Eigene KI in fünf Minuten

Auf Facebook, TikTok, Instagram, YouTube und anderen Plattformen läuft seit Monaten dasselbe Muster: ein Video, ein Versprechen, ein Button. „Ihre eigene KI, in fünf Minuten eingerichtet", 29 Euro im Monat. Angenommen, ich würde einem solchen Angebot folgen und mir die Oberfläche genauer ansehen: Meistens steckt dahinter kein eigenes Modell, sondern eine Weiterverkaufsschicht über ein zugekauftes. Das ist für sich genommen nichts Verwerfliches. Heikel wird es, wenn nirgends steht, wessen Modell da arbeitet, wo meine Eingaben verarbeitet werden und was mit dem Werkzeug passiert, sobald der Vorlieferant die Preise anhebt oder den Zugang abdreht.

Selbst bauen ist auch keine Abkürzung

Der naheliegende Gedanke ist, sich das Werkzeug gleich selbst zu bauen, mit einem einzigen Prompt, in denselben fünf Minuten. Das geht tatsächlich, nur selten so, wie man es sich vorstellt. Ohne einen Bauplan vorher, was das Werkzeug genau können soll, gehen viel Zeit und viele Tokens drauf, bevor überhaupt etwas Brauchbares steht, wenn es das am Ende überhaupt tut. Mit KI zu bauen funktioniert aus meiner Erfahrung gut, nur eben nicht immer so, wie es beworben wird: Ein Artefakt in einem Chatfenster ist noch kein Werkzeug, es läuft nur, solange der eigene Rechner dafür eingeschaltet ist. Wer daraus echte, jederzeit erreichbare Software machen will, muss sie hosten, und stößt dabei auf vieles, was ein Nichtprogrammierer vorher gar nicht kennt.

Was ich da eigentlich kaufe

Drei Dinge würde ich vor einem Abschluss geklärt haben wollen: welches Modell und welcher Anbieter dahinterstehen, in welchem Rechenzentrum verarbeitet wird, und wie ich meine Daten wieder herausbekomme. Kann mir jemand kein Exportformat nennen, hat er keines.

Beim Abo selbst geht es um Laufzeit, automatische Verlängerung, Kündigungsfrist und die Frage, ob gekaufte Guthaben verfallen. Als Unternehmer habe ich beim Onlinekauf kein Rücktrittsrecht wie ein Verbraucher. Was ich unterschreibe, gilt.

Was rechtlich mitläuft

Sobald Kundendaten, Mailverkehr oder Personalunterlagen in so ein Werkzeug wandern, brauche ich einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, eine Liste der Unterauftragnehmer und eine klare Aussage zum Drittlandtransfer. Fehlt der Vertrag, hafte nicht der Verkäufer, sondern ich als Verantwortlicher. Dazu sehe ich mir die Voreinstellung an, ob meine Eingaben zum Training verwendet werden. Bei billigen Abos steht dieser Schalter oft auf „ja".

Aus der KI-Verordnung betreffen mich als Anwender zwei Punkte unmittelbar. Seit 2. Februar 2025 muss ich als Betreiber Maßnahmen ergreifen, die KI-Kompetenz meiner Leute zu fördern (Art. 4); ein bestimmtes Kompetenzniveau schreibt der Digital Omnibus dabei nicht mehr vor, nur die Förderung selbst. Seit 2. August 2026 gelten die Transparenzpflichten nach Art. 50: Ein Chatbot muss sich als Maschine zu erkennen geben, von generativen Systemen erzeugte Ausgaben sind maschinenlesbar zu kennzeichnen, für Systeme, die schon vorher am Markt waren, läuft eine Nachrüstfrist bis 2. Dezember 2026 (datenschutzticker.de¹, abgerufen am 5. September 2026). Die strengeren Pflichten für Hochrisiko-Systeme hat der Digital Omnibus auf Dezember 2027 verschoben. Ein Aufkleber „AI-Act-konform" auf einer Verkaufsseite ist trotzdem kein Nachweis, sondern ein Werbespruch. Ich lasse mir die Dokumentation dazu zeigen, bevor ich das glaube.

Was ethisch mitläuft

Jetzt der unangenehme Teil. Die Daten, die in so ein Werkzeug wandern, gehören meistens anderen: Kunden, Auftraggebern, Mitarbeitern. Gefragt hat sie niemand.

Will ich ein System einführen, mit dem sich die Arbeit von Beschäftigten auswerten lässt, brauche ich in Österreich die Zustimmung des Betriebsrats, sofern die Menschenwürde berührt ist (§ 96 Abs. 1 Z 3 ArbVG, RIS²). Gibt es keinen Betriebsrat, brauche ich die Zustimmung der Betroffenen selbst.

Dazu kommt die Herkunft der Trainingsdaten. Vollständig offenlegen wird sie mir kein Anbieter, stellen würde ich die Frage trotzdem. Ebenso die nach der Haftung, wenn ein Ergebnis fremde Rechte verletzt. In den meisten Nutzungsbedingungen liegt dieses Risiko bei mir als Kunde, nicht beim Anbieter.

Darauf achte ich

Fünf Fragen, die ich vor einem solchen Abschluss beantwortet haben will:

• Welches Modell arbeitet im Hintergrund, und wer betreibt es?
• Wo werden meine Eingaben verarbeitet, wie lange werden sie gespeichert?
• Gibt es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, schriftlich?
• Werden meine Eingaben zum Training verwendet, und wie schalte ich das ab?
• Wie komme ich mit meinen Daten wieder heraus?

Bekomme ich darauf keine schriftliche Antwort, ist das für mich schon die Antwort.