← Blog

KI und Datenschutz: 3 Fehler, die dich einholen

Die Unternehmen, die Datenschutz und KI hinbekommen, gleichen einander. Alle anderen scheitern jeweils auf ihre ganz eigene Weise.

War Tolstoi heimlich Datenschützer?

Es muss so sein. Denn so oft ich zu KI und Datenschutz gefragt werde, so oft denke ich an seinen ersten Satz:

„Alle glücklichen Familien sind einander ähnlich, jede unglückliche Familie ist unglücklich auf ihre eigene Weise.“

Die Unternehmen, die ich sehe und die Datenschutz und KI hinbekommen, gleichen einander.

Alle anderen scheitern jeweils auf ihre ganz eigene Weise.

Hier drei Ansätze, die nicht nur zum Scheitern verurteilt sind. Sie sind sogar gefährlich.

„Wir nutzen gar keine KI.“

Netter Versuch! Das würde das Datenschutzproblem ja eigentlich lösen. Keine KI, kein Problem.

Leider nein. Das Gegenteil passiert: der wilde Westen.

Private Accounts werden genutzt, denn die Arbeit muss trotzdem gemacht werden. Firmengeheimnisse und personenbezogene Daten landen irgendwo im Internet, auf privaten Geräten, in den Trainingslagern der amerikanischen und chinesischen Modellhersteller. Der Unterschied zu vorher: Es gibt kein Verzeichnis, keine Löschfrist, keinen Auftragsverarbeitungsvertrag und keine einzige Person, die weiß, welche Daten das Haus verlassen haben.

Ein Verbot erzeugt keine Abstinenz. Es erzeugt Schatten-IT, die niemand dokumentiert.

Glück im Unglück: Dieser Ansatz ist selbstheilend. Wer keine KI nutzt, muss wahrscheinlich bald gar nicht mehr arbeiten.

„Wir hosten unsere eigene KI.“

Klingt gut. Technisch geht es sogar. Rechnen wir es einmal durch.

Nehmen wir das derzeit stärkste offene Modell, GLM-5.2 von Zhipu, rund 750 Milliarden Parameter, seit Juni frei herunterladbar. In der komprimierten Variante wiegen die Gewichte etwa 744 Gigabyte. Das passt auf genau einen Server-Knoten mit acht H200-Grafikkarten und 1.128 Gigabyte Speicher.

Bei AWS kostet dieser Knoten 63 Dollar in der Stunde. Das sind gut 1.300 Euro am Tag und knapp 40.000 Euro im Monat. Kapazitätsblöcke und spezialisierte GPU-Anbieter liegen tiefer, bei 30 bis 50 Dollar in der Stunde.

Und was bekommst du dafür? Gemessen auf genau dieser Maschine: 75 Token pro Sekunde, wenn eine einzige Person arbeitet. Bei 16 gleichzeitigen Anfragen sind es 658 Token pro Sekunde insgesamt, gut 40 je Anfrage.

Zum Vergleich: Ein Mensch spricht etwa 150 Wörter in der Minute, in Tokens gerechnet rund fünf pro Sekunde. Eine Antwort mit 40 Token pro Sekunde liest sich also angenehm flott. Nur eben 16 Mal gleichzeitig. Im ganzen Unternehmen. Der siebzehnte Kollege wartet. Und ein KI-Agent, der eine Aufgabe selbständig abarbeitet, belegt seinen Platz minutenlang, nicht nur für eine Antwort.

Ach so, in der Cloud sollte es ja gar nicht laufen. Dann gehen wir mal GPU-Server shoppen. Ein HGX-H200-System mit acht Karten liegt bei einem Listenpreis von rund 370.000 Dollar, also gut 300.000 Euro. Mmh, ist das teuer. Dazu Rack, Strom, Kühlung, Netz. Und das Team, das das System pflegt, die Modelle aktuell hält und nachts erreichbar ist, hast du? Super! Dann steht dem flächendeckenden Einsatz nichts mehr im Weg.

Wenn es dann eine hohe Adaption im Unternehmen gibt, hängen da ganz schnell kritische Geschäftsprozesse dran. Uiuiui, dann sollten wir uns schnell mal einen Ausweichstandort mit aufbauen, also direkt zwei HGX H200 in den Warenkorb legen. Und in 18 Monaten kommt die nächste Modellgeneration und will mehr Speicher.

Fazit: Don't.

Es gibt zwei Situationen, in denen es trotzdem richtig ist. Erstens: eine Auflage, die jede Auftragsverarbeitung ausschließt, etwa im Geheimschutz. Zweitens: eine so hohe und so gleichmäßige Last, dass die Maschine wirklich ausgelastet ist. Beides ist selten, und beides lässt sich vorher ausrechnen.

Die Chinese Wall: „Wir nutzen KI, aber nicht mit unseren Daten und Mails.“

Diese Variante tut mir persönlich am meisten weh.

Die Einsicht ist da: Wir brauchen KI. Das Thema ist auf dem Tisch, es wird diskutiert, es gibt oft schon Lizenzen. Und dann tötet die Datenschutzfrage die Initiative mit einer Anweisung wie „Namen und Adressen sind vor dem Kopieren in die KI zu entfernen“.

Die Mitarbeitenden bekommen einen Sportwagen, den sie nur schieben dürfen.

Denn die Mail, die beantwortet werden soll, enthält einen Namen. Das Angebot enthält eine Adresse. Das Protokoll enthält beides und dazu die halbe Kundenhistorie. Wer sich an die Regel hält, verbringt genau die Zeit, die er sparen wollte, mit Anonymisieren.

Das Ergebnis ist große Unzufriedenheit. Einige fahren doch heimlich, und wir sind wieder bei Ansatz 1. Andere suchen das Weite und fassen das Thema nicht mehr an. Die Führung schaut auf die Nutzungsstatistik und schließt daraus, dass KI im eigenen Haus eben nichts bringt.

Der bittere Teil: Die Anweisung schützt nicht einmal. Ein Text ohne Namen ist noch immer ein Geschäftsgeheimnis. Und wer die Plattform nie geprüft hat, hat sie auch für die anonymisierten Texte nicht geprüft.

Und was machen die glücklichen Firmen?

Sie machen das, was sie schon immer tun.

Sie wählen eine KI-Plattform, die die Anforderungen erfüllt, und wenden die Regeln der DSGVO darauf an. Genau so, wie sie es beim Mailserver, beim SharePoint und bei den zwei Dutzend anderen Anwendungen getan haben, die sie seit Jahren datenschutzkonform nutzen. KI ist in diesem Punkt keine neue Disziplin. Es ist ein weiterer Auftragsverarbeiter.

Die Liste ist kurz, und du kennst sie schon:

Dazu eine Handvoll Nutzungsregeln für die Belegschaft, die auf eine Seite passen. Und ein Satz, der bleibt: Die Verantwortung für das Ergebnis liegt bei der Person, die es unterschreibt.

Das ist es. Kein Sonderrecht, kein eigenes Rechenzentrum, keine Chinese Wall.

Der Unterschied zwischen den glücklichen und den unglücklichen Firmen ist am Ende keine Datenschutzfrage. Es ist die Frage, ob jemand die Entscheidung trifft. Die drei Ansätze oben haben genau das gemeinsam: Sie sind drei Wege, sie zu vermeiden. Und alle drei holen dich ein, als Schatten-IT, als Investitionsruine oder als frustrierte Belegschaft.

Zahlen, Stand August 2026: GLM-5.2 von Zhipu AI, rund 750 Mrd. Parameter, MIT-Lizenz, veröffentlicht am 13. Juni 2026, FP8-Gewichte ca. 744 GB, lauffähig auf einem Knoten mit 8x H200 mit 1.128 GB Speicher. Durchsatz gemessen mit vLLM auf 8x H200: 75 Token/s bei einer Anfrage, 658 Token/s bei 16 gleichzeitigen Anfragen. AWS p5en.48xlarge On-Demand-Listenpreis 63,30 USD/h, umgerechnet bei 1,17 USD/EUR. HGX H200 mit 8 GPUs: 320.000 bis 420.000 USD, typischer OEM-Preis 370.000 USD.