KI DSGVO-konform nutzen: lokal statt Cloud

Cloud-KI wie ChatGPT ist im Arbeitsalltag angekommen: E-Mails formulieren, Berichte zusammenfassen, Anträge prüfen. Das Problem beginnt in dem Moment, in dem der Text im Prompt personenbezogene Daten enthält. Dieser Leitfaden zeigt das Dilemma — und die zwei Wege, die sauber daraus herausführen.

Das Dilemma: Der Prompt ist eine Übermittlung

Wer einen Text mit Namen, Adressen oder Kontodaten in eine Cloud-KI kopiert, übermittelt personenbezogene Daten an einen Dritten. Datenschutzrechtlich ist das keine Kleinigkeit:

• Auftragsverarbeitung: Ohne AV-Vertrag mit dem Anbieter fehlt die vertragliche Grundlage — die kostenlose Consumer-Version eines Chatbots bietet die in aller Regel nicht.
• Drittlandtransfer: Sitzt der Anbieter in den USA, kommt die Frage nach der Übermittlung in ein Drittland dazu — samt Prüfung der Rechtsgrundlage dafür.
• Löschfristen und Kontrolle: Was mit dem Prompt beim Anbieter passiert, wie lange er gespeichert wird und ob er ins Training fließt, entscheidet nicht mehr deine Organisation.

Kurz: Der Prompt fühlt sich flüchtig an, ist rechtlich aber eine Datenverarbeitung wie jede andere.

Die zwei sauberen Wege

Beide Wege lassen sich kombinieren: lokal, wo es geht — geschwärzt in die Cloud, wo die Aufgabe mehr Modell braucht.

Was lokale KI heute kann

Die Vorstellung, KI brauche zwingend ein Rechenzentrum, ist überholt. Kleine, spezialisierte Modelle erledigen klar umrissene Aufgaben — etwa das Erkennen und Schwärzen personenbezogener Daten — auf normaler Büro-Hardware, oft in Sekunden. Für Allzweckaufgaben lassen sich mit Werkzeugen wie LM Studio auch größere offene Modelle lokal betreiben; ein aktueller Laptop mit ausreichend Arbeitsspeicher genügt für viele davon. Der Punkt ist nicht, dass lokale Modelle alles können, was die größten Cloud-Modelle können — sondern dass sie für die Aufgaben mit sensiblen Daten längst gut genug sind.

Praktisches Vorgehen

1. Aufgaben sortieren: Welche KI-Anwendungsfälle in deiner Organisation berühren personenbezogene Daten, welche nicht?
2. Unkritisches freigeben: Aufgaben ohne Personenbezug können direkt in die Cloud — mit einer klaren Regel, was „ohne Personenbezug“ heißt.
3. igakuro lokal installieren: kostenlos, ohne Konto, läuft auf dem eigenen Rechner.
4. Schwärzen vor dem Prompt zur Routine machen: Text durch igakuro, Ergebnis kurz prüfen, dann erst in die Cloud-KI kopieren.
5. Dokumentieren: Halte im Verarbeitungsverzeichnis fest, wie ihr KI nutzt und dass Personendaten vorab lokal entfernt werden.

Made in Germany

igakuro wird in Deutschland entwickelt und ist auf deutsche Texte spezialisiert — Behördendeutsch, gebeugte Namen („Herrn Webers Antrag“), deutsche Adress- und Kennzeichenformate. Trainiert wurde es auf synthetischen Daten: keine echten Personendaten im Training, kein Datenschutzproblem schon an der Quelle. Mehr dazu auf der Seite Über igakuro.

Häufige Fragen

Darf ich ChatGPT mit personenbezogenen Daten nutzen?
Nicht einfach so. Der Prompt ist eine Übermittlung an einen Dritten — ohne AV-Vertrag und ggf. Drittlandprüfung ist das ein Verstoß, auch wenn es nur ein kurzer Prompt war.

Ist lokale KI wirklich DSGVO-konform?
Ein Modell, das komplett auf deinem Rechner läuft, erzeugt keine Übermittlung an Dritte — der häufigste Stolperstein entfällt. Die übrigen Pflichten (Rechtsgrundlage der Verarbeitung selbst, Löschkonzept) gelten weiter.

Welche Hardware brauche ich?
Für kleine, spezialisierte Modelle wie igakuro reicht ein normaler Rechner der letzten Jahre — ohne Spezial-Grafikkarte. Größere offene Modelle laufen mit LM Studio ebenfalls auf gängiger Hardware.

Wie sauberes Schwärzen konkret aussieht, steht im Leitfaden Personenbezogene Daten schwärzen; die begriffliche Einordnung liefert Anonymisierung vs. Pseudonymisierung.