KI-Richtlinie

Ich integriere KI-Systeme für Kunden und setze sie auch in meiner eigenen Arbeit ein. Diese Seite legt offen, welche Werkzeuge das konkret sind, wie ich mit Daten umgehe und auf welcher rechtlichen Basis, damit Sie wissen, woran Sie sind, bevor wir zusammenarbeiten.

Für eigene, unkritische Arbeit (Recherche, Textentwürfe, Code-Unterstützung ohne Kundendaten): Cloud-Modelle: ChatGPT, Claude, Microsoft Foundry Coding-Assistenten: Claude Code, Cursor, Codex Für Projekte, bei denen Daten das Haus nicht verlassen dürfen: Inferenz: Ollama, llama.cpp, vLLM, je nach Hardware und Durchsatzbedarf Offene Modelle: Llama, Mistral, Qwen und vergleichbare Modellfamilien, je nach Use-Case und Sprache Embeddings: bge-m3 oder vergleichbare lokale Embedding-Modelle Vektordatenbank: Qdrant oder pgvector für Retrieval-Augmented Generation (RAG) Orchestrierung: n8n für Automatisierungs-Pipelines, self-hosted Werkzeug-Anbindung: Model Context Protocol (MCP) als Standard für den Zugriff auf Ihre Systeme (Excel, SQL Server, ERP) Agenten: Frameworks der LangChain/LangGraph-Klasse, wenn eine Aufgabe kontrolliert mehrere Schritte selbstständig durchlaufen soll Betrieb: Docker-Container, on-prem GPU- oder CPU-Inferenz je nach Modellgröße und Latenzanforderung Welche Kombination sinnvoll ist, hängt vom Projekt ab, nicht von Trends.

Sensible oder vertrauliche Kundendaten gebe ich nicht ungefragt in Cloud-KI-Systeme ein. Wo KI bei einem Projekt sinnvoll ist und Daten dafür das Haus verlassen müssten, spreche ich das vorher konkret mit Ihnen ab, inklusive welcher Anbieter genau involviert wäre. Bei sensiblen Daten bevorzuge ich lokale Modelle auf eigener oder Ihrer Infrastruktur, bei denen nichts nach außen geht. Wo es fachlich reicht, anonymisiere oder pseudonymisiere ich Daten, bevor sie überhaupt in ein KI-System kommen.

Für interne Effizienzwerkzeuge ohne Kundendaten (z. B. Textentwürfe, Unterstützung an eigenem Code) stütze ich mich auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Sobald personenbezogene Daten aus einem Kundenprojekt über einen externen KI-Anbieter verarbeitet werden, handelt es sich um eine Unterauftragsverarbeitung: dafür braucht es einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO mit dem jeweiligen Anbieter, und ich nenne Ihnen auf Anfrage, welcher Unterauftragsverarbeiter konkret beteiligt wäre. Bei Projekten mit KI-Bezug prüfe ich vorab grob, wie das Vorhaben nach dem EU AI Act einzuordnen ist. Die meisten Anwendungsfälle in meinem Umfeld, Reporting, Dokumentenanalyse, interne Tools, fallen unter minimales oder begrenztes Risiko, nicht unter Hochrisiko.

KI-generierter oder KI-unterstützter Code und Text wird von mir geprüft, bevor er an Sie geht. Das gilt für einzelne Code-Vorschläge genauso wie für mehrstufige Agent-Workflows: kein automatisierter Schritt läuft unbeaufsichtigt gegen Produktionsdaten oder Kundensysteme. Ich liefere keine ungeprüften KI-Ausgaben als fertiges Ergebnis.

Wenn Sie möchten, dass bei Ihrem Projekt keine KI-Werkzeuge zum Einsatz kommen, oder dass ausschließlich lokale statt Cloud-Modelle verwendet werden, sagen Sie mir das einfach vorab. Das ist für mich kein Problem und wird entsprechend eingeplant.