Ein kompakter Leitfaden zu Cloud-KI, EU-Plattformen, lokalen KI-Modellen und Open WebUI – mit Blick auf Datenflüsse, Kontrolle und den Umgang mit personenbezogenen Informationen.
Künstliche Intelligenz kann Unternehmen erheblich effizienter machen – etwa bei Texterstellung, Support, Programmierung, Dokumentenanalyse, Automatisierung und Wissensmanagement.
Für einen datenschutzkonformen Einsatz müssen Unternehmen vor allem klären: Welche Daten werden verarbeitet? Wo werden sie verarbeitet? Welche KI ist für welchen Zweck geeignet?
Der folgende Überblick betrachtet unterschiedliche technische Ansätze und dient als Entscheidungsgrundlage für Unternehmen.
Entscheidend ist, dass personenbezogene Daten kontrolliert und nachvollziehbar verarbeitet werden. Dazu können Namen, E-Mail-Adressen, Telefonnummern, Kunden- und Mitarbeiterdaten, Bewerbungen, Verträge oder interne Kommunikation gehören.
Die technische Architektur sollte deshalb zur Art der verarbeiteten Informationen passen.
Die eigene Software sendet Anfragen über eine API an externe KI-Server.
Vorteile
Nachteile
Geeignet beispielsweise für: Marketingtexte, Produktbeschreibungen, Programmcode, Ideengenerierung und Zusammenfassungen.
Eine auf Unternehmen ausgerichtete KI-Plattform mit Fokus auf kontrollierte Nutzung und der Möglichkeit, generative KI-Modelle zentral in Geschäftsprozesse einzubinden.
Vorteile
Geeignet für: interne KI-Nutzung, Wissensmanagement und KI-Chat für Mitarbeiter.
Das KI-Modell läuft auf einem eigenen Server oder im eigenen Rechenzentrum.
Vorteile
Geeignet für: personenbezogene Daten, interne Dokumente und vertrauliche Inhalte.
Open WebUI kann verschiedene KI-Modelle ansprechen – lokale Modelle wie Mistral oder Llama ebenso wie Cloud-KI über APIs.
Wichtig: Die Oberfläche allein entscheidet nicht über die Datenschutzbewertung. Entscheidend ist, wo das tatsächlich genutzte Modell läuft und wohin Daten übertragen werden.
Open WebUI + Mistral lokal → Daten können im Unternehmen bleiben.
Open WebUI + externe API → Daten werden an den jeweiligen externen Dienst übertragen.
Die lokale Installierbarkeit ist ein wichtiger technischer Unterschied. Sie sagt allein jedoch noch nicht aus, ob eine konkrete Nutzung DSGVO-konform ist.
| System | Typ | lokal installierbar |
|---|---|---|
| ChatGPT | kommerziell | nein |
| Claude | kommerziell | nein |
| Langdock | kommerziell | nein |
| Mistral | teilweise Open Source | ja |
| Llama | Open Source | ja |
| Open WebUI | Open Source Oberfläche | ja |
Daten bewusst auswählen: Nicht jede Information sollte an eine Cloud-KI gesendet werden. Je sensibler und personenbezogener die Daten sind, desto genauer sollte der konkrete Einsatz geprüft werden.
| Datenart | Cloud-KI laut Ausgangsleitfaden |
|---|---|
| Marketingtexte | ja |
| Produkttexte | ja |
| Programmcode | ja |
| anonymisierte Inhalte | ja |
| Kundendaten | eingeschränkt |
| Mitarbeiterdaten | kritisch |
| Gesundheitsdaten | vermeiden |
Werden personenbezogene Daten durch einen externen Auftragsverarbeiter verarbeitet, ist zu prüfen, ob ein Vertrag zur Auftragsverarbeitung erforderlich ist. Im Ausgangstext werden OpenAI, Claude, Langdock und Mistral API als typische Prüffälle genannt.
Bei externen KI-Diensten ist zu berücksichtigen, ob Daten außerhalb der EU verarbeitet oder übermittelt werden. Sensible Inhalte sollten möglichst anonymisiert oder lokal verarbeitet werden.
Mitarbeiter sollten wissen, welche KI-Werkzeuge für welche Daten und Aufgaben zulässig sind und wann vor einer Nutzung eine Prüfung erforderlich ist.
Als Praxisansatz nennt der Ausgangstext: Cloud-KI für allgemeine Inhalte, lokale KI für personenbezogene und sensible Informationen.
Open WebUI kann mehrere KI-Systeme ansprechen. Dadurch lässt sich je nach Anforderung ein anderes Modell verwenden. Die Auswahl kann auch durch eigene Software über eine API-Anbindung gesteuert werden.
Vorteile sind eine einheitliche Oberfläche, flexible Modellwahl und die Möglichkeit, sensible und unsensible Daten technisch voneinander zu trennen.
Grundsätzlich kann dies möglich sein, wenn eine passende Rechtsgrundlage besteht, erforderliche Verträge vorhanden sind, die Verarbeitung dokumentiert wird und die Daten auf das notwendige Minimum reduziert werden. Besonders sensible Daten sollten nicht ohne individuelle Prüfung übertragen werden.
Der Ausgangsleitfaden stuft dies als nur eingeschränkt sinnvoll ein und empfiehlt insbesondere Anonymisierung, das Entfernen personenbezogener Daten und lokale Verarbeitung sensibler Inhalte.
Nein. Eine lokale Installation kann jedoch mehr Kontrolle ermöglichen, weil Daten nicht zwingend an externe Modellanbieter übertragen werden müssen.
Wenn beim KI-Einsatz personenbezogene Daten verarbeitet werden, kann eine Anpassung erforderlich sein. Der Ausgangstext nennt insbesondere eingesetzte Systeme, Verarbeitungszweck und Datenarten als relevante Informationen.
Der Leitfaden empfiehlt lokale KI insbesondere bei personenbezogenen Daten, internen Dokumenten, sensiblen Informationen und vertraulichen Inhalten.
Der Ausgangsleitfaden unterscheidet für Unternehmen in Deutschland zwischen Cloud-KI, einer EU-orientierten Plattform und lokal betriebenen Komponenten.
Für geeignete Aufgaben, bei denen die externe Verarbeitung nach Prüfung vertretbar ist.
Als zentral verwaltete Plattform für die KI-Nutzung in Teams.
Für mehr technische Kontrolle und den Umgang mit sensibleren internen Daten.
KI kann im Unternehmen datenschutzkonform eingesetzt werden, wenn die konkrete Verarbeitung rechtlich und technisch passend gestaltet wird. Wesentliche Punkte des Leitfadens sind: