heidelberg University) underpinned the entire current diffusion-models wave. The company is headquartered in Freiburg, Germany (with an additional research lab in San Francisco). The product surface is the FLUX family of image-generation models: the current generation includes FLUX.2 [max], [pro], [flex], and [klein]; previous-generation FLUX [schnell] is published under Apache 2.0 and is freely usable commercially; FLUX [dev] is non-commercial-research-licensed; and FLUX [pro/max] are commercial-API-only.
For an EU-sovereignty audit Black Forest Labs is structurally a Mistral-AI-like case: German legal-entity HQ + DE-origin founders + ISO 27001 certification + open-weight model strategy + a research-and-licence model that supports self-hosting on EU GPU infrastructure, versus a cap table that is dominated by US capital. The seed round in August 2024 raised US$31M led by Andreessen Horowitz with General Catalyst, Mätch.vc, Garry Tan, Brendan Iribe, Michael Ovitz, and NVIDIA's Timo Aila. The December 2025 Series B raised US$300M at a US$3.25B post-money valuation co-led by Salesforce Ventures and Anjney Midha (AMP), with a16z, NVIDIA, General Catalyst, and Temasek participating; total raised US$450M. The single non-US-non-DE investor of any size is Temasek (Singapore sovereign wealth fund). Per the directory's strict-ownership stance this US-funded weighting is eu_hq_us_funded, and CLOUD Act exposure for the managed API is recorded as Significative. The API hosting itself is still not publicly disclosed: no region, country, cloud provider or sub-processor is named anywhere public, and the managed API states only zero data retention on inputs and outputs processed on "certified infrastructure". What is disclosed is a US legal entity. The privacy policy names Black Forest Labs Inc (2261 Market Street, San Francisco) as the controller for users outside the EEA, UK and Switzerland, with BFL GmbH (Freiburg; Amtsgericht München HRB 291820) as the controller for EEA, Swiss and UK users. The imprint does not name BFL Inc as a parent or shareholder of the GmbH, so the group structure is unresolved and is the question to put to the vendor.
The procurement-grade answer is the self-host path. FLUX [schnell] under Apache 2.0 runs on any EU GPU host (Hetzner H100, OVHcloud GPU, Scaleway B300, STACKIT GPU, IONOS Cloud) with no CLOUD Act exposure for buyers who can operate inference themselves. FLUX [dev] can be used for research and self-hosting subject to its non-commercial licence. ISO 27001:2022 and SOC 2 Type II are both attested on the enterprise page and verifiable through the vendor's Vanta trust centre. Best fit: AI / ML engineering teams who want best-in-class diffusion models, EU regulated buyers who self-host on EU GPU infrastructure for sovereignty, and any procurement-grade buyer evaluating sovereign-AI image generation alongside Mistral AI for text.
Carte des sous-traitants · non divulgué
Référentiels & certifications
Matrice de fonctionnalités
Tableau 1Fonctionnalités de Black Forest Labs
Intégration & accès
Conformité & gouvernance
Tarifs & paliers
Documents publics
-
manquantContrat de sous-traitance (DPA)— manquant
-
manquantListe des sous-traitants— manquant
-
OuvrirConditions d'utilisationbfl.ai/legal…
Alternatives dans cette catégorie
-
AllemagneHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Non Sous-traitants: Non Open source: Non -
-
Allemagne · 7.49 €/moisHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Non évalué Sous-traitants: Non Open source: Non -
-
Espagne · 12 €/moisHébergé UEExposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
-
Aucune Opérateur UE, sans société mère ni sous-traitant américain notable.
-
Mineure Un sous-traitant américain transitoire (CDN, cartes) ; les données au repos restent dans l'UE.
-
Significative Cette fiche Société mère américaine, ou un sous-traitant central est un hyperscaler américain.
-
Directe L'opérateur lui-même est établi aux États-Unis.
DPA public: Non Sous-traitants: Non Open source: Oui -
| Produit | Souveraineté | CLOUD Act | Signaux | À partir de |
|---|---|---|---|---|
Aleph Alpha
Allemagne
|
Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Non
Sous-traitants: Non
Open source: Non
|
— |
DeepL
Allemagne
|
Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Non évalué
Sous-traitants: Non
Open source: Non
|
7.49 €/mois |
| Freepik Espagne | Hébergé UE | Exposition au CLOUD Act
Le degré d'exposition des données clients aux autorités américaines au titre du CLOUD Act (Clarifying Lawful Overseas Use of Data Act).
|
DPA public: Non
Sous-traitants: Non
Open source: Oui
|
12 €/mois |