Self-Hosted oder Anbieter mit AVV: welcher Weg für welche Daten
KI im Unternehmen heißt nicht automatisch, dass Daten unkontrolliert abfließen. Es gibt mehrere Wege, KI datenschutzkonform zu nutzen. Welcher passt, hängt an drei Fragen zur eigenen Situation.
Frage 1: Wie sensibel sind die Daten?
Wenn ihr personenbezogene Gesundheits-, Finanz- oder Mandanten-Daten verarbeitet, bleibt Self-Hosting oft die einzig saubere Option. Open-Source-Modelle wie Llama, Mistral oder Qwen laufen lokal, die Daten verlassen die eigene Infrastruktur nicht. Der Aufwand ist deutlich höher als ein Cloud-Account, dafür ist die Lage rechtlich und kontrollseitig eindeutig.
Bei weniger sensiblen Daten (interne Dokumente, allgemeine Geschäftskommunikation) ist ein kommerzieller Anbieter mit Auftragsverarbeitungsvertrag die pragmatischere Wahl.
Frage 2: Wer pflegt die Infrastruktur?
Self-Hosting bedeutet, dass jemand das Modell aktualisiert, Hardware bereitstellt, Performance optimiert, Sicherheits-Patches einspielt. Das ist machbar, aber kein Nebenher-Aufwand.
Wenn das Team diese Pflege nicht leisten kann oder will, ist der AVV-Weg pragmatischer. Ein nicht gepflegtes lokales Modell ist nach sechs Monaten nicht mehr datenschutzfreundlich, sondern ein veraltetes System mit unklaren Sicherheits-Eigenschaften.
Frage 3: Wie oft wird die KI genutzt?
Bei intensivem Einsatz, Hunderte Anfragen pro Tag und mehr, kann Self-Hosting wirtschaftlicher werden, weil die laufenden Kosten von Cloud-Anbietern bei Volumen schnell steigen. Bei moderatem Einsatz, ein paar Dutzend Anfragen pro Tag, bleibt der AVV-Weg fast immer günstiger als die nötige Hardware-Investition.
Wer noch nicht weiß, wie intensiv genutzt wird, fängt mit AVV an und wechselt später, wenn das Volumen es rechtfertigt. Das ist meistens der ruhigere Pfad.
Wann beide Wege sinnvoll sind
Größere Organisationen kombinieren die beiden Pfade. Routinearbeit über einen AVV-Anbieter, sensible Daten über ein internes Self-Hosted-Modell. Das ist mehr Aufwand, aber sauber abgegrenzt.
Voraussetzung: Die Mitarbeiter wissen, welcher Datentyp wohin gehört. Eine Richtlinie, die das in einer halben Seite klarstellt, reicht.
Fazit
DSGVO-konforme KI-Nutzung ist kein Hexenwerk, sondern eine Entscheidung, die zur eigenen Situation passt. Wer überlegt, welche Kombination im eigenen Unternehmen sinnvoll ist, kann mich gerne ansprechen.