KI DSGVO-KONFORM: LOKAL ODER EU-CLOUD?

Kleine und mittlere Unternehmen können KI auf zwei Wegen DSGVO-konform betreiben: mit lokalen Modellen auf eigener Hardware oder mit Diensten in zertifizierten EU-Rechenzentren. Beide Wege sind zulässig. Sie unterscheiden sich in drei Punkten: wohin die Daten fließen, welche Verträge nötig sind und wie sich die Kosten verhalten.

Was lokaler KI-Betrieb bedeutet

Lokaler KI-Betrieb heißt: Das Sprachmodell läuft auf Hardware in Ihrem Unternehmen. Dokumente, E-Mails und Kundendaten verlassen Ihr Netzwerk nicht. Es gibt keinen externen Verarbeiter, also auch keinen Auftragsverarbeitungsvertrag für die Modellnutzung und keine Frage nach Drittlandtransfers. Offene Modelle sind dafür heute leistungsfähig genug, um Aufgaben wie Dokumentenauswertung, E-Mail-Vorsortierung oder eine interne Wissensdatenbank zuverlässig zu übernehmen.

Die Verantwortung bleibt dabei vollständig bei Ihnen: Zugriffsrechte, Updates, Backups und die Absicherung der Hardware gehören zum Betrieb dazu. Lokal ist ein Architekturvorteil, kein Freifahrtschein.

Was EU-Cloud-Betrieb bedeutet

EU-Cloud-Betrieb heißt: Ein Anbieter verarbeitet Ihre Daten in Rechenzentren innerhalb der EU. Rechtliche Basis ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Wichtig ist der Blick auf den Anbieter selbst: Sitzt der Mutterkonzern in den USA, kommt es zusätzlich auf die Transfergrundlage an, etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Rein europäische Anbieter vermeiden diese Zusatzfrage.

Dass die Anbieterfrage kein Nischenthema ist, zeigt eine Umfrage von IONOS und YouGov: 53 % der deutschen KMU misstrauen außereuropäischen KI-Anbietern, und für 36 % ist ein Anbieter aus Deutschland oder Europa die Voraussetzung, KI überhaupt einzusetzen. Wer heute eine KI-Architektur auswählt, entscheidet also auch darüber, was er seinen eigenen Kunden zur Datenverarbeitung sagen kann.

Die Cloud punktet beim Einstieg: keine eigene Hardware, schnelle Verfügbarkeit, Skalierung nach Bedarf. Dafür zahlen Sie laufend pro Nutzung, und die Kosten wachsen mit dem Volumen.

Fünf Kriterien für die Entscheidung

1. Sensibilität der Daten. Gesundheitsdaten, Mandanten- oder Personalunterlagen sprechen für lokal. Unkritische Texte vertragen die EU-Cloud.
2. Branchenvorgaben. Manche Branchen haben eigene Anforderungen an Datenhaltung und Nachweisbarkeit. Die geben oft die Richtung vor.
3. Vorhandene IT. Gibt es einen Server-Raum und jemanden, der den Betrieb übernimmt oder übernehmen lässt? Dann ist lokal realistisch. Ohne das ist die Cloud der schnellere Start.
4. Kostenprofil. Einmalig investieren und dann ohne laufende Gebühren arbeiten, oder klein starten und pro Nutzung zahlen: beides ist legitim, es sollte nur bewusst gewählt sein.
5. Volumen und Latenz. Wer täglich große Dokumentmengen verarbeitet, fährt lokal oft wirtschaftlicher. Bei gelegentlicher Nutzung rechnet sich die Cloud.

Der häufigste Fehler

Der häufigste Fehler in der Praxis ist keiner der beiden Wege, sondern der dritte: Mitarbeiter nutzen private KI-Konten im Browser und geben dort Kundendaten ein. Damit verlassen personenbezogene Daten das Unternehmen ohne Vertragsgrundlage und ohne Kontrolle. Wer diesen Zustand beendet, hat den größten DSGVO-Fortschritt schon gemacht, unabhängig davon, welche Architektur danach kommt.

Wie SEGUAI das handhabt

Wir bauen beide Varianten: komplett lokale Systeme auf Hardware bei Ihnen im Haus und Lösungen in EU-Rechenzentren. Für die Cloud-Variante haben wir uns bewusst für Hetzner entschieden: Die Verarbeitung läuft in Rechenzentren in Deutschland und Finnland, zertifiziert nach ISO 27001, mit einem deutschen Unternehmen als Vertragspartner. So entfällt die Debatte um Drittlandtransfers von vornherein, statt sie mit Standardvertragsklauseln zu verwalten. Welche Architektur zu Ihnen passt, klären wir im Erstgespräch anhand Ihrer Daten, Ihrer IT und Ihres Volumens. Mehr dazu unter KI-Automatisierung.

Hinweis: Dieser Artikel beschreibt die technische und organisatorische Umsetzung. Er ersetzt keine Rechtsberatung.