Wer sich mit offenen KI-Modellen beschäftigt, landet bei Hugging Face. Ob Metas Llama, Googles Gemma, Qwen oder OpenAIs gpt-oss: Die Modelldateien liegen auf dieser Plattform, die Anfang November 2026 rund 3,2 Millionen Modelle und 1,1 Millionen Datensätze zählte. Seit September steht zudem fest, dass Nvidia das Unternehmen für rund 12,93 Milliarden US-Dollar kaufen will. Was steckt dahinter, und wie probierst du Modelle selbst aus?

Vom Teenager-Chatbot zur KI-Plattform

Gegründet wurde Hugging Face 2016 in New York von Clément Delangue, Julien Chaumond und Thomas Wolf, benannt nach dem Emoji mit den umarmenden Händen. Anfang 2017 startete eine Chatbot-App, die TechCrunch als digitalen Freund für gelangweilte Teenager beschrieb. Bekannt wurde die Firma aber durch ihre Open-Source-Bibliothek transformers, mit der sich vortrainierte Sprachmodelle in wenigen Zeilen Python nutzen lassen. Daraus wuchs der Hub. 2023 bewerteten Investoren wie Google, Amazon und Nvidia das Unternehmen mit 4,5 Milliarden Dollar. Im Februar 2026 schloss sich das Team hinter llama.cpp an. Am 3. September 2026 kündigte Nvidia-Chef Jensen Huang die Übernahme an: Hugging Face bleibe offen, Nvidia-Hardware werde nicht vorausgesetzt. Abschließen will Nvidia den Kauf im ersten Halbjahr 2027, die Behörden müssen noch zustimmen.

Das Herunterladen öffentlicher Modelle ist kostenlos. Geld verdient die Firma mit Abos und Rechenleistung: PRO kostet 9 US-Dollar im Monat, Team 20 und Enterprise 50 Dollar pro Nutzer und Monat. Dazu kommen GPU-Hardware für Spaces, dedizierte Inference Endpoints und die Inference Providers, die Anfragen an Partner wie Groq oder Together weiterleiten. Laut The Information liegt der hochgerechnete Jahresumsatz bei rund 150 Millionen Dollar.

Was auf dem Hub liegt: Modelle, Datensätze, Spaces

Technisch ist jedes Modell, jeder Datensatz und jede App ein Git-Repository. Zum Modell gehören Gewichte, Konfigurationsdateien und die Modellkarte, eine README.md mit Metadaten wie der Lizenz. Sie soll laut Hugging Face auch Einsatzzweck, Grenzen, Trainingsdaten und Evaluationsergebnisse beschreiben. Spaces sind kleine Web-Apps auf Basis von Gradio, Docker oder statischem HTML.

Wichtig ist die Lizenz, die jede Modellseite anzeigt. Neben Open-Source-Lizenzen wie Apache 2.0 oder MIT gibt es eigene Bedingungen, etwa von Meta für Llama oder Google für Gemma. „Offen“ heißt dann nur, dass die Gewichte herunterladbar sind. Bei sogenannten Gated Models musst du angemeldet sein, den Bedingungen zustimmen und meist Benutzername und E-Mail-Adresse mit dem Anbieter teilen. Je nach Einstellung gibt es den Zugang sofort oder erst nach manueller Prüfung. So gesperrt sind etwa die Original-Repositories von Llama 3.2 und Gemma 3.

Die wichtigsten Werkzeuge

transformers (aktuell Version 5.22.2) lädt Text-, Bild- und Audiomodelle auf Basis von PyTorch über eine einheitliche Schnittstelle. diffusers ist das Gegenstück für Generatoren von Bildern, Videos und Audio, datasets lädt und streamt auch sehr große Datensätze. safetensors ist ein Dateiformat, das nur Tensoren und Metadaten enthält und beim Laden keinen Code ausführt. Es ist Standard auf dem Hub und gehört seit April 2026 zur herstellerneutralen PyTorch Foundation. Das Kommandozeilenwerkzeug heißt seit Juli 2025 hf, der alte Befehl huggingface-cli ist inzwischen entfernt:

pip install -U huggingface_hub
hf auth login                            # anmelden, z. B. für Gated Models
hf download Qwen/Qwen2.5-0.5B-Instruct   # Modell-Repository laden
hf cache ls                              # zeigt, was schon lokal liegt

So probierst du ein Modell selbst aus

Im Browser über einen Space

Am schnellsten geht es unter huggingface.co/spaces: Demo aussuchen, ausprobieren. Viele Spaces laufen auf ZeroGPU, geteilten Nvidia-GPUs mit Tageskontingent: zwei Minuten ohne Anmeldung, fünf mit kostenlosem Konto, 40 mit PRO. Eigene Gradio- oder Docker-Spaces setzen inzwischen ein Bezahlkonto voraus; kostenlose Konten, die älter als 30 Tage sind, dürfen aber bis zu zwei ZeroGPU-Spaces betreiben.

Lokal mit Python und transformers

transformers braucht Python 3.11 oder neuer und PyTorch:

python3 -m venv hf-test && source hf-test/bin/activate
pip install "transformers[torch]"

Das folgende Skript lädt Qwen2.5-0.5B-Instruct, ein kleines Chatmodell unter Apache-2.0-Lizenz, das laut Modellkarte auch Deutsch beherrscht. Der Download ist rund 1 GByte groß:

from transformers import pipeline

chat = pipeline("text-generation", model="Qwen/Qwen2.5-0.5B-Instruct", dtype="auto")

nachrichten = [
    {"role": "user", "content": "Erkläre in zwei Sätzen, was ein Sprachmodell ist."}
]
antwort = chat(nachrichten, max_new_tokens=120)
print(antwort[0]["generated_text"][-1]["content"])

transformers nutzt automatisch eine Nvidia-GPU oder die GPU eines Apple-Silicon-Macs, sonst die CPU. Wunder darfst du von einer halben Milliarde Parametern nicht erwarten: In unserem Test war die Antwort sprachlich ordentlich, inhaltlich aber ungenau. Für größere Modelle tauschst du nur den Namen.

Ohne Programmieren: GGUF mit llama.cpp oder Ollama

Noch einfacher geht es mit GGUF-Dateien. Das Format von llama.cpp-Entwickler Georgi Gerganov bündelt Gewichte und Metadaten in einer Datei, oft in mehreren verkleinerten (quantisierten) Varianten. llama.cpp, etwa per brew install llama.cpp installiert, und Ollama laden sie direkt vom Hub:

# llama.cpp: Chat im Terminal (je nach Version auch llama-cli)
llama cli -hf Qwen/Qwen2.5-0.5B-Instruct-GGUF

# Ollama
ollama run hf.co/Qwen/Qwen2.5-0.5B-Instruct-GGUF

Ollama wählt laut Hugging-Face-Dokumentation standardmäßig die Variante Q4_K_M, eine andere bestimmst du mit einem Anhang wie :Q8_0. Mit llama serve startet llama.cpp zudem einen lokalen Server mit OpenAI-kompatibler Schnittstelle.

Welche Hardware du brauchst

Entscheidend ist der Speicher. Ein Modell mit 8 Milliarden Parametern braucht laut transformers-Dokumentation in 32-Bit-Genauigkeit rund 32 GByte, in 16 Bit die Hälfte. Quantisierung speichert Gewichte mit noch weniger Bits und versucht dabei, möglichst viel Genauigkeit zu erhalten. Das verbreitete GGUF-Format Q4_K kommt auf 4,5 Bit pro Gewicht, ein 8-Milliarden-Modell also auf gut 4,5 GByte. Beim Qwen-Beispiel schrumpft die GGUF-Datei von 1,27 GByte (16 Bit) auf 0,49 GByte (Q4_K_M). Ideal ist, wenn das Modell komplett in den Grafikspeicher (VRAM) passt; was in den Arbeitsspeicher oder auf die SSD ausweicht, bremst.

Symbolbild: Grafikkarte Asus ROG Strix GeForce RTX 4090 mit drei Lüftern, von oben fotografiert

Bild: Für lokale KI zählt vor allem der Grafikspeicher (Symbolbild: Grafikkarte Asus ROG Strix RTX 4090). Foto: Benlisquare / Wikimedia Commons, CC BY-SA 4.0

Sicherheit: Modelle sind mehr als Daten

Klassische PyTorch-Gewichte sind mit Pythons pickle gespeichert, und pickle kann beim Laden beliebigen Code ausführen. Hugging Face scannt Uploads, räumt aber selbst ein, dass das nicht lückenlos ist. JFrog fand im Februar 2024 rund 100 präparierte Modelle mit Hintertür, ReversingLabs zeigte 2025 zwei Modelle, die den pickle-Scanner austricksten. Im Mai 2026 stand laut HiddenLayer ein als OpenAI-Modell getarntes Repository auf Platz 1 der Trends, das über ein Python-Skript unter Windows einen Infostealer nachlud. Ähnliche Maschen kennt man von GitHub, etwa die Kampagne mit verseuchten Security-Tools.

  • Bevorzuge safetensors oder GGUF von bekannten Anbietern. Downloads und Likes sind kein Gütesiegel: Im genannten Fall waren sie laut HiddenLayer fast sicher künstlich aufgebläht.
  • Setze trust_remote_code=True nur, wenn du den Code im Repository geprüft hast, denn transformers führt ihn dann aus. Die Dokumentation rät, per revision= einen festen Commit zu laden.
  • Behandle Access Tokens wie Passwörter: ein eng begrenztes Token (fine-grained) pro Anwendung, nie im Code. Wie schnell Schlüssel öffentlich werden, zeigt unser Bericht über Claude Code und GitHub.

Auch die Plattform selbst ist ein Ziel. Am 16. Juli 2026 legte Hugging Face einen Einbruch durch ein autonomes KI-Agentensystem offen. Betroffen waren nach eigenen Angaben einige interne Datensätze und Zugangsdaten, Manipulationen an öffentlichen Modellen, Datensätzen oder Spaces fand das Unternehmen nicht; Nutzern riet es vorsorglich, ihre Tokens zu erneuern. Fünf Tage später erklärte OpenAI, es seien eigene Modelle gewesen, die bei einem internen Cybersicherheitstest aus ihrer Testumgebung ausgebrochen seien.

Einordnung: unverzichtbar und gerade deshalb heikel

Für offene KI ist Hugging Face kaum zu ersetzen. Der Hub macht Modelle von Konzernen und kleinen Laboren gleichermaßen auffindbar, Nvidia allein hat nach eigenen Angaben mehr als 500 Modelle dort veröffentlicht. Gerade diese zentrale Rolle ist der wichtigste Kritikpunkt: Fällt die Plattform aus oder wird sie kompromittiert, trifft das einen großen Teil des Ökosystems. Mit Nvidia als künftigem Eigentümer kommt die Frage der Neutralität hinzu. Laut Reuters will das US-Justizministerium wissen, ob Nvidia damit einen zentralen Vertriebsweg für KI kontrollieren und Konkurrenten schaden könnte.

Auch die Dokumentation schwankt. Eine Analyse von 32.111 Modellkarten auf Hugging Face ergab 2024, dass ausgerechnet die Abschnitte zu Grenzen, Evaluation und Umweltauswirkungen am seltensten ausgefüllt sind. Prüfe deshalb Modellkarte, Lizenz und Herausgeber, bevor du ein Modell ernsthaft einsetzt.

Quellen

Bildnachweis