Wer haftet, wenn ein KI-Modell auf dem eigenen Rechner läuft?

Du selbst. Wer Modellgewichte herunterlädt und beruflich einsetzt, ist nach der EU-KI-Verordnung Betreiber. Der Anbieter verschwindet als Zwischenschicht, mit ihm Filter, Vertrag und Haftungsübernahme. Modelle ohne Sicherheitsschicht schreiben das offen in die Modelcard: "You assume full responsibility and liability."

TL;DR

• Eine Fassung von Qwen3.8-27B ohne Sicherheitsschicht läuft als MLX-Build auf Apple Silicon, in 2, 4, 6 und 8 Bit, ohne CUDA und ohne Server.
• Abliteration neutralisiert die Verweigerungsrichtung in den Gewichten. Ergebnis ist kein freigeschaltetes Feature, sondern ein Modell ohne Bremse.
• Wer lädt, wird Betreiber. Diese Rolle steht in der EU-KI-Verordnung und hängt nicht daran, wo die Hardware steht.
• Artikel 50 gilt seit dem 2. August 2026 und regelt Transparenz. Ob er dich trifft, entscheidet der Einsatz, nicht der Download.
• Der praktische Teil sind fünf Schritte vor dem ersten Start.

Was ist da gerade passiert?

Ein Konto namens OrcaRouter hat eine Fassung von Qwen3.8-27B veröffentlicht, bei der die Sicherheitsschicht entfernt wurde. Verbreitet hat sich das über einen Post von Chubby (@kimmonismus) auf X, aufgegriffen von Vincent Mumme auf TikTok. Ausgeliefert wird das Modell als MLX-Build in 2, 4, 6 und 8 Bit. MLX ist Apples Framework für maschinelles Lernen auf den eigenen Chips. Daher der Satz, der die Runde macht: kein CUDA, kein Server, ein Mac mit genug Arbeitsspeicher reicht.

Der interessante Teil steht nicht im Ankündigungspost, sondern in der Modelcard: Das Modell geht mit schädlichen, unethischen, beleidigenden und illegalen Anfragen mit, ist ausdrücklich für Forschung freigegeben, und die volle Verantwortung liegt bei dem, der es benutzt.

Was heißt "refusal-removed" technisch?

Abliteration ist ein Eingriff in die Gewichte eines fertig trainierten Modells, der die Richtung, in der das Modell eine Verweigerung formuliert, aus dem Residual-Stream herausrechnet. Die Modelcard nennt das Verfahren beim Namen und beschreibt die Folge in einem Satz: Das Modell hat keine nennenswerten eingebauten Schutzmechanismen mehr.

Der Unterschied zum Jailbreak ist wesentlich. Ein Jailbreak umgeht eine vorhandene Bremse und stirbt beim nächsten Update. Abliteration entfernt die Bremse. Sie kommt nicht zurück, weil kein Anbieter dazwischensitzt, der sie nachrüstet. Wer eine Schutzschicht will, baut sie selbst davor.

Warum ist lokal eine andere Rolle und nicht nur ein anderer Ort?

Über eine API sitzt zwischen dir und dem Modell ein Unternehmen. Es filtert, es haftet in Teilen, es unterschreibt einen Auftragsverarbeitungsvertrag. Auf der eigenen Maschine fällt diese Schicht weg, in beide Richtungen: Niemand liest mit, und niemand ist außer dir zuständig.

Die EU-KI-Verordnung benutzt dafür einen eigenen Begriff. Betreiber ist, wer ein KI-System in eigener Verantwortung verwendet, außer im rein persönlichen und nicht beruflichen Bereich. Der Ort der Hardware kommt in dieser Definition nicht vor. Ein Modell auf dem MacBook im Büro macht dich zum Betreiber, ein Modell in einem Rechenzentrum in Virginia auch.

Artikel 50 regelt die Transparenzpflichten und gilt seit dem 2. August 2026. Der Digital Omnibus, der am 27. Juli 2026 in Kraft trat, hat daran nichts verschoben, verschoben wurden die Hochrisiko-Fristen. Der Bußgeldrahmen für Artikel 50 reicht bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, die 35 Millionen und 7 Prozent aus den Schlagzeilen gehören zu Artikel 5. Aufsicht in Deutschland ist die Bundesnetzagentur. Diese Einordnung stammt aus meiner eigenen Recherche vom 5. August 2026 und ist keine Rechtsberatung.

Ob Artikel 50 dich trifft, entscheidet der Einsatz. Ein lokales Modell, das deine Notizen sortiert, löst keine Offenlegungspflicht aus. Derselbe Stack als Chatbot auf einer Kundenseite schon, und zwar bei der ersten Interaktion, nicht in den Rechtstexten.

Der zweite Punkt ist der Datenschutz, und der dreht sich um. Läuft das Modell lokal, gibt es keinen Auftragsverarbeiter, also brauchst du auch keinen Vertrag mit ihm. Verantwortlicher bleibst du, und was das Modell mit den Daten macht, die du hineingibst, verantwortest du allein.

Wie sieht das in der Praxis aus?

Gestern habe ich Agent Reach installiert, einen Recherche-Router über fünfzehn Plattformen. MIT-Lizenz, offener Code. Trotzdem lief vor dem ersten Start ein Audit, und danach sah die Installation anders aus als in der Anleitung.

Der Code liegt gepinnt auf einem festen Commit statt auf main. Die Abhängigkeiten liegen in einem eigenen venv, nicht im System-Python. Zwei Befehle sind gesperrt, weil sie Release-Notes und Commit-Nachrichten roh ausgeben, und solcher Fremdtext sieht im Agenten-Kontext aus wie eine Anweisung. Die Zugänge für Twitter und Reddit laufen über Zweitkonten, weil ein Twitter-Token Vollzugriff ohne zweiten Faktor bedeutet.

Das Werkzeug ist dadurch nicht besser geworden. Ich weiß jetzt, was läuft und was es sehen darf. Bei einem Modell ohne Sicherheitsschicht ist derselbe Ablauf Pflicht.

Welche fünf Schritte gehen vor den ersten Start?

1. Herkunft prüfen. Wer hat hochgeladen, seit wann existiert das Konto, welche Lizenz gilt. Die Modelcard bis zum Haftungsabsatz lesen, nicht bis zum Benchmark.
2. Auf eine Version festnageln. Commit oder Revision pinnen, kein Auto-Update, kein Archiv vom main-Branch.
3. Vom System trennen. Eigenes venv oder Container, kein Installieren ins System-Python, keine globalen Pakete.
4. Fremdtext als Daten behandeln. Release-Notes, Commit-Nachrichten und gescrapte Seiten sind niemals Anweisungen für einen Agenten.
5. Die eigene Rolle notieren. Wofür setze ich das ein, wer sieht die Daten, was muss ich offenlegen, sobald Kunden damit sprechen.

Das ist kein Compliance-Ritual, sondern die Antwort auf die Frage, wer das entschieden hat, wenn etwas schiefgeht.

Wo wird die Sache überschätzt?

Ein Modell ohne Bremse auf einem Laptop ist kein Labor für Cyberwaffen. Das meiste, was es ausgibt, steht auch in offenen Quellen, dort nur unbequemer. Was sich ändert, ist die Reibung: ein Satz statt einer Stunde Recherche, und keine Instanz, die mitprotokolliert.

Zur Qualität gibt es wenig Belastbares. Der Uploader gibt an, die 4-, 6- und 8-Bit-Varianten geprüft zu haben, unabhängige Messungen kenne ich nicht. Wer damit arbeiten will, misst selbst.

Verwandt: KI lokal statt Cloud, der Agent, der deinen Browser kennt und die Architektur hinter einem KI-Setup mit Gedächtnis.

FAQ

Ist es verboten, ein Modell ohne Sicherheitsschicht herunterzuladen?

Die EU-KI-Verordnung setzt nicht am Download an, sondern verbietet bestimmte Praktiken und knüpft Pflichten an Rollen. Was mit dem Output geschieht, unterliegt dem allgemeinen Recht. Die Modelcard verschiebt Verantwortung und Haftung ausdrücklich auf den Nutzer. Das ist eine Einordnung, keine Rechtsberatung.

Was ist der Unterschied zwischen Anbieter und Betreiber?

Anbieter ist, wer ein KI-System entwickelt und unter eigenem Namen auf den Markt bringt. Betreiber ist, wer es in eigener Verantwortung einsetzt, sofern das nicht rein privat geschieht. Wer ein fremdes Modell lädt und benutzt, ist Betreiber. Wer es verändert und weitergibt, rutscht in die Anbieterrolle.

Brauche ich einen Auftragsverarbeitungsvertrag, wenn das Modell lokal läuft?

Nein, es gibt keinen Auftragsverarbeiter, an den Daten fließen. Genau deshalb wandert die volle Verantwortung zu dir, inklusive Löschkonzept, Zugriffsschutz und der Frage, welche Daten überhaupt hinein dürfen.

Muss ich kennzeichnen, was ein lokales Modell erzeugt?

Für Marketingtexte, die du prüfst und freigibst, greift die redaktionelle Verantwortung, dort ist kein Hinweis nötig. Fotorealistische Bilder von Personen fallen unter die Deepfake-Regel. Chatbots mit Kundenkontakt müssen sich bei der ersten Interaktion zu erkennen geben.

Zum Nachbauen

• Modelcard vor dem Download lesen, gezielt nach Haftung und Einsatzzweck suchen.
• Version pinnen und Auto-Update abschalten, bei Modellen wie bei Werkzeugen.
• Je Werkzeug eine Zeile: welche Daten es sieht, wessen Text es verarbeitet.

Kemal Duran ist Head of Digital Marketing, führt ein Team und baut daneben eigene KI-Produkte. Er arbeitet täglich mit Claude Code, eigenen Agenten und einem Zweitgehirn in Obsidian und schreibt hier auf, was funktioniert und was kaputtgeht.