KI in Verteidigung und Sicherheit: die unklassifizierte Ebene, sauber gelöst

Die Grenze zuerst: was PrivatAI nicht kann

Verschlusssachen scheiden aus. Schon die niedrigste Einstufung – VS-NfD – verlangt vom eingesetzten IT-System BSI-zugelassene Produkte und Verfahren; das Unternehmen braucht Geheimschutzbetreuung über das BMWK, das Personal eine Sicherheitsüberprüfung nach dem SÜG. Für VS-VERTRAULICH, GEHEIM oder NATO-Einstufungen gilt das erst recht. PrivatAI erfüllt diese Anforderungen nicht.

Wer Ihnen an dieser Stelle etwas anderes verspricht, kennt das Regelwerk nicht – oder hofft, dass Sie es nicht kennen. Die ehrliche Aussage lautet: Für eingestufte Inhalte brauchen Sie eine zugelassene Umgebung. Für alles andere brauchen Sie einen Anbieter, der nichts speichert und nicht in einer fremden Jurisdiktion sitzt.

Und „alles andere" ist der größere Teil. Ein Zulieferer verbringt seinen Arbeitstag mit Angeboten, Stücklisten, Prüfprotokollen, Reklamationen und Lieferantenmails. Nichts davon ist eingestuft. Alles davon ist vertraulich genug, dass es nicht in einen öffentlichen Chatbot gehört.

Warum hier die Jurisdiktion zählt, nicht die Serverregion

„Gehostet in der EU" ist bei US-Anbietern eine Aussage über den Speicherort, nicht über den Zugriff. Der CLOUD Act verpflichtet US-Unternehmen zur Herausgabe von Daten in ihrem Gewahrsam – auch wenn diese auf europäischen Servern liegen. Genau dieses Spannungsfeld führte in Schrems II (C-311/18) zum Kippen des Privacy Shield.

In der Verteidigungszulieferung ist das selten eine abstrakte Diskussion. Auftraggeber, Rahmenverträge und Konzern-Sicherheitsrichtlinien schließen US-Zugriffsmöglichkeiten für bestimmte Projektunterlagen regelmäßig aus. Ein Anbieter mit US-Mutterkonzern kann diese Bedingung strukturell nicht erfüllen, unabhängig davon, in welchem Rechenzentrum die Daten liegen. Ein europäischer Anbieter kann sie erfüllen – und belegen.

Dazu kommt der regulatorische Druck aus NIS2: Betreiber kritischer und wichtiger Einrichtungen müssen Risiken in der Lieferkette systematisch bewerten. Ein Werkzeug, das Ihre Unterlagen in einer Drittstaat-Jurisdiktion speichert, ist in dieser Bewertung eine Position, die Sie erklären müssen.

Das zweite Problem: wenn das Modell die Arbeit verweigert

Bei sicherheitsnaher Arbeit kommt ein Hindernis hinzu, das mit Datenschutz nichts zu tun hat: Die großen kommerziellen Modelle verweigern genau die Aufgaben, um die es geht. Malware-Analyse, das Verstehen eines Exploits, die Auswertung von Angriffs-Logs – als Eingabe ist das nicht davon zu unterscheiden, dass jemand einen Angriff vorbereitet. Die Schutzmechanismen können den Verteidiger nicht vom Angreifer trennen, also blocken sie beide.

Wir haben diesen Fall ausführlich beschrieben: Als HuggingFace einen realen Vorfall untersuchte, verweigerte das kommerzielle Frontier-Modell die Mitarbeit; die Analyse wurde erst mit einem offenen Modell auf eigener Infrastruktur möglich. PrivatAI setzt offene Modelle ein – dieselbe Klasse von Werkzeug, ohne den Serverschrank.

Der praktische Punkt: Ein Werkzeug, das Sie im Ernstfall nicht verwenden dürfen und das im Ernstfall die Antwort verweigert, ist kein Werkzeug. Beides muss vorher geklärt sein, nicht um 3 Uhr nachts.

Wofür Sie KI konkret einsetzen können

1. Angebote und Ausschreibungen: Antworten auf Leistungsverzeichnisse strukturieren, Angebotstexte aus Stichpunkten, Nachfragen an Auftraggeber formulieren.
2. Technische Dokumentation: Fertigungs- und Prüfanweisungen, Änderungsmitteilungen, Abweichungsberichte, Handbuchkapitel – aus Notizen zu vollständigen Entwürfen.
3. Qualitäts- und Auditarbeit: QM-Dokumente, Auditvorbereitung, Maßnahmenpläne, Lieferantenbewertungen.
4. Cyber-Abwehr und IT-Sicherheit: Log-Auswertung, Incident-Berichte, Pentest-Dokumentation, Härtungsrichtlinien – ausführlich auf der Seite IT-Sicherheit.
5. NIS2- und Lieferketten-Compliance: Richtlinien, Nachweisdokumentation, Fragebögen an Unterlieferanten, interne Schulungsunterlagen.
6. Übersetzungen für internationale Programme – ohne dass technische Unterlagen das Haus oder die EU verlassen.

Nicht dazu gehört: eingestufte Inhalte jeder Stufe. Diese Grenze ist organisatorisch zu ziehen – über eine kurze, verbindliche Nutzungsrichtlinie, die benennt, was in das Werkzeug darf und was nicht.

Wie PrivatAI die Anforderungen erfüllt

PrivatAI speichert nichts: Eingaben und Antworten werden verarbeitet und verworfen – nicht protokolliert, nie für Training verwendet. Einzige Ausnahme: Bei Systemfehlern oder erkanntem Missbrauch kann das Inferenz-Rechenzentrum eine einzelne Anfrage vorübergehend sichern, um die Ursache zu analysieren; das ist vertraglich begrenzt und im AVV (§ 4 Nr. 2) offengelegt. Einen dauerhaften Datenbestand, der bei einem Vorfall oder einer Anfrage betroffen sein könnte, gibt es nicht. Anbieter und Verarbeitung sind europäisch: die Anwendung in Deutschland (Hetzner), die KI-Verarbeitung in Frankreich (Scaleway) – kein US-Mutterkonzern, kein CLOUD-Act-Zugriff. Vertraglich abgesichert über den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit dokumentierten technischen und organisatorischen Maßnahmen; die vollständige Unterauftragsverarbeiter-Kette ist öffentlich einsehbar und damit für Ihre Lieferkettenbewertung prüfbar.

Für Anforderungen an den Verarbeitungsort richten wir im Rahmen eines Enterprise-Vertrags KI-Inferenz in Deutschland ein; der Anbieter wird dort verbindlich benannt, und bis zum Vertragsschluss besteht diese Zusage nicht. Auch dieses ist keine Zulassung für Verschlusssachen – es verlagert den Verarbeitungsort, nicht die Einstufung.

Wenn Sie IT-Dienstleister sind und solche Lösungen für Ihre Kunden bauen, ist die Partnerseite der passendere Einstieg.

PrivatAI (privatai.com) — KI-Chat & API aus Deutschland. Keine Inhalts-Logs*, kein Training mit Ihren Daten, DSGVO-konform.

PrivatAI im Vergleich

Alle Angaben zum Regelbetrieb. Die eine, eng begrenzte Ausnahme — die vorübergehende Sicherung einzelner Anfragen bei Systemfehlern oder erkanntem Missbrauch — ist im AVV (§ 4 Nr. 2) vollständig offengelegt.