Kernschmiede AI betreibt keine eigene Infrastruktur - wir kaufen sie ein beziehungsweise mieten sie, heute und in Zukunft. Drei Kriterien entscheiden über die Partnerwahl:

Im Workshop-Setting:

  1. User stellt Anfrage am Workshop-Tag (Diktat / Foto / Text).
  2. Werkzeug (z. B. Claude Code) nimmt die Anfrage entgegen und übersetzt sie in den Modell-Input.
  3. Modell-Inferenz läuft für die demonstrierten Werkzeuge real über die Anthropic-API - ein US-basierter, proprietärer Anbieter. Diese Abwägung machen wir transparent; für Ihren späteren Eigenbetrieb empfehlen wir Open-Source-Modelle.
  4. Antwort zurück an User. Logs: 30 Tage Aufbewahrung, dann automatische Löschung. Übermittelte Inhalte werden nach den Anthropic Commercial Terms nicht zum Modelltraining verwendet; der Datentransfer in die USA ist über EU-Standardvertragsklauseln abgesichert.

Kernschmiede AI lässt aktuell keine eigenen KI-Modelle auf eigener Infrastruktur laufen. Für Ihren späteren, eigenständigen Betrieb empfehlen wir Open-Source-Sprachmodelle, deren Gewichte und Lizenzen vollständig nachprüfbar sind - anders als bei proprietären Modellen, deren Trainingsdaten oder Serverstandorte oft nicht überprüfbar sind:

Parallel zum Workshop bauen wir an einer eigenen Produkt-Palette für DSGVO-konforme KI-Werkzeuge im Mittelstand. Diese befindet sich in der Entwicklung - konkrete Funktionen, Preise oder Termine nennen wir erst, sobald sie feststehen.

  • Auftragsverarbeitungs-Vertrag (AVV): nach Art. 28 DSGVO. AVV-PDF auf Anfrage.
  • Auftragsverarbeiter: vollständige Liste unserer Hosting- und KI-Partner im AVV-PDF.
  • Datenschutz-Folgenabschätzung (DSFA): unterstützen wir bei Bedarf.
  • Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsverhältnis Workshop).
  • Cookie-Consent: quelloffene Consent-Management-Lösung, keine nicht notwendigen Cookies ohne Ihre vorherige Einwilligung.
KI ist dann DSGVO-konform, wenn personenbezogene Daten auf einer Rechtsgrundlage nach Art. 6 DSGVO verarbeitet werden, ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vorliegt und Drittlandtransfers (Art. 44 ff.) abgesichert sind. Im Workshop schaffen wir zuerst das Verständnis dafür und zeigen die eingesetzten Werkzeuge transparent - inklusive der Anthropic-API-basierten wie Claude Code und der jeweiligen Datenschutz-Abwägung. Open-Source-Modelle empfehlen wir Ihnen für Ihren späteren Eigenbetrieb.
KI-Systeme unterliegen denselben DSGVO-Grundsätzen wie jede Datenverarbeitung: Zweckbindung (Art. 5 Abs. 1 lit. b), Datenminimierung (Art. 5 Abs. 1 lit. c), Speicherbegrenzung (Art. 5 Abs. 1 lit. e) und Rechenschaftspflicht (Art. 5 Abs. 2). Bei Einsatz personenbezogener Daten ist ein AVV nach Art. 28 DSGVO mit dem KI-Anbieter abzuschließen. Werkzeuge mit Verarbeitung auf US-Infrastruktur (etwa ChatGPT, Microsoft Copilot, Google Gemini, aber auch die Anthropic-API) sind nur mit abgesichertem Transfer - AVV und EU-Standardvertragsklauseln nach Art. 44 ff. DSGVO - zulässig; ohne diese Absicherung drohen Verstöße.
Cloud-KI (z. B. ChatGPT, Microsoft Copilot, Google Gemini) verarbeitet Daten auf der Infrastruktur des jeweiligen Anbieters - oft in den USA, häufig ohne hinreichende DSGVO-Garantien. On-Premise-KI läuft auf eigener oder dedizierter Infrastruktur, etwa im eigenen Rechenzentrum oder bei einem DSGVO-konformen, EU-ansässigen Hosting-Partner; die Daten bleiben im kontrollierten Bereich. Kernschmiede AI betreibt selbst keine eigene Infrastruktur - On-Premise ist eine Option für Ihren späteren Betrieb, die wir im Workshop einordnen.
Die sechs Grundsätze aus Art. 5 DSGVO gelten vollumfänglich: Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz (Art. 5 Abs. 1 lit. a); Zweckbindung (lit. b); Datenminimierung (lit. c); Richtigkeit (lit. d); Speicherbegrenzung (lit. e); Integrität und Vertraulichkeit (lit. f). Dazu kommt die Rechenschaftspflicht (Art. 5 Abs. 2): der Verantwortliche muss die Einhaltung nachweisen können.
Sobald ein KI-System personenbezogene Daten verarbeitet - also Daten, die eine natürliche Person direkt oder indirekt identifizierbar machen - greift die DSGVO. Das betrifft schon einfache Fälle wie Kunden-E-Mails als RAG-Kontext, Mitarbeiter-Kommunikation oder Mandanten-Unterlagen. Auch Training und Feinabstimmung (Fine-Tuning) auf Unternehmensdaten löst DSGVO-Pflichten aus.
Häufige Risiken: (1) Daten verlassen die EU ohne angemessenes Schutzniveau (Drittlandtransfer, Art. 44 ff. DSGVO); (2) Kein AVV mit dem KI-Anbieter abgeschlossen (Art. 28); (3) Betroffenenrechte (Auskunft, Löschung, Art. 15-22) können nicht erfüllt werden; (4) Fehlendes Verzeichnis von Verarbeitungstätigkeiten (Art. 30); (5) Keine Datenschutz-Folgenabschätzung bei Hochrisiko-Verarbeitung (Art. 35). Wir begegnen diesen Risiken mit einem AVV nach Art. 28, transparenter Werkzeug- und Datenfluss-Darstellung, einer Datenschutz-Folgenabschätzung bei Bedarf und kurzen Lösch-Fristen (Logs: 30 Tage).
Für Ihren späteren, eigenständigen Betrieb empfehlen wir Open-Source-Sprachmodelle, deren Gewichte und Lizenzen vollständig nachprüfbar sind: Llama 3.1 (Meta, Llama-3-Community-Lizenz), Mistral / Mixtral (Apache 2.0), Qwen (Apache 2.0) und Granite von IBM (Apache 2.0). So bleiben Trainingsherkunft und Lizenz überprüfbar - anders als bei proprietären Modellen, deren Trainingsdaten oder Serverstandorte nicht verifizierbar sind.
Nein. Kernschmiede AI betreibt keine eigene Infrastruktur und lässt aktuell auch keine eigenen KI-Modelle auf eigener Infrastruktur laufen. Wir kaufen Infrastruktur bewusst ein beziehungsweise mieten sie - jetzt und in Zukunft. Auswahlkriterium ist ein DSGVO-konformer Betrieb mit Sitz mindestens in der EU; eine ISO-27001/9001-Zertifizierung ist für uns dabei ein Qualitätskriterium bei der Partnerwahl, keine eigene Zertifizierung. Parallel bauen wir an einer eigenen Produkt-Palette - diese befindet sich noch in der Entwicklung.
Nein. Für die im Workshop live demonstrierten Werkzeuge - etwa Claude Code - nutzen wir die Anthropic-API. Anthropic ist ein US-basierter, proprietärer Anbieter; laut den Anthropic Commercial Terms werden über die API übermittelte Inhalte nicht zum Modelltraining verwendet, Logs werden nach 30 Tagen automatisch gelöscht. Diese Abwägung benennen wir transparent - inklusive der EU-Standardvertragsklauseln, die den Datentransfer rechtlich absichern. Open-Source-Modelle sind unsere Empfehlung für Ihren späteren, eigenständigen Betrieb.

Datenschutz von Anfang an mitgedacht.

AVV als PDF, transparente Auswahlkriterien für Hosting-Partner, Werkzeuge und Datenwege offen benannt - Open-Source-Modelle als Empfehlung für Ihren späteren Eigenbetrieb.