Daten & Schutzbedarf
Welche Informationen dürfen in welchen Verarbeitungsraum? Personenbezogene, vertrauliche oder regulierte Daten brauchen andere Leitplanken als öffentliche Inhalte.
Private AI & souveräne KI
Souveräne KI für Unternehmen – Daten, Modelle und Betrieb unter Kontrolle
DSGVO-Anforderungen, vertrauliche Unternehmensdaten und AI-Workloads brauchen kontrollierbare Datenflüsse – aber nicht automatisch einen eigenen Server. Entscheidend ist das Betriebsmodell, das Schutzbedarf, Modelle, Integrationen, Kosten und Betrieb zusammenbringt.
Ich plane und implementiere souveräne KI-Architekturen technologieoffen: Public Cloud, EU-gehostete KI, Private Cloud, lokale KI auf eigener Infrastruktur oder Hybrid AI. Datenschutz- und DSGVO-Anforderungen werden technisch mitgedacht, ohne Self-Hosting als automatische Konformität zu verkaufen. Ziel ist die kleinste kontrollierbare Architektur ohne unnötigen Vendor-Lock-in.
Entscheidungsrahmen
Daten & Risiko
Verarbeitung passend zum Schutzbedarf
Betriebsmodell
Public, EU, Private, On-Premise oder Hybrid
Integration
Bestehende Systeme und Rechte berücksichtigt
Portabilität
Lock-in und Wechselkosten bewusst begrenzen
Architekturproblem
Datenhoheit ist kein einzelnes Hosting-Feature.
Ein „privates LLM“ kann je nach Anbieter und Setup sehr unterschiedliche Kontrollgrenzen haben. Für eine belastbare Entscheidung müssen Datenstandort, Verträge, Modellzugriff, Netzwerk, Rechte, Hardware, Updates, Skalierung und Integrationen gemeinsam betrachtet werden.
Betrieb & Modellzugriff
Ein lokales Modell erhöht Infrastrukturkontrolle, bringt aber Hardware-, Update- und Betriebsaufwand. Managed Cloud kann schneller sein, wenn der Schutzbedarf dazu passt.
EU AI Act & Datenschutz
KI-Kompetenz-Maßnahmen nach Art. 4 gelten seit 2. Februar 2025. Transparenzpflichten nach Art. 50 gelten seit 2. August 2026, abhängig von Rolle und konkretem System. Technische Architektur ersetzt keine rechtliche Einzelfallprüfung.
Die sinnvolle Lösung ist deshalb nicht „Cloud schlecht, On-Prem gut“, sondern ein Betriebsmodell, dessen Kontrollniveau zum konkreten Workload passt und im Alltag auch betrieben werden kann.
Architektur nach Schlagwort
- ✕„EU“ oder „Private“ ohne Prüfung der realen Datenflüsse
- ✕On-Premise ohne Budget für Betrieb, Updates und Hardware
- ✕Public Cloud ohne passende Vertrags- und Berechtigungsgrenzen
- ✕Ein Anbieter wird zur Architektur statt austauschbarer Baustein
Architektur nach Anforderung
- Schutzbedarf und Verarbeitungswege zuerst
- Betriebsaufwand und Modellanforderungen realistisch einpreisen
- Rechte, Logging und Integrationen von Anfang an berücksichtigen
- Portabilität und Exit-Pfad bewusst mitplanen
Betriebsmodelle
Public Cloud, EU-Hosting, Private Cloud, On-Premise LLM oder Hybrid?
Kein Modell ist pauschal das beste. Die richtige Wahl hängt von Schutzbedarf, benötigten Modellen, Hardware, Latenz, Betriebsaufwand, Integrationen, Updatefähigkeit, Skalierung und Kostenstruktur ab.
Managed AI mit breitem Modellzugang
Sinnvoll, wenn schnelle Verfügbarkeit und aktuelle Modelle wichtiger sind als maximale Infrastrukturkontrolle und Daten, Verträge und Use Case den gewählten Dienst zulassen.
- Schneller Start und geringe eigene Betriebsarbeit
- Breite Auswahl leistungsfähiger Modelle und Services
- Provider-Verträge, Datenverarbeitung, Rollen und Logging genau prüfen
- Variable Kosten und Anbieterabhängigkeit bewusst einplanen
KI in einem europäischen Hosting- und Vertragsrahmen
Kann ausreichen, wenn Verarbeitung in einer geeigneten EU-Umgebung mit passenden technischen und vertraglichen Maßnahmen den Schutzbedarf erfüllt.
- Weniger eigene Hardware als beim vollständigen On-Premise-Betrieb
- Regionale Datenverarbeitung technisch und vertraglich definieren
- Managed oder selbstverwaltete Open-Source-Stacks möglich
- Subprozessoren, Supportwege und Modellzugriffe bleiben zu prüfen
Dedizierte Umgebung mit stärkerer Netzwerk- und Zugriffskontrolle
Sinnvoll, wenn eine isolierte Umgebung, private Netzwerke und kontrollierte Administration gebraucht werden, aber eigene Hardware nicht gewünscht ist.
- Stärkere Isolation und individuelle Netzwerkgrenzen
- Eigene Identity-, Logging- und Berechtigungskonzepte integrierbar
- Betriebsverantwortung je nach Managed-Modell klar aufteilen
- Mehr Kontrolle, aber auch mehr Architektur- und Betriebsaufwand
Lokale KI auf eigener Infrastruktur
Sinnvoll bei hohem Schutzbedarf, Offline-Anforderungen, sehr niedriger Latenz oder wenn Daten und Modellzugriffe bewusst vollständig in der eigenen Infrastruktur kontrolliert werden sollen.
- Maximale Kontrolle über Infrastruktur, Modelle und Netzwerkzugriff
- GPU-, Speicher- und Kapazitätsplanung werden Teil der Architektur
- Updates, Monitoring, Backups und Security liegen stärker beim eigenen Betrieb
- Nicht jedes Modell oder Lastprofil ist wirtschaftlich lokal abbildbar
Workloads nach Sensibilität und Modellbedarf routen
Sinnvoll, wenn sensible Verarbeitung lokal oder privat bleiben soll, während andere Aufgaben bewusst leistungsfähige externe Modelle nutzen dürfen.
- Kontrollierte Trennung nach Datenklasse und Use Case
- Lokale und externe Modelle können gezielt kombiniert werden
- Routing, Policy Enforcement und Observability werden wichtiger
- Mehr Flexibilität, aber höhere Architekturkomplexität
Leitprinzip: die kleinste Architektur wählen, die Daten, Risiko, Betrieb und Business-Anforderung sauber erfüllt. On-Premise ist kein Selbstzweck; Public Cloud ist kein Ausschlusskriterium.
Ein vorhandenes On-Premise-Beispiel ist die Meeting-KI: Transkription und Auswertung können lokal erfolgen, während Quellenbezug und nachvollziehbare Ergebnisse im Workflow erhalten bleiben.
Entscheidungskriterien
Was vor der Wahl des Betriebsmodells geklärt werden muss.
Souveränität bedeutet hier kontrollierbare technische und organisatorische Entscheidungen – keine pauschale Compliance-Zusage. Diese vier Bereiche bestimmen, wie viel Infrastrukturkontrolle tatsächlich sinnvoll ist.
Daten & Schutzbedarf
Datenklassen, zulässige Verarbeitungsorte, Mandantentrennung und Rollen bestimmen, ob Public Cloud, EU-Hosting, Private Cloud oder On-Premise überhaupt in Frage kommen.
Modelle, Latenz & Skalierung
Benötigte Modellqualität, Kontextgröße, Antwortzeit, Volumen und Offline-Anforderungen entscheiden mit über Cloud-Zugriff, eigene Hardware oder eine Hybridlösung.
Betrieb, Updates & Integrationen
Hardware, Monitoring, Patching, Modellupdates, Backups und Schnittstellen müssen dauerhaft betreibbar sein – nicht nur in der Demo funktionieren.
Portabilität & Kostenstruktur
API-Abhängigkeiten, Datenformate, Modellwechsel, Exit-Pfad sowie fixe und variable Kosten werden so geplant, dass Lock-in bewusst begrenzt bleibt.
Ansatz
Unabhängig entscheiden, dann gezielt umsetzen.
Ich verkaufe kein bestimmtes Modell und kein bestimmtes Hosting-Modell. Die Architektur wird aus Business-Anforderung, Daten, Risiko, Integrationen und Betriebsfähigkeit abgeleitet.
Wo ein einfaches Managed-Angebot genügt, ist eigener GPU-Betrieb unnötig. Wo Daten, Latenz, Offline-Fähigkeit oder Kontrollgrenzen es verlangen, kann Private Cloud, On-Premise oder Hybrid die bessere Wahl sein.
Umsetzungspfad
Von der Bestandsaufnahme zum kontrollierten KI-Betrieb.
Phase 1
Souveränitäts-Check
KI-Standortbestimmung in einer Woche.
Wir erfassen heutige KI-Nutzung, Datenflüsse, Schutzbedarf, vorhandene Infrastruktur und die Prozesse, für die kontrollierte KI einen echten Nutzen liefern kann.
- Dokumentiertes KI- und Daten-Inventar als technische Arbeitsgrundlage
- Einordnung kritischer Datenflüsse und Kontrollgrenzen
- Priorisierte Use-Case-Liste mit technischer Aufwandseinschätzung
- Empfehlung für Public Cloud, EU-Hosting, Private Cloud, On-Premise oder Hybrid
Dauer
ca. 1 Woche
Investition
ab 1.490 €
Phase 2
Kontrolliertes KI-Fundament
Privater KI-Arbeitsplatz mit passendem Betriebsmodell.
Auf Basis der Entscheidung entsteht ein nutzbares KI-Fundament – EU-gehostet, Private Cloud, on-premise oder hybrid – plus ein klar abgegrenzter Workflow mit vorhandenen Systemen und Daten.
- Betriebsmodell und Datenwege passend zum vereinbarten Schutzbedarf
- Ein integrierter Geschäftsprozess als konkreter Startpunkt
- Kurze, praxisnahe Team-Einführung als Beitrag zur KI-Kompetenz nach Art. 4
- Dokumentiertes Setup mit möglichst portablen Komponenten und klaren Zuständigkeiten
Dauer
ca. 4 Wochen
Investition
ab 9.900 €
Phase 3
KI-Betrieb
Damit Modelle, Integrationen und Schutzmaßnahmen aktuell bleiben.
Optional begleite ich Updates, weitere Workflows, Modellwechsel und technische Anpassungen. Architektur und Konfiguration bleiben nachvollziehbar, damit kein unnötiger Betriebs-Lock-in entsteht.
- Regelmäßige technische Pflege und Aktualisierung
- Erweiterung um weitere Workflows nach realem Bedarf
- Punktuelles Sparring für Fachbereiche, IT und Geschäftsführung
Dauer
monatlich kündbar
Investition
ab 1.200 € pro Monat
Schneller Einstieg
Der Schatten-KI-Check
Wenn zunächst unklar ist, welche KI-Tools bereits genutzt werden und wohin Daten fließen, schafft der kompakte Check in 2–3 Tagen eine belastbare Ausgangslage für Architektur- und Governance-Entscheidungen.
Abgrenzung: Der Check ist eine technische und organisatorische Bestandsaufnahme mit Sofort-Empfehlung, keine Rechtsprüfung. Die tiefere Standortbestimmung mit priorisierter Use-Case-Liste liefert der Souveränitäts-Check (Phase 1); die Check-Gebühr wird bei einer weiterführenden Zusammenarbeit angerechnet.
Das bekommen Sie
- Inventar der genutzten KI-Tools – inklusive inoffizieller Nutzung (Schatten-KI)
- Übersicht relevanter Datenflüsse und externer Verarbeitungswege
- Ampel-Klassifizierung als Arbeitsgrundlage für eine interne KI-Richtlinie
- Technische Einordnung von Datenschutz- und EU-AI-Act-Anforderungen mit klarer Abgrenzung zur Rechtsberatung
- Konkrete Sofort-Empfehlung und nächster technischer Schritt
Dauer
2–3 Tage
Investition
ab 890 €
Reale Erfahrung
Self-hosted LLMs, RAG, Agents und Rechte-Trennung im Einsatz.
Die experdoo-Referenz dokumentiert eine vollständig selbstgehostete KI-Architektur mit RAG für internes Wissen, mehreren Agents sowie klarer Mandanten-, Daten- und Rechte-Trennung. Auf der Referenzseite ist auch der produktive Einsatz beschrieben.
Thomas verstand das komplexe Projekt schnell, kommunizierte klar und lieferte verlässlich. Diese Mischung aus technischem Verständnis und professioneller Zusammenarbeit macht den Unterschied.
Martin Guntermann, Geschäftsführer · experdoo GmbH
Nächste Pfade
Architektur entscheiden, integrieren und Nutzung kontrollieren.
Je nach Ausgangslage ist nicht mehr Infrastruktur, sondern zuerst eine Architekturentscheidung, eine konkrete Integration oder Transparenz über bestehende Schatten-KI der größte Hebel.
KI-Architekturberatung
Wenn Hosting nur ein Teil einer größeren Zielarchitektur mit Datenflüssen, Systemgrenzen und Integrationen ist.
KI-Integration
Wenn das Betriebsmodell feststeht und KI in bestehende ERP-, CRM-, DMS- oder Fachprozesse eingebunden werden soll.
Häufige Fragen
Antworten ohne pauschale Hosting-Versprechen.
Ist Private AI automatisch DSGVO-konform?
Nein. Das Betriebsmodell kann Datenminimierung, Zugriffskontrolle und kontrollierte Verarbeitung erleichtern, ersetzt aber keine Prüfung des konkreten Verarbeitungszwecks, der Rollen, Verträge, Rechtsgrundlagen und technischen Maßnahmen. Ich berücksichtige DSGVO-Anforderungen technisch; das ist keine Rechtsberatung.
Bleiben meine Daten bei EU-Hosting oder On-Premise wirklich dort?
Das hängt vom konkreten Setup ab. Bei On-Premise können Modellverarbeitung und Datenhaltung vollständig lokal konzipiert werden; bei EU-Hosting müssen Region, Subprozessoren, Support- und Telemetriepfade sowie vertragliche Zusagen geprüft werden. Deshalb vermeide ich pauschale Standortversprechen ohne Architektur- und Anbieterprüfung.
Welche EU-AI-Act-Pflichten gelten bereits?
Maßnahmen zur KI-Kompetenz nach Art. 4 gelten seit 2. Februar 2025. Die Transparenzpflichten nach Art. 50 gelten seit 2. August 2026. Welche Pflichten im Einzelfall greifen, hängt unter anderem von Rolle, System und Einsatz ab. Diese technische Einordnung ersetzt keine Rechtsberatung.
Public Cloud, EU-Cloud oder On-Premise – was ist besser?
Keines davon pauschal. Für wenig sensible Workloads kann Public Cloud den geringsten Betriebsaufwand haben. EU-Hosting oder Private Cloud erhöhen je nach Setup die Kontrolle. On-Premise lohnt sich, wenn Schutzbedarf, Offline-Fähigkeit, Latenz oder Infrastrukturkontrolle den zusätzlichen Betrieb rechtfertigen. Hybrid ist sinnvoll, wenn unterschiedliche Workloads unterschiedliche Grenzen brauchen.
Was passiert mit den Tools, die wir schon nutzen?
Bestehende Tools werden nicht blind ersetzt. Wir prüfen Datenflüsse, Verträge, Integrationen und tatsächlichen Nutzen und entscheiden dann, was bleibt, abgesichert, ersetzt oder in eine Hybridarchitektur eingeordnet wird.
Was kostet die Einführung?
Die bestehenden Einstiegspakete bleiben transparent: Der Schatten-KI-Check startet ab 890 €, der Souveränitäts-Check ab 1.490 €, das KI-Fundament ab 9.900 €. Der konkrete Scope hängt vom Betriebsmodell und den vorhandenen Systemen ab.
Nächster Schritt
Welches Betriebsmodell ist für Ihren KI-Use-Case wirklich nötig?
Beschreiben Sie Daten, vorhandene Systeme und den geplanten KI-Workflow. Ich ordne ein, ob Public Cloud, EU-Hosting, Private Cloud, On-Premise oder Hybrid der kleinste belastbare Weg ist.