Datenschutzkonforme KI
DSGVO-konforme KI im EU-Rechenzentrum oder im eigenen Netz
DSGVO-konforme KI beginnt mit der Frage, wo Ihre Daten bleiben. Sie wählen: EU-Hosting, eigener Server oder Installation in Ihrem Netz.
Nützliche KI, unklare Datenwege
Viele Betriebe halten sich bei KI zurück, weil sie nicht wissen, wohin ihre Eingaben fließen. Mit DSGVO-konformer KI legen Sie selbst fest, wo Ihre Daten verarbeitet werden, wer sie sieht und was gespeichert bleibt.
- Wohin eine Eingabe in ein Chatprogramm wandert und wer sie liest, weiß in Ihrem Betrieb niemand sicher.
- Mitarbeitende nutzen private KI-Konten für Firmenaufgaben und tippen dort Kundennamen, Angebote und Verträge ein.
- Ihr Datenschutzbeauftragter, Ihre Kunden oder eine Ausschreibung verlangen Verträge und Nachweise, die Sie bisher nicht vorlegen können.
- Patientenakten, Mandantenunterlagen und Konstruktionspläne sind zu vertraulich für ein Chatprogramm im Internet.
Was wir für Sie umsetzen
Drei Betriebsarten zur Wahl
Sie entscheiden, wo Ihre KI läuft. Bei EU-Hosting betreibt ein Anbieter sie in seinem Rechenzentrum in der EU. Beim eigenen Server mieten Sie einen Rechner in einem solchen Rechenzentrum, und darauf läuft ein offenes Sprachmodell wie Llama oder Mistral (eine KI, die Texte versteht und schreibt und sich auf eigener Hardware betreiben lässt). Bei der Installation im eigenen Netz steht der Rechner bei Ihnen im Haus, und keine Anfrage verlässt es. Wir empfehlen die Betriebsart, die zu Ihren Daten und Aufgaben passt.
Verträge und Nachweise
Mit Ihnen schließen wir einen Auftragsverarbeitungsvertrag. In diesem Vertrag sagt der Dienstleister zu, personenbezogene Daten nur nach Ihrer Weisung zu verarbeiten. Beteiligte Dienstleister benennen wir offen und prüfen, wo ein Anbieter seinen Sitz hat und welchem Recht er unterliegt. Ihre Eingaben dienen nicht dem Training fremder Modelle, denn wir setzen nur Anbieter und Modelle ein, bei denen das ausgeschlossen ist. Dazu erhalten Sie eine Beschreibung der Datenflüsse und Schutzmaßnahmen, die Ihr Datenschutzbeauftragter prüfen kann.
Rechte, Verschlüsselung und Protokolle
Das Schutzkonzept steht von Anfang an. Es umfasst die technischen und organisatorischen Maßnahmen, kurz TOM, mit denen Sie Ihre Daten schützen. Ein Rollenkonzept regelt, wer welche Daten und Funktionen nutzen darf, sodass zum Beispiel der Vertrieb keine Personalunterlagen findet. Daten sind bei der Speicherung und auf dem Übertragungsweg verschlüsselt. Ein Protokoll hält jede Nutzung fest, und Löschfristen sorgen dafür, dass Chatverläufe und Dokumente nicht ewig liegen bleiben.
Schutz vor Angriffen auf die KI
Security by Design heißt: Schutz gehört zur Planung. Bei KI betrifft das auch die Prompt-Injection. Dabei versteckt jemand in einem Text, den die KI liest, etwa in einer E-Mail oder einem PDF, eine Anweisung, und die KI hält sie für einen Auftrag. Wir verlassen uns nicht darauf, dass ein Modell jeden Trick erkennt. Wir begrenzen, was die KI tun darf, holen für kritische Schritte Ihre Freigabe ein und werten Texte von außen nie als Befehl. Vor dem Start prüfen wir das System so, wie ein Angreifer es prüfen würde.
Schatten-KI aufspüren und ersetzen
Schatten-KI nennen Fachleute es, wenn Mitarbeitende private KI-Konten für die Arbeit nutzen. Wir beginnen mit einer Bestandsaufnahme: Welche Werkzeuge nutzt Ihr Team tatsächlich, und welche Daten landen dort? Ein Verbot hilft selten, denn die Werkzeuge sind nützlich. Deshalb ersetzen wir die privaten Konten durch eine freigegebene Firmen-KI in der Betriebsart, die zu Ihren Daten passt, mit Anmeldung, Rollen und Protokoll.
Transparenz nach der KI-Verordnung
Die KI-Verordnung der EU (englisch: EU AI Act) enthält Transparenzregeln. Systeme, die direkt mit Menschen sprechen oder schreiben, müssen sich als KI zu erkennen geben, wenn das nicht ohnehin offensichtlich ist. Täuschend echte Bilder, Videos und Tonaufnahmen aus KI-Systemen müssen als KI-erzeugt gekennzeichnet sein. Diese Regeln aus Artikel 50 gelten seit August 2026. Wir bauen die Hinweise in Ihre Assistenten ein und zeigen Ihnen, wo Sie Inhalte kennzeichnen sollten.
Was Ihr Betrieb davon hat
Sie entscheiden, wo Ihre Daten liegen
Ort, Zugriff und Speicherdauer legen Sie selbst fest, in jeder der drei Betriebsarten. Was mit Ihren Daten geschieht, steht schwarz auf weiß im Vertrag.
Unterlagen für jede Nachfrage
Verträge, Schutzbeschreibung und Protokolle liegen schriftlich vor. Fragt Ihr Datenschutzbeauftragter oder ein Kunde nach, was die KI mit den Daten macht, legen Sie Unterlagen auf den Tisch.
Täuschungsversuche bleiben begrenzt
Die KI hat nur die Rechte, die ihre Aufgabe verlangt, und kritische Schritte brauchen Ihre Freigabe. Ein untergeschobener Befehl kann deshalb wenig anrichten.
Auch vertrauliche Aufgaben werden möglich
Mit einer KI im eigenen Netz lassen sich Aufgaben angehen, die Sie keinem Chatprogramm im Internet anvertrauen würden. Das gilt etwa für Akten, Patientendaten und Betriebsgeheimnisse.
So kann das bei Ihnen aussehen
- Therapiepraxis
Berichte entwerfen, ohne dass Daten das Haus verlassen
Eine Praxis lässt Berichte und Briefe aus Stichworten vorformulieren. Dafür läuft ein offenes Sprachmodell auf einem Rechner im Praxisnetz. Die Patientendaten bleiben im Haus, jede Nutzung steht im Protokoll, und die Therapeutin prüft und unterschreibt jeden Entwurf.
- Kanzlei
Mandate sauber getrennt
Eine Rechtsanwaltskanzlei lässt Akten durchsuchen und Schriftsätze zusammenfassen. Sie wählt einen eigenen Server in einem Rechenzentrum in der EU, damit Mandantendaten nur in ihrer Umgebung liegen. Das Rollenkonzept trennt die Mandate: Wer an einem Fall nicht beteiligt ist, sieht die Akte nicht und findet sie auch nicht über die Suche.
- Dienstleister
Nachweise für Industriekunden
Ein Ingenieurbüro betreut Konstruktionsunterlagen von Industriekunden, die vertraglich verlangen, dass diese Daten nicht in fremde Clouds gelangen. Das Büro setzt ein Sprachmodell im eigenen Netz ein, um Pflichtenhefte und Prüfberichte zu durchsuchen. Auf Anfrage legt es den Kunden die Beschreibung der Datenflüsse und Schutzmaßnahmen vor.
Ablauf
In vier Etappen zur fertigen Lösung
Erstgespräch
Wir klären, welche Daten die KI sehen soll, welche Aufgaben sie übernimmt und was für Sie gilt, etwa eine Schweigepflicht oder Vorgaben Ihrer Kunden. Für das Erstgespräch zahlen Sie nichts. Danach erhalten Sie ein Festpreisangebot, das die gewählte Betriebsart und den Leistungsumfang festhält.
Betriebsart und Schutzkonzept festlegen
Gemeinsam wählen wir zwischen EU-Hosting, eigenem Server und eigenem Netz. Wir zeichnen auf, welche Daten wohin fließen, und beschreiben Rechte, Verschlüsselung und Protokolle. Auf dieser Grundlage entstehen die Verträge.
Prototyp in wenigen Wochen
Wir bauen einen lauffähigen Prototyp in der gewählten Umgebung, zunächst mit Beispieldaten. Sie testen ihn selbst. Bevor echte Daten hineinkommen, prüfen wir ihn auf Schwachstellen.
Start und laufende Pflege
Mit Ihrer Freigabe geht das System in Betrieb. Wir halten Modelle und Sicherheitsupdates aktuell, werten Protokolle aus und passen Rechte an, wenn sich Ihr Team verändert. Sie behalten einen festen Ansprechpartner.
Was DSGVO-konforme KI im Betrieb bedeutet
DSGVO-konforme KI ist eine Frage des Betriebs. Sobald eine Eingabe Angaben zu Personen enthält, etwa Namen, Adressen oder Gesundheitsdaten, handelt es sich um personenbezogene Daten, und die Datenschutz-Grundverordnung (DSGVO) gilt. Beim Thema KI und Datenschutz zählen deshalb vier Fragen: Wo wird verarbeitet? Wer hat Zugriff? Welche Verträge gelten? Was wird gespeichert, und wie lange? Wir beantworten sie für Ihre KI schriftlich, bevor echte Daten ins System kommen.
Lokale KI läuft nicht bei einem KI-Anbieter, sondern auf Hardware, die Sie selbst kontrollieren. Dafür gibt es zwei Wege: einen gemieteten Server in einem Rechenzentrum in der EU oder einen Rechner im eigenen Haus. Die zweite Variante heißt KI On-Premise, also KI im eigenen Haus, und ist zugleich KI ohne Cloud: Anfragen verlassen Ihr Netz nicht. Ein eigenes Sprachmodell bedeutet dabei nicht, ein Modell von Grund auf zu trainieren. Sie betreiben ein offenes Modell selbst und geben ihm Zugriff auf Ihre Unterlagen.
Eine Faustregel für die Wahl: Je vertraulicher die Daten, desto näher an Ihr Haus. Für Werbetexte oder allgemeine Anfragen genügt oft EU-Hosting mit Vertrag. Bei Patientenakten, Mandantenunterlagen oder Konstruktionsplänen empfehlen wir einen eigenen Server oder das eigene Netz. Auch Mischformen funktionieren: sensible Aufgaben lokal, alles andere in der EU. Die Entscheidung treffen wir mit Ihnen anhand Ihrer echten Daten und Aufgaben.
Wie wir selbst mit Ihren Daten umgehen
Wer KI absichert, fängt bei der eigenen Arbeit an. Für unser Vorgehen gelten dieselben Maßstäbe wie für Ihr fertiges System.
- Echtdaten erst nach der Prüfung: Prototypen laufen mit Beispieldaten. Echte Daten kommen ins System, wenn Sie den Prototyp abgenommen haben und die Schwachstellenprüfung durchgeführt ist.
- Zugriff nur mit Ihrer Freigabe: Auf Ihre Systeme greifen wir nur zu, wenn Sie es erlaubt haben. Jeder Fernzugriff steht im Protokoll.
- Menschen entscheiden: Die KI antwortet aus den Quellen, die Sie freigegeben haben, und nennt die Fundstelle. Kritische Schritte wie Versand, Löschung oder Buchung laufen erst nach Ihrer Freigabe.
Häufige Fragen
Was kostet eine datenschutzkonforme KI?
Das hängt von diesen Punkten ab: der Betriebsart (EU-Hosting, eigener Server oder eigenes Netz samt Hardware), der Zahl der Nutzer, der Menge der Dokumente, der Anbindung an Ihre Software sowie dem Umfang von Schutzkonzept und Sicherheitsprüfung. Was das bei Ihnen kostet, steht nach dem kostenlosen Erstgespräch in Ihrem Festpreisangebot.
Reicht EU-Hosting, oder muss die KI lokal laufen?
Das hängt von Ihren Daten ab. Für viele Aufgaben genügt EU-Hosting mit Auftragsverarbeitungsvertrag. Bei besonders vertraulichen Daten wie Patientenakten, Mandantenunterlagen oder Konstruktionsplänen raten wir zu einem eigenen Server oder zum eigenen Netz. Auch Mischformen sind möglich: sensible Aufgaben lokal, alles andere in der EU. Im Erstgespräch sehen wir uns Ihre Daten an und empfehlen die passende Betriebsart.
Sind lokale KI-Modelle so gut wie ChatGPT?
Für die meisten Aufgaben im Betriebsalltag arbeiten offene Modelle gut: Texte zusammenfassen, Entwürfe schreiben, Dokumente durchsuchen, E-Mails sortieren. Bei sehr anspruchsvollen Aufgaben können große Cloud-Modelle vorn liegen. Deshalb vergleichen wir beide Wege an Ihren eigenen Beispielen, bevor Sie sich festlegen. So wissen Sie vorab, was ein lokales Modell bei Ihnen leistet.
Dürfen Mitarbeitende ChatGPT mit Firmendaten nutzen?
Wir raten davon ab, Kundendaten in private oder kostenlose Konten solcher Chatprogramme einzugeben: Es fehlt in der Regel ein Auftragsverarbeitungsvertrag, und Eingaben können je nach Anbieter und Einstellung für das Training der Modelle verwendet werden. Business-Tarife mit Vertrag sind für unkritische Aufgaben oft eine Option. Bei Kundendaten, Patientenakten und Mandantenunterlagen empfehlen wir eine Variante, bei der Sie Ort und Zugriff selbst bestimmen.
Was passiert, wenn jemand die KI austrickst oder sie Fehler macht?
Wir rechnen damit und begrenzen den Schaden im Voraus. Die KI erhält nur die Rechte, die ihre Aufgabe braucht, kritische Schritte brauchen Ihre Freigabe, und jede Aktion steht im Protokoll. Vor dem Start testen wir Angriffe wie Prompt-Injection gezielt. Antworten stützen sich auf Ihre Unterlagen und nennen die Fundstelle, sodass Ihr Team jede Aussage nachprüfen kann.
Brauchen wir für eine lokale KI eine eigene IT-Abteilung?
Nein. Wir beraten bei der Hardware, richten das System ein und betreiben es auf Wunsch weiter, einschließlich Updates und Überwachung. Auch die Anbindung an Ihre vorhandene Software übernehmen wir. Von Ihnen brauchen wir einen Ansprechpartner und bei eigener Hardware einen Platz mit Strom und Netzanschluss. Einen ersten Prototyp können Sie nach wenigen Wochen ausprobieren; bei eigener Hardware kommt die Lieferzeit des Servers dazu.
Passt gut dazu
KI-Assistenten
Beantwortet Fragen auf Ihrer Website und im Team, aus Ihren Unterlagen und mit Quellenangabe.
KI-Agenten
Liest E-Mails und Formulare, legt Angebote, Tickets und Termine an und erinnert an offene Rechnungen.
Beratung und Schulung
Zeigt, wo KI in Ihrem Betrieb Arbeit abnimmt, und schult Ihr Team im sicheren Umgang.
Lassen Sie uns über Ihre Abläufe sprechen.
30 Minuten, kostenlos und unverbindlich. Sie schildern, wo Zeit verloren geht. Wir sagen Ihnen offen, was Software und KI dort leisten können und was nicht.