Lokale KI statt Cloud: DSGVO und AI Act im Griff

Begriff

Was „lokale KI“ bedeutet

Lokale KI heißt: Das Sprachmodell läuft nicht bei einem großen Cloud-Anbieter, sondern auf Hardware, deren Standort und Betreiber feststehen. Das kann ein Server in Ihrem Haus sein oder ein Server Ihres Dienstleisters in Deutschland bzw. der EU. Eingesetzt werden Open-Source-Modelle, die sich ohne Verbindung zu einem fremden Dienst betreiben lassen.

Der Unterschied liegt nicht in der Qualität einzelner Antworten, sondern in der Kette dahinter. Bei einem Cloud-Dienst gehen Eingaben an einen weiteren Anbieter, oft mit Unterauftragnehmern und Rechenzentren außerhalb der EU. Bei lokaler KI endet die Kette bei Ihnen oder bei einem Dienstleister, den Sie kennen und vertraglich gebunden haben.

DSGVO

Artikel 28 DSGVO: Wer im Auftrag verarbeitet, braucht einen Vertrag

Lässt ein Unternehmen personenbezogene Daten von einem Dienstleister verarbeiten, ist das Auftragsverarbeitung. Artikel 28 Absatz 1 DSGVO verlangt, dass der Verantwortliche nur mit Auftragsverarbeitern arbeitet, „die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden“, dass die Verarbeitung der Verordnung entspricht.

Absatz 3 schreibt einen Vertrag vor. Darin muss unter anderem stehen, dass der Auftragsverarbeiter die Daten „nur auf dokumentierte Weisung des Verantwortlichen“ verarbeitet, auch was Übermittlungen in Drittländer betrifft. Für Übermittlungen außerhalb der EU gelten zusätzlich die Regeln aus Kapitel V DSGVO.

Praktisch bedeutet das: Je mehr Anbieter in der Kette stehen, desto mehr Verträge, Prüfungen und Dokumentation brauchen Sie. Lokale KI verkürzt die Kette. Läuft das Modell auf Ihrer eigenen Hardware, verarbeiten Sie selbst. Läuft es bei DripBack, haben Sie einen Auftragsverarbeiter mit Sitz in Leopoldshöhe und einen Vertrag, den Sie vorab lesen können: AVV als PDF.

KI-Verordnung

Artikel 50 AI Act: Menschen müssen wissen, dass sie mit KI sprechen

Die KI-Verordnung (EU) 2024/1689 regelt KI-Systeme selbst, unabhängig vom Datenschutz. Artikel 50 Absatz 1 verpflichtet Anbieter sicherzustellen, dass KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so gestaltet sind, dass die Menschen informiert werden, dass sie mit einem KI-System interagieren. Nach Absatz 5 muss das spätestens zum Zeitpunkt der ersten Interaktion klar und eindeutig geschehen.

Diese Pflicht gilt seit dem 2. August 2026. Das ergibt sich aus Artikel 113: Die Verordnung gilt grundsätzlich ab diesem Datum. Schon seit dem 2. Februar 2025 gelten die Kapitel I und II, darunter die Pflicht zur KI-Kompetenz nach Artikel 4.

Wichtig: Lokale KI befreit nicht von der KI-Verordnung. Ein Telefonassistent auf Ihrem eigenen Server muss sich genauso als KI zu erkennen geben wie ein Cloud-Dienst. Unsere Assistenten tun das im ersten Satz, mehr dazu im Glossar unter Transparenzpflicht nach Art. 50.

Abwägung

Wann lokale KI die bessere Wahl ist und wann nicht

• Lokal lohnt sich, wenn Kundendaten, Gesprächsinhalte, Bewerbungen oder Gesundheitsangaben verarbeitet werden, wenn Ihre Kunden nach dem Verarbeitungsort fragen oder wenn Sie Daten nicht an Dritte geben dürfen.
• Cloud kann reichen, wenn keine personenbezogenen Daten im Spiel sind, etwa beim Umformulieren eines öffentlichen Werbetextes.
• Mischform: Für Spezialaufgaben kann ein Cloud-Dienst sinnvoll sein. Dann wird der Personenbezug vorher entfernt und die Weitergabe im Auftragsverarbeitungsvertrag geregelt.

Wie sich eigene Hardware und Cloud im Betrieb unterscheiden, erklärt der Glossar-Eintrag On-Premise vs. Cloud-KI.

Angebot

Was DripBack liefert

Wir setzen lokal laufende Open-Source-Modelle ein, auf unseren Servern oder auf Ihrer Hardware. Die Verarbeitung findet in Deutschland bzw. der EU statt. Sofort buchbar sind:

• KI-Sprechstunde: Ihre Liste, was KI bei Ihnen übernimmt, was es kostet und was DSGVO-sicher geht.
• KI-Telefonassistent Starter: 149 € Einrichtung und 49 € im Monat, monatlich kündbar.
• Website in 48 Stunden: 990 € inklusive zwölf Monaten Hosting.

Für eigene Server im Haus gibt es die Leistung Server und On-Premise-KI, für die Bestandsaufnahme vorhandener KI-Werkzeuge das Modul DSGVO-KI-Audit-Suite und für allgemeine Fragen unsere Seite Datenschutz und DSGVO.

Quellen

Rechtsgrundlagen im Wortlaut

• Verordnung (EU) 2024/1689 (KI-Verordnung), Artikel 4, 50 und 113, Amtsblatt der EU vom 12. Juli 2024: eur-lex.europa.eu/eli/reg/2024/1689/oj/deu. Geltungsdaten geprüft am 1. September 2026, Wortlaut von Artikel 50 und 113 abgeglichen am 25. Oktober 2026.
• Verordnung (EU) 2016/679 (DSGVO), Artikel 28, Amtsblatt der EU vom 4. Mai 2016: eur-lex.europa.eu/eli/reg/2016/679/oj/deu. Wortlaut abgeglichen am 25. Oktober 2026.

Diese Seite ersetzt keine Rechtsberatung. Sie zeigt, wie wir die Vorschriften in unseren Produkten umsetzen.