Fast jedes Unternehmen nutzt inzwischen KI, oft ohne es offiziell beschlossen zu haben. Der Vertrieb lässt Angebote formulieren, die Buchhaltung fasst Verträge zusammen, und irgendjemand kippt dabei früher oder später Kundendaten in ein öffentliches Chat-Fenster. Genau da beginnt das Problem: Was in den Prompt wandert, verlässt Ihr Haus. Die gute Nachricht: Sie müssen auf KI nicht verzichten, um Ihre Daten zu schützen. Sie müssen nur bewusst entscheiden, wo die KI läuft.
Das eigentliche Risiko: Daten im Prompt
Beim Thema KI und Datenschutz denken viele zuerst an spektakuläre Fragen wie Trainingsdaten oder Urheberrecht. Der Alltag ist banaler. Riskant ist vor allem, was Ihre Mitarbeiter täglich in fremde KI-Dienste eingeben: Kundennamen, Vertragsdetails, Gehaltsdaten, Quellcode. Bei den meisten US-Diensten landen diese Eingaben auf Servern außerhalb der EU, und damit stellen sich sofort die bekannten Fragen nach Drittlandtransfer, Auftragsverarbeitung und Zugriff durch US-Behörden. Für Berufsgeheimnisträger kommt die Schweigepflicht noch obendrauf.
Ein Verbot per Dienstanweisung löst das Problem übrigens nicht. Es verlagert die Nutzung nur ins Private, wo Sie gar keine Kontrolle mehr haben. Besser ist ein Angebot, das die Leute freiwillig nutzen, weil es gut funktioniert und erlaubt ist.
Drei Wege, KI zu betreiben
Grob sortiert haben Sie drei Optionen, mit sehr unterschiedlichen Konsequenzen für Datenschutz, Kosten und Qualität:
| Option | Datenhoheit | Qualität | Typische Kosten |
|---|---|---|---|
| US-Cloud-KI (ChatGPT, Copilot und Co.) | gering, Drittlandtransfer muss rechtlich abgesichert werden | sehr hoch | Abo pro Nutzer |
| EU-gehostete KI-Dienste und APIs | mittel bis hoch, AV-Vertrag nach EU-Recht möglich | hoch | nach Verbrauch oder Abo |
| Selbst gehostete offene Modelle | vollständig, Daten verlassen die eigene Infrastruktur nicht | hoch bis sehr hoch, je nach Modell und Aufgabe | Hardware oder gemanagter Server, laufender Betrieb |
Die spannendste Entwicklung der letzten zwei Jahre steckt in der dritten Zeile. Offene Modelle, etwa von Mistral aus Frankreich oder aus der breiten Open-Source-Szene, haben enorm aufgeholt. Mit Werkzeugen wie Ollama und einer Weboberfläche wie Open WebUI läuft ein solches Modell auf einem einzelnen Server mit passender GPU, wahlweise im eigenen Haus oder auf gemieteter Hardware in einem deutschen Rechenzentrum. Kein Konto bei einem US-Anbieter, kein Datenabfluss, keine Preisänderung per Ankündigungsmail.
Wofür lokale KI heute reicht und wofür nicht
Ehrlichkeit gehört dazu: Ein selbst gehostetes Modell mittlerer Größe ist nicht das klügste Modell der Welt. Muss es aber auch nicht sein. Für einen Großteil der typischen KMU-Aufgaben reicht es locker:
- Texte entwerfen und überarbeiten: E-Mails, Angebote, Stellenanzeigen, Übersetzungen
- Zusammenfassen: Besprechungsprotokolle, lange Dokumente, E-Mail-Verläufe
- Interne Wissenssuche: Fragen an die eigenen Handbücher, Verträge und Ablagen stellen, statt zu suchen
- Strukturieren und Klassifizieren: Posteingang vorsortieren, Daten aus Dokumenten ziehen
Wo die Spitzenmodelle der großen Anbieter weiterhin vorn liegen: komplexe Recherchen, anspruchsvolle Programmieraufgaben, lange mehrstufige Analysen. Ein pragmatischer Mittelweg ist deshalb ein gestuftes Modell: sensible und alltägliche Aufgaben laufen lokal oder bei einem EU-Anbieter, für Spezialfälle ohne Personenbezug bleibt ein Cloud-Dienst im Werkzeugkasten. Wichtig ist nur, dass diese Grenze definiert ist und nicht jeder sie selbst zieht.
Übrigens: Wenn Sie ohnehin schon eine Nextcloud betreiben, haben Sie den niederschwelligsten Einstieg bereits im Haus. Der Nextcloud Assistant bindet lokale Modelle direkt in die vertraute Oberfläche ein, vom Textentwurf bis zur Zusammenfassung. In unserem Full-Managed Nextcloud-Hosting lässt sich das als Baustein eines souveränen Arbeitsplatzes einrichten, mehr dazu auch auf unserer Seite zum Open-Source-Workspace.
Die DSGVO-Checkliste für den KI-Einsatz
Egal welchen Weg Sie wählen, ein paar Punkte sollten Sie sauber klären:
- Bestandsaufnahme: Welche KI-Dienste werden heute tatsächlich genutzt, auch inoffiziell?
- Datenkategorien festlegen: Was darf in welchen Dienst? Personenbezogene Daten und Geschäftsgeheimnisse nur in Systeme, die Sie kontrollieren oder mit denen ein AV-Vertrag nach EU-Recht besteht.
- AV-Vertrag und Standort prüfen: Bei externen Anbietern gehören Auftragsverarbeitung, Serverstandort und die Frage nach dem Mutterkonzern auf den Tisch.
- Klare Regeln statt Verbote: Eine kurze, verständliche KI-Richtlinie wirkt mehr als ein Verbot, das niemand befolgt.
- Transparenzpflichten mitdenken: Ab August 2026 greifen die Kennzeichnungspflichten des EU AI Act. Was das konkret bedeutet, steht in unserem Beitrag zur KI-Kennzeichnungspflicht.
Häufige Fragen
Ist die Nutzung von ChatGPT im Unternehmen verboten? Nein. Sie ist aber nur dann sauber, wenn sie geregelt ist: Business-Tarif statt Privatkonto, AV-Vertrag, klare Vorgaben, welche Daten eingegeben werden dürfen. Ohne diese Leitplanken ist das Risiko real, nicht theoretisch.
Welche Hardware braucht ein lokales KI-Modell? Weniger, als viele denken. Für Textaufgaben mit einem Modell mittlerer Größe genügt ein Server mit einer aktuellen GPU. Der muss nicht im Keller stehen: Gemietete GPU-Server in deutschen Rechenzentren liefern dieselbe Datenhoheit ohne eigene Hardware-Investition.
Sind lokale Modelle automatisch DSGVO-konform? Der Betrieb an sich ja, denn es findet kein Drittlandtransfer statt und kein externer Anbieter verarbeitet Ihre Eingaben. Die DSGVO gilt aber trotzdem: Auch eine lokale KI braucht eine Rechtsgrundlage, wenn sie personenbezogene Daten verarbeitet, und gehört in Ihr Verarbeitungsverzeichnis.
Lohnt sich der Aufwand für ein kleines Unternehmen überhaupt? Wenn KI nur gelegentlich für unkritische Texte genutzt wird: eher nein, dann reicht ein sauber konfigurierter EU-Dienst. Sobald aber regelmäßig interne Dokumente, Kundendaten oder Code im Spiel sind, rechnet sich die souveräne Variante schnell, auch weil sie planbare Kosten statt wachsender Abo-Stapel bedeutet.
Fazit: Souveränität gilt auch für KI
Die Frage ist längst nicht mehr, ob Ihr Unternehmen KI nutzt, sondern unter wessen Kontrolle. Wer heute Prozesse auf einen einzelnen US-Dienst baut, wiederholt denselben Fehler, der bei Office und Cloud schon teuer geworden ist. Offene Modelle auf eigener oder gemieteter Infrastruktur sind 2026 keine Bastellösung mehr, sondern ein solider Baustein einer souveränen IT. Einen Überblick über das große Ganze gibt unsere Seite zur digitalen Souveränität.
Wo KI in Ihren Abläufen wirklich Zeit spart, haben wir im Beitrag zur Workflow-Automatisierung für KMU beleuchtet. Und wenn Sie wissen möchten, welcher Weg für Ihr Unternehmen passt, klären wir das gerne gemeinsam im Rahmen unserer IT-Strategieberatung: herstellerunabhängig, mit festem Ansprechpartner und einem kostenfreien Erstgespräch.