KI-Richtlinie

Ich integriere KI-Systeme für Kunden und setze sie auch in meiner eigenen Arbeit ein. Diese Seite legt offen, welche Werkzeuge das konkret sind, wie ich mit Daten umgehe und auf welcher rechtlichen Basis, damit Sie wissen, woran Sie sind, bevor wir zusammenarbeiten.

Für eigene, unkritische Arbeit (Recherche, Textentwürfe, Code-Unterstützung ohne Kundendaten): Cloud-Modelle: ChatGPT, Claude, Microsoft Foundry Coding-Assistenten: Claude Code, Cursor, Codex Für Projekte, bei denen Daten das Haus nicht verlassen dürfen: Inferenz: Ollama, llama.cpp, vLLM, je nach Hardware und Durchsatzbedarf Offene Modelle: Llama, Mistral, Qwen und vergleichbare Modellfamilien, je nach Use-Case und Sprache Embeddings: bge-m3 oder vergleichbare lokale Embedding-Modelle Vektordatenbank: Qdrant oder pgvector für Retrieval-Augmented Generation (RAG) Orchestrierung: n8n für Automatisierungs-Pipelines, self-hosted Werkzeug-Anbindung: Model Context Protocol (MCP) als Standard für den Zugriff auf Ihre Systeme (Excel, SQL Server, ERP) Agenten: Frameworks der LangChain/LangGraph-Klasse, wenn eine Aufgabe kontrolliert mehrere Schritte selbstständig durchlaufen soll Betrieb: Docker-Container, on-prem GPU- oder CPU-Inferenz je nach Modellgröße und Latenzanforderung Welche Kombination sinnvoll ist, hängt vom Projekt ab, nicht von Trends.

Sensible oder vertrauliche Kundendaten gebe ich nicht ungefragt in Cloud-KI-Systeme ein. Wo KI bei einem Projekt sinnvoll ist und Daten dafür das Haus verlassen müssten, spreche ich das vorher konkret mit Ihnen ab, inklusive welcher Anbieter genau involviert wäre. Bei sensiblen Daten bevorzuge ich lokale Modelle auf eigener oder Ihrer Infrastruktur, bei denen nichts nach außen geht. Wo es fachlich reicht, anonymisiere oder pseudonymisiere ich Daten, bevor sie überhaupt in ein KI-System kommen.

Die datenschutzrechtliche Rolle richtet sich nach Zweck, Daten und Vertragsverhältnis des jeweiligen Projekts. Nicht jede Nutzung eines KI-Dienstes ist automatisch Unterauftragsverarbeitung. Verarbeiten wir personenbezogene Daten im Auftrag eines Kunden, sind dessen dokumentierte Weisungen und die Anforderungen aus Art. 28 DSGVO zu beachten; weitere Auftragsverarbeiter benötigen die erforderliche Genehmigung und vertragliche Einbindung. Bei eigener Verantwortlichkeit bestimmen und dokumentieren wir eine passende Rechtsgrundlage. Drittlandübermittlungen werden gesondert nach Art. 44 ff. DSGVO geprüft. Für lokale oder cloudbasierte Verarbeitung werden Datenminimierung, Vertraulichkeit und erforderliche technische Schutzmaßnahmen berücksichtigt. Pseudonymisierte Daten können weiterhin personenbezogen sein. KI-Vorhaben werden nach ihrer konkreten Funktion und Verwendung beurteilt; aus der Bezeichnung „Reporting“ oder „Dokumentenanalyse“ ergibt sich keine automatische Risikoklasse nach der KI-Verordnung.

KI-generierter oder KI-unterstützter Code und Text wird von mir geprüft, bevor er an Sie geht. Das gilt für einzelne Code-Vorschläge genauso wie für mehrstufige Agent-Workflows: kein automatisierter Schritt läuft unbeaufsichtigt gegen Produktionsdaten oder Kundensysteme. Ich liefere keine ungeprüften KI-Ausgaben als fertiges Ergebnis.

Wenn Sie möchten, dass bei Ihrem Projekt keine KI-Werkzeuge zum Einsatz kommen, oder dass ausschließlich lokale statt Cloud-Modelle verwendet werden, sagen Sie mir das einfach vorab. Das ist für mich kein Problem und wird entsprechend eingeplant.