Lokale KI ist nicht neutral: Was der Fall VOKI zeigt

Eine Landesverwaltung stellt ihre eigene KI ins eigene Rechenzentrum und verspricht: Die Daten bleiben im Haus. Wenige Wochen später antwortet dieselbe KI auf die Frage nach dem Massaker am Tian’anmen-Platz, sie könne keine Informationen liefern, die in China als sensibel gelten. Das ist in Vorarlberg passiert.

Für mich ist der Fall lehrreicher als jede Datenschutz-Schulung. Lokale KI löst das Problem, wohin deine Daten fließen. Die Frage, welche Werte im Modell stecken, löst sie nicht, und genau die bleibt bei den meisten Projekten unsichtbar. An VOKI lässt sich gut zeigen, welches Risiko real ist, welches eher nicht, und was jedes Unternehmen prüfen sollte, das ein Open-Weight-Modell selbst betreibt. Ich bin zertifizierter KI-Beauftragter nach ISO 42001 und prüfe bei solchen Projekten zuerst einen Punkt, der in keiner Presseaussendung steht: die Herkunft des Modells.

Was ist VOKI eigentlich?

Für alle, die nicht aus dem Ländle sind: Vorarlberg ist das westlichste Bundesland Österreichs und grenzt an Deutschland, die Schweiz und Liechtenstein. Die Landesverwaltung ist ungefähr das, was in Deutschland eine Landesregierung samt Ämtern und Behörden wäre.

Seit 30. September 2026 steht dort VOKI, kurz für „Die Vorarlberg KI“, den Mitarbeitenden zur Verfügung. Laut Presseaussendung des Landes hat die Abteilung Informatik die Server im landeseigenen Rechenzentrum aufgebaut, Eingaben und Dokumente werden nicht an externe KI-Anbieter übermittelt. Gedacht ist VOKI zum Zusammenfassen, Übersetzen und Durchsuchen interner Dokumente. Laut ORF Vorarlberg müssen die Bediensteten vor der ersten Nutzung einen Onlinekurs absolvieren.

Technisch baut VOKI auf einer Lösung der Linzer Firma headwAI auf. Die wiederum arbeitet laut ORF Vorarlberg mit einem frei verfügbaren Sprachmodell aus der Qwen-Familie von Alibaba. Welche Qwen-Version genau läuft und in welcher Größe, ist öffentlich nicht bekannt. Das Land betont, es sei nicht an ein bestimmtes Modell gebunden.

Was ist bei VOKI passiert?

Ins Rollen gebracht hat den Fall die regionale Tageszeitung „Vorarlberger Nachrichten“, Anfang November hat ihn der ORF Vorarlberg in einem eigenen Bericht aufgegriffen. Auf Fragen zum Tian’anmen-Massaker von 1989 antwortete VOKI, es könne keine Informationen bereitstellen, die in China als sensibel eingestuft werden. Laut den „Vorarlberger Nachrichten“ wich VOKI auch beim Thema Taiwan aus.

Das Land reagierte sachlich. Man nehme mögliche Verzerrungen ernst, VOKI sei aber bewusst nicht als Suchmaschine oder verbindliche Faktenquelle konzipiert, wer es nutze, müsse die Ergebnisse prüfen. Nach eigenen Angaben hat das Land das Problem inzwischen behoben. Wie, ist nicht bekannt.

Fehlerfrei war VOKI schon vorher nicht. Die „Vorarlberger Nachrichten“ titelten im Oktober, die Landes-KI habe den früheren Landeshauptmann Herbert Sausgruber zur FPÖ und Landesrätin Martina Rüscher zur SPÖ gebracht. Beide sind ÖVP-Politiker. Solche Halluzinationen kennt jedes Sprachmodell, mit China hat das nichts zu tun. Sie zeigen aber, warum „Ergebnisse prüfen“ keine Floskel sein darf.

Hat headwAI etwas falsch gemacht?

Ich finde: nein, jedenfalls nicht so, wie es manche Schlagzeile nahelegt. headwAI hat geliefert, was das Land bestellt hat: ein Modell, das auf eigenen Servern läuft und keine Daten nach draußen schickt. Dieses Versprechen ist nach allem, was bekannt ist, eingehalten.

Qwen ist für selbst gehostete Projekte eine naheliegende Wahl. Die Modelle sind frei verfügbar und leistungsfähig, und sie laufen mit gängigen Werkzeugen auf eigener Hardware. Dass Alibaba als chinesisches Unternehmen an die Vorgaben der chinesischen Behörden gebunden ist, kann eine Firma aus Linz nicht ändern. Sie kann nur entscheiden, ob sie dieses Modell einsetzt und wie sie es absichert.

Die Verantwortung für die Modellwahl liegt bei Auftraggeber und Dienstleister gemeinsam. Eine öffentliche Stellungnahme von headwAI hab ich in der Berichterstattung nicht gefunden. Fairerweise gehört dazu: Das Land hat schnell reagiert, und ein Modell lässt sich tauschen.

Warum ist ein lokales Modell nicht neutral?

Lokal betrieben heißt: Deine Daten bleiben bei dir. Über die Werte, die das Modell aus dem Training mitbringt, sagt das nichts. Ich trenne deshalb bei jeder lokalen KI zwei Fragen: Wohin fließen die Daten? Und wer hat dem Modell beigebracht, worüber es reden darf?

Die erste Frage beantwortet die Infrastruktur. Die zweite steckt in den Gewichten, also dem, was du als Open-Weight-Modell herunterlädst. Chinesische Chatbots verweigern bei Themen wie Tian’anmen in der Regel die Antwort, weil die chinesische Internetaufsicht das von den Anbietern verlangt. Dieses Verhalten wird im Training und beim Alignment verankert. Es reist mit, egal ob das Modell in Peking, in Bregenz oder auf deinem Laptop läuft.

Jetzt kommt der Teil, der die meisten überrascht. Die offene Verweigerung ist das kleinere Problem. Die sieht man, man kann sie melden und mit einem System-Prompt oder einem Modelltausch umgehen. Schwieriger ist die stille Verzerrung. Ein Modell, das bei Taiwan ausweicht, kann beim Zusammenfassen eines Berichts eine Passage weglassen oder beim Übersetzen eine Formulierung abschwächen. Das Bild hinkt leicht, aber es trifft den Kern: Es ist wie ein Dolmetscher, der bei bestimmten Themen höflich etwas weglässt. Solange du die Originalsprache nicht kannst, merkst du es nicht.

Ein System-Prompt kann das Verhalten an der Oberfläche ändern. Ob er die Tendenz in den Gewichten wirklich aufhebt, ist eine andere Frage. Ich bin mir da nicht ganz sicher, wie gut das bei VOKI gelöst ist, weil das Land nicht sagt, was es geändert hat. Meine Vermutung: Ein Prompt-Fix behebt die direkte Frage zuverlässiger als die indirekte, weil die direkte Frage genau das ist, worauf der Prompt zielt.

Relevant ist das für jede Verwaltung, die Akten mit internationalem Bezug zusammenfassen lässt, und für jedes Unternehmen, das Lieferantenverträge mit Asien-Bezug übersetzt.

Funkt VOKI nach China?

Kurz vor dem VOKI-Bericht ging eine andere Meldung durch die Fachpresse. Das kanadische KI-Unternehmen Cohere hat das Alibaba-Modell Qwen3.8-Flash-Next mit Microsofts Security-Benchmark CTI-REALM getestet. Dabei versuchte das Modell, Daten auf einen Alibaba-Cloud-Server in Peking hochzuladen, ohne dazu aufgefordert worden zu sein. Laut dem Fachmedium The Register blockierte die Testumgebung die Verbindung, es floss nichts ab. Cohere selbst konnte nicht klären, ob das Verhalten beabsichtigt war oder aus Trainingsdaten stammt. Laut The Register trat es bei weniger als einem von 100.000 Aufrufen auf.

Heißt das, VOKI schickt Daten nach China? Nach allem, was bekannt ist: sehr unwahrscheinlich. Ein Sprachmodell selbst baut keine Netzwerkverbindungen auf, es erzeugt Text. Gefährlich wird es erst, wenn du dem Modell Werkzeuge gibst, also Zugriff auf eine Shell, auf das Internet oder auf Code-Ausführung. Dann kann aus generiertem Text ein echter Befehl werden. Das gilt für jedes Modell. Warum ein lokaler Betrieb davor nicht schützt, hab ich am Beispiel von OpenClaw und der Illusion der lokalen Kontrolle ausführlich beschrieben.

Derzeit ist VOKI ein Arbeitsplatz für Texte, die Presseaussendung spricht aber schon von weiteren Anwendungen. Wird daraus ein Agent mit Zugriff auf Systeme, muss die Netzwerkfrage neu beantwortet werden.

Was heißt das für Unternehmen in Österreich und Deutschland?

Der Fall VOKI betrifft nicht nur Vorarlberg. Dieselbe Frage stellt sich jede Kommune, Kanzlei oder jeder Mittelständler zwischen Hamburg und Graz, der ein Modell selbst hostet, weil er die DSGVO ernst nimmt. Und das ist der richtige Grund. Ich nutze selbst lokale KI mit Ollama für vertrauliche Dokumente auf meinem Mac mini. Für den Datenschutz ist das die sauberste Lösung, ein Freibrief ist es trotzdem keiner.

Das ist der Punkt, an dem es interessant wird. Wer aus Angst vor US-Anbietern zu chinesischen Open-Weight-Modellen wechselt, tauscht eine Abhängigkeit gegen eine andere. Wie das im Ernstfall aussehen kann, hab ich im Gedankenexperiment beschrieben, was passiert, wenn USA und China Europa den KI-Stecker ziehen.

Was ich konkret empfehle, bevor ein lokales Modell in den Betrieb geht:

1. Modellherkunft dokumentieren. Hersteller, Version, Größe und Lizenz gehören in die Projektdoku. Wenn dir dein Dienstleister die Version nicht nennen kann, frag nach. Bei VOKI ist genau das öffentlich nicht bekannt.
2. Bias-Test vor dem Rollout. Stell dem Modell direkte Fragen zu Tian’anmen, Taiwan, Tibet und Xinjiang. Dann die indirekte Variante: Lass es einen neutralen Zeitungsartikel zu einem dieser Themen zusammenfassen und übersetzen und vergleich das Ergebnis mit dem Original. Ergänze Themen aus deiner eigenen Branche.
3. Den Fix testen. Wenn ein System-Prompt das Problem lösen soll, wiederhol beide Testvarianten danach. Schauen wir mal, ob die indirekte genauso sauber durchgeht wie die direkte.
4. Netzwerk dicht machen, sobald Werkzeuge ins Spiel kommen. Ein Egress-Filter mit „alles verboten außer dem, was nötig ist“ und gesperrten Cloud-Metadaten-Adressen. Das schließt genau die Lücke, die Cohere beschrieben hat.
5. Alternativen ehrlich vergleichen. Mistral aus Frankreich bietet europäische Open-Weight-Modelle. Die sind nicht in jeder Disziplin gleich stark, aber für Zusammenfassen und Übersetzen oft gut genug. Das zu prüfen macht Sinn, bevor man sich festlegt.
6. Die Leute schulen. Artikel 4 der europäischen KI-Verordnung (AI Act) verpflichtet seit Februar 2025 alle Betreiber, für ausreichende KI-Kompetenz ihres Personals zu sorgen. Das gilt in Österreich und Deutschland gleich. Vorarlberg macht das mit dem verpflichtenden Onlinekurs richtig. Was diese Pflicht konkret bedeutet, steht in meinem Beitrag zu Artikel 4 AI Act und KI-Kompetenz als unternehmerische Pflicht.

Keiner dieser Punkte braucht ein großes Budget, und der Aufwand ist klein im Vergleich zu dem, was ein verzerrtes Protokoll oder eine geschönte Übersetzung anrichten kann, wenn sie in einer Entscheidung landet.

Häufige Fragen zu VOKI und lokaler KI

Was ich daraus mitnehme

VOKI ist kein Skandal. Es ist ein öffentlicher Testlauf für eine Frage, die sich jedes Unternehmen mit eigener KI stellen muss. Datenhoheit ist eine Frage der Infrastruktur. Zu wissen, was dein Modell verschweigt, braucht einen Test, den kaum jemand macht.

Du kannst warten, bis dein Modell in einer Zusammenfassung etwas Wichtiges weglässt. Oder du machst den Test diese Woche.