Lokale KI: Strategische Entscheidung statt Strategischer Reflex

Einleitung

Auf dem Tisch liegt ein Angebot über zweiundzwanzigtausend Euro. Zwei Grafikkarten, achtzig Gigabyte Speicher, darauf ein offenes Sprachmodell mit siebzig Milliarden Parametern, betrieben im eigenen Rechenzentrum. Der IT-Leiter hat die Vorlage mit einem einzigen Satz durch den Lenkungsausschuss gebracht: Es verlässt nichts das Haus. Die Rechtsabteilung nickte, der Datenschutzbeauftragte nickte, das Thema galt als abgeräumt.

Geplant ist, auf diesem Gerät die Risikoprüfung in der Lebensversicherung vorzubereiten. Das Modell liest Antragsunterlagen und ärztliche Befunde, verdichtet sie und schlägt eine Einstufung vor.

Dieser eine Satz beantwortet eine Frage von dreien.

Der Impuls dahinter ist kein Einzelfall. Der Anteil deutscher Unternehmen mit aktivem KI-Einsatz ist innerhalb eines Jahres von 17 auf 41 Prozent gestiegen, weitere 48 Prozent planen oder diskutieren den Einsatz.¹ Parallel dazu wächst die Bereitschaft, für Kontrolle zu zahlen. Laut dem Bitkom-Cloud-Report 2026 würden 37 Prozent der Unternehmen einen Cloud-Dienst wählen, der Daten ausschließlich in Deutschland verarbeitet, auch bei höheren Kosten oder geringerem Funktionsumfang. Im Vorjahr lag dieser Wert noch bei 27 Prozent.² Aus diesen beiden Kurven entsteht ein Reflex, der 2026 durch erstaunlich viele Häuser läuft. Er lautet:

Wir hosten selbst, dann sind wir sauber. Der Reflex greift zu kurz, und zwar in drei voneinander unabhängigen Richtungen.

Die rechtliche Grenze

Sie verläuft entlang zweier Achsen, die miteinander nichts zu tun haben. Die DSGVO fragt, wohin die Daten fließen, wer sie verarbeitet und auf welcher Rechtsgrundlage. Der EU AI Act fragt, wofür das System eingesetzt wird und welches Risiko der Betroffene trägt.

Für die erste Achse ist der lokale Betrieb tatsächlich die stärkste verfügbare Antwort. Für die zweite ist er bedeutungslos. Die KI-Verordnung führt in Anhang III unter Ziffer 5c ausdrücklich KI-Systeme auf, die für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen bei Lebens- und Krankenversicherungen bestimmt sind.³ Diese Einstufung hängt am Zweck der Anwendung, nicht am Standort des Servers. Risikomanagement, Datenqualität, technische Dokumentation und menschliche Aufsicht entstehen aus dem, was das System tut, und nicht daraus, in welchem Rack es steht.

Wer hier auf den zeitlichen Aufschub setzt, hat die Verordnung ebenfalls nur zur Hälfte gelesen. Die Verordnung (EU) 2026/1744, der sogenannte Digital Omnibus, in Kraft seit dem 27. Juli 2026, verschiebt die Pflichten für eigenständige Hochrisiko-Systeme nach Anhang III auf den 2. Dezember 2027 und für Hochrisiko-KI in regulierten Produkten nach Anhang I auf den 2. August 2028. Die Transparenzpflichten bleiben beim 2. August 2026.⁴ Unberührt von der Verschiebung bleiben zudem das KI-Inventar samt Risikoklassifikation, der Nachweis der KI-Kompetenz nach Artikel 4, fällig bereits seit Februar 2025, und die Bewertung aller Systeme auf verbotene Praktiken nach Artikel 5.⁵ Aufgeschoben ist die Konformitätsprüfung. Aufgehoben ist nichts.

Für beaufsichtigte Branchen kommt eine Schicht hinzu, die in der allgemeinen Debatte über souveräne KI fast nie vorkommt. Ein Versicherer bedient die KI-Verordnung und die DSGVO parallel zu den bestehenden Anforderungen der Aufsicht.¹⁸ Diese Schicht wirkt auch dort, wo die KI-Verordnung nachsichtig ist, und sie ist der Grund, warum eine harmlos eingestufte Anwendung im Versicherungshaus trotzdem dokumentiert und überwacht gehört. Kapitel 6 nimmt sie auf.

Die physikalische Grenze

Sie ist unverhandelbar, weil sie nicht aus einer Verordnung stammt, sondern aus dem Speicher der Grafikkarte. Was ein Modell an Platz braucht, diktiert die Parameterzahl. Ein Modell mit siebzig Milliarden Parametern belegt bei voller Präzision rund 140 Gigabyte und selbst bei starker Quantisierung noch etwa 38 bis 40 Gigabyte, bevor die erste Anfrage bearbeitet ist.⁶ Dazu kommt der Zwischenspeicher für den laufenden Kontext, der linear mit der Kontextlänge wächst und im Mehrbenutzerbetrieb zusätzlich mit der Zahl der parallelen Anfragen skaliert. Bei einem Kontextfenster von 128.000 Tokens sind das noch einmal rund 40 Gigabyte, allein für diesen Zwischenspeicher.⁷

Daraus folgt eine Einsicht, die in Investitionsvorlagen selten auftaucht. Wer lokal hostet, wählt nicht zwischen Modellen. Er wählt aus dem schmalen Ausschnitt, den sein Speicher hergibt, und dieser Ausschnitt verschiebt sich mit jeder Modellgeneration weiter nach oben.

Die betriebswirtschaftliche Grenze

Sie entscheidet sich an einem einzigen Wert, und der steht in keiner Angebotszeile: der Auslastung. Eine Grafikkarte im Leerlauf kostet dasselbe wie eine unter Volllast. Bei zehn Prozent Auslastung liegen die Kosten je Token entsprechend zehnmal höher, und rechnet man den Betreuungsaufwand hinzu, landet der Gesamtpreis beim Drei- bis Fünffachen der reinen Hardwarekosten.⁸ Gegenüber gehosteten Modellen derselben Bauart erreicht der Eigenbetrieb den Break-even erst bei einem Volumen von 15 bis 20 Millionen Tokens pro Tag, und die europäischen Strompreise schieben diese Schwelle noch einmal um 40 bis 60 Prozent nach oben.⁹

Ein Haus, in dem zwischen acht und achtzehn Uhr gearbeitet wird, erreicht diese Auslastung an keinem Tag der Woche. Das Gerät schreibt sich trotzdem ab.

Was daraus folgt

Ich will die Entscheidung nicht kleiner machen, als sie ist. Der Impuls hinter dem lokalen Betrieb ist berechtigt, und er ist es aus einem Grund, den kein Vertragswerk wegverhandelt. Solange ein US-Konzern Mutter oder Mehrheitseigner ist, reicht die US-Jurisdiktion bis in das deutsche Rechenzentrum hinein.¹⁰ Greift eine US-Behörde auf Daten zu, die in der EU liegen, gilt das als Übermittlung nach Kapitel V der DSGVO, auch wenn die Hardware in Frankfurt steht, und Standardvertragsklauseln binden allein die Vertragsparteien und wirken gegen hoheitlichen Zugriff nicht.¹¹ Wer Gesundheitsdaten, Schadenakten und Vertragswerke verarbeitet, hat also einen belastbaren Grund, diese Daten aus fremder Reichweite zu halten.

Die Frage ist nicht, ob dieser Grund zählt. Die Frage ist, ob er für jeden Anwendungsfall im Haus gleichermaßen zählt.

Er tut es nicht. Eine Marktrecherche ohne Personenbezug trägt kein Souveränitätsrisiko und gehört auf die günstigste verfügbare Schnittstelle. Die Auswertung eines Bedingungswerks trägt eines und gehört in eine europäisch betriebene Umgebung. Die Einstufung eines Antragstellers trägt zusätzlich eine Verantwortung, die keine Infrastruktur übernimmt. Damit fällt die Grundsatzentscheidung weg, und was aussieht wie eine Investitionsfrage, ist in Wahrheit eine Sortierfrage.

Dieser Artikel arbeitet die drei Grenzen der Reihe nach ab, führt sie anschließend in einer Matrix zusammen, übersetzt das Ergebnis in konkrete Zuschnitte für einzelne Anwendungsfälle und prüft zuletzt, was in einer beaufsichtigten Branche zusätzlich gilt. Am Ende steht keine Empfehlung für eine Technologie, sondern eine Entscheidungslogik, die auch dann noch trägt, wenn das nächste Modell erscheint.

1. Die rechtliche Grenze: zwei Achsen, ein Missverständnis

Die verbreitete Gleichung lautet: eigener Server, also souverän, also compliant. Sie geht deshalb nicht auf, weil sie zwei Regelwerke zu einem verrührt, die vollkommen verschiedene Fragen stellen. Wer die beiden Fragen trennt, sieht sofort, welchen Teil des Problems Hardware löst und welchen nicht.

1.1 Achse eins: Wohin fließen die Daten?

Das ist die DSGVO-Frage. Sie richtet sich auf Verantwortlichkeit, Rechtsgrundlage, Übermittlung und Auftragsverarbeitung. Auf dieser Achse gibt es in der Praxis fünf Betriebsmodelle, und ein sechstes, das niemand wählt, aber viele bekommen.

Die vierte Zeile ist die, an der die meisten Architekturdiskussionen scheitern. Ein Rechenzentrum in Frankfurt sieht aus wie eine europäische Lösung, und juristisch ist es keine. Solange ein US-Konzern Mutter oder Mehrheitseigner ist, reicht die US-Jurisdiktion bis in dieses Rechenzentrum hinein.¹⁰ Greift eine US-Behörde zu, gilt das als Übermittlung nach Kapitel V der DSGVO, und Standardvertragsklauseln helfen dabei nicht weiter, weil sie nur die Vertragsparteien binden und gegen hoheitlichen Zugriff nicht wirken.¹¹ Wer auf dieser Zeile sitzt und glaubt, den Serverstandort als Argument zu haben, hat ein Argument über Geografie, nicht über Recht.

Die sechste Zeile entsteht immer dann, wenn die anderen fünf zu umständlich sind. Wenn die Sachbearbeitung eine Antwort braucht und der freigegebene Weg drei Wochen Genehmigung kostet, wandert das Dokument in ein Consumer-Werkzeug. Schatten-KI ist keine Modellwahl. Sie ist das, was übrig bleibt, wenn das Unternehmen keine trifft.

1.2 Achse zwei: Wofür wird es eingesetzt?

Das ist die Frage der KI-Verordnung, und sie interessiert sich für den Server überhaupt nicht. Zwei Einstufungen entscheiden über den Pflichtenumfang, und beide hängen ausschließlich am Zweck und an der Rolle.

Quer dazu liegt die Rollenfrage. Ein Versicherer, der ein zugekauftes Modell einsetzt, ist Betreiber. Er wird jedoch selbst zum Anbieter, sobald er ein System unter eigenem Namen bereitstellt oder ein bestehendes Hochrisiko-System wesentlich verändert. Wer ein offenes Modell auf eigener Hardware feinjustiert und in die Antragsstrecke einbindet, tut genau das. Der Schritt zur Souveränität ist damit gleichzeitig ein Schritt in die schärfere Rolle. Die Hardware im eigenen Haus verschiebt Pflichten nicht weg, sie zieht welche heran.

1.3 Warum die menschliche Aufsicht keine Formalie ist

Ein Einwand kommt an dieser Stelle regelmäßig: Am Ende entscheide doch ein Mensch, das Modell schlage nur vor. Dieser Ausweg ist geschlossen. Der Europäische Gerichtshof hat im SCHUFA-Urteil entschieden, dass bereits die Erstellung eines automatisierten Wahrscheinlichkeitswerts eine automatisierte Einzelfallentscheidung nach Art. 22 DSGVO ist, wenn das weitere Handeln eines Dritten maßgeblich von diesem Wert abhängt.¹² Damit zählt nicht, ob formal ein Mensch unterschreibt, sondern ob dieser Mensch tatsächlich abweichen kann und es auch tut.

Das ist die schärfste Stelle des ganzen Themas, und sie ist keine juristische Spitzfindigkeit, sondern eine Frage der Arbeitsorganisation. Wer vierzig Vorschläge am Tag freigeben muss, prüft den vierzigsten nicht mehr. Aus der Aufsicht wird dann eine Quittung. Die Verordnung verlangt an dieser Stelle nicht mehr Unterschriften, sondern weniger Durchsatz je Person, dokumentierte Abweichungsquoten und die reale Möglichkeit, einen Vorschlag zu verwerfen. Wer das nicht organisiert, erfüllt die Anforderung auf dem Papier und verletzt sie im Betrieb.

1.4 Was aus Achse eins und zwei zusammen folgt

Die beiden Achsen sind unabhängig, und daraus ergeben sich vier Felder statt einer Entscheidung. Ein Anwendungsfall kann datenschutzrechtlich heikel und regulatorisch harmlos sein, etwa die Übersetzung eines internen Vertrags. Er kann datenschutzrechtlich unauffällig und regulatorisch schwer sein, etwa ein Scoring auf anonymisierten Beständen, das später auf Einzelfälle angewandt wird. Er kann beides sein, wie die Antragsprüfung aus der Einleitung. Und er kann keines von beidem sein, wie eine Marktrecherche.

Nur das dritte Feld rechtfertigt den vollen Aufwand aus eigener Hardware und Hochrisiko-Dokumentation. Das erste braucht eine europäische Umgebung und sonst wenig. Das zweite braucht Dokumentation und Aufsicht, aber keine eigene Grafikkarte. Das vierte braucht die günstigste verfügbare Schnittstelle.

Wer alle vier Felder gleich behandelt, zahlt für das vierte den Preis des dritten. Das ist der eigentliche Fehler, und er ist teuer, bevor er rechtlich überhaupt relevant wird. Wie teuer, entscheidet sich an zwei Grenzen, die mit Recht nichts mehr zu tun haben.

2. Die physikalische Grenze: was der Speicher erlaubt

Die rechtliche Grenze lässt sich mit Organisation beantworten. Die physikalische nicht. Sie ergibt sich aus einer Multiplikation, die niemand verhandeln kann.

2.1 Die Rechnung, die jeder Investitionsvorlage vorausgeht

Ein Sprachmodell muss vollständig im Speicher der Grafikkarte liegen, um mit brauchbarer Geschwindigkeit zu antworten. Wie viel Platz es braucht, hängt an zwei Größen: der Zahl der Parameter und der Genauigkeit, mit der jeder Parameter abgelegt wird. Bei voller Präzision belegt ein Parameter zwei Byte, bei starker Quantisierung etwa ein halbes. Ein Modell mit siebzig Milliarden Parametern kommt so auf rund 140 Gigabyte bei voller Präzision und auf etwa 38 bis 40 Gigabyte bei starker Quantisierung.⁶

Dazu kommt ein zweiter Posten, der in Angeboten fast nie auftaucht: der Zwischenspeicher für den laufenden Kontext. Er wächst linear mit der Länge des Textes, den das Modell im Blick behalten muss, und er wächst zusätzlich mit jeder gleichzeitigen Anfrage. Bei einem Kontextfenster von 128.000 Tokens sind das noch einmal rund 40 Gigabyte, allein für diesen Posten.⁷

Genau hier bricht die Rechnung in der Sachbearbeitung. Ein Antrag mit ärztlichen Befunden, Vorerkrankungen und Vertragshistorie ist kein kurzer Prompt. Wenn zwanzig Sachbearbeiter gleichzeitig arbeiten, multipliziert sich der Zwischenspeicher mit zwanzig. Die Karte, die im Test mit einem Nutzer souverän lief, steht im Echtbetrieb still.

2.2 Drei Leistungsklassen und was sie können

Die mittlere Zeile ist die, die in Angeboten steht, und sie ist auch die ehrlichste. Eine Serverkarte mit 96 Gigabyte trägt ein Siebzig-Milliarden-Modell in mittlerer Präzision vollständig.¹⁴ Das reicht für eine Menge sinnvoller Arbeit. Es reicht nicht für das, was die Geschäftsführung im Kopf hat, wenn sie an KI denkt, weil diese Vorstellung von Werkzeugen geprägt ist, die auf der dritten Zeile laufen.

Damit steht die Kernaussage dieses Kapitels. Wer lokal hostet, wählt nicht zwischen Modellen. Er wählt aus dem Ausschnitt, den sein Speicher hergibt, und dieser Ausschnitt liegt strukturell eine Klasse unter dem, was über eine Schnittstelle verfügbar ist. Das ist kein Argument gegen den lokalen Betrieb. Es ist ein Argument dagegen, ihn für alle Anwendungsfälle zu wählen.

2.3 Der Preis der Karte ist keine feste Größe

Ein weiterer Punkt, der in Dreijahresplanungen selten steht: Diese Hardware ist keine Anlage mit stabilem Wert. Nvidia listet die RTX PRO 6000 Blackwell im eigenen Marktplatz seit Mitte Juni 2026 zu 13.250 US-Dollar, ein Aufschlag von 55 Prozent binnen rund sechzehn Monaten, getrieben durch den KI-Boom und die Knappheit bei GDDR7-Speicher.¹³ Im deutschen Handel liegen die Preise je nach Ausführung zwischen etwa 11.000 und 15.000 Euro.¹³

Der Preis steigt also, während die technische Halbwertszeit sinkt. Wer heute kauft, kauft in einen Verkäufermarkt hinein und schreibt anschließend über einen Zeitraum ab, in dem zwei Modellgenerationen erscheinen. Beides zusammen bedeutet, dass die Investitionsrechnung neben der Auslastung an einer zweiten Größe hängt: einer Preisannahme, die niemand seriös für drei Jahre treffen kann.

2.4 Was das für die Sortierung bedeutet

Die physikalische Grenze wirkt anders als die rechtliche. Sie verbietet nichts, sie verteuert und verlangsamt. Für Aufgaben aus der ersten Zeile der Tabelle ist sie irrelevant, weil ein kleines Modell auf günstiger Hardware sie zuverlässig erledigt und dabei nie das Haus verlässt. Für Aufgaben aus der dritten Zeile ist sie ein Ausschlusskriterium.

Für die mittlere Zeile beginnt der eigentliche Abwägungsraum, und dort entscheidet nicht mehr die Physik, sondern die Rechnung.

3. Die betriebswirtschaftliche Grenze: der Preis des Leerlaufs

Die dritte Grenze ist die einzige, die sich rechnen lässt. Sie ist deshalb auch die einzige, bei der eine Investitionsvorlage nachweisbar falsch sein kann.

3.1 Die drei Bezugswege

Ein Unternehmen hat für dieselbe Rechenleistung drei Wege, und sie unterscheiden sich weniger im Preis als in der Frage, wer das Risiko trägt.

Zwei Zeilen dieser Tabelle verdienen Aufmerksamkeit, und sie ziehen in verschiedene Richtungen.

Die vorletzte gilt nur für Banken und Versicherer und ist der einzige Posten im ganzen Artikel, der für den Eigenbetrieb spricht. Wer ein Modell extern bezieht, gleich ob als Schnittstelle oder als gemietete Instanz, hat einen IKT-Drittdienstleister. Damit greifen Register-, Vertrags- und Ausstiegspflichten, die vor der ersten Anfrage erfüllt sein müssen.¹⁹ Dieser Aufwand fällt einmalig und dann laufend an, er steht in keiner Preisliste, und er wächst mit jedem zusätzlichen Anbieter. Wer aus Kostengründen drei verschiedene Schnittstellen nutzt, führt drei Auslagerungen. Kapitel 6 ordnet diesen Punkt ein.

Die letzte Zeile zieht in die Gegenrichtung, und sie wird in Vergleichen fast immer unterschlagen. Eine Karte im Leerlauf kostet dasselbe wie eine unter Volllast. Bei zehn Prozent Auslastung liegen die Kosten je Token entsprechend zehnmal höher, und mit dem Betreuungsaufwand landet der Gesamtpreis beim Drei- bis Fünffachen der reinen Hardwarekosten.⁸ozent Auslastung liegen die Kosten je Token entsprechend zehnmal höher, und mit dem Betreuungsaufwand landet der Gesamtpreis beim Drei- bis Fünffachen der reinen Hardwarekosten.⁸

3.2 Die Rechnung an einem konkreten Fall

Nehmen wir eine Sachbearbeitung mit fünf Millionen Tokens am Tag. Das ist für ein mittelgroßes Haus eine ordentliche Last, etwa der Umfang, den mehrere Dutzend Mitarbeiter mit Dokumentenauswertung erzeugen. Im Monat sind das rund 150 Millionen Tokens.

Bei einer europäischen Schnittstelle liegt der Listenpreis für ein leistungsfähiges Modell derzeit bei 0,50 US-Dollar je Million eingehender und 1,50 US-Dollar je Million ausgehender Tokens, für ein kleineres Modell bei 0,15 und 0,60 US-Dollar.¹⁶ Bei einem üblichen Verhältnis von siebzig Prozent Eingabe zu dreißig Prozent Ausgabe ergibt das einen Mischpreis von etwa 0,80 beziehungsweise 0,29 US-Dollar je Million Tokens.

Der Abstand ist nicht knapp. Er beträgt bei der günstigen Variante etwa den Faktor zwanzig.

Dreht man die Rechnung um, wird der Punkt noch deutlicher. Damit sich die Miete gegen das leistungsfähige Modell trägt, müsste das Haus rund 40 Millionen Tokens am Tag erzeugen. Gegen das kleinere Modell wären es über hundert Millionen. Beide Werte liegen um ein Vielfaches über dem, was eine Sachbearbeitung mit klassischen Bürozeiten produziert. Die einschlägigen Analysen kommen unabhängig davon zum selben Ergebnis: Gegen gehostete Modelle derselben Bauart erreicht der Eigenbetrieb den Break-even erst bei 15 bis 20 Millionen Tokens am Tag, und die europäischen Strompreise verschieben diese Schwelle noch einmal um 40 bis 60 Prozent nach oben.⁹

Ich will die Rechnung nicht sauberer aussehen lassen, als sie ist. Sie hängt an drei Annahmen, die sich bewegen: am Mischverhältnis von Eingabe und Ausgabe, am Listenpreis der Schnittstelle und an der tatsächlichen Auslastung. Der Listenpreis ist dabei der unruhigste Posten. Ein Anbieter hat den Preis seines Spitzenmodells binnen einer Generation um 75 Prozent gesenkt.¹⁶ Preissenkungen dieser Größenordnung wirken vollständig zugunsten der Schnittstelle und lassen die eigene Hardware, die zum alten Preis gekauft wurde, schlechter dastehen als am Tag der Entscheidung. Die Rechnung altert also einseitig.

3.3 Warum der Server nachts nicht ausgeschaltet wird

Ein naheliegender Einwand lautet: Dann fahren wir das Gerät außerhalb der Arbeitszeit eben herunter. Das senkt die Stromkosten, und sonst nichts. Abschreibung, Betreuung, Rack und Netzwerk laufen weiter. Der größere Teil der Fixkosten bleibt also stehen, während die Verfügbarkeit sinkt.

Dazu kommt ein zweiter Effekt, der selten mitgedacht wird. Sobald ein System in der Antragsstrecke hängt, ist es nicht mehr abschaltbar, ohne den Prozess zu unterbrechen. Und sobald es geschäftskritisch ist, braucht es Redundanz. Ein zweites Gerät für den Ausfallfall verdoppelt die Fixkosten und senkt die Auslastung des ersten weiter. Souveränität, die im Betrieb ernst gemeint ist, kostet also nicht einmal, sondern zweimal.

3.4 Wann sich der Eigenbetrieb trägt

Es gibt Fälle, in denen die Rechnung aufgeht, und sie lassen sich präzise benennen. Der Eigenbetrieb trägt sich, wenn eine Last vorliegt, die eine Karte über Wochen hinweg auslastet, und wenn gleichzeitig eine Compliance-Anforderung besteht, die externe Anbieter ausschließt.¹⁷ Fehlt eine der beiden Hälften, ist der Eigenbetrieb die teurere Variante desselben Ergebnisses, in regulierten Branchen um den ersparten Auslagerungsaufwand gemindert.

Typische Fälle mit dauerhafter Last sind Massenverarbeitungen: die Erschließung eines Altbestands, die Verschlagwortung eines Dokumentenarchivs, die nächtliche Auswertung von Schadenmeldungen im Batch. Diese Aufgaben füllen eine Karte tatsächlich über Wochen, und für sie ist eine eigene oder gemietete Maschine die richtige Wahl. Der interaktive Betrieb am Arbeitsplatz ist der Gegenfall. Dort entstehen Lastspitzen von Sekunden und lange Pausen dazwischen.

Damit steht die betriebswirtschaftliche Sortierregel fest, und sie deckt sich nicht mit der rechtlichen. Batch-Last gehört auf eigene Hardware, weil sie diese auslastet. Interaktive Last gehört auf eine Schnittstelle, weil sie das nicht tut. Die Frage, ob die Daten heikel sind, ist davon vollständig unabhängig und wird auf der anderen Achse beantwortet.

Wer beide Achsen gleichzeitig anlegt, bekommt keine Entscheidung, sondern eine Matrix.

4. Die Matrix: drei Fragen statt einer Entscheidung

Die drei Grenzen aus den vorangegangenen Kapiteln haben nichts miteinander zu tun. Genau darin liegt der Grund, warum eine Grundsatzentscheidung immer falsch ausfällt. Sie beantwortet eine Frage und behandelt die anderen beiden so, als wären sie mitbeantwortet.

Setzt man die Grenzen stattdessen hintereinander, entsteht ein Weg, den jeder Anwendungsfall einmal durchläuft.

Frage eins, Datenschutz: Verlassen personenbezogene Daten das Haus, und wenn ja, in wessen Verfügungsgewalt geraten sie? Diese Frage bestimmt, welche Zeile der Betriebsmodell-Tabelle aus Kapitel 1 zulässig ist. Sie bestimmt nicht, ob eigene Hardware nötig ist. Eine dedizierte Instanz bei einem europäischen Anbieter erfüllt dieselbe Anforderung ohne Anschaffung.

Frage zwei, Regulierung: Fällt der Zweck unter Anhang III, unter die Transparenzpflicht oder unter keines von beidem? Diese Frage bestimmt den Dokumentations- und Aufsichtsaufwand. Sie hat auf die Infrastruktur keinen Einfluss.

Frage drei, Last: Erzeugt der Anwendungsfall eine dauerhafte Auslastung oder Spitzen mit langen Pausen? Diese Frage bestimmt den Bezugsweg. Sie hat mit den ersten beiden nichts zu tun.

Erst aus den drei Antworten zusammen ergibt sich eine Architektur. Und weil die Antworten je Anwendungsfall verschieden ausfallen, ergibt sich nicht eine Architektur, sondern mehrere nebeneinander. Das ist der hybride Ansatz. Er ist keine Kompromisslösung zwischen zwei Lagern, sondern die Konsequenz daraus, dass drei unabhängige Fragen drei unabhängige Antworten haben.

4.1 Die Ampel als Übersetzung

Für die tägliche Anwendung ist diese Herleitung zu umständlich. Was ein Team braucht, ist ein Signal, das ohne Rückfrage funktioniert. Die drei Fragen lassen sich dafür zu drei Stufen verdichten.

Die letzte Spalte gilt nur für Branchen unter Finanzaufsicht und ist der Grund, warum die Stufe Grün dort nicht Freifahrt bedeutet. Kapitel 6 führt aus, woher diese Anforderungen stammen.

Zwei weitere Dinge an dieser Tabelle sind wichtiger als die Farben.

Erstens taucht die eigene Hardware in keiner Zeile als Pflicht auf. Sie ist überall eine Option und nirgends eine Voraussetzung. Was Rot von Gelb unterscheidet, steht in der letzten Spalte und ist organisatorischer Natur.

Zweitens ist Rot keine Verbotsstufe. Der Anwendungsfall darf laufen, er kostet nur ungleich mehr an Vorbereitung und Betrieb. Wer diese Kosten scheut, sollte die Anwendung nicht heimlich als Gelb einstufen, sondern sie lassen. Die Umdeklaration ist der häufigste Weg, auf dem aus einem Compliance-Problem ein Haftungsproblem wird.b einstufen, sondern sie lassen. Die Umdeklaration ist der häufigste Weg, auf dem aus einem Compliance-Problem ein Haftungsproblem wird.

5. Sechs Anwendungsfälle in einem Versicherungshaus

Die folgenden Fälle stammen aus einem Bereich, in dem alle drei Grenzen gleichzeitig auftreten. Sie sind so gewählt, dass sie die vier möglichen Kombinationen abdecken, und jeder von ihnen wird durch dieselben drei Fragen geführt.

5.1 Wettbewerbs- und Marktbeobachtung

Öffentliche Tarifinformationen, Geschäftsberichte, Pressemitteilungen. Kein Personenbezug, kein Anhang-III-Zweck, sporadische Nutzung. Alle drei Fragen fallen zugunsten der Schnittstelle aus. Hier eigene Hardware zu belegen, heißt, die teuerste Ressource des Hauses für die harmloseste Aufgabe zu reservieren. Die einzige Pflicht entsteht am Ausgang: Wenn daraus veröffentlichte Inhalte werden, greift die Kennzeichnung nach Artikel 50.

5.2 Auswertung eigener Bedingungswerke

Ein Sachbearbeiter fragt, ob eine bestimmte Konstellation unter den Leistungsausschluss fällt. Keine personenbezogenen Daten, aber der Bedingungstext und die interne Auslegungspraxis sind Geschäftsgeheimnis. Damit fällt Frage eins auf eine europäische Umgebung, in der Trainingsnutzung vertraglich ausgeschlossen ist. Frage zwei bleibt harmlos, Frage drei ergibt Spitzenlast. Eine Schnittstelle mit Auftragsverarbeitungsvertrag genügt.

Wichtig ist hier die Ausgabe, nicht die Infrastruktur. Ein Modell, das eine Auslegung liefert, ohne die Fundstelle im Bedingungswerk zu nennen, ist unbrauchbar, weil der Sachbearbeiter die Antwort nicht prüfen kann. Das ist keine Rechtsfrage, sondern eine Anforderung an die Umsetzung, und sie entscheidet über den Nutzen mehr als die Wahl des Modells.

5.3 Erstklassifizierung von Schadenmeldungen

Freitext von Kunden, angehängte Belege, Zuordnung zu Sparte und Bearbeitungspfad. Personenbezug liegt vor, teils auch besondere Kategorien, wenn Gesundheitsangaben in der Schilderung stehen. Der Zweck ist keine Risikobewertung im Sinne von Anhang III, solange die Klassifizierung nur den Bearbeitungsweg bestimmt und nicht über die Leistung entscheidet. Die Last ist gleichmäßig und hoch, weil Meldungen kontinuierlich eingehen.

Das ist der erste Fall, in dem eigene oder gemietete Hardware betriebswirtschaftlich mithält, und zwar wegen der Last, nicht wegen der Daten. Zusätzlich reicht hier ein kleines Modell aus der ersten Leistungsklasse, was den Speicherbedarf und damit die Hardwarefrage entschärft.

Eine Warnung gehört an diese Stelle. Sobald die Klassifizierung faktisch darüber entscheidet, ob ein Fall in die schnelle Regulierung oder in die Prüfstrecke geht, verschiebt sich die Einstufung. Dann wirkt sie erheblich auf die betroffene Person, und die Argumentation aus dem SCHUFA-Urteil greift.¹² Der Unterschied zwischen Gelb und Rot liegt hier nicht in der Technik, sondern darin, was nachgelagert mit dem Ergebnis geschieht.

5.4 Erschließung des Altbestands

Zehntausende Verträge und Korrespondenzen aus Jahrzehnten sollen durchsuchbar gemacht, verschlagwortet und mit Metadaten versehen werden. Personenbezug liegt vor, ein Anhang-III-Zweck nicht, die Last ist ein Batch über Wochen.

Das ist der Fall, für den sich eigene Hardware tatsächlich rechnet. Die Karte läuft rund um die Uhr, die Auslastung erreicht genau den Bereich, in dem die Fixkosten sich auf genug Anfragen verteilen. Nach Abschluss des Projekts kehrt sich der Vorteil um, weshalb die Miete hier oft die klügere Variante ist. Man mietet für die Dauer des Vorhabens und gibt zurück.

5.5 Vorbereitung der Risikoprüfung Leben

Der Fall aus der Einleitung. Gesundheitsdaten, also besondere Kategorien nach Artikel 9. Zweck nach Anhang III Ziffer 5c, also Hochrisiko. Lastprofil mit Spitzen, weil Anträge nicht gleichmäßig eingehen.

Frage eins verlangt eine Umgebung ohne Drittlandzugriff. Frage zwei verlangt den vollen Pflichtenapparat. Frage drei spricht gegen den Kauf, weil die Auslastung nicht trägt. Die Antwort ist also eine dedizierte europäische Umgebung, keine eigene Anschaffung, und der eigentliche Aufwand liegt gar nicht in der Infrastruktur.

Er liegt in der menschlichen Aufsicht. Diese muss so organisiert sein, dass der prüfende Mensch tatsächlich abweichen kann und es nachweislich tut. Das bedeutet begrenzte Fallzahlen je Person, dokumentierte Abweichungsquoten und eine Vorlage, die den Vorschlag begründet statt ihn nur auszugeben. Wer die Abweichungsquote nie misst, weiß nicht, ob er Aufsicht führt oder abnickt.

5.6 Chatbot im Kundenportal

Auskunft zu Vertragsstand, Adressänderung, Statusabfrage. Personenbezug liegt vor, der Zweck fällt nicht unter Anhang III, die Last besteht aus Spitzen. Eine europäische Schnittstelle genügt.

Die spezifische Pflicht liegt hier in der Kennzeichnung. Seit dem 2. August 2026 muss erkennbar sein, dass gegenüber einer Maschine gesprochen wird.⁴ Das ist die am einfachsten zu erfüllende und die am häufigsten übersehene Anforderung des gesamten Regelwerks, weil sie nicht in der IT entschieden wird, sondern im Textbaustein der Begrüßung.

5.7 Was die sechs Fälle zusammen zeigen

Von sechs Anwendungsfällen rechtfertigt genau einer den Kauf eigener Hardware, und zwar der Altbestand, dessen Last die Anschaffung trägt. Zwei weitere verlangen eine dedizierte europäische Umgebung. Drei kommen mit einer Schnittstelle aus.

Kein einziger Fall wird durch eigene Hardware regulatorisch einfacher. Der Fall mit dem höchsten Pflichtenumfang, die Risikoprüfung, ist derselbe, egal wo er rechnet.

Für ein beaufsichtigtes Haus kommt eine Rechnung hinzu, die erst auf den zweiten Blick sichtbar wird. Fünf der sechs Fälle laufen über externe Anbieter, und jeder davon ist eine Auslagerung mit Vertrag, Registereintrag und nachgewiesener Ausstiegsfähigkeit. Wer für jeden Fall den preislich besten Anbieter wählt, verwaltet am Ende fünf Auslagerungen für sechs Anwendungen. Die Konsolidierung auf zwei oder drei Anbieter kostet an der einen Stelle etwas mehr je Token und spart an der anderen einen laufenden Verwaltungsvorgang. Diese Abwägung führt keine IT-Abteilung allein.

Das ist die Antwort auf die Ausgangsfrage. Nicht lokal oder Cloud, sondern für jeden Anwendungsfall die drei Fragen einzeln beantwortet und die Infrastruktur danach zugeschnitten.

6. Die Schicht darüber: was in einer beaufsichtigten Branche zusätzlich gilt

Bis hierhin galt die Herleitung für jedes Unternehmen. Für Banken und Versicherer greift eine weitere Ebene, und sie verändert die Ampel an einer Stelle, an der es wehtut.

6.1 Drei Regelwerke gleichzeitig

Ein deutscher Versicherer bedient die KI-Verordnung nicht allein. Sie gilt parallel zur DSGVO und zu den bestehenden Anforderungen der Aufsicht, namentlich MaRisk VA und VAIT.¹⁸ Diese Anforderungen sind älter als jede KI-Debatte und fragen nach Dingen, die in der Verordnung nicht stehen: nach der Verantwortlichkeit auf Leitungsebene, nach der Nachvollziehbarkeit von Entscheidungswegen, nach Auslagerungsmanagement und nach der Fähigkeit, einen Dienstleister im Ernstfall zu ersetzen.

Für den Gegenstand dieses Artikels ist die Auslagerungsfrage die folgenreichste. Wer ein Modell über eine Schnittstelle bezieht oder eine dedizierte Instanz mietet, hat einen IKT-Drittdienstleister. Damit greifen Register-, Vertrags- und Ausstiegspflichten, die der Digital Operational Resilience Act seit Januar 2025 verbindlich macht.¹⁹ Das ist der einzige Punkt in diesem Artikel, an dem der Eigenbetrieb Aufwand spart statt ihn zu erzeugen. Er wiegt die Kostendifferenz aus Kapitel 3 nicht auf, aber er gehört in die Rechnung.

6.2 Warum Grün in dieser Branche nicht Freifahrt bedeutet

Die europäische Versicherungsaufsicht hat im August 2025 eine Stellungnahme zu KI-Governance und Risikomanagement veröffentlicht. Sie präzisiert die Governance-Anforderungen ausdrücklich auch für KI-Systeme mit begrenztem oder minimalem Risiko.²⁰ Genau dort, wo die KI-Verordnung schweigt, spricht also die Aufsicht.

Eine solche Stellungnahme bindet nicht unmittelbar. Ihre Wirkung entsteht anders. Die darin formulierten Prinzipien decken sich im Wesentlichen mit denen der deutschen Aufsicht und sind damit für die Aufsichtspraxis relevant.²¹ Wer sie ignoriert, verstößt gegen kein Gesetz und bekommt trotzdem Fragen, die er beantworten muss.

Für die Ampel aus Kapitel 4 heißt das: Die Stufe Grün bedeutet in einem Versicherungshaus nicht, dass eine Anwendung unbeobachtet laufen darf. Sie bedeutet, dass sie ohne den schweren Apparat aus Anhang III laufen darf. Erfasst, zugeordnet und verantwortet gehört sie trotzdem.

6.3 Der Punkt, an dem die Aufsicht schärfer ist als die Verordnung

Die deutsche Aufsicht legt einen Schwerpunkt, der in der KI-Verordnung zwar angelegt, aber weniger konkret ausgeführt ist: das Diskriminierungsrisiko hochautomatisierter Entscheidungsprozesse und die Qualität der zugrunde liegenden Datensätze.

Das trifft die Versicherungswirtschaft an einer empfindlichen Stelle, weil Differenzierung nach Risikomerkmalen ihr Geschäftsmodell ist und die Grenze zur unzulässigen Ungleichbehandlung nicht technisch verläuft, sondern normativ. Ein Modell, das auf historischen Beständen trainiert wurde, reproduziert die Auswahlpraxis dieser Bestände. Wenn diese Praxis einen Bias enthielt, ist er nun automatisiert, schneller und schwerer zu bemerken, weil er nicht mehr als Einzelentscheidung erscheint, sondern als Systemverhalten.

Auch hier ändert der Standort des Servers nichts. Ein Bias auf eigener Hardware ist derselbe Bias. Was hilft, ist die Messung: Ablehnungs- und Einstufungsquoten nach Merkmalsgruppen, regelmäßig ausgewertet, nicht allein beim Einführungstest. Wer diese Auswertung nicht fährt, kann auf die naheliegendste Frage der Aufsicht nicht antworten.

6.4 Was das für die Sortierung ändert

Nichts an der Logik, einiges an den Kosten. Die drei Fragen aus Kapitel 4 bleiben unverändert, und die Zuordnung der sechs Anwendungsfälle aus Kapitel 5 ebenfalls. Was sich verschiebt, ist der Aufwand je Stufe. Jede Stufe wird um eine Zeile Dokumentation schwerer, und die Wahl eines externen Anbieters zieht Auslagerungspflichten nach sich, die vor der ersten Anfrage erfüllt sein müssen.

Wer in einer beaufsichtigten Branche arbeitet, sollte die Ampel deshalb nicht in der IT aufhängen, sondern dort, wo Auslagerungen ohnehin verwaltet werden. Sonst entsteht ein zweites Verzeichnis neben dem bestehenden, und zwei Verzeichnisse sind schlechter als eines.

Fazit: Der eigentliche Reiz des eigenen Servers

Bleibt die Frage, warum sich der Reflex so hartnäckig hält, obwohl die Rechnung so eindeutig ausfällt.

Die Antwort hat wenig mit Technik zu tun. Ein Server ist eine Anschaffung. Er wird beantragt, genehmigt, geliefert, eingebaut und abgehakt. Danach steht er da, und die Frage nach der Souveränität hat eine Adresse im Gebäude. Was der Kauf in Wahrheit verspricht, ist die Verwandlung einer dauerhaften organisatorischen Pflicht in einen einmaligen Beschaffungsvorgang.

Diese Verwandlung findet nicht statt. Die Pflichten, die aus dem Zweck einer Anwendung entstehen, laufen weiter, jeden Tag, an jedem Arbeitsplatz, an dem ein Vorschlag geprüft oder durchgewunken wird. Sie stehen nicht im Rack. Sie stehen im Arbeitsablauf, und dort sind sie unbequemer, weil sie niemandem gehören und nie fertig werden.

Wer die drei Fragen dieses Artikels je Anwendungsfall stellt, kauft weniger Hardware und übernimmt mehr Verantwortung. Das ist kein guter Tausch für eine Investitionsvorlage. Für ein Unternehmen ist es der einzige, der hält.

Und die Grenzen verschieben sich weiter. Speicher wird größer, Modelle werden sparsamer, Schnittstellenpreise fallen. Von den drei Grenzen dieses Artikels werden zwei in achtzehn Monaten anders verlaufen. Die dritte, die rechtliche, verläuft dann noch genau dort, wo sie heute verläuft, weil sie nicht an der Technik hängt, sondern daran, was ein Unternehmen mit Menschen tut. In beaufsichtigten Branchen gilt das doppelt. Die Anforderungen der Aufsicht an Verantwortlichkeit, Auslagerung und Datenqualität standen schon vor der KI-Verordnung und werden auch nach der übernächsten Modellgeneration noch gelten. Wer eine Architektur baut, baut auf den beiden Linien, die sich bewegen. Wer eine Entscheidungslogik baut, baut auf der einen, die stehen bleibt.

Die Frage ist am Ende nicht, wo Ihre Modelle rechnen. Sie ist, wer im Haus benennen kann, welcher Anwendungsfall auf welcher Stufe steht, und wer widerspricht, wenn eine Anwendung sich stillschweigend eine Stufe nach unten sortiert.

FAQ

Quellen

• [1] Bitkom, KI-Studie 2026, repräsentative Befragung von 604 Unternehmen ab 20 Beschäftigten. bitkom.org
• [2] Bitkom Research, Cloud Report 2026, Befragung von 603 Unternehmen ab 20 Beschäftigten. bitkom-research.de
• [3] Verordnung (EU) 2024/1689 (KI-Verordnung), Anhang III Ziffer 5c. AI Act Service Desk, Europäische Kommission
• [4] Verordnung (EU) 2026/1744 (Digital Omnibus), veröffentlicht am 24. Juli 2026, in Kraft seit dem 27. Juli 2026. Einordnung wz-it.com
• [5] Fortbestehende Sofortpflichten trotz Fristverschiebung. me-ctc.de
• [6] VRAM-Bedarf offener Modelle nach Quantisierungsstufe, Stand Juni 2026. vrlatech.com
• [7] Skalierung des KV-Caches mit der Kontextlänge. sitepoint.com
• [8] Auslastungsabhängige Kosten je Token und Gesamtaufwand gegenüber der reinen GPU-Miete, Stand Juli 2026. leanlm.ai
• [9] Break-even-Analyse Eigenbetrieb gegen gehostete Open-Weight-APIs, inklusive Sensitivität für europäische Strompreise. sitepoint.com
• [10] Eigentümerstruktur als maßgebliches Kriterium beim CLOUD Act. dc2share.com
• [11] Behördlicher Zugriff als Übermittlung nach Kapitel V DSGVO, Wirkungsgrenze von Standardvertragsklauseln. moxis.co
• [12] EuGH, Urteil vom 7. Dezember 2023, Rechtssache C-634/21 (SCHUFA Holding, Scoring), zur Reichweite von Art. 22 DSGVO. thomashelbing.com
• [13] Preisentwicklung der NVIDIA RTX PRO 6000 Blackwell, Stand Juni 2026. pcgameshardware.de
• [14] Deutsche Distributionsangaben zur Server Edition mit 96 GB, Stand August 2026. nelpx.de
• [15] Hetzner GEX131 mit 96 GB VRAM, Herstellerangabe ab 889 Euro monatlich, Marktangebote je nach Ausführung darüber. hetzner.com, heise.de
• [16] Listenpreise Mistral, Stand 2026, inklusive der Preissenkung zwischen den Generationen des Spitzenmodells. spheron.network
• [17] Bedingungen, unter denen der dedizierte Eigenbetrieb wirtschaftlich trägt. gpuhosted.com
• [18] Paralleles Zusammenwirken von KI-Verordnung, DSGVO und den BaFin-Anforderungen MaRisk VA und VAIT. sda.se
• [19] Regulatorischer Rahmen für Versicherer 2026, inklusive DORA und der Aufsichtsschwerpunkte. versicherungsmagazin.de
• [20] EIOPA, Opinion on AI Governance and Risk Management, EIOPA-BoS-25-360 vom 6. August 2025. eiopa.europa.eu
• [21] Zur Bindungswirkung der EIOPA-Prinzipien und ihrer Deckungsgleichheit mit den BaFin-Prinzipien. researchgate.net