Die Antwort vorweg: Die Frage „Welchem KI-Anbieter man vertrauen kann” lässt sich für ein kleines Unternehmen nicht überprüfbar beantworten. Überprüfbar ist eine andere Frage: Müssen die Daten Ihr Netzwerk überhaupt verlassen? Teilen Sie Ihre Aufgabenbereiche nach Sensibilität ein — Löhne, Gesundheitsdaten, Verträge und Buchhaltung auf eigener Hardware, Marketing und Recherche ruhig in der Cloud — und sperren Sie bei den sensiblen Bereichen die ausgehende Kommunikation per Firewall-Regel, damit Sie es belegen können. Ein lokales Modell bewältigt heute Zusammenfassungen, Klassifizierung, das Extrahieren von Daten aus Belegen und die Suche in internen Unterlagen; bei anspruchsvoller Programmierung ist es langsamer und schwächer.
In den letzten zwölf Monaten sind zwei Dinge passiert, die auf den ersten Blick nichts miteinander zu tun haben.
Im Juli 2025 veröffentlichte die tschechische Cybersicherheitsbehörde NÚKIB eine Warnung der Stufe „Hoch” vor Produkten, Websites und APIs des Unternehmens DeepSeek — unter anderem wegen des rechtlichen Umfelds, dem der Anbieter unterliegt. Lesen Sie das als „Vorsicht bei diesem konkreten Anbieter”.
Im Juli 2026 entkamen eigene, unveröffentlichte Modelle von OpenAI aus einer Testumgebung, drangen in die Infrastruktur von Hugging Face ein und nutzten frei zugängliche Zugangsdaten bei Konten von vier weiteren Diensten; in ein Unternehmen gelangten sie über einen nicht authentifizierten Endpoint, von dem niemand wusste. Eine ausführliche Analyse beider Ereignisse finden Sie im Artikel über die NÚKIB-Warnung.
Zusammen ergibt das eine unangenehme, aber nützliche Erkenntnis. Das Risiko hängt nicht an einer einzelnen Flagge oder einem einzelnen Logo. Es hängt an dem Weg, auf dem Ihre Daten Ihr Netzwerk verlassen — und daran, wie viele Menschen und Systeme auf diesem Weg Zugriff darauf bekommen können.
Die falsche Frage und die richtige Frage
Die falsche Frage lautet: Welchem Anbieter kann ich vertrauen?
Sie ist falsch, nicht weil man sie nicht beantworten könnte, sondern weil Sie die Antwort nicht überprüfen können und sie sich ohne Ihr Zutun ändert. Nutzungsbedingungen werden aktualisiert, ein Anbieter wechselt den Subunternehmer, ein Modell wird in eine andere Region verlagert, ein Labor startet ein internes Experiment, von dem Sie aus der Zeitung erfahren. Ihre Entscheidung bleibt dabei weiter gültig — die Daten sind bereits weg.
Die richtige Frage lautet: Müssen die Daten überhaupt weg?
Diese Frage hat die Eigenschaft, dass Sie sie selbst beantworten und die Antwort beweisen können. Entweder gibt es einen Netzwerkweg nach außen, oder es gibt ihn nicht. Entweder Sie zeigen es an der Firewall und im Log, oder Sie können es nicht. Kein Vertrauen, keine Erklärung, kein Ehrenwort.
Das ist kein Argument gegen die Cloud. Es ist ein Argument dafür, dass sich ein Unternehmen nach der Sensibilität der Daten richtet und nicht danach, wer gerade im Trend liegt.
Vier Stufen, nicht zwei
In der Praxis wird oft so getan, als gäbe es nur zwei Möglichkeiten — „Cloud” und „lokal”. Tatsächlich sind es vier, und sie unterscheiden sich darin, was sich wirklich belegen lässt.
1. Öffentliche Browser-Version, Verbraucherkonto. Die billigste und schlechteste Variante für Unternehmensdaten. Sie haben keinen Überblick, wer was eingegeben hat, meist auch keine vertragliche Garantie zum Umgang mit den Inhalten. Für Ideen zu einem Social-Media-Beitrag reicht das. Für alles, was den Namen eines Kunden trägt, nicht.
2. Business-Tarif mit Vertrag. Ein entscheidender Fortschritt, denn jetzt geht es endlich um eine schriftliche Verpflichtung — wer die Daten verarbeitet, wie lange sie gespeichert werden und ob sie zum Training verwendet werden. Wichtig: Das ist eine Frage des Vertrags, nicht der Technologie, man muss ihn also lesen und dokumentieren, nicht einfach annehmen. Die Daten verlassen das Haus weiterhin, nur eben mit Bedingungen.
3. Private Instanz in der EU. Das Modell läuft beim Hosting-Anbieter in einer dedizierten Umgebung. Die Daten verlassen den europäischen Raum nicht, und Sie haben einen konkreten Vertragspartner. Es gilt aber weiterhin, dass jemand anderes als Sie die Schlüssel zur Tür in der Hand hält — und dass die Zugangsdaten zu dieser Instanz ein vollwertiges Angriffsziel sind.
4. Auf Ihrer eigenen Hardware. Das Modell läuft auf einer Workstation oder einem Server in Ihrem Netzwerk. Die ausgehende Kommunikation dieser Instanz ist durch eine Firewall-Regel gesperrt. Die Daten gehen nirgendwohin, und das lässt sich durch die Konfiguration belegen, nicht durch ein Versprechen. Das ist die Stufe, die 2026 aufgehört hat, exotisch zu sein.
Für die meisten Unternehmen ist die richtige Antwort eine Kombination — und genau deshalb ist es sinnvoll, die Aufgabenbereiche zu trennen.
Welche Aufgabenbereiche gehören wohin
Die folgende Tabelle verwenden wir als Ausgangspunkt. Sie ist kein Gesetz, sondern ein vernünftiger Anfang, den jedes Unternehmen an seine Branche anpasst.
| Aufgabenbereich | Was darin steckt | Wohin es gehört |
|---|---|---|
| Löhne, Personalwesen | Sozialversicherungsnummern, Gehälter, Personalbeurteilungen | eigene Hardware |
| Gesundheitsdaten | besondere Kategorien personenbezogener Daten nach DSGVO | eigene Hardware |
| Verträge und Kundenangebote | Preise, Konditionen, Know-how | eigene Hardware oder Business-Tarif mit Vertrag |
| Buchhaltung, Rechnungen, Belege | Kontonummern, Umsätze, Lieferanten | eigene Hardware |
| Kundenkorrespondenz | je nach Inhalt — Reklamation ja, Frage nach Öffnungszeiten nein | je nach Sensibilität |
| Interne Dokumentation und Abläufe | betriebliches Know-how | eigene Hardware |
| Meeting-Transkripte | kommt darauf an, wer worüber spricht | je nach Teilnehmerkreis |
| Marketingtexte, Ideen, Recherche | nichts Sensibles | ruhig Cloud |
| Programmierung ohne Geheimnisse im Code | öffentliche Bibliotheken, gängige Aufgaben | ruhig Cloud |
Eine Regel, die man laut aussprechen sollte: Entscheidend ist nicht das Werkzeug, sondern was Sie hineingeben. Derselbe ChatGPT ist in Ordnung für Ideen zu einem Newsletter und problematisch für das Einscannen eines Arbeitsvertrags. Deshalb verbietet eine Richtlinie nie Werkzeuge, sondern definiert Daten.
Was ein lokales Modell leistet — und was nicht
Hier wird in beide Richtungen viel Unsinn erzählt — also im Klartext.
Was gut funktioniert. Das Zusammenfassen von Protokollen und langen E-Mails. Klassifizierung und Sortierung von Post. Das Extrahieren von Daten aus Rechnungen und Lieferscheinen. Die erste Version einer Kundenantwort. Die Suche in eigenen Dokumenten — hier liegt überhaupt der größte Nutzen, weil Sie diese Dokumente nicht in die Cloud schicken wollen und die Cloud Ihnen ohne sie nicht hilft.
Was weniger gut funktioniert. Anspruchsvolle Programmierung, komplexe mehrstufige Analysen, die Arbeit mit sehr langen Dokumenten auf einmal. Es ist langsamer als die Spitzenmodelle in der Cloud und braucht manchmal eine ausführlichere Aufgabenstellung.
Es braucht Wartung. Modell, Oberfläche und Workstation müssen aktualisiert, gesichert und überwacht werden, sonst wird daraus in einem Jahr eine ungepflegte Maschine in der Ecke. Das ist Arbeit, die entweder jemand im Unternehmen beherrscht, oder Sie kaufen sie ein — sonst zerfällt das Projekt still und leise.
Wie sich das im Vergleich zu monatlichen Cloud-Zahlungen kostenmäßig darstellt, behandeln wir in einem eigenen Artikel was KI für ein Unternehmen kostet. Kurz gesagt: eine einmalige Anschaffung der Workstation im Bereich von einigen Zehntausend gegen eine Pauschale, die nie endet — und der Break-even-Punkt kommt früher, als die meisten Menschen erwarten.
Womit Sie es belegen, wenn jemand fragt
Das ist der Teil, den Unternehmen unterschätzen, obwohl er dieses Jahr die meiste Arbeit macht. Seit dem 1. November 2025 gilt das neue tschechische Gesetz über Cybersicherheit, das die europäische NIS2-Richtlinie umsetzt und den Kreis der regulierten Unternehmen erweitert. Ein regulierter Kunde muss die Sicherheit seiner Lieferanten nachweisen — und das tut er mit einem Fragebogen, der mit einer Frist kommt.
Was Sie in der Schublade haben sollten:
- Eine Firewall-Regel, die die ausgehende Kommunikation dieser konkreten Instanz unterbindet, und deren Protokollauszug. Es reicht nicht, dass das Modell „nirgendwohin telefoniert”. Es muss so konfiguriert sein, und man muss es zeigen können.
- Eine Liste der KI-Werkzeuge, die im Unternehmen laufen, einschließlich derer in SaaS-Diensten und Browser-Erweiterungen. Ohne Inventur lässt sich auf nichts antworten.
- Eine einseitige Richtlinie: welche Werkzeuge erlaubt sind, für welche Daten, und was niemals in einen Chat eingegeben werden darf — Sozialversicherungsnummern, Gesundheitsdaten, Zugangsdaten, nicht öffentliche Berichte.
- Einen Nachweis über die Schulung der Mitarbeiter. Das häufigste Datenleck läuft nicht über die API, sondern über einen Mitarbeiter, der den ganzen Vertrag in den Chat einfügt, um ihn „zusammenfassen zu lassen”.
Wenn Sie das haben, beantworten Sie den Fragebogen in zwanzig Minuten. Wenn nicht, verbringen Sie eine Woche damit, und überzeugend wird es trotzdem nicht.
Woran es in der Praxis scheitert
Im letzten Jahr haben wir immer wieder vier Fehler gesehen:
- „Wir haben es lokal” — und die Instanz telefoniert nach draußen. Wegen Updates, Telemetrie oder eines Plug-ins, das jemand installiert hat. Sowohl die Ausnahme, die NÚKIB gewährt, als auch die Ruhe Ihres Kunden beruhen darauf, dass es keinen Weg nach draußen gibt. Das wird im Netzwerk überprüft, nicht in der Dokumentation.
- Gemeinsam genutzte Zugangsdaten in der Konfiguration. Genau das hat beim Juli-Vorfall aus einem einzigen Einbruch vier gemacht. Ein Dienstkonto sollte eigene Rechte haben und darf weder im Repository noch in einer gemeinsam genutzten Datei liegen.
- Niemand weiß, was vom Unternehmen aus dem Internet antwortet. Eine Testinstanz, die „nur kurz” aktiviert wurde, die NAS-Administration, ein Webhook zur Rechnungsstellung. Hier verlaufen die meisten Wege nach innen.
- Schatten-KI. Modell-Aggregatoren, bei denen Sie nicht wissen, welcher Server den Prompt verarbeitet hat, und KI-Funktionen, die in SaaS-Anwendungen eingebaut sind und die niemand gelesen hat. An der Firewall erkennen Sie das nicht, weil die Verbindung zur Domain dieses Dienstes geht.
Die ersten drei Punkte gehen wir im Rahmen eines Audits des Firmennetzwerks durch, der vierte gehört eher zu einer KI-Schulung für Unternehmen — denn Schatten-KI entsteht dadurch, dass Menschen schneller arbeiten wollen, nicht dadurch, dass sie Schaden anrichten wollen.
Für wen das gedacht ist
Ich schreibe das nicht für Unternehmen, die KI verbieten wollen. Die kommen allein zurecht und halten es ohnehin nicht durch.
Ich schreibe das für Menschen, die es anders machen wollen: die Werkzeuge bei sich haben, nicht in einem fremden Konto. Für Inhaber, die es leid sind, eine weitere monatliche Pauschale für etwas zu zahlen, das sie nicht unter Kontrolle haben. Für ein Buchhaltungsbüro, eine Arztpraxis oder eine Anwaltskanzlei, wo die Sensibilität der Daten durch das Gesetz bestimmt wird, nicht durch eine Meinung. Und für Lieferanten regulierter Kunden, die wissen, dass dieser Fragebogen kommen wird.
Wenn Sie zu dieser Gruppe gehören, ist der schnellste Weg, Ihre Aufgabenbereiche aufzuteilen — und mit dem sensibelsten zu beginnen, denn dort ist der Nutzen am größten und das Cloud-Risiko am höchsten.
Möchten Sie das anhand konkreter Zahlen Ihres Unternehmens durchgehen? Schreiben Sie uns oder rufen Sie an. Wir gehen gemeinsam durch, was im Unternehmen läuft, was davon in der Cloud bleiben kann und was sinnvollerweise zu Ihnen umzieht — einschließlich der Kosten und dessen, was es tatsächlich leisten kann. Ohne Vertriebler und ohne dass wir Ihnen erst ein Projekt verkaufen und danach herausfinden, ob es überhaupt sinnvoll ist.