Wer KI-Assistenten in Entwicklung, Support oder Dokumentation einsetzt, verschickt Inhalte: Codeausschnitte, Vertragsentwürfe, Fehlerprotokolle, mitunter Kundendaten. Zwei aktuelle Berichte rücken die Frage in den Mittelpunkt, was mit diesen Eingaben nach dem Absenden geschieht – und wie belastbar die Zusagen der Anbieter sind.
Speicherfristen als Ausschlusskriterium
OpenAI und Anthropic versichern Firmenkunden, deren Daten nicht für das Training der Modelle zu verwenden. Diese Zusage betrifft jedoch nur einen Teil der Verarbeitungskette. Als Anthropic ankündigte, Nutzungsprotokolle seines Flaggschiff-Modells Fable 30 Tage lang zu speichern, schränkten Palantir, Nvidia und Booz Allen Hamilton den Einsatz für sensible Aufgaben ein.
Bemerkenswert daran ist nicht die Frist selbst, sondern die Reaktion. Kein Training mit Kundendaten heißt nicht automatisch: keine Speicherung. Protokolle entstehen zur Missbrauchserkennung, für Support und für Qualitätssicherung – und sie sind für einen definierten Zeitraum vorhanden, also grundsätzlich einsehbar, auswertbar und im Zweifel auch Gegenstand behördlicher Anfragen. Für Organisationen mit Geheimschutzanforderungen oder stark regulierten Datenbeständen genügt das, um ein Werkzeug für bestimmte Klassen von Aufgaben auszuschließen.
Menschen lesen mit
Die zweite Meldung betrifft die Bewertung von Modellantworten. Laut einem Bericht von 404 Media lässt OpenAI Hunderte Vertragsarbeiter echte ChatGPT-Gespräche lesen und auf einer Skala von eins bis sieben bewerten. Ziel ist unter anderem, Schmeichelei und übermäßig menschenähnliches Verhalten des Modells zu reduzieren – also Eigenschaften, die sich nur an realen Dialogen beurteilen lassen.
Die Prompts werden dafür anonymisiert. Anonymisierung entfernt allerdings nur identifizierende Metadaten, nicht den Inhalt: In einzelnen Fällen können die Texte weiterhin sensible Angaben enthalten – etwa dann, wenn jemand ein vollständiges Dokument oder eine Datenbankabfrage in das Eingabefeld kopiert. Wer das ausschließen möchte, muss die Einstellung Modell für alle verbessern aktiv deaktivieren. Sie ist also standardmäßig aktiv.
Die gemeinsame Linie beider Fälle
Beide Meldungen beschreiben unterschiedliche Anbieter und unterschiedliche Mechanismen – Protokollspeicherung auf der einen, menschliche Qualitätsbewertung auf der anderen Seite. Der gemeinsame Kern ist jedoch derselbe: Zwischen der öffentlichen Zusage wir trainieren nicht mit Ihren Daten und der tatsächlichen Verarbeitung liegt ein Bereich, der in Standardeinstellungen und Nebenbedingungen geregelt wird und den viele Teams nie prüfen.
Dazu kommt ein Unterschied, der in der Praxis häufig untergeht: Private Konten, Team-Tarife und Enterprise- oder API-Zugänge unterliegen bei den großen Anbietern nicht denselben Regeln. Wenn Mitarbeitende mit ihrem persönlichen Zugang arbeiten, greifen die für Firmenkunden zugesagten Bedingungen nicht zwangsläufig. Genau an dieser Stelle entsteht Schatten-IT – nicht aus böser Absicht, sondern weil das private Konto schneller verfügbar ist als der freigegebene Zugang.
Worauf Unternehmen bei der Auswahl achten sollten
Aus den beschriebenen Vorfällen lassen sich einige nüchterne Prüffragen ableiten, die vor der Einführung eines Assistenten beantwortet sein sollten:
- Speicherdauer: Wie lange werden Eingaben und Protokolle aufbewahrt, und lässt sich die Frist vertraglich verkürzen oder auf Null setzen?
- Zweck der Speicherung: Dient sie ausschließlich Missbrauchserkennung und Betrieb, oder auch Qualitätsbewertung und Produktverbesserung?
- Zugriff Dritter: Können externe Dienstleister oder Vertragsarbeiter Inhalte einsehen, und unter welchen Bedingungen?
- Voreinstellungen: Welche datenrelevanten Optionen sind standardmäßig aktiv, und wer im Unternehmen stellt sie zentral um?
- Tarifabhängigkeit: Welche Zusagen gelten nur für Enterprise- oder API-Nutzung und nicht für private Konten?
- Nachweisbarkeit: Lässt sich der Datenumgang dokumentieren, sodass er in einer Auftragsverarbeitungsvereinbarung oder einem Audit Bestand hat?
Konfiguration ist Teil der Architektur
Der Fall OpenAI zeigt, wie viel an einer einzelnen Voreinstellung hängt. Wer Assistenten im Unternehmen einführt, sollte solche Schalter nicht der individuellen Entscheidung überlassen, sondern zentral über Administrationsfunktionen setzen und dokumentieren. Dazu gehört auch eine klare Ansage, welche Datenkategorien überhaupt in ein Eingabefeld gehören – Personendaten, Zugangsdaten und Vertragswerke gehören in der Regel nicht dazu, unabhängig von der Zusage des Anbieters.
Technisch lässt sich vieles entschärfen, bevor es zur Vertragsfrage wird. Ein Gateway, das Anfragen aus internen Systemen bündelt, kann Inhalte vor dem Versand filtern, Platzhalter für sensible Felder einsetzen und protokollieren, welche Systeme welche Modelle aufrufen. Aufgaben mit besonders schützenswerten Daten lassen sich auf lokal oder in der eigenen Infrastruktur betriebene Modelle verlagern, während allgemeine Aufgaben weiterhin über leistungsfähige externe Dienste laufen. Diese Aufteilung nach Sensibilität ist meist wirtschaftlicher als der Versuch, alles im eigenen Haus zu betreiben – oder alles auszulagern.
Vertrauen braucht eine Alternative
Die Reaktion von Palantir, Nvidia und Booz Allen Hamilton ist auch deshalb lehrreich, weil sie kein Komplettverzicht war: Eingeschränkt wurde der Einsatz für sensible Aufgaben, nicht der Einsatz überhaupt. Diese Differenzierung ist der praktikable Weg. Sie setzt allerdings voraus, dass im Unternehmen bekannt ist, welche Aufgaben als sensibel gelten – und dass für diese Fälle eine benannte Alternative existiert.
Ebenso wichtig ist die Austauschbarkeit. Wenn ein Anbieter seine Speicherpraxis ändert, sollte das eine Konfigurationsentscheidung nach sich ziehen können und keine Neuentwicklung. Abstraktionsschichten zwischen Anwendung und Modell kosten in der Umsetzung wenig und halten diese Option offen.
Für Web- und Softwareprojekte heißt das: Der Datenumgang eines KI-Anbieters ist ein Architekturkriterium, nicht nur ein Thema für die Rechtsabteilung. Wer früh festlegt, welche Inhalte das eigene Netz verlassen dürfen, wer Voreinstellungen zentral verwaltet und Modelle hinter einer austauschbaren Schnittstelle anbindet, bleibt handlungsfähig, wenn sich Bedingungen ändern. Das ist derzeit die realistischere Annahme als die Erwartung stabiler Zusagen.