KI-Datenschutz und Aufbewahrung erklärt

Die erste Frage: Verlässt es überhaupt Ihre Infrastruktur

Ein Cloud-KI-Produkt schickt, was Sie eingeben, an einen entfernten Server, den Sie nicht kontrollieren, betrieben vom Modellanbieter oder dem Backend des Produkts selbst. Ein Modell, das lokal auf Ihrer eigenen Hardware läuft (siehe was lokale KI ist), schickt Ihre Eingabe nirgendwohin — es gibt keine Netzwerkanfrage abzufangen und keinen Dritten, dem man vertrauen müsste, weil die Berechnung auf einem Rechner stattfindet, den Sie bereits kontrollieren.

Ob Ihre Daten ein künftiges Modell trainieren, ist eine andere Frage als ob sie gespeichert werden

Ein Anbieter kann Ihre Unterhaltungen aus betrieblichen Gründen speichern — Fehlersuche, Missbrauchserkennung, Produktanalyse —, ohne sie zum Training von Modellen zu verwenden, und ein Anbieter kann auch beides tun. Das sind in den meisten Produkten wirklich getrennte Entscheidungen mit getrennten Einstellungen, daher nennt eine gute Datenschutzrichtlinie jede davon ausdrücklich, statt sie in eine vage Aussage über „die Verbesserung unserer Dienste“ zu bündeln. Wenn ein Produkt die beiden nicht klar trennt, ist diese Unklarheit selbst bemerkenswert.

Eine Aufbewahrungsfrist zählt nur, wenn Löschung tatsächlich passiert

Ein angegebenes Aufbewahrungsfenster — etwa „30 Tage“ — beschreibt eine Absicht, keine Garantie, es sei denn, das Produkt kann Ihnen auch zeigen, dass sie eingehalten wurde: ein Export auf Kontoebene, eine sichtbare Löschaktion, oder ein Support-Prozess, der Daten tatsächlich entfernt statt sie nur aus der Oberfläche zu verbergen. Backups sind die übliche Lücke: aus dem Live-System gelöschte Daten können in Backups für eine separate, oft längere Aufbewahrungsfrist fortbestehen, die Richtlinien nicht immer genau angeben.

Der Weg Ihrer Daten umfasst oft mehr Parteien als nur den KI-Anbieter

Ein Produkt, das auf einer API eines Drittanbieter-Modells aufbaut, leitet Ihre Eingabe durch mindestens zwei Organisationen: das Produkt selbst und den Modellanbieter, dessen API es aufruft. Fügen Sie Protokollierungsinfrastruktur, Fehlerverfolgungstools und Cloud-Hosting hinzu, und die realistische Kette der Verwahrung für eine einzelne Nachricht kann sich über mehrere Unternehmen erstrecken, jedes mit eigenen Richtlinien. Ein vertrauenswürdiges Produkt legt seine Subunternehmer offen, statt „wer sonst sieht das“ als offene Frage stehen zu lassen.

Was Sie prüfen sollten, bevor Sie etwas Sensibles in ein KI-Tool einfügen

Ob das Produkt standardmäßig Modelle mit Ihrer Eingabe trainiert, und ob sich das abschalten lässt. Wie die angegebene Aufbewahrungsfrist lautet, und ob Sie Löschung selbst auslösen und überprüfen können. Ob die Verarbeitung in der Cloud stattfindet oder lokal laufen kann für Daten, die Ihre Infrastruktur nicht verlassen dürfen. Und ob das Produkt seine Subunternehmer nennt, statt das als unbeantwortete Frage stehen zu lassen, die Sie einfach glauben müssen.

Häufige Fragen

Verwendet jedes KI-Produkt meine Unterhaltungen zum Training seiner Modelle?

Nein — das variiert je nach Produkt und ist meist eine von der Datenspeicherung getrennte Einstellung. Das Speichern von Unterhaltungen für Fehlersuche oder Support bedeutet nicht automatisch, dass sie zum Training verwendet werden; eine klare Datenschutzrichtlinie nennt jede Verwendung ausdrücklich.

Sind meine Daten sofort weg, wenn ich sie lösche?

Nicht unbedingt aus jedem System. Löschung aus dem Live-Produkt ist üblich, aber Backups behalten Daten oft für eine separate Frist, die nicht immer klar angegeben ist — es lohnt sich, das konkret zu prüfen, statt anzunehmen, Löschung sei überall sofort.

Ist lokale KI automatisch privater als ein Cloud-KI-Produkt?

Für die konkrete Frage, ob Ihre Eingabe Ihre Infrastruktur verlässt, ja — ein Modell auf Ihrer eigenen Hardware hat nichts irgendwohin zu senden. Es löst nicht automatisch jede Datenschutzfrage (etwa was eine Client-Anwendung lokal protokolliert), aber es beseitigt die Frage der Übertragung an Dritte vollständig.

Was sind Subunternehmer, und warum sind sie für den Datenschutz wichtig?

Andere Unternehmen, die neben dem KI-Produkt selbst an der Verarbeitung Ihrer Daten beteiligt sind — der Modellanbieter, dessen API es aufruft, Hosting-Infrastruktur, Protokollierungs- oder Analysetools. Jedes davon ist eine Partei, die Ihre Daten sehen könnte, daher gibt ein Produkt, das seine Subunternehmer offenlegt, Ihnen ein klareres Bild als eines, das das nicht tut.