Blog · 05. Juli 2026 · Quellen geprüft 06. Juli 2026

Warum Zenzy offene Modelle selbst betreibt

Ein einzelnes, aufgeräumtes Server-Rack in einem ruhigen Raum aus hellem Beton; ein limonengrünes Netzwerkkabel ist ordentlich an der Rack-Kante geführt.

Zwei vorangegangene Beiträge haben zwei Risiken beschrieben. Einzeln wirken sie technisch. Zusammen ergeben sie für eine Kanzlei eine klare Anforderung.

Der erste Beitrag zeigte, wie schnell der Zugriff auf ein US-Spitzenmodell enden kann. Als der Zugang zu Claude Fable 5 auf behördliche Anordnung gesperrt wurde, standen zahlende Kunden weltweit 19 Tage ohne das Werkzeug da. Selbst die Rückkehr war keine Rückkehr zum Ausgangszustand, denn das Modell verhielt sich danach anders.

Der zweite Beitrag zeigte, dass US-Zugriffsrecht der Konzernkontrolle folgt, nicht dem Serverstandort. Für Berufsgeheimnisträger nach § 203 StGB ist das der entscheidende Punkt.

Dieser Beitrag zieht die Konsequenz. Für Verfahrensdaten kommen bei Zenzy nur offene Modelle infrage, die wir selbst betreiben. Das ist keine Weltanschauung, sondern eine nüchterne Antwort auf beide Risiken.

Was „offene Gewichte“ bedeutet

Ein Sprachmodell besteht im Kern aus seinen Gewichten: den trainierten Parametern, die festlegen, wie es aus einer Eingabe eine Ausgabe erzeugt. „Offene Gewichte“ heißt, dass diese Parameter als Datei zum Herunterladen bereitstehen. Wir laden das Modell einmal herunter und betreiben es auf Infrastruktur, die wir selbst kontrollieren. Es arbeitet dort, wo unsere Infrastruktur in Deutschland steht, und nirgends sonst.

Das ist von „Open Source“ im strengen Sinn zu trennen. Die Open Source Initiative unterscheidet ausdrücklich: Offene Gewichte sind die fertigen Parameter eines trainierten Netzes; die Trainingsdaten und der vollständige Trainingscode gehören meist nicht dazu.1 Für unseren Zweck ist diese Feinheit zweitrangig. Entscheidend ist die betriebliche Eigenschaft: Das Modell ist eine Datei, die auf unserer Infrastruktur läuft. Wer ein Modell nur über eine Programmierschnittstelle nutzt, mietet einen Zugang; wer die Gewichte selbst betreibt, hält das Werkzeug in der Hand.

Solche Modelle gibt es in geprüfter Qualität. Die Mistral-3-Familie etwa steht vollständig unter der Apache-2.0-Lizenz, einer etablierten, freizügigen Lizenz.2 Auch Googles Gemma 4 erschien im April 2026 erstmals unter Apache 2.0.3 Man kann sie herunterladen, betreiben und anpassen, ohne einen laufenden Vertrag mit einem Anbieter im Ausland.

Niemand kann es abschalten oder still verändern

Eine heruntergeladene Modelldatei verschwindet nicht. Wir halten eine bestimmte Version fest und setzen genau diese ein. Solange wir nichts ändern, verhält sich das Modell morgen wie heute. Eine Aktualisierung ist eine bewusste Entscheidung, die wir treffen und danach erneut prüfen, nicht etwas, das über Nacht bei uns geschieht.

Der Unterschied zur API eines Cloud-Anbieters ist der Kern des ersten Beitrags. Dort kann der Zugang enden, und das Modell kann sich nach einem Neustart anders verhalten, ohne dass die Kanzlei etwas dagegen tun kann. Ein selbst betriebenes, festgeschriebenes Modell nimmt beide Möglichkeiten vom Tisch: keinen Fernschalter, keine stille Änderung.

Für eine Kanzlei mit Fristen ist das kein technisches Detail. Ein Werkzeug, das jederzeit ausfallen oder sein Verhalten wechseln kann, wird in einem laufenden Verfahren zum Haftungsrisiko.

Die Daten verlassen die Infrastruktur nicht

Weil das Modell bei uns läuft, verlässt die Verarbeitung von Verfahrensdaten unsere Infrastruktur in Deutschland nicht. Für den KI-Schritt gibt es keinen Auftragsverarbeiter in einem Drittland. Es gibt keine Schnittstelle, über die eine Akte an einen ausländischen Anbieter geht.

Das ist die unmittelbare Antwort auf den zweiten Beitrag. Wenn US-Zugriffsrecht der Kontrolle über den Anbieter folgt und nicht dem Standort der Server, dann hilft nur eines: den ausländischen Anbieter aus der Verarbeitungskette herauszuhalten. Genau das leistet ein selbst betriebenes offenes Modell für den sensibelsten Schritt.

Qualität heißt Eignung, nicht Größe

Ein verbreiteter Kurzschluss lautet: Das größte Modell gewinnt. Für unsere Arbeit stimmt das nicht. Zenzy löst eng umrissene Aufgaben, etwa das Auslesen eines Dokuments oder das Zuordnen einer Angabe zu ihrem Beleg. Für solche Aufgaben wählen wir das passende Modell aus und prüfen es mit eigenen Evaluationen an realitätsnahen, fiktiven Fällen. Maßstab ist, ob das Ergebnis für die konkrete Aufgabe verlässlich genug ist, nicht, welchen Namen das Modell trägt. Diese Prüfungen wiederholen wir bei jeder Änderung, damit ein Fortschritt an einer Stelle nicht unbemerkt eine andere verschlechtert.

Ein Teil der Arbeit gehört ohnehin nicht zum Sprachmodell. Berechnungen, etwa nach der InsVV oder beim pfändbaren Einkommen, führt bei Zenzy kein Sprachmodell aus. Sie laufen in klassischem, geprüftem Code und sind Zeile für Zeile nachrechenbar. Ein Sprachmodell liest und ordnet zu; es rechnet nicht.

Was wir dazu offen sagen

Zur Ehrlichkeit gehört: Die großen kommerziellen Spitzenmodelle sind in der Breite teils fähiger als ein offenes Modell, das wir selbst betreiben. Wer das freieste, allgemeinste Können sucht, findet es eher dort.

Für unsere Zwecke ist das nicht der Maßstab. Wir brauchen kein Modell, das alles ein wenig kann, sondern eines, das unsere eng definierten Aufgaben verlässlich erfüllt, belegt an unseren eigenen Evaluationen. Für diese Aufgaben sind offene Modelle nach unserer Prüfung gut genug. Und nur sie erfüllen zugleich die Bedingungen aus den ersten beiden Beiträgen: kein Fernschalter, keine stille Änderung, kein ausländischer Anbieter im KI-Schritt. Ein allgemein etwas stärkeres Modell, das die Kanzlei jederzeit verlieren kann und das seine Antworten ändern könnte, ist für ein fristgebundenes Verfahren die schlechtere Wahl.

Deshalb ist die Entscheidung für offene Modelle bei Zenzy kein Bekenntnis, sondern Risikomanagement. Wir wählen das Werkzeug, das die Randbedingungen des Mandats einhält, und sorgen dafür, dass es seine Aufgabe verlässlich erfüllt.

Quellen

Footnotes

  1. Open Source Initiative, „Open Weights: not quite what you’ve been told“, opensource.org/ai/open-weights (abgerufen 2026-07-06). Offene Gewichte sind die fertigen Parameter eines trainierten Netzes; Trainingscode und Trainingsdaten gehören nicht dazu. Die Open Source AI Definition (OSAID, Oktober 2024) verlangt darüber hinaus die Freiheiten Nutzen, Studieren, Verändern, Teilen. ↩

  2. Mistral AI, „Introducing Mistral 3“, mistral.ai/news/mistral-3 (2. Dezember 2025): „All models are released under the Apache 2.0 license.“ Hinweis: Nicht jedes Mistral-Modell steht unter Apache 2.0 (einzelne unter modifizierter MIT-Lizenz; siehe help.mistral.ai, Stand 5. Juni 2026). ↩

  3. Google Open Source Blog, „Gemma 4: Expanding the Gemmaverse with Apache 2.0“ (2. April 2026): Gemma 4 ist die erste Gemma-Generation unter der OSI-anerkannten Apache-2.0-Lizenz. Ältere Gemma-Versionen unterliegen der eigenen „Gemma Terms of Use“ (ai.google.dev/gemma/terms), nicht Apache 2.0. ↩