Wenn ihr als Unternehmen ein KI-Tool auswählt, stoßt ihr früher oder später auf die Unterscheidung zwischen Open Source und Closed Source KI. Sie beschreibt, wer Einblick in ein KI-Modell hat, wer es kontrolliert und wo eure Daten am Ende landen. Für KMU ist das keine akademische Frage, sondern beeinflusst direkt, wie viel Kontrolle ihr über Kosten, Datenschutz und Abhängigkeit vom Anbieter behaltet – und wie viel Verwaltungsaufwand am Ende bei euch selbst hängen bleibt.
Kurze Antwort
Open-Source-KI stellt die Modellgewichte (und teilweise weitere Bestandteile) frei zugänglich zur Verfügung, sodass ihr das Modell einsehen, verändern und selbst betreiben könnt – Beispiele sind Llama oder Mistral. Closed-Source-KI dagegen läuft als geschlossenes System beim Anbieter; ihr nutzt sie nur über eine Schnittstelle (API) oder Oberfläche, ohne Einblick in die internen Abläufe – Beispiele sind ChatGPT, Claude oder Gemini. Der Unterschied betrifft also vor allem drei Dinge: Transparenz über das Modell selbst, Kontrolle über Infrastruktur und Datenverarbeitung, und die Frage, wer am Ende für Betrieb, Wartung und Sicherheit verantwortlich ist – der Anbieter oder ihr selbst.
Definition
Bei Open-Source-KI veröffentlicht der Anbieter die trainierten Modellgewichte unter einer offenen Lizenz, sodass Dritte das Modell herunterladen, anpassen und auf eigener Infrastruktur betreiben dürfen. In der Praxis bedeutet „Open Source KI” meist genauer „Open Weights”: Ihr bekommt Zugriff auf das fertige Modell, die genauen Trainingsdaten bleiben aber oft ein Geschäftsgeheimnis des Anbieters. Wie offen ein Modell wirklich ist, hängt zudem stark von der Lizenz ab. Nur Lizenzen wie Apache 2.0 oder MIT gelten nach den Kriterien der Open Source Initiative (OSI) als echt frei – restriktivere Lizenzen (etwa bei manchen Llama-Versionen) können Nutzung, Weiterverbreitung oder kommerzielle Anwendung dagegen einschränken. Vor dem Einsatz lohnt sich deshalb ein Blick in die konkrete Lizenz, nicht nur in die Bezeichnung „Open Source”. Für euch als Unternehmen ist relevant: Ein offen lizenziertes Modell erlaubt es euch grundsätzlich, es selbst zu betreiben, anzupassen und in eigene Systeme einzubetten, ohne bei jedem Aufruf Daten an einen externen Anbieter zu senden.
Closed-Source-KI hingegen bleibt vollständig unter Kontrolle des Anbieters: Weder Modellgewichte noch Trainingsdaten noch der Quellcode werden veröffentlicht, ihr erhaltet lediglich Zugriff über eine API oder ein Webinterface. Der Anbieter kann dafür Sicherheits- und Nutzungsrichtlinien zentral durchsetzen und Updates automatisch ausrollen, während bei Open-Source-Modellen die Verantwortung für sicheren Betrieb, Patches und Modellpflege bei euch beziehungsweise eurem Hosting-Dienstleister liegt. Ihr seid bei Closed-Source-Diensten dafür technisch und vertraglich an den jeweiligen Anbieter gebunden.
Beispiel
Stellt euch einen Steuerberatungsbetrieb vor, der ein KI-Tool zur Zusammenfassung von Mandantendokumenten einsetzen will. Entscheidet er sich für eine Closed-Source-Lösung wie ChatGPT oder Claude über die Standard-API, schickt er die Dokumente an die Server des jeweiligen Anbieters – schnell eingerichtet, aber mit laufenden Nutzungskosten und wenig Kontrolle darüber, wo genau die Verarbeitung stattfindet. Entscheidet er sich stattdessen für ein Open-Source-Modell wie Llama, kann er dieses auf eigener Infrastruktur oder im Rahmen von EU-Hosting bei einem Anbieter mit Sitz in Deutschland betreiben, zum Beispiel bei Open Telekom Cloud (DSGVO-Score 7,0 von 10 in unserer Tool-Datenbank). Die konkreten Kosten dafür solltet ihr direkt beim Anbieter prüfen, da sie sich je nach Rechenleistung und Vertragsmodell stark unterscheiden. Der Aufwand für Einrichtung und Wartung ist beim Selbst-Hosting höher, dafür bleibt die Datenhoheit vollständig im eigenen Haus – vorausgesetzt, im Betrieb ist auch tatsächlich jemand für Updates und Sicherheitspatches zuständig. Beide Wege sind legitim – welcher passt, hängt von Datenmenge, Sensibilität der Dokumente und vorhandenem technischen Know-how im Betrieb ab.
Betriebskosten und Verwaltungsaufwand
Der Preisvergleich zwischen Open Source und Closed Source KI greift zu kurz, wenn er nur die Lizenz- oder API-Kosten betrachtet. Bei Closed-Source-Diensten zahlt ihr meist einen laufenden Abo- oder Nutzungspreis, dafür übernimmt der Anbieter Hosting, Skalierung, Sicherheitsupdates und Modellpflege komplett. Schaut man in unsere Tool-Datenbank, unterscheiden sich gängige Closed-Source-Anbieter deutlich bei der Datenschutz-Einordnung: Gemini erreicht dort einen DSGVO-Score von 6,5 von 10, Claude (Anthropic) 6,0 von 10, mistral ai 7,0 von 10 und ChatGPT Plus 5,0 von 10. Bei allen vieren gibt es einen kostenlosen Einstiegsplan – die konkreten Preise der kostenpflichtigen Tarife solltet ihr aber direkt beim jeweiligen Anbieter prüfen, da sie sich ändern können. Wichtig: „mistral ai” bezeichnet hier den gehosteten Dienst des Unternehmens hinter den offenen Mistral-Modellen – nicht zu verwechseln mit dem Selbst-Hosting eines offenen Mistral-Modells auf eigener Infrastruktur.
Bei Open-Source-KI verschiebt sich der Kostenblock: Statt eines Abopreises entstehen Ausgaben für Rechenleistung, Speicher und – falls ihr nicht auf eigener Hardware arbeitet – für einen Hosting-Anbieter. Hinzu kommt Personalaufwand: Jemand muss die Infrastruktur betreiben, Sicherheitsupdates einspielen, das Modell bei Bedarf aktualisieren und bei Ausfällen reagieren. Häufig unterschätzt werden dabei versteckte Kosten wie Monitoring, Backup-Strategien oder die Einarbeitungszeit des Teams – Faktoren, die bei einem reinen Preisvergleich pro Anfrage leicht übersehen werden. Für kleinere Betriebe ohne eigene IT-Abteilung bedeutet das oft, diese Aufgaben an einen externen Hosting-Dienstleister auszulagern, was wiederum eigene Vertragsbedingungen und Kosten mit sich bringt. Wer nur gelegentlich KI-Funktionen braucht, fährt mit einer Closed-Source-API meist günstiger und mit weniger Verwaltungsaufwand. Wer dagegen dauerhaft große Mengen verarbeitet oder aus Datenschutzgründen volle Kontrolle über die Infrastruktur braucht, für den kann sich der höhere Verwaltungsaufwand von Open-Source-KI langfristig auszahlen.
Wann passt welches Modell besser?
Eine pauschale Empfehlung gibt es nicht, aber ein paar Anhaltspunkte helfen bei der Einordnung. Closed-Source-KI eignet sich meist, wenn ihr schnell starten wollt, keine eigene IT-Infrastruktur für den Betrieb aufbauen möchtet und mit überschaubarem, planbarem Nutzungsvolumen arbeitet – etwa für Textentwürfe, Recherche oder Zusammenfassungen im Tagesgeschäft. Open-Source-KI lohnt sich eher, wenn ihr sehr sensible Daten verarbeitet, die Infrastruktur ohnehin selbst oder über einen europäischen Hosting-Partner betreiben wollt, langfristig hohe Nutzungsvolumen erwartet oder das Modell für einen speziellen Zweck anpassen (fine-tunen) möchtet. In der Praxis setzen viele KMU beides parallel ein: Closed-Source-Tools für alltägliche, weniger sensible Aufgaben, und selbst gehostete Open-Source-Modelle für Anwendungsfälle mit besonders hohen Anforderungen an Datenschutz oder Kontrolle.
DSGVO-Relevanz
Weder Open Source noch Closed Source erfüllt automatisch alle Anforderungen der DSGVO – entscheidend ist, wie und wo ihr die personenbezogenen Daten tatsächlich verarbeitet. Bei einer selbst gehosteten Open-Source-KI auf eigener oder europäischer Infrastruktur bleiben die Daten im eigenen Kontrollbereich, was den Nachweis der Rechtmäßigkeit gegenüber Aufsichtsbehörden oft erleichtert, weil ihr Architektur und Datenflüsse selbst kennt. Sobald ihr aber Daten an einen Hosting-Dienstleister oder API-Anbieter übergebt – egal ob Open- oder Closed-Source-Modell –, dürfen personenbezogene Daten grundsätzlich nur verarbeitet werden, wenn die datenschutzrechtlichen Voraussetzungen erfüllt sind. Dazu gehört, sofern eine Auftragsverarbeitung vorliegt, insbesondere ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit dem jeweiligen Anbieter. Läuft der Anbieter außerhalb der EU, kommt zusätzlich die Frage nach einer geeigneten Garantie für den Drittlandtransfer hinzu, etwa über Standardvertragsklauseln. Ob ein bestimmtes Tool diese Voraussetzungen erfüllt, solltet ihr immer direkt beim jeweiligen Anbieter beziehungsweise anhand seiner aktuellen Vertragsunterlagen prüfen – pauschale Aussagen wie „Open Source ist automatisch sicherer” wären hier zu ungenau.
Verwandte Begriffe
Wer sich mit Open-Source- und Closed-Source-KI beschäftigt, stößt schnell auf angrenzende Begriffe: Was ein LLM genau ist, wie Selbst-Hosting von KI-Modellen im Detail funktioniert, was EU-Hosting für die Datenverarbeitung bedeutet und wann ein AVV zwingend erforderlich ist. Diese Begriffe erklären wir jeweils in eigenen Lexikon-Einträgen.
Häufige Fragen
Ist selbst gehostete Open-Source-KI automatisch datenschutzkonform?
Nein. Auch beim Selbst-Hosting kommt es darauf an, wie ihr das Modell konkret betreibt: wo die Server stehen, wer Zugriff hat und ob technische und organisatorische Maßnahmen den Anforderungen der DSGVO entsprechen. Open Source verschafft euch nur die technische Möglichkeit, das selbst zu kontrollieren – automatisch datenschutzkonform ist dadurch noch nichts.
Was ist der Unterschied zwischen Open Weights und echtem Open Source?
Bei Open Weights bekommt ihr Zugriff auf das fertig trainierte Modell, die Trainingsdaten und oft Teile des Trainingsprozesses bleiben aber geheim. Echtes Open Source im engeren Sinn würde auch diese Bestandteile offenlegen, was bei KI-Modellen aktuell die Ausnahme ist.
Brauche ich bei Closed-Source-KI-Tools wie ChatGPT einen AVV?
Wenn personenbezogene Daten verarbeitet werden und eine Auftragsverarbeitung vorliegt, ist in der Regel ein Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO mit dem Anbieter nötig. Prüft die genauen Bedingungen direkt beim jeweiligen Anbieter.
Ist Open-Source-KI für kleine Unternehmen günstiger als Closed-Source-KI?
Das hängt vom Einsatzumfang und vom Verwaltungsaufwand ab. Bei wenigen Nutzern ist eine Closed-Source-API oft günstiger, schneller startklar und ohne eigenen Betriebsaufwand, bei größerem Nutzungsvolumen kann sich selbst gehostete Open-Source-KI trotz höherem Wartungsaufwand langfristig lohnen. Die konkreten Kosten solltet ihr immer beim jeweiligen Anbieter beziehungsweise Hosting-Dienstleister prüfen.