KI und Datenschutz: Wann die EU-Cloud reicht und wann KI im eigenen Haus laufen sollte

Für Texte, E-Mails und Recherche reicht eine EU-Cloud-Lösung mit Auftragsverarbeitungsvertrag, etwa Microsoft Copilot innerhalb der EU Data Boundary. KI im eigenen Haus lohnt sich, wenn Personaldaten, Betriebsgeheimnisse oder große Archive verarbeitet werden, die das Haus nicht verlassen sollen, oder wenn Sie von US-Anbietern unabhängig bleiben wollen.

Entscheiden müssen Sie deshalb vor allem, welche Daten wohin dürfen. Wer das einmal sauber festlegt, setzt die meisten KI-Anwendungen ohne Bauchweh ein.

Was verlangt die DSGVO beim Einsatz von KI?

Der AI Act ersetzt die DSGVO nicht. Sobald eine KI personenbezogene Daten verarbeitet, also Namen, Adressen, E-Mails oder Personaldaten, gelten die bekannten Regeln der DSGVO. Für einen Betrieb zählen fünf Punkte:

• Rechtsgrundlage: Jede Verarbeitung braucht eine Grundlage nach Artikel 6 DSGVO, im Betrieb meist Vertrag oder berechtigtes Interesse.
• Auftragsverarbeitung: Verarbeitet ein Anbieter Daten in Ihrem Auftrag, brauchen Sie einen Vertrag nach Artikel 28 DSGVO.
• Drittland: Gehen Daten in die USA oder sind sie von dort aus zugänglich, gelten die Regeln der Artikel 44 ff. DSGVO.
• Folgenabschätzung: Bei voraussichtlich hohem Risiko für Betroffene ist eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO Pflicht.
• Besondere Daten: Gesundheitsdaten und andere besondere Kategorien nach Artikel 9 DSGVO sind besonders geschützt. Krankenstände gehören nicht in ein Chatfenster.

Dürfen Mitarbeiter die Gratisversion von ChatGPT im Betrieb nutzen?

Für Kunden- oder Personaldaten: nein. Mit dem privaten Konto eines Mitarbeiters hat Ihr Betrieb keinen Vertrag mit dem Anbieter, damit fehlt die Grundlage für eine Auftragsverarbeitung. Außerdem werden Eingaben bei Gratis- und Plus-Konten laut OpenAI standardmäßig zum Training verwendet, solange niemand das abschaltet. Bei ChatGPT Business, Enterprise und der API ist das standardmäßig nicht der Fall.

Für allgemeine Fragen ohne Bezug zu Personen oder Betriebsgeheimnissen spricht nichts gegen ein Gratiskonto, solange jeder die Grenze kennt. Deshalb gehört sie in Ihre KI-Richtlinie und in die KI-Schulung.

Was bedeutet EU-Cloud bei Microsoft und OpenAI konkret?

Microsoft hat im Februar 2025 die EU Data Boundary abgeschlossen. Für EU-Kunden führt Microsoft Copilot als Dienst innerhalb dieser Grenze, und laut Microsoft bleibt EU-Verkehr bei der Verarbeitung durch die Sprachmodelle innerhalb der EU Data Boundary. Eingaben, Antworten und Daten aus Microsoft Graph werden laut Microsoft nicht zum Training der Basismodelle verwendet. Eine Ausnahme nennt Microsoft selbst: Die in Copilot wählbaren Modelle von Anthropic sind derzeit von der EU Data Boundary ausgenommen.

OpenAI bietet seit Februar 2025 Datenspeicherung in Europa an, und zwar für ChatGPT Enterprise, ChatGPT Edu und die API, jeweils für neu angelegte Arbeitsbereiche oder Projekte. ChatGPT Business ist in dieser Ankündigung nicht genannt.

Microsoft und OpenAI sind allerdings US-Unternehmen. Übermittlungen an zertifizierte US-Anbieter stützen sich auf das EU-US Data Privacy Framework. Das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen, gegen das Urteil läuft ein Rechtsmittel beim EuGH. Für Büroanwendungen ist das derzeit eine gültige Grundlage. Wer sich nicht auf den Ausgang eines Gerichtsverfahrens verlassen will, hält sensible Daten im eigenen Haus.

Wann sollte KI im eigenen Haus laufen?

• Personal- und Gesundheitsdaten: Lohnunterlagen, Krankenstände, Bewerbungen.
• Betriebsgeheimnisse: Kalkulationsregeln, Konstruktionen, Schaltpläne, Angebote im Wettbewerb.
• Große Archive: 2 Terabyte aus 30 Jahren lädt niemand gern in eine fremde Cloud, und die Berechtigungen müssten dort neu aufgebaut werden.
• Kundenverträge: Manche Auftraggeber untersagen vertraglich, ihre Unterlagen an Cloud-Dienste weiterzugeben.
• Unabhängigkeit: Preise und Bedingungen von Cloud-Anbietern ändern sich. Ein eigener Server läuft weiter, egal was in Redmond oder San Francisco entschieden wird.

Was braucht man für KI im eigenen Haus?

Die Software ist das kleinere Thema: Es gibt leistungsfähige offene Modelle, die Sie ohne Lizenzgebühren betreiben dürfen. Ein Beispiel ist gpt-oss-20b von OpenAI: Es steht unter der Apache-2.0-Lizenz und läuft laut Modellbeschreibung mit 16 GB Speicher. Für Aufgaben wie Suchen, Zusammenfassen und Auslesen reicht so ein Modell oft aus.

Der Hauptposten ist die Hardware. Für einen lokalen Suchassistenten über das Projektarchiv eines Elektro- und Automatisierungsbetriebs mit rund 100 Leuten sind 8.000 bis 20.000 Euro Hardware kalkuliert, die Softwarelizenzen kosten null Euro. Dazu kommen Einrichtung, Anbindung an Ihre Systeme und Wartung.

Die stärksten Modelle laufen allerdings nach wie vor in der Cloud. Wer lokal arbeitet, tauscht etwas Leistungsfähigkeit gegen volle Kontrolle. Für Suchen und Auslesen im Betrieb lohnt sich der Tausch, für anspruchsvolle Texte nicht immer.

EU-Cloud oder eigener Server: Was ist der Unterschied?

Wie legt man fest, welche Daten wohin dürfen?

1. 01

   Datenklassen festlegen

   Für einen Familienbetrieb reichen vier Stufen: öffentlich, intern, vertraulich, besonders geschützt.

2. 02

   Je Klasse ein Werkzeug freigeben

   Öffentlich und intern zum Beispiel in Copilot, vertraulich und besonders geschützt nur lokal oder gar nicht.

3. 03

   In die KI-Richtlinie schreiben

   Auf eine Seite, mit Beispielen aus Ihrem Alltag: Kundenmail formulieren ja, Krankenstandsliste auswerten nein.

4. 04

   Schulen und prüfen

   Schulen Sie die Regeln und prüfen Sie, ob sie eingehalten werden. Das ist zugleich Teil Ihrer Pflicht nach Artikel 4 AI Act.

Welche Variante für Ihren Betrieb passt, klären wir im KI-Fahrplan. Umgesetzt wird sie bei der KI-Integration.