bild · ki-im-it-alltag-ein-jahr Gastbeitrag von Sebastian Seeliger (its-seeliger.de): Warum sein KI-Assistent technisch keine Nachrichten verschicken darf, was ein lokales Modell im eigenen Netz zuverlässig leistet und welche drei Lektionen ein Jahr produktiver Dauereinsatz gebracht hat.
Ein Gastbeitrag von Sebastian Seeliger, IT-Dienstleister aus Berlin (its-seeliger.de).
Mein KI-Assistent darf keine Nachrichten verschicken. Genau deshalb funktioniert er.
Jeden Morgen wartet ein Briefing auf mich: die Termine des Tages, offene Aufgaben, was über Nacht an E-Mails und Nachrichten eingegangen ist, dazu Vorschläge, was ich antworten könnte und was heute Priorität verdient. Abends dasselbe als Tagesabschluss. Erstellt wird das von einem KI-Assistenten, der vollständig auf einem Rechner in meinem eigenen Netz läuft.
Und der technisch nicht in der Lage ist, auch nur eine einzige Nachricht selbst zu verschicken.
Dieser letzte Satz ist der wichtigste in diesem Beitrag. Denn nach gut einem Jahr KI im produktiven Dauereinsatz, im eigenen Betrieb wie in Kundenprojekten, hat sich für mich eine Überzeugung herausgebildet: KI richtig einsetzen heißt, zwei Klassen von KI für zwei Klassen von Aufgaben zu nutzen. Ein lokales Modell mit eng begrenzten Rechten für alles, was sensible Daten täglich berührt. Und ein Frontier-Modell mit viel Können, aber klarem Auftrag, für die schwere Ingenieursarbeit dahinter. Die eigentliche Sicherheitsfrage ist dabei nie, was ein Modell weiß, sondern was es tun darf.
Ein Assistent, der nichts anrichten kann
Mein Assistent liest Kalender, E-Mails und Messenger-Nachrichten mit und macht daraus zweimal täglich ein Lagebild samt Handlungsvorschlägen. Das klingt nach weitreichendem Zugriff. Ist es aber bewusst nicht.
Der Assistent spricht nämlich nie direkt mit dem Mailkonto, dem Kalender oder einem Messenger. Dazwischen sitzen kleine, selbst entwickelte Proxy-Dienste, die ihm eine Handvoll genau definierter Operationen anbieten: Kalender lesen. Nachrichten lesen. Einträge in einen einzigen, eigens dafür vorgesehenen Assistenten-Kalender schreiben. Alles andere (Mails versenden, Nachrichten beantworten, Termine in meinen Kalendern ändern) existiert für ihn schlicht nicht. Antworten schlägt er vor; abgeschickt wird von mir.
Das ist etwas grundlegend anderes als ein „Bitte sei vorsichtig” im Prompt. Sprachmodelle machen Fehler, sie lassen sich durch präparierte Inhalte in verarbeiteten Mails manipulieren, und sie halten sich an Anweisungen nur meistens. Deshalb: Ich vertraue dem Modell nicht, weil es brav ist, sondern weil die Leitung, über die es Schaden anrichten könnte, gar nicht erst verlegt wurde. Berechtigungen gehören in die Architektur, nicht in die Höflichkeitsformeln des Prompts.
Lokal heißt: Die Daten bleiben da
Der zweite Baustein: Das Modell hinter dem Assistenten läuft auf einem KI-Rechner im Format eines Mini-PCs, in meinem eigenen Netz. Private Nachrichten, geschäftliche Mails, Termine: nichts davon verlässt das Haus. Kein Cloud-Konto, keine Datenschutz-Folgeabschätzung für jeden neuen Anwendungsfall, keine Abhängigkeit von Preis- und Produktentscheidungen eines Anbieters.
Ehrlicherweise gehört dazu: Lokale Modelle sind spürbar schwächer als die großen Cloud-Modelle, und sie brauchen Betreuung. Für die Briefing-Aufgabe reicht die Qualität trotzdem locker, weil die Aufgabe eng zugeschnitten ist. Zusammenfassen, priorisieren, Antworten entwerfen, in einem klar abgesteckten Rahmen. Der enge Zuschnitt ist kein Kompromiss, sondern die Bedingung, unter der lokale KI zuverlässig funktioniert.
Das ist übrigens keine Bastelei fürs Heimbüro. In einem Kundenprojekt hat eine lokale KI nach genau diesem Muster echte Server-Arbeiten abgeliefert, auf Basis vorbereiteter Ablauf-Skripte, die zuvor ein Frontier-Modell entwickelt hatte (dazu gleich mehr). Dass das verantwortbar war, lag an drei Bedingungen: Der Auftrag war eng umrissen. Jede Änderung wurde zuerst in einer Staging-Umgebung erprobt, nicht einfach auf die Produktion abgefeuert. Und alles lief innerhalb der Infrastruktur; nichts davon ging in die Cloud.
Und weil dieser Beitrag von Praxis handelt, lege ich auch das Werkzeug offen: Unser Assistent läuft im Claude Agent SDK, dem Agenten-Framework von Anthropic. Als Modell arbeitet darunter aber unser eigenes, lokales. Das ist das Beste aus beiden Welten: ein ausgereiftes Framework für Werkzeuganbindung und Ablaufsteuerung, ohne dass ein einziges Datum an einen Cloud-Anbieter fließt.
Und wo bleibt die große KI?
Für die zweite Klasse von Aufgaben, den Aufbau und Betrieb genau dieser Infrastruktur, arbeite ich mit einem Frontier-Modell: Claude, als Engineering- und Administrations-Partner. Es plant Umbauten mit, debuggt über Systemgrenzen hinweg, schreibt Dokumentation und administriert die Umgebung maßgeblich mit. Es ist das leistungsfähigste Werkzeug in meinem Portfolio und der Grund, warum ich als IT-Dienstleister heute für geringe Kosten eine Infrastruktur-Tiefe betreibe, für die früher ein kleines Team nötig gewesen wäre.
Auch hier gilt dasselbe Prinzip, nur anders dosiert: viel Fähigkeit, aber definierter Wirkungskreis. Ankündigen vor dem Ausführen, Rückfrage vor allem Irreversiblen, ehrliches Berichten auch von Fehlschlägen. Der Vollständigkeit halber: Der Entwurf dieses Beitrags ist in genau dieser Zusammenarbeit entstanden. Es wäre seltsam, über KI-Praxis zu schreiben und das zu verschweigen.
Was sich nicht bewährt hat
Damit das hier kein Werbeprospekt wird, drei Dinge, die schiefgegangen sind:
Autonome Mehrschritt-Ketten ohne harte Prüfung. Agenten, die eigenständig mehrstufige Aufgaben abarbeiten, liefern Ergebnisse, die fertig aussehen und im Detail unbrauchbar sind. Das System scheitert lautlos. Die Konsequenz: deterministische Prüfschritte im Code, die Ergebnisse ohne Ansehen des Modells ablehnen, und eine Belegpflicht für jede Tatsachenbehauptung.
Statusanzeigen glauben. Ein Monitoring, das monatelang „gesund” meldete, während es längst nichts mehr überwachte, hat mich gelehrt: Bei KI-gestützten Systemen wird verifiziert, nicht geglaubt. Gerade weil sie so überzeugend „fertig” wirken.
Erzwungene Ausgabeformate. Wer ein Modell in ein starres Antwortformat presst, bekommt zuverlässig die Form und bezahlt dafür oft mit dem Inhalt. Die Kosten eines Fehlschlags vorher zu prüfen ist billiger, als hinterher perfekt formatierten Unsinn zu verarbeiten.
Drei Regeln zum Mitnehmen
- Aufgaben eng zuschneiden. Dann reicht oft ein lokales Modell, und die Daten bleiben im Haus.
- Rechte in der Architektur begrenzen, nicht im Prompt. Was die KI nicht tun darf, darf technisch nicht existieren.
- Frontier-Modelle dort einsetzen, wo Denkleistung zählt. Mit demselben Prinzip: Können ja, Blankoscheck nein.
KI richtig einsetzen heißt für mich nicht, das mächtigste Modell an alles zu lassen. Sondern für jede Aufgabe zu entscheiden, wie viel Können sie braucht und wie wenig Rechte ihr genügen.
Sebastian Seeliger ist IT-Dienstleister und betreibt its-seeliger.de. Die Erfahrungen und Einschätzungen in diesem Gastbeitrag sind seine eigenen; sie decken sich in erstaunlich vielen Punkten mit dem, was wir hier im Betrieb gelernt haben.
