«Dann betreiben wir die KI eben lokal, dann bleiben die Daten im Haus.» Der Satz fällt in vielen Sitzungen genau dann, wenn die Datenschutzfrage unbequem wird, und er stimmt. Er beantwortet nur eine engere Frage als die, die im Raum stand. Eine lokale KI nimmt dir zwei Pflichten aus dem Datenschutzgesetz ab. Die Pflicht, die darüber entscheidet, ob Firmendaten bei euch sicher sind, bleibt dort, wo sie vorher war. Und eine dritte kommt dazu, sobald die Hardware bei dir im Rack steht.
Was eine lokale KI aus dem Weg räumt
Zwei Kapitel des Datenschutzgesetzes fallen weg, und das ist kein kleiner Gewinn.
Das erste ist die Auftragsbearbeitung. Art. 9 Abs. 1 DSG erlaubt, die Bearbeitung von Personendaten einem Auftragsbearbeiter zu übertragen, wenn er die Daten nur so bearbeitet, wie du es selbst tun dürftest, und wenn keine Geheimhaltungspflicht das verbietet. Nach Absatz 3 darf er die Bearbeitung nur mit deiner vorgängigen Genehmigung an Dritte weitergeben. Läuft das Modell auf deiner Hardware und sieht niemand von aussen die Daten, gibt es für diesen Schritt keinen Auftragsbearbeiter. Kein Vertrag zu prüfen, keine Subprozessoren-Liste, auf der ein Sprachmodell fehlen könnte. Beim gemieteten Dienst ist genau das die Arbeit, und wir haben sie im Beitrag über den Auftragsbearbeitungsvertrag für KI-Tools beschrieben.
Das zweite ist der Weg ins Ausland. Art. 16 Abs. 1 DSG lässt die Bekanntgabe von Personendaten ins Ausland zu, wenn der Bundesrat für den betreffenden Staat einen angemessenen Schutz festgestellt hat; andernfalls braucht es nach Absatz 2 einen eigenen Mechanismus, etwa Standarddatenschutzklauseln. «Bekanntgeben» definiert Art. 5 Bst. e DSG als «das Übermitteln oder Zugänglichmachen von Personendaten». Bleiben die Daten im Haus, wird weder übermittelt noch zugänglich gemacht. Das ganze Kapitel ist für diesen Bearbeitungsschritt erledigt, inklusive der Frage, in welcher Region ein Anbieter speichert und wo er zur Missbrauchskontrolle eine Kopie behält.
Das ist der ehrliche Gewinn, und für manche Unternehmen reicht er als Begründung. Nur hat er eine Bedingung, die in der Diskussion oft untergeht.
«Lokal» heisst nicht automatisch «ohne Auftragsbearbeiter»
In unserer Erfahrung betreiben die wenigsten KMU mit 30 bis 250 Mitarbeitenden ihren Serverraum vollständig selbst. Die Hardware steht im eigenen Haus, die Hände daran sind extern: der IT-Dienstleister, der patcht, Backups prüft und administrativen Zugang hat.
Arbeitet dieser Dienstleister für euch an einem System, auf dem Personendaten liegen, gilt er in der Regel als Auftragsbearbeiter. Art. 9 DSG ist damit zurück, nur mit einem anderen Namen auf dem Vertrag. Das ist kein Argument gegen den eigenen Betrieb. Es verschiebt nur, was du prüfst: statt des Data Processing Addendum eines Softwareanbieters den Vertrag mit dem Partner, der die Box betreut, und die Frage, wer dort Administratorrechte hat.
In unserer Erfahrung ist das die erste Stelle, an der die Rechnung «lokal gleich weniger Papier» nicht aufgeht.
Die Pflicht, die dadurch nicht kleiner wird
Art. 8 Abs. 1 DSG verlangt, dass der Verantwortliche und der Auftragsbearbeiter «durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit» gewährleisten. Verantwortlicher bleibt dein Unternehmen, egal wo das Modell rechnet. Die Datenschutzverordnung macht in Art. 2 vier Ziele daraus: Vertraulichkeit, Verfügbarkeit, Integrität und Nachvollziehbarkeit.
Das erste dieser Ziele ist der Punkt, an dem lokale KI und Cloud-KI identisch sind. Art. 3 Abs. 1 Bst. a DSV verlangt Massnahmen, damit «berechtigte Personen nur auf diejenigen Personendaten Zugriff haben, die sie zur Erfüllung ihrer Aufgaben benötigen». Diese Zugriffskontrolle ist dieselbe Vorschrift, ob der Server in Baar oder in Dublin steht.
Und sie ist die Vorschrift, an der KI-Einführungen in unserer Erfahrung hängen. Ein Assistent antwortet mit dem, was er erreichen kann. Wenn er den Dateiserver durchsucht, auf dem der Ordner mit den Lohnabrechnungen für alle offen liegt, dann gibt er dessen Inhalt an alle weiter, in flüssigen Sätzen und ohne dass jemand suchen musste. Vorher hätte das jemand finden müssen. Jetzt reicht die Frage.
Der Standort des Servers ändert daran nichts. Was es ändert, ist die Berechtigungsarbeit davor: welche Ablagen das System indexiert, mit welchen Rechten es das tut, und welche Daten überhaupt hineindürfen. Die Klassifizierung dieser Daten ist derselbe Schritt, den wir für gemietete Dienste beschrieben haben, als wir aufgeschrieben haben, welche Daten in ChatGPT dürfen. Ein lokales Modell macht diesen Schritt nicht überflüssig. Es nimmt dir nur das Argument, ihn zu verschieben.
Dazu gehört die zweite Hälfte derselben Frage: was das System ohne Rückfrage tun darf. Lesen ist eine Erlaubnis, Schreiben und Versenden sind zwei weitere. Auch diese drei Erlaubnisse vergibst du selbst, und ein Modell im eigenen Haus bekommt sie nicht automatisch sparsamer zugeteilt als eines beim Anbieter.
Was dazukommt, sobald du KI lokal betreibst
Die Datenschutzverordnung schreibt in Art. 3 Abs. 2 unter anderem vor, dass «Betriebssysteme und Anwendungssoftware stets auf dem neusten Sicherheitsstand gehalten und bekannte kritische Lücken geschlossen werden», dass die Verfügbarkeit nach einem Zwischenfall rasch wiederhergestellt werden kann und dass Fehlfunktionen gemeldet werden.
Beim gemieteten Dienst erledigt der Anbieter das, und deine Aufgabe ist die Prüfung, ob er es zusagt und belegen kann. Im eigenen Betrieb ist es eine Pikettliste. Ein Modellserver ist Software mit eigenem Verwundbarkeitsstrom: Treiber für die Grafikkarten und ein Suchindex, der neu gebaut werden muss, wenn sich Berechtigungen ändern. Nichts davon ist exotisch. Es braucht nur jemanden, der es im Kalender hat.
Die vierte Vorschrift aus Art. 2 DSV, die Nachvollziehbarkeit, wird je nach Anwendung konkreter. Art. 4 DSV verlangt von privaten Unternehmen eine Protokollierung der Bearbeitungsschritte, wenn besonders schützenswerte Personendaten in grossem Umfang automatisiert bearbeitet werden oder ein Profiling mit hohem Risiko stattfindet und präventive Massnahmen den Datenschutz nicht gewährleisten können. Art. 5 DSV verlangt bei denselben zwei Fällen ein Bearbeitungsreglement.
Diese Schwellen lassen sich benennen. Besonders schützenswert sind nach Art. 5 Bst. c DSG unter anderem Gesundheitsdaten, genetische und biometrische Daten sowie Angaben zu religiösen, politischen oder gewerkschaftlichen Ansichten. Für den Assistenten, der Sitzungsnotizen zusammenfasst und Offerten vorbereitet, trifft meist keiner der beiden Fälle zu. Für ein System, das laufend Gesundheitsdaten verarbeitet, trifft der erste zu. Der Unterschied ist an diesen zwei Fällen ablesbar, nicht am Gefühl.
In unserer Erfahrung wird diese Betriebsfrage erst nach dem Hardwarekauf gestellt. Das ist die falsche Reihenfolge, und sie ist teurer als ein Gespräch vorher.
Wann lokal die richtige Antwort ist
Es gibt Fälle, in denen eine lokale KI keine Vorliebe ist, sondern der einzige Weg.
Der klarste steht im Gesetz selbst. Art. 9 Abs. 1 Bst. b DSG lässt die Übertragung an einen Auftragsbearbeiter nur zu, wenn «keine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung verbietet». Wer einem Berufsgeheimnis untersteht oder einen Kundenvertrag hat, der die zulässigen Subprozessoren einzeln aufzählt, kann diese Hürde nicht wegverhandeln. Dann ist der eigene Betrieb die Voraussetzung dafür, das Werkzeug überhaupt einsetzen zu dürfen.
Der zweite Fall ist schlicht: keine brauchbare Verbindung. Produktionshallen und Fahrzeuge im Einsatz. Wenn der Dienst offline funktionieren muss, entscheidet das die Frage ohne Datenschutzdiskussion.
Der dritte ist eine Rechnung. Beim gemieteten Dienst zahlst du pro Nutzung, beim eigenen Weg zahlst du Anschaffung und Betrieb, und die laufen weiter, auch wenn das System einen Monat kaum gefragt wird. Läuft derselbe Schritt tausendfach am Tag, kippt diese Rechnung irgendwann zugunsten eigener Hardware. Wo der Punkt liegt, hängt an deinem Volumen und an den Modellen, die du brauchst; wir kennen keine Zahl, die für alle gilt. Die ehrliche Variante ist, den Ablauf erst gemietet zu messen und dann zu rechnen.
Ein Fall, den wir regelmässig hören, zählt nicht dazu: «Wir wollen sicher sein, dass niemand mit unseren Daten trainiert.» Das Anliegen ist berechtigt, nur steht die Zusage bei den Geschäftsverträgen bereits drin. Microsoft hält für Microsoft 365 Copilot fest, dass Prompts, Antworten und über Microsoft Graph abgerufene Daten nicht zum Training der Foundation-Modelle verwendet werden. OpenAI schreibt für Enterprise, Business, Edu und die API-Plattform, dass Ein- und Ausgaben per Voreinstellung nicht für Training oder Verbesserung der Modelle genutzt werden. Das ist eine Vertragsfrage, keine Standortfrage. Dafür allein braucht es keinen Server.
Die Reihenfolge, die beide Wege teilen
Vier Fragen stehen vor der Standortfrage, und sie sind in beiden Varianten dieselben.
Welche Daten berührt der Ablauf, den du automatisieren willst? Auf welche Ablagen darf das System lesend zugreifen, und stimmen die Berechtigungen dort heute? Was darf es ohne eine Freigabe durch einen Menschen tun? Und wer betreibt es in zwölf Monaten, wenn die Person, die es aufgesetzt hat, drei Wochen in den Ferien ist?
Wenn diese vier Antworten stehen, ist die Standortfrage in zehn Minuten entschieden, meist anhand der Geheimhaltungspflichten und des Volumens. Stehen sie nicht, löst auch eigene Hardware das Problem nicht, sie verlagert es nur in den eigenen Keller. In der KI-Governance für KMU arbeiten wir deshalb in dieser Reihenfolge und fangen bei den Berechtigungen an, nicht bei der Infrastruktur. Was dabei laufend anfällt, steht auf unserer Seite zu KI im Betrieb.
Steht bei euch gerade eine Offerte für eigene Hardware auf dem Tisch, lohnen sich diese vier Fragen vorher. Dafür gibt es das kostenlose Erstgespräch, und es endet nicht selten mit dem Hinweis, dass der gemietete Dienst für euren Fall genügt.
Der Satz, der im Serverraum nicht steht
Eine lokale KI beantwortet die Frage, wo gerechnet wird. Wer was sehen darf, beantwortet sie nicht, und das ist die Frage, die im Ernstfall zählt. Auf welche Ordner dürfte ein Modell bei euch heute zugreifen, bevor jemand die Berechtigungen durchgegangen ist?
Häufige Fragen
Ist eine lokale KI datenschutzkonform?
Sie kann es sein, automatisch ist sie es nicht. Der eigene Betrieb lässt die Auftragsbearbeitung nach Art. 9 DSG und die Bekanntgabe ins Ausland nach Art. 16 DSG entfallen. Die Datensicherheit nach Art. 8 DSG und die Zugriffskontrolle nach Art. 3 DSV bleiben unverändert deine Pflicht, unabhängig vom Standort des Servers.
Wann lohnt sich eine lokale KI im KMU?
In drei Lagen. Wenn eine gesetzliche oder vertragliche Geheimhaltungspflicht die Übertragung an einen Auftragsbearbeiter verbietet, wenn der Dienst ohne Verbindung funktionieren muss, oder wenn dasselbe Volumen so hoch ist, dass Anschaffung und Betrieb günstiger werden als die Abrechnung pro Nutzung.
Brauche ich einen Auftragsbearbeitungsvertrag, wenn die KI lokal läuft?
Für den Modellanbieter nicht, wenn niemand von aussen die Daten sieht. Betreut aber ein IT-Dienstleister die Hardware und hat administrativen Zugang, gilt er in der Regel als Auftragsbearbeiter. Dann braucht es den Vertrag mit ihm, nur eben mit einem anderen Namen darauf.
