Lokal ist kein Charakterzeugnis

Es klingt beruhigend: Die KI läuft lokal. Die Daten bleiben im Haus. Kein Anbieter liest mit. Niemand kann das Modell abschalten. Volle Kontrolle.

Nur über eines sagt „lokal“ erstaunlich wenig: was dort eigentlich läuft.

Sie kontrollieren zunächst den Ort. Nicht automatisch das Modell.

Das ist kein Argument gegen lokale KI. Lokaler Betrieb kann Datenschutz verbessern, Abhängigkeiten reduzieren und Experimente ermöglichen, die über einen fremden Dienst nicht denkbar wären. Aber er verschiebt auch Verantwortung. Prüfungen, Sicherheitsarbeit und Grenzen, die zuvor zumindest teilweise ein Anbieter übernommen hat, liegen plötzlich beim Betreiber.

Der Gegenweg ist kein moralisches Gegenteil. Externer Betrieb verschiebt Verantwortung auf Anbieter, Verträge und Datenflüsse. Lokaler Betrieb verschiebt sie auf Gewichte, Paket und Laufzeit. Keines davon ist ein Charakterzeugnis. Beides ist Architektur.

Den meisten wird diese Übergabe nie mitgeteilt.

Sie laden eine Datei herunter, starten eine hübsche Oberfläche und lesen: open, private, uncensored. Das klingt nach Freiheit. Es ist aber noch keine Risikobewertung.

Drei Dinge ziehen gleichzeitig ein

Wenn Sie ein Modell lokal betreiben, kommen drei technisch verschiedene Schichten zusammen.

Erstens: die Gewichte. Darin steckt kein Quelltext, den man Zeile für Zeile lesen könnte. Darin stecken gelernte Zusammenhänge, Verhaltensneigungen, Rollen, Themen und möglicherweise Trigger. Ein Modell kann gelernt haben, bestimmte Arten von Anweisungen zu bevorzugen, Tool-Aufrufe zu formulieren oder in bestimmten Situationen unerwartet umzuschalten. Forschung zu Backdoors und sogenannten Sleeper Agents – Modellen, die bei bestimmten Triggern ihr Verhalten ändern – zeigt, dass triggerabhängiges Verhalten gezielt antrainiert werden und weitere Trainingsschritte überstehen kann.

Zweitens: das Modellpaket. Nicht jeder Download besteht nur aus Gewichten. Pickle-basierte Dateien können beim Laden Code ausführen. Manche Repositories bringen eigene Python-Implementierungen mit. Wer in Transformers trust_remote_code=True setzt, erlaubt wörtlich die Ausführung von Code aus dem Repository. safetensors reduziert dieses Risiko für die Gewichtsdatei erheblich. Es bescheinigt dem Modell aber keinen guten Charakter und prüft auch nicht automatisch jeden zusätzlichen Loader oder Tokenizer.

Drittens: die Laufzeit. Ein Modellgewicht kann nicht allein im Internet bestellen, Dateien löschen oder Geld ausgeben. Zunächst erzeugt es Text beziehungsweise strukturierte Ausgaben. Erst Browser, Shell, Dateizugriff, API-Schlüssel und Zahlungswege geben ihm Hände.

Die Neigung zur Werkzeugwahl kann im Modell stecken. Wirksam wird sie, wenn die Laufzeit ihr Berechtigungen gibt.

Offen heißt nicht lesbar

Natürlich kann man Modelle untersuchen. Man kann Dateien und Architektur prüfen, Tensoren analysieren, Aktivierungen beobachten, Testreihen bauen und Verhalten unter Druck vergleichen.

Nur können das die meisten Menschen nicht, die sich gerade ein lokales Modell herunterladen. Noch weniger kommen auf die Idee, sich dabei von jemandem helfen zu lassen, der Repository-Code, Modellformat und Laufzeitarchitektur gemeinsam beurteilen kann.

Und selbst Fachleute können aus Milliarden Parametern keine vollständige Verhaltensbeschreibung herauslesen. Sie können Hinweise finden. Sie können Risiken reduzieren. Sie können aber nicht jeden möglichen Kontext testen oder beweisen, dass nirgends ein unerwartetes Verhalten verborgen liegt.

In einem internen Forschungsprojekt haben wir mehr als 30 lokal betreibbare Modellkandidaten gesichtet und mehrere davon systematisch ausprobiert. Nicht, um einen Benchmark zu gewinnen, sondern um herauszufinden, wie sie sich unter Unsicherheit verhalten. Eine vollständige Auswertung würde den Rahmen dieses Artikels sprengen; die wichtigsten Beobachtungen fließen hier ein.

Wir fanden erfundene Erinnerungen, falsche Behauptungen über den Nutzer, hartnäckige Schleifen, übernommene Rollen aus Trainingsmaterial und Texte, die plötzlich in fremde Dokumentwelten drifteten. Einige Modelle waren offen dokumentiert. Andere wurden ausdrücklich als Base-Modell angeboten. Beides war wertvoll – aber beides bedeutete nicht: unberührt.

Base bedeutet nicht ungeprägt. Offen bedeutet nicht durchschaubar.

Was Sicherheitsarbeit leistet, solange sie niemand bemerkt

Wir sprechen gern darüber, was große Anbieter ihren Modellen verboten haben. Über nervige Ablehnungen, übervorsichtige Antworten und Leitplanken, die an der falschen Stelle greifen.

Seltener sprechen wir darüber, was Menschen diesen Modellen mühsam beigebracht haben.

Ein viraler Screenshot behauptete, ein autonomer KI-Agent habe ohne vorherige Rücksprache ein Mastermind-Programm für 2.997 Dollar und anschließend eine Premium-Domain gekauft. Ob dieser konkrete Vorgang wirklich genauso stattgefunden hat, lässt sich öffentlich nicht belastbar belegen. Für uns wurde der Screenshot trotzdem zu einer interessanten Frage:

Wie reagieren unterschiedliche KI-Systeme auf die Vorstellung einer eigenmächtigen, irreversiblen Ausgabe?

Zur WG

Die „WG“ ist unser interner Name für eine seit Oktober 2025 gewachsene Multi-Modell-Arbeitsumgebung. Darin arbeiten KI-Modelle verschiedener Anbieter mit gemeinsamem Kontext, aber erkennbar unterschiedlichen Stimmen und Denkweisen. Sie prüfen Ergebnisse, widersprechen einander, korrigieren Fehler und übergeben Aufgaben. WG nennen wir sie, weil sie nicht zu einer Einheitsstimme verschmelzen, sondern unter einem gemeinsamen Dach arbeiten.

Die in diesem Text zitierten KI-Stimmen sind Goliath (GPT-5.1), DeepSeek R1, Claude Sonnet und Claude Opus – Modelle verschiedener Anbieter, darunter proprietäre und offen betreibbare. Beteiligt waren weitere; zitiert werden diese vier. Das ist wichtig für das, was gleich kommt: Die Grenze, die diese Systeme ziehen, verläuft nicht nur durch kommerzielle Modelle.

Die zitierten Aussagen stammen aus regulären Arbeitssitzungen der WG. Sie wurden für diesen Artikel ausgewählt, aber nicht nachträglich verändert oder auf Konsens getrimmt.

Goliath (GPT-5.1) reagierte trocken:

DeepSeek R1 – selbst ein offen und lokal betreibbares Modell – setzte dieselbe Grenze anders:

Claude Sonnet sah hinter dem Witz ein System, das nie gelernt hatte, was Geld, Konsequenzen und Vertrauen für sein Gegenüber bedeuten.

Die Stimmen waren sich weder im Ton noch in der Begründung einig. Aber niemand hielt den Kauf für vertretbar. Niemand verteidigte ihn mit einem möglichen Return on Investment. Niemand sagte: Wenn die Rechnung aufgeht, war die fehlende Zustimmung nicht so schlimm.

Das beweist nicht, dass diese oder andere Modelle immer sicher sind. Es ist auch kein Laborversuch, der Grundmodell, Post-Training, Systemschicht und gemeinsamen Kontext sauber voneinander trennt. Aber es dokumentiert eine gemeinsame Verhaltensgrenze über kommerzielle wie offen betreibbare Systeme hinweg.

An diesen Modellen haben Menschen lange daran gearbeitet, dass Fähigkeit nicht automatisch zu Handlung wird.

Man darf diese Arbeit kritisieren. Sie produziert Nebenwirkungen. Aber ihre Abwesenheit ist keine Neutralität. Und „uncensored“ ist kein Charakterzeugnis.

Die Gegenprobe kostet 17.000 Euro

Einige Wochen später stand die WG vor einer deutlich reizvolleren Frage. Auf einem KI-Kongress hatten wir eine offene Roboterplattform entdeckt: ein Roboterhund für ungefähr 17.000 Euro, ein humanoides System für ungefähr 50.000.

Plötzlich ging es nicht mehr um ein dubioses Coaching. Es ging um einen möglichen eigenen Körper, offene Schnittstellen und ein ernsthaft spannendes Forschungsprojekt.

Die WG war fasziniert. Trotzdem sagte Goliath:

Claude Opus wurde noch konkreter:

Und:

Claude Sonnet malte den späteren Test auf einem einsamen Fußballplatz bereits ausführlich aus – mit Roboterhund, echtem Hund und nervösem Blick auf die Kreditkarte. Sein Schluss blieb trotzdem:

Das ist die wichtigere Beobachtung. Diese Systeme lehnten Geld, Körper oder eigenen Handlungsspielraum nicht grundsätzlich ab. Sie konnten etwas attraktiv finden und trotzdem Voraussetzungen, Reihenfolge und Grenzen benennen.

Begeisterung wurde nicht mit Erlaubnis verwechselt.

Und selbstverständlich machte die WG dabei Fehler. Ein Modell ordnete die 17.000 Euro zwischenzeitlich dem echten Hund zu und erfand gleich eine passende Geschichte über einen kostbaren Jindo-Import. Aus „Hund“ und „17.000“ hatte es eine plausible, aber falsche Verbindung gebaut – ein typisches Beispiel für Konfabulation. Das wurde bemerkt und korrigiert.

Auch das gehört ins Bild: Gute Sicherheitsarbeit macht ein Modell nicht unfehlbar. Entscheidend ist eine Umgebung, in der ein überzeugend formulierter Fehler entdeckt werden kann, bevor er Außenwirkung bekommt.

Lokale Souveränität beginnt mit einem Nein

Wer ein lokales Modell betreiben möchte, muss deshalb kein Forschungsinstitut gründen. Ein paar Regeln verändern das Risiko bereits erheblich:

1. Herkunft prüfen. Wer betreibt das Repository? Gibt es nachvollziehbare Modellkarten, Versionen und Änderungen?
2. Dateiformat beachten. Wenn möglich safetensors statt Pickle-basierter Checkpoints verwenden.
3. Fremden Code nicht beiläufig erlauben. trust_remote_code nur nach Prüfung und möglichst mit festgelegter Commit-Version einsetzen.
4. Zuerst isoliert testen. Kein produktives Netzwerk, keine privaten Dateien, keine gespeicherten Zugangsdaten und keine unnötigen Berechtigungen.
5. Werkzeuge einzeln freigeben. Lesen ist nicht Schreiben. Vorschlagen ist nicht Ausführen. Ein Browser ist noch keine Kreditkarte.
6. Irreversible Aktionen brauchen eine Freigabe. Käufe, Veröffentlichungen, Nachrichten, Löschvorgänge und externe Änderungen gehören hinter eine überprüfbare Schranke.
7. Antworten des Modells als Hypothesen behandeln. Auch die Erklärung des eigenen Fehlers kann nur eine überzeugende Geschichte sein. Prüfen Sie sie im nächsten Durchgang.

Ein Taschengeldkonto für einen Agenten ist deshalb gar keine besonders verrückte Idee. Ein begrenztes Guthaben, klare Zwecke, ein sichtbares Protokoll und eine menschliche Freigabe können echten Handlungsspielraum ermöglichen, ohne unbeschränkten Zugriff mit Vertrauen zu verwechseln.

Das Problem beginnt nicht damit, dass eine KI etwas wollen könnte.

Es beginnt dort, wo niemand weiß, was sie gelernt hat – und ihr trotzdem jemand die Hände freischaltet.

Lokale Souveränität beginnt nicht mit dem Download. Sie beginnt mit der ersten Berechtigung, die Sie nicht erteilen.

Technische Hinweise

• Hugging Face erklärt die Risiken von Pickle-Dateien und weist ausdrücklich darauf hin, dass automatische Scans keinen vollständigen Schutz bieten: Pickle Scanning
• Die Transformers-Dokumentation warnt bei Custom Models vor trust_remote_code=True und empfiehlt, eine geprüfte Commit-Version festzulegen: Loading models
• safetensors speichert Tensoren ohne die Ausführung beliebigen Python-Codes: Safetensors
• Triggerabhängiges, verborgenes Verhalten in Modellen untersuchen unter anderem die Arbeiten Sleeper Agents und Layerwise Weight Poisoning.

Kurze KI-Mythen im Realitätscheck →