Open-Source-KI für Unternehmen: was quelloffen bei einem Modell heißt

Was quelloffen bei KI bedeutet, und was nicht

Quelloffen ist bei KI keine Eigenschaft der Datei, sondern der Lizenz. Die Open Source Initiative hat dafür die Open Source AI Definition vorgelegt, kurz OSAID, Fassung 1.0. Sie verlangt vier Freiheiten: das System für jeden Zweck und ohne Erlaubnis nutzen, seine Arbeitsweise studieren, es verändern und es mit oder ohne Änderungen weitergeben.

Diese Definition ist eine Setzung, keine Beschreibung des Marktes. Die Open Source Initiative ist ein Standardgeber ohne Durchsetzungsmacht. Sie kann keinem Anbieter verbieten, sein Modell Open Source zu nennen, und zwei der bekanntesten offenen Modellfamilien halten sich nicht daran.

Im Sprachgebrauch läuft das ohnehin durcheinander. Open-Source-KI, KI Open Source, Open-Source-LLM und Open-Source-KI-Modelle meinen im Alltag dasselbe, nämlich ein Modell, das man herunterladen und im eigenen Netz starten kann. Über die Erlaubnis sagt keiner dieser Begriffe etwas.

Die drei Komponenten der OSAID

• Daten-Informationen. Ausdrücklich nicht die Trainingsdaten selbst, sondern „ausreichend detaillierte Informationen über die zum Training verwendeten Daten, sodass eine fachkundige Person ein im Wesentlichen gleichwertiges System bauen kann“.
• Code. Der vollständige Quellcode, mit dem das System trainiert und betrieben wird.
• Parameter. Die Modellparameter, also die Gewichte und weitere Einstellungen des Modells.

Wer Open Source bei KI mit offenen Trainingsdaten gleichsetzt, gibt die Definition falsch wieder. Für die Daten kennt die OSAID nur eine Informationspflicht. Diese Abschwächung gegenüber der Open-Source-Definition für Software ist der Hauptkritikpunkt an ihr.

Warum offene Gewichte noch kein Open Source sind

Offene Gewichte heißt: Sie bekommen die Datei. Die Gewichte sind die Zahlenwerte, die beim Training entstehen und das Modell ausmachen; wer sie hat, kann es im eigenen Unternehmen starten. Was Sie damit tun dürfen, steht nicht in der Datei, sondern in der Lizenz daneben.

Google gibt Gemma mit offenen Gewichten heraus und bindet die Nutzung an eine Liste verbotener Einsatzfelder: „You must not use any of the Gemma Services ... for the restricted uses set forth in the Gemma Prohibited Use Policy“. Das steht in Abschnitt 3.2 der Gemma Terms vom 1. April 2026 und gilt für die im Anhang gelisteten Modelle. Für Gemma 4 verweist dieselbe Seite auf eine eigene Lizenz, und dort steht der Wortlaut der Apache-Lizenz 2.0. Bei Gemma entscheidet die Fassung.

Meta geht einen anderen Weg. Die Llama Community License erlaubt viel, behält sich aber eine Ermessensentscheidung vor: Organisationen, deren Produkte am Tag der Modellveröffentlichung mehr als 700 Millionen monatlich aktive Nutzer hatten, müssen eine gesonderte Lizenz bei Meta beantragen, die Meta „in its sole discretion“ gewährt oder verweigert.

Beschränkung nach Einsatzfeld und Genehmigung im Ermessen des Lizenzgebers sind mit der ersten Freiheit der OSAID unvereinbar. Das ist kein Urteil über die Qualität dieser Modelle. Wer sie einsetzt, sollte sie nur nicht Open Source nennen und die Lizenz lesen.

Welche Lizenzen es gibt und was sie erlauben

Vier Lizenzfamilien decken fast alles ab, was ein technischer Betrieb herunterlädt. Zwei sind permissive Softwarelizenzen; unter Apache 2.0 stehen zum Beispiel gpt-oss und Gemma 4. Zwei tragen eigene Lizenzen der Hersteller. Mistral und Qwen veröffentlichen viele Fassungen unter Apache 2.0 und einzelne unter eigenen Bedingungen; sie werden hier nicht im Einzelnen verglichen.

Der Maßstab ist Apache 2.0. Sie gewährt nach Abschnitt 2 eine dauerhafte, weltweite, nicht ausschließliche, gebührenfreie und unwiderrufliche Urheberrechtslizenz zum Vervielfältigen, Bearbeiten, öffentlichen Wiedergeben, Unterlizenzieren und Verbreiten des Werks und abgeleiteter Werke, in Quell- wie in Objektform. Keine Nutzerschwelle, kein Einsatzverbot, keine Genehmigung im Ermessen des Lizenzgebers.

Rechtlich unterscheiden sich Apache 2.0 und MIT vor allem beim Patent. Apache 2.0 gewährt nach Abschnitt 3 eine Patentlizenz der Beitragenden, die erlischt, sobald der Lizenznehmer wegen des Werks Patentklage erhebt. MIT kennt keine solche Klausel und verlangt nur, dass Copyright- und Lizenzvermerk in allen Kopien erhalten bleiben.

Wie sicher sind offene Modelle

Sicherheit hat bei einem offenen Modell zwei Seiten: die Datei, die Sie herunterladen, und das Verhalten im Betrieb. Beides ist prüfbar, und beides prüft niemand für Sie.

Zur Datei zuerst. Modellgewichte werden zum Teil in einem Format ausgeliefert, das beim Laden Programmcode ausführen kann. Die Sicherheitsdokumentation des Hugging Face Hub nennt das gefährlich und rät zu dreierlei: nur von Nutzern und Organisationen laden, denen man vertraut, auf signierte Commits achten und das Format safetensors bevorzugen, das keinen Code ausführt. Der Hub scannt jede hochgeladene Datei, sagt aber selbst, dass diese Prüfung nicht lückenlos ist. Herkunft und Prüfsummen der Gewichte gehören deshalb geprüft, bevor ein Modell in ein Firmennetz kommt.

Zum Verhalten sind die Modellkarten die erste Quelle. OpenAI hat vor der Freigabe von gpt-oss untersucht, was aus den Gewichten in fremder Hand werden kann: In der Arbeit „Estimating Worst-Case Frontier Risks of Open-Weight LLMs“ vom 5. August 2025 wurde das Modell absichtlich darauf nachtrainiert, Anfragen nicht mehr abzulehnen und in Biologie und Cybersicherheit gefährlich zu werden. Die hohe Fähigkeitsstufe des hauseigenen Preparedness Framework erreichte es auch danach nicht. Der Punkt für den Betrieb ist damit belegt: Sicherheitsverhalten lässt sich nach dem Herunterladen wieder heraustrainieren.

Meta beschreibt in der Modellkarte zu Llama 4 regelmäßige Red-Teaming-Läufe und rät davon ab, ein Sprachmodell allein zu betreiben: Es gehört in ein System mit zusätzlichen Schutzschichten. Das BSI ordnet die Risiken in „Generative KI-Modelle: Chancen und Risiken für Industrie und Behörden“ vom 21. Januar 2025 in drei Gruppen: ordnungsgemäße Nutzung, missbräuchliche Nutzung und Angriffe. Gedacht ist das Papier als Grundlage einer Risikoanalyse, nicht als Modellvergleich.

Keine dieser Quellen sagt, welches offene Modell sicherer ist als ein anderes. Sie sagen, wonach zu prüfen ist.

Wer haftet, wenn ein offenes Modell etwas Falsches sagt

Nicht der, von dem Sie das Modell haben. Alle drei geprüften Lizenzfamilien schließen Gewährleistung und Haftung aus, soweit das Recht das zulässt. Wer das Modell einsetzt und mit seinen Antworten arbeitet, steht seinen Kunden gegenüber selbst gerade. Kein Text ersetzt Rechtsberatung, dieser auch nicht.

Apache 2.0 stellt das Werk nach Abschnitt 7 ohne jede Gewährleistung bereit, auch ohne Zusicherung von Rechtsinhaberschaft, Nichtverletzung fremder Rechte oder Eignung für einen bestimmten Zweck. Abschnitt 8 schließt die Haftung der Beitragenden für Schäden aus, ausgenommen zwingendes Recht, etwa bei Vorsatz und grober Fahrlässigkeit, und schriftlich Vereinbartes. Abschnitt 9 ist der Satz für Systemhäuser: Wer beim Weitergeben selbst Gewährleistung, Unterstützung oder Haftung übernimmt, darf das nur im eigenen Namen und muss die Beitragenden von Ansprüchen daraus freistellen.

Die Herstellerlizenzen sind gleich gebaut. Die Llama 4 Community License schließt in Abschnitt 3 die Gewährleistung aus und in Abschnitt 4 die Haftung für entgangenen Gewinn und Folgeschäden. Die Gemma Terms tun dasselbe in den Abschnitten 4.3 und 4.4, dort ist die Produkthaftung ausdrücklich genannt. Zwingendes Recht nehmen alle drei aus.

Denn das Haftungsrecht ändert sich. Die Richtlinie (EU) 2024/2853 vom 23. Oktober 2024 über die Haftung für fehlerhafte Produkte zählt Software in Artikel 4 Nummer 1 zu den Produkten. Nach Erwägungsgrund 13 sind Anbieter von KI-Systemen im Sinne der Verordnung (EU) 2024/1689 als Hersteller zu behandeln. Nach Artikel 2 Absatz 1 gilt sie für Produkte, die nach dem 9. Dezember 2026 in Verkehr gebracht oder in Betrieb genommen werden; bis dahin setzen die Mitgliedstaaten sie um.

Eine eigene Haftungsregel für KI kommt vorerst nicht dazu. Den Vorschlag für eine KI-Haftungsrichtlinie hat die Kommission in ihrem Arbeitsprogramm 2025 vom 11. Februar 2025 (COM(2025) 45 final, Anhang IV Nummer 32) zur Rücknahme vorgesehen, weil eine Einigung nicht absehbar sei.

Für den Betrieb bleibt ein Satz: Der Haftungsausschluss der Lizenz schützt den, der das Modell herausgegeben hat, nicht Sie. Was Ihr Unternehmen einem Kunden schuldet, steht in Ihrem Vertrag. Zu jedem System gehört deshalb die Frage, wer eine Antwort prüft, bevor sie das Unternehmen verlässt.

Wann sich ein offenes Modell im eigenen Unternehmen lohnt

Der Aufwand lohnt sich, wenn die Unterlagen das Unternehmen nicht verlassen sollen und die Fälle bekannt sind. Nicht, weil ein offenes Modell besser wäre, sondern weil Sie es dorthin stellen können, wo die Daten liegen. Die Lizenzfrage ist die kleinere Hälfte der Arbeit, die größere ist die Anbindung der Unterlagen.

Wir bauen mit quelloffenen Bauteilen: Open WebUI als Oberfläche, Qdrant für die Suche über die Textstellen, Docling für die Aufbereitung von PDF, Word und Scans. Der Liefergegenstand ist das System, nicht die Bauteilliste. Wie die Suche vor der Antwort arbeitet, steht in wie ein RAG-System funktioniert. Ob die eingelesenen Unterlagen personenbezogene Daten enthalten, steht in was Sie bei KI nachweisen müssen.

Bei einem Armaturenhersteller läuft eine solche Plattform im eigenen Netz, in Betrieb seit Dezember 2025. Vorher lagen die Unterlagen in drei Bestandssystemen und zwei Ablagen; wer die Wartungshistorie einer Anlage brauchte, fragte den Kollegen, der es zufällig wusste. Gebaut wurde eine selbst gehostete Plattform aus Open WebUI, Qdrant und docling-serve, ein Docker-Compose-Verbund auf einem Linux-Server, mit Anmeldung über die vorhandenen Benutzerkonten im Microsoft-Entra-ID-Tenant per OAuth und OIDC. Was das im Alltag einspart, haben wir nicht gemessen, und die Anbindung von Dokumentenmanagement, CRM und ERP war zuletzt offen. Beides steht im Bericht Technische Dokumentation durchsuchbar machen.

Die beste Open-Source-KI gibt es nicht als Rangliste. Welches Modell passt, hängt an den Fällen, an der Sprache der Unterlagen und daran, wie schnell eine Antwort da sein muss. Wir rechnen vor dem Kauf aus, welche Modellgröße die Fälle brauchen, und leiten die Karte daraus ab.