Zum Hauptinhalt springen

Datenschutz und Compliance bei generativer KI: Eine Analyse der Datenarchitektur

  • Die Prämisse einer ethisch ausgerichteten und konstitutionellen Algorithmen-Architektur suggeriert oftmals ein trügerisches Gefühl der absoluten Datensicherheit.

  • Ein Anbieter, der Sicherheit zum Bestandteil seines Selbstverständnisses macht, nimmt dem Unternehmen die eigene Prüfpflicht nicht ab. Wer personenbezogene oder geschäftskritische Daten verarbeitet, bleibt dafür verantwortlich – unabhängig davon, nach welchen Grundsätzen das eingesetzte Modell entwickelt wurde. Im aktuellen Diskurs um den strategischen Einsatz von Künstlicher Intelligenz (KI) nimmt das Unternehmen Anthropic mit seinen Claude-Modellen eine prominente Sonderrolle ein. Ein Blick auf die veröffentlichten Datenverarbeitungspraktiken zeigt jedoch Unterschiede zwischen den Zugangswegen, die für die unternehmerische Compliance bei der fortschreitenden Digitalisierung erheblich sind. Der folgende Beitrag ordnet ein, was sich anhand der zugänglichen Arbeiten belegen lässt – und was nicht.

    Das Transparenz-Paradoxon bei Foundation Modellen

    Eine zentrale Fragestellung der aktuellen IT-Sicherheitsforschung betrifft die Nachvollziehbarkeit, wie Nutzerinteraktionen von Anbietern moderner KI-Mittel indiziert und gespeichert werden. Der Foundation Model Transparency Index der Stanford University bewertet zehn führende Anbieter anhand von 100 Transparenzindikatoren (Bommasani et al., 2023; arXiv-Preprint, nicht referiert). Es handelt sich um eine Auswertung öffentlich zugänglicher Angaben aus dem Jahr 2023, nicht um eine technische Prüfung der Systeme; bewertet wurde jeweils das damalige Spitzenmodell, für Anthropic also Claude 2. Der höchste Gesamtwert lag bei 54 von 100 Punkten (Meta, Llama 2), der Mittelwert bei 37, der niedrigste Wert bei 12 (Amazon, Titan Text); Anthropic kam auf 36 von 100 Punkten und damit auf einen Platz im Mittelfeld (ebd., Abb. 7). Über die gesamte Gruppe hinweg – einschließlich Anthropic – fallen die Werte dort am schwächsten aus, wo es um die Herkunft der Trainingsdaten und um die Folgen der nachgelagerten Nutzung geht: Im Teilbereich der nachgelagerten Wirkung liegt der Durchschnitt bei 11 Prozent und damit am niedrigsten im gesamten Index (ebd.). Für Organisationen folgt daraus zunächst nur eines: Was mit den eingegebenen Daten auf den Servern des Anbieters geschieht, lässt sich aus den öffentlichen Angaben allein nicht vollständig rekonstruieren. Der Index misst die Offenlegung, nicht die Verarbeitung selbst.

    Strukturelle Divergenz: API-Nutzung versus Consumer-Interface

    Ein kritischer Faktor bei der Bewertung der Modellsicherheit ist die oft missverstandene rechtliche und technische Trennung der Zugangswege. Für die kommerzielle Nutzung sagt Anthropic in den Commercial Terms of Service in der Fassung vom 17. Juni 2025 ausdrücklich zu: „Anthropic may not train models on Customer Content from Services“ (Abschnitt B; Primärquelle des Anbieters, von außen nicht überprüfbar). Für Eingaben über frei zugängliche Web-Oberflächen gelten abweichende Bedingungen. Die Datenschutzkonferenz verlangt vom Verantwortlichen genau diese Prüfung: „Es ist zu prüfen, ob Ein- und Ausgabedaten für das Training verwendet werden, diesbezüglich ausreichend informiert wird und die Möglichkeit eröffnet wird, die Nutzung der Daten für das Training auszuschließen“ (DSK, 2024, Nr. 1.9). Maßgeblich ist in beiden Fällen die jeweils gültige Vertragsfassung, nicht die allgemeine Außendarstellung – die Bedingungen der Anbieter wurden in den vergangenen Jahren mehrfach geändert. Der rechtswissenschaftliche Aufsatz von Hacker et al. (2023) ordnet generative Modelle in den europäischen Rechtsrahmen ein und benennt die Pflichten, die dabei auf den Verantwortlichen zukommen; eine empirische Erhebung darüber, welche Daten einzelne Consumer-Oberflächen speichern, enthält er nicht. Für die Praxis bleibt es deshalb bei einer nüchternen Feststellung: Wer KI-Tools zur Effizienzsteigerung über Standard-Weboberflächen einsetzt, ist auf die jeweils geltenden Verbraucherbedingungen des Anbieters angewiesen und kann deren Einhaltung nicht selbst überprüfen.

    Regulatorische Grauzonen durch „Trust & Safety“-Logging

    Die Speicherung und Auswertung von Benutzerindizes zur Gewährleistung der allgemeinen Modellsicherheit („Trust & Safety Logging“) wirft für Unternehmen eine eigenständige rechtliche Frage auf. Auch wenn Anbieter die Eingabedaten nicht aktiv für das Gewichtungstraining der neuronalen Netze nutzen, verbleiben sensible Geschäftsinformationen in den Log-Dateien der Sicherheitsinfrastruktur. Carlini et al. (2021) zeigten an GPT-2, dass sich einzelne wörtliche Passagen aus den Trainingsdaten eines Sprachmodells wieder herauslösen lassen. Die Arbeit betrifft das Modell selbst, nicht die Log-Dateien einer Sicherheitsinfrastruktur. Sie belegt damit das Risiko für den Fall, dass Eingaben in das Training gelangen; über Speicherdauer und Zugriff in Sicherheitslogs sagt sie nichts. Für die kommerzielle Nutzung nennt Anthropic hierzu eigene Fristen: „For Anthropic API users, we automatically delete inputs and outputs on our back-end within 30 days of receipt or generation“; markieren die automatisierten Trust-and-Safety-Systeme einen Vorgang als Verstoß gegen die Nutzungsrichtlinie, gilt: „We retain inputs and outputs for up to 2 years and trust and safety classification scores for up to 7 years“ (Anthropic Privacy Center; Primärquelle des Anbieters). Die Zwei-Jahres-Frist für markierte Inhalte greift nach der Entwicklerdokumentation auch dann, wenn eine Zero-Data-Retention-Vereinbarung besteht. Offen bleibt dagegen, wer auf diese Inhalte zugreifen darf: Die von uns eingesehenen öffentlichen Angaben – Datenschutzerklärung, Privacy Center und Entwicklerdokumentation – benennen die Zugriffsberechtigten nicht. Diese Lücke muss der Verantwortliche in seiner eigenen Dokumentation schließen.

    Fazit: Synthese und strategische Handlungsempfehlung

    Die Reputation eines sicherheitsfokussierten Anbieters entbindet Organisationen nicht von der eigenen Prüfung. Wer moderne Sprachmodelle für sensible Vorgänge einsetzt, sollte den Weg über die kommerzielle Schnittstelle wählen und die Speicherfrist vertraglich regeln, soweit der Anbieter ein Zero-Data-Retention-Agreement (ZDR) anbietet. Zu prüfen ist dabei, worauf sich die Zusage bezieht: auf das Training, auf die Protokollierung oder auf beides. Anthropic grenzt den Umfang selbst ein – nach der Entwicklerdokumentation deckt eine ZDR-Vereinbarung weder alle Produkte und Funktionen ab noch den Fall, dass Inhalte von den Sicherheitssystemen markiert werden. Für die Verarbeitung sensibler Unternehmensdaten über reguläre Web-Oberflächen fehlt dem Verantwortlichen dagegen die Grundlage, Speicherdauer und Weiterverwendung der Eingaben zu dokumentieren. Solange diese Angaben von außen nicht prüfbar sind, lässt sich der Weg gegenüber einer Aufsichtsbehörde nicht belegen.

    Quellenverzeichnis

    Hinweis: Die folgenden Links führen direkt zu den verifizierten, wissenschaftlichen Originalpublikationen (PDF-Dokumente) der Forschungsdatenbank arXiv.

    Über den Autor

    Prof. Dr. rer. nat. Mike Espig

    Professor für Mathematik und angewandte Künstliche Intelligenz in der Industrie an der Westsächsischen Hochschule Zwickau · Gründungsleiter der Data Science Research Group · Geschäftsführer der E&O Gesellschaft für Integrierte KI-Systeme mbH

    Zuvor Max-Planck-Institut für Mathematik in den Naturwissenschaften und RWTH Aachen. Arbeitsschwerpunkte: numerische Verfahren für hochdimensionale Probleme, Tensormethoden und der Einsatz von Sprachmodellen in mittelständischen Unternehmen.