KI-Chatbot, DSGVO-konform und in der EU gehostet

DSGVO-konform ist keine Eigenschaft des Modells

Es ist eine Kette aus vier Festlegungen, die vor der ersten Zeile Code getroffen wird: Rechtsgrundlage, Ort der Verarbeitung, Auftragsverarbeitung und Löschfrist. Fehlt eine davon, hilft auch das beste Sprachmodell nicht.

Der häufigste Fall in der Praxis sieht so aus. Ein Fachbereich stellt ein fertiges Widget auf die Website, die Gespräche laufen über eine Schnittstelle in den USA, die Protokolle bleiben unbefristet liegen. Sichtbar wird das erst, wenn jemand im Chat seine Kundennummer und den Grund seiner Beschwerde eingibt. Ab diesem Moment verarbeiten Sie personenbezogene Daten an einem Ort, den Sie nicht benannt haben, unter einem Vertrag, den Sie nicht geschlossen haben.

Warum die Herkunft des Anbieters in Deutschland über das Projekt entscheidet

98 % der befragten Unternehmen sagen, dass die Herkunft des Cloud-Anbieters eine Rolle spielt. 91 % würden einen deutschen, 68 % einen europäischen Anbieter bevorzugen, während heute 71 % einen US-Anbieter einsetzen. 37 % würden für eine ausschließlich deutsche Datenverarbeitung Nachteile in Kauf nehmen, im Vorjahr waren es 27 %. Quelle: Bitkom Cloud Report 2026, 603 Unternehmen ab 20 Beschäftigten, repräsentative telefonische Befragung, veröffentlicht am 17.06.2026.

Dazu die Zahl, die erklärt, warum KI-Vorhaben im Mittelstand liegen bleiben: Datenschutzanforderungen sind mit 77 % das meistgenannte externe Hindernis beim KI-Einsatz, vor dem Fachkräftemangel mit 70 %. Quelle: Bitkom, Digitalisierung der Wirtschaft, 604 Unternehmen ab 20 Beschäftigten, veröffentlicht am 11.03.2026.

Wir nennen die Stichprobe mit, weil die Werte zur KI-Nutzung je nach Erhebung zwischen 35 % und 54,5 % schwanken. Wer nur die für sich vorteilhafteste Zahl zitiert, sagt damit mehr über sein Marketing als über den Markt.

Die sechs Fragen, an denen der Chatbot intern scheitert

Das sind die Fragen, die Ihr Datenschutzbeauftragter, Ihre IT-Sicherheit und im regulierten Umfeld die Revision stellen. Sie kommen immer, und sie kommen meistens erst, wenn der Prototyp schon läuft. Wir beantworten sie im Angebot, damit die Reihenfolge stimmt.

EU-Region, On-Premise oder Hybrid

Für die meisten Unternehmen ist die EU-Region die richtige Antwort. On-Premise lohnt sich dort, wo eine Freigabe den externen Aufruf grundsätzlich ausschließt, und der Aufpreis dafür ist real: GPU-Kapazität, Betrieb und Modellpflege liegen dann bei Ihnen. Der Hybridbetrieb klingt nach dem besten beider Wege, ist aber die aufwendigste Variante, weil ein Klassifizierer vor jedem Modellaufruf entscheidet, welcher Pfad greift, und dieser Klassifizierer selbst geprüft werden muss.

Was wir gegen erfundene Antworten bauen

Ein Sprachmodell erzeugt plausible Sätze, nicht geprüfte Aussagen. Wer das Gegenteil verspricht, hat das Problem nicht verstanden. Fünf Bausteine senken die Fehlerrate auf ein Niveau, das im Kundenkontakt tragfähig ist.

1. 1

   Antwort nur aus Ihren Unterlagen

   Der Bot beantwortet Fragen aus Ihrer Wissensbasis, nicht aus dem allgemeinen Trainingswissen des Modells. Alles, was nicht in den Dokumenten steht, ist für ihn nicht beantwortbar.

2. 2

   Fundstelle an jeder Antwort

   Jede Aussage trägt die Quelle, aus der sie stammt, mit Dokument und Abschnitt. Ihre Mitarbeiter können damit nachprüfen, statt zu vertrauen, und Ihr Kunde kann es auch.

3. 3

   Abbruch statt Rateversuch

   Ohne belegte Fundstelle sagt der Bot genau das und übergibt an einen Menschen. Das kostet Abdeckung und rettet Vertrauen. Wir halten diesen Schwellenwert für verhandelbar, aber nicht für abschaltbar.

4. 4

   Messung vor der Freischaltung

   Ihr Fachbereich stellt 100 bis 200 echte Fragen zusammen, mit den Antworten, die er erwartet. Daran messen wir vor dem Livegang und nach jeder Änderung an der Wissensbasis.

5. 5

   Protokoll der offenen Fragen

   Alle Fragen ohne Treffer landen in einer Liste. Sie ist nach vier Wochen die beste Vorlage für die nächste Ausbaustufe, weil sie zeigt, was Ihre Kunden wirklich wissen wollten.

Der wirksamste Hebel ist dabei nicht das Modell, sondern die Qualität der Wissensbasis. Ein Bot, der auf drei Jahre alte PDF-Dateien mit widersprüchlichen Preisangaben zugreift, gibt widersprüchliche Preise aus, und zwar korrekt belegt. Deshalb beginnt jedes Projekt bei uns mit einer Sichtung der Quellen und nicht mit der Modellauswahl.

Was der AI Act und NIS2 zusätzlich verlangen

Art. 50 der KI-Verordnung, also der Verordnung (EU) 2024/1689, ist seit dem 02.08.2026 anwendbar. Für einen Chatbot heißt das konkret: Der Nutzer muss erkennen können, dass er mit einer Maschine spricht, und generative Ausgaben brauchen eine maschinenlesbare Kennzeichnung. Für Systeme, die vor diesem Datum bereits im Markt waren, läuft die Übergangsfrist für die Kennzeichnung am 02.12.2026 aus. Die Pflichten für Hochrisiko-Systeme hat die Verordnung (EU) 2026/1744 verschoben, und zwar getrennt: eigenständige Systeme nach Anhang III auf den 02.12.2027, in Produkte eingebettete nach Anhang I auf den 02.08.2028. Einen Supportbot betrifft das in aller Regel nicht. Wo der Bot Bewerbungen vorsortiert oder Kreditwürdigkeit einschätzt, sieht die Einstufung anders aus, und das gehört vor Projektstart geklärt. Die Details dazu stehen auf unserer Seite zum EU AI Act.

Sind Sie NIS2-betroffen, wird der Chatbot Teil Ihrer Lieferkette. Das NIS2-Umsetzungsgesetz ist am 06.12.2025 in Kraft getreten, nach Schätzungen sind rund 30.000 Unternehmen in Deutschland erfasst, und die Sicherheit der Lieferkette ist in § 30 BSIG ein eigener Pflichtbereich. Für das Projekt bedeutet das rollenbasierte Zugriffskontrolle auf die Wissensbasis, revisionsfeste Protokollierung, einen benannten Ansprechpartner für Sicherheitsvorfälle und eine Dokumentation, die Sie unverändert in Ihre eigene Nachweisführung übernehmen können. Wir bauen das ein, statt es später nachzureichen.

Was ein solcher Chatbot kostet

Unsere Preisliste ist öffentlich. Die folgenden Werte stammen aus appforge.hu/pricing.md, umgerechnet zum Kurs 385 HUF/EUR und ohne Gewähr. Verbindlich wird der Preis nach dem Erstgespräch, weil Umfang und Anzahl der Wissensquellen ihn stärker bewegen als die Modellwahl.

Der laufende Betrieb der Automatisierung liegt bei 78 bis 390 EUR im Monat, je nach Umfang. Der On-Premise-Betrieb kommt mit Hardware- und Betriebskosten dazu, die wir erst nach dem Blick auf Ihre Umgebung beziffern. Bei B2B-Kunden mit gültiger Umsatzsteuer-Identifikationsnummer in Deutschland oder Österreich greift das Reverse-Charge-Verfahren, wir stellen also ohne ungarische Umsatzsteuer.