Start / Leistungen / KIS:UI

KIS:UI — Enterprise AI Chat. Komplett im eigenen Haus.

KIS:UI ist die mandantenfähige KI-Plattform für Unternehmen: Multi-Provider-LLM, RAG-Wissensdatenbanken, visuelle Workflows, PII-Maskierung vor jedem Modellaufruf, LDAP/AD und lückenloses Audit — auf Ihrer Hardware, ohne dass ein Byte die Cloud sieht.

Live-Demo anfragen → Plattform entdecken

v1.0 · 7 Phasen abgeschlossen · 100 % self-hosted

THEMEN

Die PlattformZehn Bausteine, ein System→ Wissen & RAG10 Konnektoren, sieben Stufen→ Privacy ShieldPII-Maskierung, live ausprobieren→ Gegen Public CloudNeun Kriterien→

FAKTEN

5 LLM-ProviderHinter einem Router

10 Wissens-KonnektorenNotion bis IMAP

40+ Admin-OberflächenNichts in Env-Variablen

200+ Audit-ActionsJede Mutation protokolliert

kisui.local · llama 3.3 70b · on-prem · rag: verträgeBeispiel

Fasse den Rahmenvertrag mit Lieferant Nord zusammen und erstelle ein PDF.

knowledge_base · 3 Quellen — Laufzeit bis 31.12., Kündigungsfrist 3 Monate. Preisgleitklausel in §4 (max. 5 % p. a.), Haftung in §9, automatische Verlängerung §12. generate_pdf → Zusammenfassung_Nord.pdf erstellt.Agenten-Plan: Wissensbasis durchsuchen ✓ · Klauseln extrahieren ✓ · PDF generieren ✓

Tippen, sprechen oder PDF ablegen …agentischer tool-loop

modellllama 3.3 70b · on-prem

ragverträge · quelle je antwort

privacy shieldpii maskiert · fail-closed

audit200+ actions · ldap/ad

betrieb docker compose · daten auf ihrer hardware

kisui.local:~$ llm-router providersollama lokalvllm gpuopenai optionalanthropic optionalgroq / azure gatewayfailover kette

Betrieb 100 % On-Premise Identität LDAP / Active Directory Mandanten fähig · DSGVO-konform Audit lückenlos

AUF EINEN BLICK

Das Wichtigste auf einen Blick

Geeignet für: Unternehmen, die ChatGPT-Funktionalität für alle Mitarbeiter wollen — mandantenfähig, am Active Directory, mit Audit, auf eigener Hardware oder air-gapped
Ausgangssituation: Public-Cloud-KI: Daten verlassen Ihr Netz standardmäßig, Modellwahl nur eingeschränkt und beim Anbieter, Audit begrenzt, Kosten pro Token oder Seat — und Automatisierung als Zusatzprodukt
Wir übernehmen: Installation per Docker Compose, LDAP/AD-Bindung, Ollama/vLLM-Inferenz, LLM-Router, erste Konnektoren und Workflows, Branding, Admin- und Key-User-Schulung, Go-Live mit Monitoring
Ihr Ergebnis: Eine Plattform statt fünf Tools: Chat mit Quellen, RAG über 10 Konnektoren, Workflow-Builder mit 18 Knotentypen, Privacy Shield und 40+ Admin-Oberflächen
Kostenmodell: On-Premise-Lizenz plus eigene Hardware — keine Abrechnung pro Token oder Seat; Wartung und Support durch ki·spezial
Technik: Next.js 16, PostgreSQL 18 + pgvector, Redis 7, MinIO; ~460k Zeilen TypeScript, 109 Prisma-Modelle, 0 any im strict-Mode
Zeitrahmen: Erste Ergebnisse nach 2 bis 4 Wochen; typischer Ablauf: Woche 1 Installation, Woche 2 Identität und Modelle, Woche 3 Wissen und Workflows, Woche 4 Rollout und Schulung
Erster Schritt: Live-Demo anfragen; Nutzerzahl und gewünschte Modellgröße genügen, daraus folgt die GPU-Dimensionierung

Live-Demo anfragen → 09571 873149 Ihr Ansprechpartner: Sales-Team ki·spezial

/01 — 09Eine Plattform, alles drin

Nicht nur ein Chatfenster. Ein komplettes KI-Betriebssystem.

$ kisui --features

Von der Modell-Orchestrierung über Wissen und Automatisierung bis zur Governance — KIS:UI bündelt, wofür andere fünf Tools brauchen. Vier Schritte, in denen Sie es im Alltag sehen; darunter die zehn Bausteine im Einzelnen.

1Chatten

Fragen, mit Quellen beantwortet

Agentischer Tool-Loop: durchsucht Ihre Wissensbasen, ruft Tools auf und erzeugt PDFs — jede Antwort mit nachvollziehbarer Quelle.

2Wissen anbinden

10 Konnektoren, ein Index

Notion, Confluence, SharePoint, Drive, Slack, IMAP, Git & mehr — mit Background-Sync, Reranking und Knowledge-Graph in pgvector.

3Automatisieren

Workflows im n8n-Stil

Trigger, KI-Knoten, Verzweigungen und Schleifen visuell verketten — mit Live-Run-Trace und Kosten-Tracking, auch für reguläre User.

4Regieren

Governance & Audit

40+ Admin-Oberflächen, 200+ Audit-Actions, LDAP/AD, AES-256-GCM, Privacy-Shield-Policies und Kosten-Telemetrie — volle Kontrolle, nichts versteckt.

Multi-Provider-LLM-Router

Ollama, vLLM, OpenAI, Anthropic und jedes OpenAI-kompatible Gateway (Groq, OpenRouter, Azure) hinter einem Router — mit Fallback-Kette, exponentiellem Retry und per-Provider-Rate-Limit. SSE-Streaming, Tool-Calls, Vision.

ollamavllmopenaianthropicgroq / azurefailover

Privacy Shield · PII-Maskierung

Eine Maskierungsschicht sitzt an jedem Daten-Ausgang: erkennt Namen, IBAN, Steuer-IDs & Co. (Regex + Prüfsummen + optional lokales NER), ersetzt sie deterministisch durch Tokens wie [PERSON_1] — und demaskiert nur lokal. Vor jedem externen Modellaufruf zeigt ein Review, was gesendet wird. Das Mapping verlässt nie den Server.

pre-llmpre-toolpre-ragpolicy je gruppe/kbfail-closedneu

Memory-System

Globales + per-User-Memory mit Embedding-Retrieval beim Chat. DSGVO-Purge pro User, Audit-Trail für jede Operation.

Dokument-Copilot & Export

Multi-Dokument-Chat mit Vergleich & Aktionen, First-Class DocumentSpec-Komponenten, Vektor-Charts — Export als Word (.docx) und Premium-PDF mit eingebetteten Fonts.

Media: Bild · TTS · STT

DALL-E-Bildgenerierung, 6-Stimmen-TTS und Whisper-Transkription mit In-Browser-Voice-Recorder — alles inline im Chat.

MCP-Arbeitsbereich & Gateway

MCP-Werkzeuge als App-Modus direkt ausführen — Schema-Formular statt Prompt, Ergebnis-Karte, Werkzeug-Galerie mit Status. Plus deklarative External-APIs mit Zod-Schemas, verschlüsselten Credentials & Health-Probe.

Sharing, Public & Embed

Conversations per Link teilen (Passwort + Ablauf), Ordner & Gruppen-Channels, anonymer Public-Chat und ein einbettbares iFrame-Widget für externe Seiten.

Modell-Deployment ohne Klick

Geführter Cookbook-v2-Wizard rollt vLLM-Modelle auf den GPU-Host aus — Preflight-Gate, Live-Deploy-Polling, Rollback-Historie. Der vllm-runner-Sidecar startet Container, ohne dass die App je den Docker-Socket sieht.

Antwort-Verifikation

Eine Verifikations-Pipeline prüft jede Antwort: Code-Plausibilität, Evidenzklassen und Faithfulness/Citation-Check mit Konflikt-Erkennung — mit Qualitätsstatus und Repair-Loop für SQL/YAML/Shell/Code.

Modell-Arena & Fine-Tuning

Modelle im A/B-Vergleich mit ELO-Ranking, KI-Judge und Preis-Leistungs-Score. Aus Nutzer-Feedback (Thumbs) entstehen SFT/DPO-Datensätze als JSONL — LoRA-Training mit Vorher/Nachher-Benchmark-Gate.

Integriert sich in Ihre bestehende Tool-Landschaft. Provider, Wissensquellen und Betriebsbausteine, die KIS:UI heute anbindet.

OpenAI

llm-provider · optional

Anthropic

claude · optional

Ollama

lokale modelle

Microsoft 365

sharepoint · azure

Google Drive

google workspace

Slack

wissens-konnektor

Notion

oauth

Confluence

cloud + server

Git / GitHub

polling

Docker

docker-compose

pgvector

postgresql

MCP-Server

model context protocol

/02 — 09Workflow-Builder

Automatisierung im n8n-Stil — mit KI-Knoten.

$ kisui workflows run --trace

Visueller Knoten/Kanten-Graph: Trigger per Klick, Webhook, Cron oder als Chat-Skill. 18 Knotentypen verketten LLM-Agenten, Wissensabfragen, Web-Suche, HTTP, JSON-Transform, Code, Sub-Workflows und Schleifen — mit Versionierung, durabler Queue, Retry/Abort, Live-Run-Trace und Kosten-Tracking.

1Trigger

Webhook

POST /run · Token

2Quelle

KB-Query

Verträge · top-k 6

3Agent

LLM-Agent

Llama 70B · Tools

4Aktion

Chat-Reply

+ E-Mail-Send

18 knotentypen

Alle Bausteine

Agent, KB-Query, Web-Search, MCP-Tool, HTTP (SSRF-sicher), Code, Switch, Set-Var, Delay, Conditional, Loop, Dokument, E-Mail.

durable & versioniert

Läuft auch nach dem Neustart

Retry/Abort, Lifecycle-States, Vorlagen-Galerie & Debug-Timeline.

live-run-trace

Jeder Knoten sichtbar

Per SSE — Knoten grün/gelb/rot in Echtzeit, auch für reguläre User mit Quoten.

TriggerStart

Manueller Triggerper klick

Webhookpost /run · token

Cron-Zeitplanzeitgesteuert

Chat-Skillaus dem chat

KI & QuellenDenken

LLM-Aufrufein modell, ein prompt

Agent-Aufruftool-loop

KB-Querywissensbasis · top-k

Web-Suche · MCP-Toolextern · werkzeuge

DatenVerarbeiten

HTTP-Requestssrf-sicher

JSON-Transformjq-subset · sandboxed

Code-Nodekein user-js

Set-Variablezustand je run

Steuerung & AusgabeEnde

Bedingung · Switchverzweigen

Schleife · Delaywiederholen · warten

Dokument · E-Mailerzeugen · senden

Chat-Reply · Webhook-Responseantworten

Registry-Pattern · Kahn-Topology-Sort durable Queue Live-Trace via SSE

SSRF-Block — HTTP-Request sperrt private, Link-Local- & Metadata-IPs (RFC 1918, 169.254/16). jq-Subset statt eval — JSON-Transform läuft sandboxed, kein User-JS. Recursion-Guard — MAX_DEPTH = 3, Total-Step-Cap pro Run, 32-Byte-CSPRNG-Webhook-Token.

/03 — 09Knowledge Bases · RAG

Ihr gesamtes Wissen — befragbar, mit Quelle.

$ kisui kb sync --all

pgvector + LangChain, mandantenfähig, mit Versionierung pro Chunk. 10 Konnektoren ziehen Wissen aus Notion, Confluence, SharePoint, Google Drive, Slack, IMAP, Git, RSS und Sitemaps — mit Background-Sync, Reranking und Knowledge-Graph. Darunter die sieben Stufen vom Rohdokument zur belegten Antwort, gebaut auf LangChain.js und pgvector — jede Stufe einzeln konfigurierbar, mandantenfähig und background-synchronisiert über BullMQ.

wissensgebiete

Konnektorenoauth · sync · polling

NotionOAuth · 1 240 Pages
ConfluenceCloud + Server
SharePointMS Graph
Google Drive · Slack · IMAPsync
Git · RSS · Sitemappolling

Retrieval-Quality: Cross-Encoder-Rerank · Knowledge-Graph-Traversal · Multi-Hop · Cross-Lingual · Citations

Antworten mit Quellenangabe

Jede Aussage trägt die Fundstelle — nachprüfbar statt bloß behauptet (Stichwort Halluzination), eine Grundlage für Nachweise nach dem EU AI Act.

Rechte je Wissensbasis

Rollen-, User- & Gruppen-Permissions je KB, mit Ablaufdatum. Föderierte Cross-Tenant-Queries via signiertem KB-Passport.

1ingestion.ts

Ingestion

10 Konnektoren + Upload, OCR für Scans. ingestion.ts orchestriert.

2recursive-splitter

Chunking

LangChain Recursive-Splitter, konfigurierbare Größe & Overlap.

3openai · ollama

Embeddings

OpenAI- oder Ollama-Embeddings — Provider abstrahiert.

4cosine-similarity

pgvector / Qdrant

Cosine-Similarity-Suche, Versionierung pro Chunk — Qdrant als optionaler Vektor-Store zuschaltbar.

5cross-encoder

Reranking

Cross-Encoder ordnet die wirklich relevanten Passagen nach oben.

6multi-hop

Knowledge-Graph

Multi-Hop-Traversal verknüpft Fakten über Dokumente hinweg.

7citations

Antwort + Citations

Kontext-Injection in den Chat — jede Aussage mit Quelle.

Die 10 Konnektoren synchronisieren im Hintergrund über BullMQ — OAuth-basiert (Notion, Confluence, SharePoint, Drive, Slack) oder per Polling (Git, RSS, Sitemap, IMAP). Neue und geänderte Dokumente werden re-indexiert, der Vektor-Index bleibt aktuell.

/04 — 09Privacy Shield · PII-Maskierung

Echte Kundendaten nutzen. Ohne Klartext-PII zu senden.

$ kisui privacy --review

Eine Maskierungsschicht sitzt an jedem Daten-Ausgang — LLM-Call, Tool-Call, Embedding. Sie erkennt sensible Werte, ersetzt sie deterministisch durch reversible Tokens und demaskiert die Antwort ausschließlich lokal. Das Mapping verlässt nie den Server. Modellgestützte Erkennung läuft — wenn überhaupt — nur auf dem lokalen Runner, nie extern.

Live-Demo · links tippen — rechts sehen Sie, was das externe Modell wirklich bekommt

Was Sie eingeben · bleibt lokal

Was das externe Modell sieht

Reine Browser-Demo zur Veranschaulichung — im Produkt laufen Erkennung & Demaskierung serverseitig, das Token-Mapping verlässt nie Ihre Installation. Maskierung ist ein technischer Baustein, keine Compliance-Zusicherung.

Ein Baustein, kein Versprechen. Policy-gestützte Kontrolle vor jedem Provider-Call — so ist sie gebaut.

Detektoren ohne Python-Dienst

Regex + Prüfsummen (IBAN ISO 7064, Kreditkarte Luhn, Steuer-ID) in TypeScript, optional lokales NER als Ausbau.

fail-closed

Im Zweifel wird maskiert; der streaming-Demaskierer puffert Tokens, die über SSE-Chunks brechen.

Policy-Kaskade

Gruppe → Projekt/KB → globale Default-Policy, im Admin steuerbar.

Privacy-Admin-Debug

Maskierter Prompt + erkannte Entitäten pro Request einsehbar; Mapping AES-256-GCM-verschlüsselt auditiert.

Hinter Feature-Flag

Ausgeschaltet byte-identisches Verhalten (Rollback-sicher).

Hinweis

Technische Maskierung ist ein Baustein für datenschutzfreundliche KI-Nutzung — keine harte Compliance-Zusicherung. Die finale Bewertung trifft Ihre Datenschutz-Abteilung.

/05 — 09Architektur & Admin

Ein Monolith. Drei klare Schichten.

$ docker compose ps

Kein separates Backend, kein Kubernetes-Zwang: Next.js 16 App-Router mit Route-Handlern, eine Postgres für Daten, Logs & Embeddings — per Docker-Compose in Stunden ausgerollt.

FrontendNext.js 16 · React 19 · Tailwind · shadcn/ui

Public-Chatgast, token-link

Enduser-Chatauthentifiziert

Admin-Panel40+ oberflächen

Shared-Viewembed / iframe

Backend-ServicesZugang & KI

Authldap-bind · session · rbac

LLM-Routerprovider-abstraktion · streaming · fallback

RAG-Enginelangchain · pgvector / qdrant · rerank

Workflowsexecutor · 18 knoten · sse-trace

Backend-ServicesSchutz & Dateien

Auditjeder event · volltext · retention

Privacy-Shieldpii-maskierung · policies

Filesupload · ocr · s3

Mediaimagegen · tts · stt

Backend-ServicesWissen & Zusammenarbeit

Memoryfakten · summaries

Knowledgewissensgebiete · rechte

Collabshare · ordner · gruppen

Route-Handlerkeine externe api-schicht

Data-LayerAlles auf Ihrer Hardware

PostgreSQL 18+ pgvector · daten · logs · embeddings

Qdrant · Redis 7optionaler vektor-store · cache · bullmq-queue

MinIOs3-api · dateien

LDAP / ADidentity-provider

Frontend — vier Oberflächen, ein Next.js Backend — Route-Handler, keine externe API-Schicht Daten — bleiben auf Ihrer Hardware

Eine Chat-Anfrage, Schritt für Schritt. Jeder Request auditiert & gestreamt.

1redis

Rate-Limit

Redis Token-Bucket pro IP & User.

2nextauth

Auth + RBAC

NextAuth-Session, Rollen-Gate pro Route.

3zod · csp

CSRF + Zod

Jeder Input validiert, CSP-Nonce gesetzt.

4fallback-kette

LLM-Router

Modell-Routing mit Fallback-Kette.

5text/event-stream

SSE-Stream

Token-für-Token als text/event-stream.

6postgres

Audit-Log

User, Model, Tokens, Latenz → Postgres.

Admin-Panel · 40+ Oberflächen. Volle Kontrolle, keine magischen Env-Variablen: Jede Geschäftslogik lebt im Admin-Bereich — sichtbar, versioniert, auditiert. Von Modell-Cookbook, Benchmark-Arena und Fine-Tuning bis Privacy-Shield, Monitoring und DSGVO.

Dashboard

Recharts-Timeseries, Kostenaufschlüsselung, Top-User/-Modelle, Provider-Health.

Users & LDAP

Autodiscovery, AD-Gruppen-Browser, Rollen-Mapping, Sync mit Deaktivierungs-Schutz.

Audit-Logs

Cursor-Pagination, Filter, JSON-Drawer, CSV/JSON-Export — 200+ Audit-Actions.

LLM-Provider

CRUD, AES-GCM-Key-Encryption, Connection-Test, Auto-Detect der Modelle.

Prompts & Skills

Append-only-Versionierung mit History, Skill-Config-Validator mit live Indikator.

Branding & Settings

Logo, Farben, Live-Preview — plus gruppierte System-Settings ohne Deploy.

~460k

zeilen typescript

109

prisma-modelle

0

any · strict-mode

5+

llm-provider

100 %

on-premise

/06 — 09Security by Design

Gebaut für Compliance-Abteilungen.

$ npm audit && owasp --top10

Jede mutierende Operation ist auditiert, jeder API-Input Zod-validiert, jeder Secret AES-256-GCM-verschlüsselt. CSP mit Nonce-Policies, kein unsafe-inline, kein any in der Codebase.

NextAuth v5 + LDAP-Bind

Über TLS/StartTLS, RBAC-Middleware auf Route-Ebene.

Schutz an der Kante

Redis-Login-Rate-Limit, SSRF-Guards, HSTS, X-Frame-Options: DENY.

Privacy Shield

Maskiert PII vor jedem externen Call · Tool-Calling Zod-validiert & Output-gefenced.

4-Gate-Review pro Phase

Security · Code · Simplification · Doku · CVE-Gate in CI.

Self-hosted Stack · Docker-Compose. Acht Bausteine, alle auf Ihrer Hardware.

Next.js 16

react 19 · app router

Postgres 18

+ pgvector / qdrant

Redis 7

sessions · bullmq

MinIO

s3-api

Ollama / vLLM

gpu-inferenz

LangChain

rag-ingestion

LDAP / AD

identity

Nginx + TLS

reverse-proxy

OWASP Top 10 — je Kategorie adressiert. Threat-Modeling pro Phase · 4-Gate-Review.

a01

Broken Access Control

RBAC an jedem Endpoint, explizite Owner-Checks, keine IDOR.

a02

Cryptographic Failures

AES-256-GCM für Secrets, TLS in Transit, starke Session-Tokens.

a03

Injection

Prisma parametrisiert, keine Raw-SQL ohne Escaping, Zod-Validierung.

a04

Insecure Design

Threat-Modeling pro Phase, 4-Gate-Review vor jedem Merge.

a05

Security Misconfiguration

Keine Default-Credentials, env-basiert, Secure-Defaults in Compose.

a06

Vulnerable Components

npm audit in CI, Dependabot, committetes Lockfile.

a07

Auth Failures

Brute-Force-Schutz, Session-Invalidierung, keine Session-Fixation.

a08

Integrity Failures

Signierte Images, Lockfile, Supply-Chain-Audit.

a09

Logging Failures

Audit-Log ist Kern-Feature — nicht abschaltbar.

a10

SSRF

URL-Validierung bei Provider-Config, Deny-Listen für interne IPs.

/07 — 09On-Premise vs. Public Cloud

Die gleiche KI. Ohne Ihre Daten herzugeben.

$ diff public-cloud kisui

Neun Kriterien, die in Compliance- und IT-Gesprächen zuerst auf den Tisch kommen.

Kriterium	Public-Cloud-KI	KIS:UI · On-Premise
Daten verlassen Ihr Netz	✕Standard	✓nur, wenn Sie einen externen Provider freischalten
Modell-Wahl	✕eingeschränkt, beim Anbieter	✓Ollama · vLLM · eigene Gewichte (Cloud optional)
Audit jeder Aktion	◑begrenzt	✓200+ Actions
PII-Maskierung vor Modellaufruf	◑selten	✓Privacy Shield
LDAP / AD-SSO	◑teils, Enterprise-Tier	✓nativ
DSGVO-Export & -Löschung pro User	◑eingeschränkt	✓eingebaut
Workflows & Automatisierung	◑Zusatzprodukt	✓integriert
Air-Gap-fähig	✕Nein	✓Ja
Kostenmodell	◑pro Token / pro Seat	✓Lizenz + eigene Hardware

/08 — 09Einführung

Produktiv in Wochen, nicht Monaten.

$ rollout --wochen 4

Wir installieren, binden an und schulen — Sie behalten die Kontrolle. Ein typischer On-Premise-Rollout durch ki·spezial.

woche 1

Setup & Installation

Docker-Compose auf Ihrer Hardware
Postgres, Redis, MinIO, Nginx/TLS
Health-Checks & Backups

woche 2

Identity & Modelle

LDAP/AD-Bindung, Rollen-Mapping
Ollama/vLLM-Inferenz aufsetzen
LLM-Router & Fallback konfigurieren

woche 3

Wissen & Workflows

Erste Konnektoren anbinden
Wissensgebiete & Berechtigungen
Erste Automatisierungen bauen

woche 4

Rollout & Schulung

Branding & Prompt-Bibliothek
Admin- & Key-User-Schulung
Go-Live mit Monitoring

/09 — 09Technische Daten

Alles, was Ihre IT wissen will.

$ cat specs.md

Stack

FrontendNext.js 16 · React 19 · App Router · Tailwind · shadcn/ui

BackendNext.js Route-Handler (kein separates Backend) · TypeScript strict, 0 any · ~460k LOC

DatenbankPostgreSQL 18 + pgvector · optional Qdrant für KB · Prisma ORM · 109 Modelle · 61 Enums

Queue & CacheRedis 7 · BullMQ-Worker

ObjektspeicherMinIO (S3-kompatibel)

KI & Modelle

LLM-ProviderOllama · vLLM · OpenAI · Anthropic · jedes OpenAI-kompatible Gateway (Groq, OpenRouter, Azure)

RoutingFallback-Kette · exponentielles Retry · per-Provider-Rate-Limit · SSE-Streaming · Tool-Calls · Vision

RAGLangChain.js · pgvector / Qdrant · Hybrid (Dense + Sparse/BM25) · Cross-Encoder-Rerank · Knowledge-Graph · Faithfulness/Citation-Eval · 10 Konnektoren

EmbeddingsOpenAI- oder Ollama-Embeddings (abstrahiert)

Modell-DeploymentCookbook-v2-Wizard · LiteLLM-Gateway · vllm-runner-Sidecar (kein Docker-Socket in der App) · Rollback-Historie

QualitätAntwort-Verifikation · Evidenzklassen · Modell-Arena (ELO) · Benchmark-Bibliothek · Fine-Tuning-Export (SFT/DPO, JSONL)

MedienBildgenerierung · 6-Stimmen-TTS · Whisper-STT · lokale STT/TTS-Endpunkte

Sicherheit & Auth

AuthentifizierungNextAuth v5 · LDAP/AD-Bind über TLS/StartTLS

RollenPUBLIC · USER · ADMIN · SUPERADMIN (RBAC pro Route)

VerschlüsselungAES-256-GCM at Rest · TLS in Transit

Audit200+ Audit-Actions · Volltext · Retention · CSV/JSON-Export

Privacy ShieldPII-Maskierung vor LLM-/Tool-/RAG-/Gateway-Call · deterministische Tokens · lokale Demaskierung · Policy je Gruppe/KB (Feature-Flag)

ComplianceOWASP Top 10 adressiert · DSGVO-Export/-Löschung · CSP mit Nonce · CVE-Gate & Dependabot in CI

Betrieb

DeploymentDocker Compose · kein Kubernetes-Zwang · On-Premise / Air-Gap

AutomatisierungWorkflow-Builder · 18 Knotentypen · Versionierung · durable Queue · Retry/Abort · Cron/Webhook/Chat-Skill-Trigger

Administration40+ Admin-Oberflächen · mandantenfähig · Gruppen & Kanäle · Health-Probes & Monitoring

LizenzOn-Premise-Lizenz · Wartung & Support durch ki·spezial

FAQHäufige Fragen

Was Entscheider zuerst fragen.

$ man kisui --faq

01Welche Modelle laufen wirklich on-premise?+

Jedes Open-Weight-Modell über Ollama oder vLLM — z. B. Llama 3, Mistral, Qwen oder Ihre feingetunten Gewichte. Cloud-Provider (OpenAI, Anthropic, Azure) lassen sich optional zuschalten, sind aber standardmäßig aus. Der LLM-Router mischt beides hinter einer Fallback-Kette.

02Brauchen wir GPUs?+

Für lokale Inferenz ja — vLLM oder Ollama auf einer oder mehreren GPUs. Kleinere Modelle und Embeddings laufen auch auf CPU. Wir dimensionieren die Hardware passend zu Nutzerzahl und gewünschter Modellgröße.

03Wie lange dauert die Einführung?+

Wochen, nicht Monate. KIS:UI kommt als Docker-Compose-Stack, wird On-Premise installiert, ans Active Directory gebunden und Ihre Modelle werden freigeschaltet — inklusive Anbindung der ersten Wissensquellen.

04Wie aktuell bleibt das angebundene Wissen?+

05Ist es DSGVO- und EU-AI-Act-konform?+

Darauf ist es ausgelegt: 100 % On-Premise, lückenloses Audit, DSGVO-Export und -Löschung pro Nutzer, AES-256-GCM für Secrets, RBAC und Antworten mit Quellenangabe, die jede Aussage nachprüfbar macht. Die finale Bewertung trifft Ihre Compliance-Abteilung — wir liefern die technischen Voraussetzungen.

06Was macht der Privacy Shield genau?+

Wenn Sie doch einmal ein externes Modell (oder Tool) nutzen, maskiert der Privacy Shield erkannte personenbezogene Daten — Namen, IBANs, Steuer-IDs, Kreditkarten u. a. — bevor der Call das Haus verlässt. Ersetzt wird deterministisch durch Tokens wie [PERSON_1]; demaskiert wird die Antwort nur lokal, das Mapping bleibt verschlüsselt auf dem Server. Erkennung per Regex + Prüfsummen, optional per lokalem NER — nie über einen externen Dienst. Das Feature ist Flag-gesteuert und standardmäßig aus; technische Maskierung ist ein Baustein, keine Compliance-Garantie.

07Wie kommen neue Modelle auf die GPU?+

Über den Cookbook-v2-Wizard: Modell auswählen, Preflight-Gate prüft die Konfiguration, der vllm-runner-Sidecar startet den vLLM-Container auf dem GPU-Host — mit Live-Deploy-Polling und Rollback-Historie. Die App selbst bekommt dabei nie Zugriff auf den Docker-Socket; nur der gehärtete Sidecar mit Image-Allowlist und Namens-Präfix-Scope darf Container starten.

08Skaliert das über viele Nutzer?+

Ja. Hintergrundlast läuft über BullMQ-Worker, der LLM-Router verteilt mit Fallback und Rate-Limits, und die Plattform ist mandantenfähig mit Gruppen, Kanälen und per-KB-Berechtigungen. Skaliert wird horizontal über zusätzliche Worker und Inferenz-Knoten.

MEHRVerwandte Lösungen

KI, die Ihnen gehört. Auf Ihrer Hardware.

Wir installieren KIS:UI On-Premise, binden Ihr AD an und schalten Ihre Modelle frei — DSGVO-konform, in Wochen statt Monaten.

Docker-Compose-Stack · LDAP/AD · 100 % self-hosted

$ kisui --demo

Live-Demo anfragen → OpenClaw / Hermes ansehen Termin vereinbaren

30 Minuten, unverbindlich und direkt mit einem technischen Ansprechpartner. Telefon 09571 873149 · info@ki-spezial.systems