Lokale KI-Lösungen aus Deutschland vs. Cloud-Systeme

Abstract

Dieser wissenschaftliche Beitrag untersucht den rechtlichen und technischen Gegensatz zwischen lokalen KI-Systemen aus Deutschland und Cloud-basierten KI-Plattformen (SaaS). Im Fokus steht die Bewertung nach der Datenschutz-Grundverordnung (DSGVO), den nationalen Datenschutzgesetzen und der technischen Machbarkeit moderner KI-Architekturen. Der Artikel schließt mit Handlungsempfehlungen für Unternehmen und Kommunen, die vor der Entscheidung zwischen On-Premise-KI und Cloud-KI-Systemen stehen.

KI-Infrastruktur zwischen Datenschutz und Effizienz

Künstliche Intelligenz (KI) ist zum zentralen Treiber digitaler Transformation geworden – in der Wirtschaft ebenso wie in öffentlichen Verwaltungen. Gleichzeitig steigen regulatorische Anforderungen an Datenschutz, Datensouveränität und Transparenz.
Die Entscheidung zwischen lokaler KI-Infrastruktur (On-Premise) und Cloud-basierten KI-Services (SaaS) ist damit nicht nur eine technische, sondern auch eine juristische und strategische Herausforderung.

Während Cloud-KI-Systeme mit Skalierbarkeit und einfacher Integration punkten, garantieren lokale KI-Lösungen aus Deutschland höhere Kontrolle über Daten und Compliance. Der folgende Artikel untersucht diesen Zielkonflikt aus Sicht der DSGVO, bewertet technische Konzepte beider Ansätze und formuliert praxisnahe Handlungsempfehlungen.

Rechtliche Grundlagen nach DSGVO und deutschem Datenschutzrecht

DSGVO als Maßstab der Datenverarbeitung

Die DSGVO bildet das Fundament für alle KI-basierten Datenverarbeitungen in der EU. Sie verpflichtet Verantwortliche zu Rechtmäßigkeit, Transparenz, Zweckbindung und Datenminimierung (Art. 5 DSGVO).
Gerade KI-Systeme stellen diese Prinzipien auf die Probe, da sie oft große Datenmengen benötigen und intransparente Modelllogiken besitzen.

Wesentliche rechtliche Bezugspunkte:

• Art. 6 DSGVO – Rechtsgrundlagen der Verarbeitung
• Art. 25 DSGVO – Datenschutz durch Technikgestaltung („Privacy by Design“)
• Art. 35 DSGVO – Datenschutz-Folgenabschätzung (DSFA)
• Art. 32 DSGVO – Sicherheit der Verarbeitung
• Art. 22 DSGVO – Automatisierte Entscheidungen und Profiling

KI-Projekte müssen demnach frühzeitig prüfen, ob eine Einwilligung, ein berechtigtes Interesse oder eine öffentliche Aufgabe die Verarbeitung rechtfertigt. Eine DSFA ist Pflicht, wenn „voraussichtlich ein hohes Risiko für Rechte und Freiheiten natürlicher Personen“ entsteht.

Laut einer Studie der European Data Protection Board (EDPB, 2024) sind insbesondere Cloud-basierte KI-Anwendungen mit Drittlandbezug kritisch zu bewerten, da sie häufig „nicht hinreichend pseudonymisierte oder lokalisierte Datenflüsse“ aufweisen (edpb.europa.eu, 2024).

Deutsches Datenschutzrecht und Öffnungsklauseln

Das Bundesdatenschutzgesetz (BDSG) ergänzt die DSGVO, insbesondere bei öffentlichen Stellen. Hier gelten zusätzliche Anforderungen an Verfahrensverzeichnisse, Kontrollrechte und Informationspflichten.
Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) präzisiert zudem Datenschutzpflichten für digitale Dienste.

Für Kommunen und öffentliche Einrichtungen ist entscheidend: Datenverarbeitung außerhalb der EU ist nur zulässig, wenn Angemessenheitsbeschlüsse oder geeignete Garantien (Art. 46 DSGVO) vorliegen. In der Praxis führt dies oft zu einem faktischen Zwang zu lokalen oder EU-basierten KI-Systemen.

Drittlandübermittlung und Cloud-Compliance

Bei Cloud-Anbietern mit Sitz in den USA oder anderen Drittländern entsteht ein zentrales Risiko: Der US CLOUD Acterlaubt US-Behörden Zugriff auf gespeicherte Daten – auch auf EU-Servern.
Dies steht im Spannungsverhältnis zur DSGVO, die eine Übermittlung personenbezogener Daten ohne geeignete Garantien untersagt (LexisNexis, 2024).

Deutsche Aufsichtsbehörden empfehlen daher technische Schutzmaßnahmen, etwa:

• Ende-zu-Ende-Verschlüsselung mit Schlüsselhoheit beim Nutzer,
• Pseudonymisierungsgateways,
• lokale Inferenz sensibler Daten und
• Speicherorte ausschließlich in EU-Rechenzentren.

Neue Regulierungen: Der EU-AI-Act und Data Act

Der kommende EU AI Act (2025) klassifiziert KI-Systeme nach Risikostufen (minimal, begrenzt, hoch, verboten) und definiert Transparenz-, Sicherheits- und Dokumentationspflichten.
Für High-Risk-AI – etwa im Bereich Bürgerverwaltung oder Gesundheitswesen – gelten strenge Anforderungen an Datenqualität, Modelltransparenz und Erklärbarkeit.

Zusätzlich bringt der Data Act neue Verpflichtungen für Datenteilung und Interoperabilität innerhalb der EU, was besonders für KI-Trainingsdaten relevant ist (Global Legal Insights, 2024).

Technisch gesehen ermöglichen lokale KI-Lösungen (z. B. auf Basis von Open-Source-Modellen wie LLaMA 3, Mistral 7B oder Aleph Alpha Luminous) eine Datenschutzkonforme Verarbeitung sensibler Informationen.
Cloud-Lösungen hingegen bieten durch massive Rechenzentren Vorteile in Training, Skalierung und kontinuierlicher Modellverbesserung – aber auf Kosten der Datensouveränität.

Datenschutzfreundliche Architekturprinzipien

Privacy by Design & Privacy by Default

Nach Art. 25 DSGVO sind KI-Systeme so zu entwickeln, dass Datenschutzmaßnahmen bereits in der Technikgestaltung verankert sind. Dazu gehören:

• Anonymisierung und Pseudonymisierung
• Verschlüsselung (in transit & at rest)
• Rollenbasierte Zugriffskontrolle (RBAC)
• Differential Privacy und Federated Learning
• Sealed-Cloud-Konzepte, bei denen selbst der Betreiber keine Einsicht in Klartextdaten erhält

Die Sealed-Cloud (entwickelt u. a. von Uniscon/TÜV Süd) gilt als Beispiel für technisch implementierte DSGVO-Konformität (Wikipedia, 2024).

Föderierte und hybride Modelle

Föderiertes Lernen ermöglicht dezentrales Training auf lokalen Daten – nur Modellparameter werden geteilt, nicht die Daten selbst.
Dadurch lassen sich Cloud-Vorteile (Aggregation, Skalierung) mit lokaler Datensouveränität verbinden. Studien von Google AI (2023) und Fraunhofer IAIS (2024) zeigen, dass föderierte KI bis zu 80 % weniger Datenschutzrisikenverursacht, ohne signifikante Genauigkeitseinbußen.

Wirtschaftliche und organisatorische Bewertung

• Lokale KI-Lösungen erfordern Investitionen in Hardware (GPU-Cluster, Edge-Server) und Fachpersonal, amortisiert sich jedoch langfristig bei dauerhaften Datenverarbeitungen.
• Cloud-KI ist ideal für dynamische, skalierende Workloads, aber kostenseitig volatil.
• Laut Bitkom-Studie (2024) bevorzugen 58 % der deutschen Unternehmen eine Hybridlösung – sensiblen Datenverarbeitung lokal, generische Aufgaben in der Cloud.

Rechtliche Fallstricke und Governance-Modelle

Auftragsverarbeitung und gemeinsame Verantwortung

Bei Cloud-KI ist ein Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO) Pflicht.
Der Vertrag muss technische Maßnahmen, Löschfristen, Auditrechte und Subunternehmer offenlegen. Bei gemeinsamen Entscheidungen entsteht eine gemeinsame Verantwortlichkeit (Art. 26 DSGVO), die dokumentiert werden muss.

Rechenschaftspflicht und Auditierung bei KI-Lösungen

Jede KI-gestützte Verarbeitung erfordert nachvollziehbare Dokumentation:

• Verarbeitungstätigkeiten (Art. 30 DSGVO)
• Risikoanalysen und DSFA
• Log- und Modellprotokollierung
• regelmäßige Audits und Bias-Prüfungen

Umgang mit Betroffenenrechten

Lokale KI-Systeme können Betroffenenrechte (z. B. Löschung, Auskunft) technisch leichter erfüllen, da alle Daten im eigenen Zugriff liegen. Cloud-Systeme benötigen Schnittstellen und Prozesse zur Rückverfolgbarkeit, was technisch aufwändig sein kann.

Praxisbeispiele aus Deutschland für Lokale KI-Lösungen

• Localmind (2025) bietet eine vollständig lokal betreibbare Sprach-KI, die personenbezogene Daten im Unternehmensnetz belässt.
• FIS-ASP Private KI kombiniert deutsche Cloud-Infrastruktur mit DSGVO-zertifizierten Rechenzentren.
• Mehrere Städte in Deutschland testen föderierte KI-Modelle zur Bürgeranliegen Analyse – vollständig lokal, ohne Datenexport mittels EMMA.

Diese Ansätze zeigen, dass Datensouveränität und KI-Leistung keine Gegensätze sein müssen, sondern durch gezielte Architekturentscheidungen kombinierbar sind.

Handlungsempfehlungen für Wirtschaft und Kommunen

1. Datensensibilität als Entscheidungsgrundlage:
   Klassifizieren Sie Daten nach Risiko und bestimmen Sie daraus Architekturentscheidungen (Cloud, lokal, hybrid).
2. Technische und rechtliche Integration:
   Frühzeitige Einbindung von Datenschutzbeauftragten und IT-Sicherheitsarchitekten.
3. Cloud-Souveränität durch Vertragsgestaltung:
   Verwenden Sie europäische Anbieter oder Cloud-Dienste mit EU-Standortgarantie und Audittransparenz.
4. Föderierte Modelle einsetzen:
   Nutzen Sie föderiertes Lernen zur Wahrung von Datenhoheit bei gleichzeitiger Leistungsfähigkeit.
5. Open-Source-KI als Compliance-Vorteil:
   Open-Source-Modelle ermöglichen Einsicht in Architektur und Trainingsdatenquellen.
6. KI-Governance etablieren:
   Definieren Sie Verantwortlichkeiten, Prozesse und Prüfzyklen – insbesondere bei kommunalen Anwendungen.
7. Förderprogramme nutzen:
   Initiativen wie Gaia-X und KI Made in Germany unterstützen den Aufbau souveräner Infrastrukturen.

Zwischen lokaler KI-Infrastruktur und Cloud-basierten KI-Systemen besteht kein pauschaler Vorrang – sondern ein strategischer Zielkonflikt zwischen Datenschutz, Kosten und Innovationsgeschwindigkeit.

Für Anwendungen mit sensiblen oder personenbezogenen Daten empfiehlt sich eine lokale oder hybride Lösung. Cloud-KI bleibt relevant für nicht personenbezogene Datenverarbeitung und schnelle Skalierung.

Langfristig sollten deutsche Unternehmen und Kommunen auf KI-Souveränität durch lokale Datenhaltung, föderierte Modelle und europäische Cloud-Standards setzen. Damit lassen sich DSGVO-Konformität, technische Effizienz und Innovationsfähigkeit zugleich sichern.