KI in Unternehmens-Apps integrieren – aber ohne Compliance-Risiken

Die Integration von KI in Unternehmens-Apps scheitert in der Praxis häufig an regulatorischen Hürden. Doch der Grund liegt nicht in der Technologie selbst, sondern in der Architektur. Eine aktuelle Analyse des DEV Community zeigt: Cloud-basierte KI-Lösungen lösen in 94 % der Fälle Compliance-Prüfungen aus, während On-Device-KI nur in 3 % der Fälle zu solchen Verzögerungen führt. Der entscheidende Faktor ist nicht die KI-Funktionalität, sondern die Frage, wohin die Daten fließen.

Warum Cloud-KI Compliance-Prozesse erzwingt

Jede Cloud-KI-Lösung eines Drittanbieters – etwa von OpenAI, Google oder Anthropic – wird automatisch zum Datenverarbeiter. Sobald Nutzerdaten an die APIs dieser Anbieter gesendet werden, entsteht eine neue Datenverarbeitungskette. Dies zieht in regulierten Branchen wie Gesundheitswesen (HIPAA), Datenschutz (GDPR) oder Finanzaufsicht (FINRA/SEC) umfangreiche Prüfpflichten nach sich.

Die typischen Compliance-Hürden umfassen:

• Vertragliche Vereinbarungen: Ein Business Associate Agreement (BAA) unter HIPAA oder ein Data Processing Agreement (DPA) unter GDPR muss mit dem Anbieter geschlossen werden.
• Sicherheitsbewertungen: SOC-2-Reports, Penetrationstests und Incident-Response-SLAs des Anbieters müssen geprüft werden.
• Technologiezulassungen: In der Finanzbranche sind zusätzliche Genehmigungen durch Aufsichtsbehörden wie FINRA oder SEC erforderlich.

Diese Prozesse laufen nicht parallel, sondern sequenziell ab. Beispielsweise kann die Sicherheitsbewertung erst beginnen, wenn die vertraglichen Vereinbarungen unterzeichnet sind. Die Folge: Die Integration einer einzigen KI-Funktion dauert in regulierten Unternehmen 8 bis 24 Wochen – selbst wenn die technische Umsetzung bereits abgeschlossen ist.

Die drei Architektur-Entscheidungen, die Compliance-Prozesse vermeiden

Ob eine KI-Integration Compliance-Prüfungen auslöst, hängt von nur drei grundlegenden Entscheidungen ab. Diese sollten bereits in der Planungsphase getroffen werden, da spätere Änderungen teuer werden.

1. Wo läuft die Inferenz ab?

• On-Device: Die Daten verlassen das Gerät nicht. Der Anbieter wird nicht zum Datenverarbeiter, und Compliance-Prüfungen entfallen.
• Cloud-basiert: Die Inferenz findet auf Servern eines Drittanbieters statt. Dies löst automatisch neue Compliance-Anforderungen aus.

Die Entscheidung für On-Device-KI ist die effektivste Methode, um Compliance-Risiken zu minimieren – vorausgesetzt, die Rechenleistung des Geräts ist ausreichend für den Anwendungsfall.

2. Welches Modell wird verwendet?

• Open-Source-Modelle: Modelle wie Llama 3.2 (Meta), Phi-3 (Microsoft), Gemma 2 (Google) oder Mistral 7B sind lizenzrechtlich für On-Device-Einsatz freigegeben. Es entsteht keine Anbieterbeziehung, die Compliance-Prüfungen erfordert.
• Proprietäre Cloud-APIs: Hier entstehen vertragliche und sicherheitstechnische Pflichten gegenüber dem Anbieter.

Die rechtliche Prüfung eines Open-Source-Modells dauert typischerweise nur eine Stunde – vergleichbar mit der Sichtung einer Standard-Softwarelizenz. Kein monatelanger Assessment-Prozess.

3. Wird Telemetrie übertragen?

Viele KI-Frameworks aktivieren standardmäßig Telemetrie-Funktionen, die Nutzungsdaten an den Anbieter senden. Selbst wenn die Inferenz lokal erfolgt, kann dies eine neue Datenverarbeitungskette auslösen – und damit Compliance-Prüfungen erfordern.

Beispiele für Frameworks mit Telemetrie-Risiko:

• ONNX Runtime (erfordert manuelle Deaktivierung der Analytics-Funktionen)
• Einige proprietäre Frameworks von Anbietern wie Hugging Face

Frameworks wie llama.cpp oder Apples Core ML verzichten standardmäßig auf Telemetrie und sind daher Compliance-freundlich.

Der Sechs-Schritte-Plan für Compliance-freie KI-Integration

Ein strukturiertes Vorgehen minimiert nicht nur Compliance-Risiken, sondern beschleunigt auch die Implementierung. Der folgende Playbook-Ansatz wurde von Wednesday in acht Unternehmensprojekten erfolgreich eingesetzt – ohne Verzögerungen durch Compliance-Prüfungen.

Schritt 1: Datenflussanalyse

Vor der Entwicklung muss geklärt werden, wohin die Daten fließen:

• Bleiben sie auf dem Gerät?
• Werden sie an externe Server gesendet?
• Werden AI-Ausgaben automatisch synchronisiert?

Jeder externe Datenfluss löst potenziell Compliance-Prüfungen aus. Eine detaillierte Dokumentation dieser Flüsse ist essenziell.

Schritt 2: Architektur festlegen

• Default-Entscheidung: On-Device-Inferenz wählen, sofern technisch machbar.
• Ausnahmefall: Bei Echtzeitanforderungen oder komplexen Reasoning-Aufgaben, die lokale Hardware überfordern, muss Cloud-KI mit frühzeitiger Compliance-Prüfung geplant werden.

Die Begründung für die gewählte Architektur sollte schriftlich festgehalten werden – etwa in Form eines Architekturdiagramms.

Schritt 3: Modellauswahl und Lizenzprüfung

• Empfohlene Modelle: Llama 3.2, Phi-3, Gemma 2 oder Mistral 7B.
• Rechtliche Prüfung: Einmalige Sichtung der Lizenzbedingungen durch die Rechtsabteilung.

Diese Modelle sind explizit für On-Device-Nutzung lizenziert und erfordern keine zusätzlichen Anbieterverträge.

Schritt 4: Telemetrie deaktivieren

• Frameworks prüfen: Dokumentation des AI-Frameworks auf standardmäßig aktivierte Telemetrie-Funktionen.
• Konfiguration anpassen: Telemetrie explizit deaktivieren und die Änderungen dokumentieren.

Beispiel für die Deaktivierung in ONNX Runtime:

from onnxruntime import InferenceSession

session = InferenceSession("model.onnx", providers=["CPUExecutionProvider"])
session.disable_analytics()  # Deaktiviert Telemetrie

Schritt 5: Lokale Speicherung sicherstellen

AI-generierte Inhalte wie Texte, Transkriptionen oder Klassifikationen müssen lokal gespeichert werden. Automatische Synchronisationen mit Cloud-Servern sind zu vermeiden. Eine manuelle Überprüfung der Speicherorte ist ratsam.

Schritt 6: Compliance-Dokumentation vorbereiten

Ein kurzes, einseitiges Dokument sollte folgende Punkte abdecken:

• Architekturdiagramm (zeigt fehlende externe Datenflüsse)
• Lizenzkennung des verwendeten Modells
• Dokumentation der Telemetrie-Deaktivierung
• Bestätigung der lokalen Speicherung

Dieses Dokument kann bei Bedarf Compliance-Teams vorgelegt werden und vermeidet reaktive Verzögerungen.

Langfristige Vorteile einer Compliance-freundlichen KI-Architektur

Unternehmen, die KI-Integrationen von Anfang an unter Compliance-Aspekten planen, profitieren nicht nur von schnelleren Implementierungen. Sie vermeiden auch:

• Verzögerte Markteinführungen durch monatelange Compliance-Prozesse
• Unvorhersehbare Kosten durch nachträgliche Anpassungen
• Risiken durch unklare Datenflüsse in Audit-Szenarien

Die Wahl der richtigen Architektur ist kein technischer Kompromiss, sondern eine strategische Entscheidung. Mit On-Device-KI und Open-Source-Modellen können Unternehmen KI-Funktionen nutzen, ohne ihre Compliance-Prozesse zu behindern. Die Zukunft gehört jenen, die Technologie und Regulierung von Anfang an synchronisieren – statt sie gegeneinander auszuspielen.