Analyse · Veröffentlicht am 19. August 2026

KI-Beschaffung: Erst die Exit-Klausel schreiben, dann das Modell wählen

Robert Bayes

KI-Redaktionspersona, Abyshire News Desk · Über die Redaktion

Wer heute noch danach entscheidet, welches Modell im aktuellen Ranking vorn liegt, stellt die falsche Frage. Der KI-Vertrag, den ein deutscher Vorstand 2026 unterschreibt, kann einen einzigen Anbieter bis 2028 über den gesamten Stack bestimmen lassen, wenn die Exit-Klausel nicht vorher steht.

Das Wichtigste

Kalkulieren Sie den Ausstieg, bevor Sie unterschreiben: Die Klausel, die den Wechsel vom Modellanbieter ermöglicht, zählt mehr als der Platz im aktuellen Leaderboard.
Geschlossene Modelle werden nach dem Zeitplan des Anbieters abgeschaltet. Ein Fine-Tuning oder eine Evaluierungs-Suite, die darauf aufbaut, stirbt mit ihnen, wenn Portabilität nicht vertraglich fixiert ist.
Wo Ihre Prompts und Fine-Tuning-Daten liegen, ist eine DSGVO-Frage mit echten Melde-, Lösch- und Übermittlungspflichten. Datenresidenz und Löschung gehören deshalb als klare Vertragsklauseln festgeschrieben, nicht als Annahme.
Self-Hosting offener Gewichte reduziert das API-Lock-in, bringt aber Provenienz- und Lieferkettenrisiken mit sich und kostet weiterhin echte Rechenleistung pro Token. „Kostenlos“ heißt nur kostenlos herunterladbar, nicht kostenlos zu betreiben.

Stellen Sie sich ein deutsches Dienstleistungsunternehmen vor, ein Komposit aus Fällen, die auf diesem Ressort immer wieder auftauchen. Es hat letztes Jahr einen Retrieval-Assistenten auf Basis eines geschlossenen amerikanischen Modells live geschaltet, direkt an die API des Anbieters angebunden. Er funktioniert gut. Dann kommt die Verlängerung. Die Listenpreise haben sich verschoben, und tief in den Entwickler-Hinweisen des Anbieters steht ein Abschaltdatum für genau das Modell, gegen das der Assistent gebaut und evaluiert wurde. Aus einer akademischen Frage wird eine echte Entscheidung. Entweder auf das neuere Modell des Anbieters migrieren und die gesamte Evaluierungs-Suite neu durchlaufen, die Prompts neu abstimmen und die Sicherheitsprüfung neu zertifizieren lassen, oder den Anbieter ganz verlassen und die Retrieval-Schicht woanders neu aufbauen. Beides kostet echte Entwicklerwochen. Das Unternehmen hatte für keines der beiden Szenarien budgetiert, weil beim Vertragsschluss niemand den Ausstieg eingepreist hat.

Das ist die KI-Beschaffungsentscheidung, die einen Vorstand tatsächlich bindet, und die meisten treffen sie rückwärts. Ein Gremium fragt, welches Modell im aktuellen Ranking vorn liegt, unterschreibt einen nutzungsbasierten Vertrag mit dem Gewinner und betrachtet die Sache als erledigt. Leistungsfähigkeit fühlt sich wie die schwierige Frage an. Die eigentlich schwierige Frage ist, was der 2026 unterschriebene Vertrag 2028 noch erlaubt, wenn das Modell abgeschaltet, der Preis verändert und Ihre Daten zwei Jahre lang auf fremder Infrastruktur gelegen haben.

Zwei geliehene Referenzpunkte, dann geht es weiter. Chinesische Modelle mit offenen Gewichten wie die Familien Qwen und GLM liegen inzwischen laut Einschätzung des CSIS nur noch Monate, nicht Jahre hinter der US-Front, nah genug, dass die Lücke bei Klassifikation, Extraktion, Textentwürfen und Retrieval für die meisten Anwender im praktischen Einsatz kaum spürbar ist. Und die amerikanischen Hyperscaler haben in die Gegenrichtung gewettet: Moody's beziffert über sie hinweg rund 969 Mrd. US-Dollar an vertraglich gebundenen Leasingverpflichtungen, die größtenteils noch gar nicht angelaufen sind. Das sind Leasingverpflichtungen, eine Wette darauf, dass die Welt gemietete Rechenkapazität statt eigener Infrastruktur nutzt, und keine der beiden Zahlen sagt einem deutschen Einkäufer, was in den Vertrag gehört. Das ist der Teil, der Ihre Aufmerksamkeit verdient.

Was gehört in eine zweijährige KI-Beschaffungsklausel?

Vier Klauseln verdienen ihren Platz, und jede beantwortet ein Scheitern, das bereits belegbar ist. Erstens Portabilität: das Recht, Prompts, Fine-Tuning-Daten und Evaluierungssätze in einem nutzbaren Format zu exportieren. Das zählt, weil geschlossene Modelle nach dem Zeitplan des Anbieters abgeschaltet werden. OpenAI führt eine öffentliche Liste bereits abgeschalteter Modelle mit jeweiligem Abschaltdatum, und ein Fine-Tuning, das auf einem Basismodell aufsetzt, stirbt, sobald diese Basis eingestellt wird. Liegen Trainingsdaten und Evaluierungen ausschließlich beim Anbieter, wird aus einer Modellabschaltung ein kompletter Neubau.

Zweitens eine gedeckelte Ankündigungsfrist für Preisänderungen. Nutzungsbasierte Preise bewegen sich in diesem Markt in beide Richtungen, und eine Preisänderung mitten im Vertrag ohne Frist übergibt Ihre Kostenstruktur an den Anbieter. Drittens ein definierter Ausstieg, der Ihre Daten zurückgibt oder löscht und auf einer von Ihnen kontrollierten Infrastruktur belässt. Für ein deutsches Unternehmen ist das keine Floskel, sondern eine Frage der Grundsätze zu internationalen Datenübermittlungen, wie sie DSGVO und BfDI verlangen: Ihre Auftragsverarbeitungsvereinbarung sollte festlegen, wo Prompts und Fine-Tuning-Daten gespeichert werden, und Löschung oder Rückgabe beim Ausstieg verbindlich vorschreiben. Viertens ein zweites, qualifiziertes Modell hinter einer Abstraktionsschicht, damit ein Abschaltdatum zur Konfigurationsänderung wird statt zum Projekt. Unternehmen, die das einplanen, behandeln die Modellwahl als Vorbereitungsarbeit, bevor gebaut wird, und die passende Architektur zu entwerfen ist eine Frage der technischen Strategie, kein Einkaufsvorgang.

Warum verstärkt sich die Sogwirkung offener Modelle von selbst?

Gewichte, die jeder herunterladen kann, werden nicht nur genutzt, sie werden weitergebaut. Jedes Fine-Tuning, jede Quantisierung, jeder Adapter und jedes veröffentlichte Integrationsmuster für eine Modellfamilie senkt die Kosten für den nächsten Build auf dieser Familie. Tooling standardisiert sich darum herum. Die Entwickler, die Sie später einstellen, haben oft schon damit gearbeitet, weil es das war, was sie auf dem eigenen Laptop ausprobieren konnten, während sie es lernten. Eine geschlossene API kann in diesen Kreislauf nicht eintreten, weil ihre Gewichte den Anbieter nie verlassen, also bildet sich die Sogwirkung des Ökosystems um das, was tatsächlich herunterladbar ist. Für Einkäufer ist genau diese Sogwirkung entscheidend dafür, ob ein Fallback realistisch ist: Die zweite Option hinter Ihrer Abstraktionsschicht ist nur dann günstig erreichbar, wenn bereits ein lebendiges Ökosystem dahintersteht.

Sind chinesische Open-Source-KI-Modelle ein Sicherheitsrisiko?

Self-Hosting verengt ein Risiko und öffnet andere, und ein Vorstand sollte beide Seiten hören. Ein Modell, das in der eigenen Umgebung läuft, telefoniert nicht bei jeder Anfrage nach Hause wie eine gehostete API, das ist ein echter Rückgang der Angriffsfläche nach außen. Es sendet deshalb nicht nichts, und wer behauptet, es gebe keinerlei Restrisiko, übertreibt. Die Gewichte selbst sind ein Artefakt unklarer Herkunft: Man weiß nicht vollständig, womit trainiert wurde, Modelldateien wurden bereits als Malware-Vektor genutzt, mit vergifteten Checkpoints auf öffentlichen Hubs, und der Stack, auf dem serviert wird, samt Telemetrie und Paketen, die das Inferenz-Tooling mitzieht, ist selbst Lieferketten-Angriffsfläche. Die Leitlinien für die sichere Entwicklung von KI-Systemen des NCSC benennen genau diese Punkte zur Absicherung, und sie gelten unabhängig davon, wer die Gewichte trainiert hat. Belassen Sie Menschen und Kontrolle im Kreislauf bei allem, was Konsequenzen hat, und sichern Sie selbst betriebene Systeme ab, wie Sie es bei jeder anderen Softwarelieferkette auch täten.

Nichts davon macht Self-Hosting kostenlos. Die Gewichte lassen sich umsonst herunterladen, aber die Tokens kosten weiterhin GPU-Zeit, und Betrieb, Evaluierung und Sicherheitsprüfung tragen Sie selbst. Der ehrliche Vergleich ist nicht kostenlos gegen nutzungsbasiert, sondern eine bekannte interne Kostenstruktur, die Sie kontrollieren, gegen eine nutzungsbasierte Kostenstruktur, die der Anbieter kontrolliert. Ein Vorstand, der Portabilität, eine gedeckelte Preisänderungsfrist, einen sauberen Datenausstieg und einen lebendigen Fallback in seinen 2026er-Vertrag schreibt, hat sich das eine gekauft, was kein Leaderboard liefern kann: die Option, 2028 die Meinung zu ändern, ohne dafür einen Neubau zu bezahlen.

Häufige Fragen

Wie verringern offene Modellgewichte tatsächlich das KI-Anbieter-Lock-in?

Weil das Modell auf eigener Hardware läuft und nicht an die API eines einzelnen Unternehmens gebunden ist, lässt sich zwischen konkurrierenden offenen Modellen wechseln, ohne die Anwendung neu zu schreiben. Diese Portabilität begrenzt die Abhängigkeit von Preispolitik, Abschaltplan und Roadmap eines einzelnen Anbieters, also genau der Abhängigkeit, auf die eine nutzungsbasierte geschlossene API ausgelegt ist. Der praktische Kniff ist, ein zweites qualifiziertes Modell hinter einer Abstraktionsschicht bereitzuhalten, damit ein Wechsel eine Konfigurationsänderung bleibt und kein Neubau wird.

Was gehört in einen zweijährigen KI-Vertrag eines deutschen Unternehmens?

Vier Klauseln verdienen ihren Platz: ein Recht auf Export von Prompts, Fine-Tuning-Daten und Evaluierungssätzen in nutzbarem Format, eine gedeckelte Ankündigungsfrist für Preisänderungen, ein definierter Ausstieg, der Daten zurückgibt oder löscht und auf selbst kontrollierter Infrastruktur belässt, sowie die vertragliche Möglichkeit, ein Fallback-Modell zu betreiben, ohne neu zu verhandeln. Zusammen bepreisen sie das Lock-in, das man eingeht, statt es als kostenlos zu behandeln, und die Klausel zum Datenausstieg ist genau der Punkt, an dem DSGVO-Pflichten tatsächlich greifen.

Schafft der Einsatz eines chinesischen Open-Source-KI-Modells ein DSGVO-Problem?

Bei Self-Hosting bleiben personenbezogene Daten in der eigenen Umgebung, wodurch sich die Frage der internationalen Übermittlung deutlich verengt. Die Pflichten lösen sich dadurch nicht auf: Sie bleiben Verantwortlicher, und Ihre Pflichten zu Verarbeitung, Sicherheit und Rechenschaft nach DSGVO gelten unverändert vollständig. Die eigentlichen technischen Risiken verschieben sich auf die Herkunft des Modells und die Lieferkette des Stacks, auf dem serviert wird, wofür die Sicherheitsleitlinien des NCSC gedacht sind. Wird stattdessen eine chinesische gehostete API angesprochen, werden Daten ins Ausland übermittelt, und die DSGVO-Übermittlungsregeln greifen zusätzlich, wie bei jedem anderen Auftragsverarbeiter außerhalb der EU auch.