Daten in Cloud-KI-Diensten: Was Sie vor der Nutzung prüfen sollten

Eine Frage an einen Assistenten zu senden, eine Modell-API zu verwenden oder eine KI-Funktion innerhalb einer anderen Plattform zu aktivieren, kann jeweils eine andere Datenverarbeitung bedeuten. Deshalb reicht eine allgemeine Aussage wie „Der Anbieter verwendet meine Daten nicht“ nicht aus, um zu entscheiden, ob das Hochladen eines Dokuments, von Code oder Kundeninformationen sicher ist. Die Antwort hängt vom konkreten Dienst, vom Kontotyp und von den Bedingungen für die jeweilige Funktion ab.

Die Dokumentation sollte als Regelwerk gelesen werden und nicht als Versprechen, das auf einer Verkaufsseite zusammengefasst ist. Ermitteln Sie, welche Daten zu welchem Zweck verarbeitet und wie lange sie gespeichert werden und welche Optionen für das jeweilige Konto verfügbar sind. Als praktische Regel gilt: Prüfen Sie jedes Produkt und jede Einstellung einzeln, statt eine Richtlinie von einem Dienst auf einen anderen zu übertragen.

Bei der Aufbewahrung geht es darum, wie lange Informationen gespeichert werden dürfen und für welche Vorgänge. Zwischen übermittelten Inhalten, dem für Nutzer sichtbaren Verlauf, Sicherheitsprotokollen und mit einer Anfrage verbundenen Daten kann es Unterschiede geben. Dass eine Unterhaltung in einer Oberfläche nicht mehr angezeigt wird, beweist für sich genommen nicht, dass alle Kopien oder Protokolle gelöscht wurden; dafür ist eine dienstspezifische Dokumentation erforderlich.

Die Verwendung von Daten zur Verbesserung oder zum Training von Modellen ist eine andere Frage. OpenAI erklärt, dass Nutzer mit den ChatGPT-Kontrollen auswählen können, ob Unterhaltungen zum Training beitragen, und dass die verfügbaren Optionen unter anderem vom Tarif und den Workspace-Einstellungen abhängen. Dieselbe Dokumentation erläutert, dass das Deaktivieren von „Improve the model for everyone“ verhindert, dass neue Unterhaltungen zum Modelltraining verwendet werden; sie können jedoch weiterhin im Verlauf erscheinen. Training zu deaktivieren bedeutet weder, den Verlauf zu löschen, noch eine Aufbewahrungsfrist festzulegen.

Training ist außerdem von einer Inhaltsprüfung zu Zwecken der Sicherheit oder Missbrauchsprävention zu unterscheiden. Das sind unterschiedliche Zwecke, für die unterschiedliche Regeln gelten können. Allgemeine Informationen zu Unternehmensdaten ersetzen nicht die konkreten Hinweise für eine API, Funktion oder einen Tarif. Bevor Sie sich auf einen Ausschluss verlassen, prüfen Sie, ob er für das verwendete Werkzeug gilt, welche Bedingungen erfüllt sein müssen und ob der Ausschluss beantragt oder ausdrücklich aktiviert werden muss.

Kontrollen können je nach Produkt, Kontotyp, Region oder verwalteter Konfiguration variieren. Für ChatGPT weist OpenAI darauf hin, dass die verfügbaren Optionen davon abhängen, ob der Nutzer angemeldet ist, welchen Tarif er hat und welche Workspace-Einstellungen gelten. Übertragen Sie diesen Hinweis nicht automatisch auf andere Anbieter: Er veranschaulicht, weshalb die Bezeichnung einer Option nicht genügt; Sie müssen Umfang und Ausnahmen in der aktuellen Dokumentation genau dieses Dienstes prüfen.

Bevor Sie einen KI-Dienst mit eigenen Informationen nutzen, suchen Sie die Datenrichtlinie und die produktspezifischen Anweisungen. Achten Sie auf konkrete Antworten zu diesen Fragen:

• Was übermittelt wird: Eingaben, Anhänge, Ausgaben, Metadaten und Nutzungsdaten.
• Zu welchem Zweck die Verarbeitung erfolgt: Bereitstellung des Dienstes, Sicherheit, Support oder Verbesserung von Modellen.
• Wie lange Daten gespeichert werden: Fristen je Datentyp und mögliche Ausnahmen, etwa Sicherheitsprotokolle.
• Wer Zugriff haben kann: Mitarbeitende des Anbieters, Workspace-Administratoren oder Unterauftragsverarbeiter, sofern zutreffend.
• Was Kunden steuern können: Ausschluss vom Training, Löschung, Export, konfigurierbare Aufbewahrung und Berechtigungen.
• Für welches Konto die Angaben gelten: Privatkonto, Geschäftskonto, API oder eine andere Form sowie mögliche Abweichungen durch Vertragsbedingungen.

Wenn die Seite eine wichtige Frage nicht beantwortet, schließen Sie die Lücke nicht mit einer Vermutung auf Grundlage eines anderen Dienstes. Konsultieren Sie die Vertragsdokumentation, die Administratoreinstellungen oder den Supportkanal des Anbieters. Bei Organisationen sollte außerdem geklärt werden, wer Kontrollen aktivieren darf und wie Daten entsprechend den geltenden internen und gesetzlichen Pflichten verarbeitet werden.

Der Europäische Datenschutzausschuss bündelt Informationen und politische Arbeit zu künstlicher Intelligenz und zum Schutz personenbezogener Daten. Dieser Rahmen ist für die Bewertung von Verantwortlichkeiten und Risiken relevant. Er legt jedoch nicht selbst fest, wie lange ein bestimmter Dienst eine Anfrage speichert oder welche Einstellung für ein Konto aktiviert ist. Dafür sind die konkreten Bedingungen und Hinweise des Anbieters sowie die tatsächliche Konfiguration erforderlich.

Die Unterlagen der AEPD zu Innovation und Technologie können als institutioneller Ausgangspunkt dienen, um Ressourcen zu neuen Technologien zu finden. Eine Themenseite ersetzt jedoch weder eine rechtliche Prüfung des konkreten Falls noch bestätigt sie, dass ein bestimmtes Werkzeug alle geltenden Anforderungen erfüllt. Regulatorische Leitlinien ordnen ein; die Servicedokumentation und die Konfiguration bestimmen, welche Bedingungen der Anbieter für diese Nutzung angibt.

Die verfügbaren Quellen stützen eine begrenzte Schlussfolgerung: Bei KI-Diensten müssen Training, Aufbewahrung und Kontrollen des Kontos getrennt geprüft werden. Die offizielle ChatGPT-Hilfe zeigt, dass eine Trainingseinstellung neue Unterhaltungen betreffen kann, ohne den Verlauf unbedingt zu entfernen, und dass die Optionen vom Tarif und Workspace abhängen. Das verdeutlicht, warum eine Datenschutzoption nicht als allgemeine Garantie verstanden werden sollte.

Hier gibt es weder einen vollständigen, aktuellen Anbietervergleich noch ausreichende Belege, um Aufbewahrungsfristen bestimmter Dienste festzustellen oder zu behaupten, eine bestimmte Option schließe eine menschliche Prüfung aus. Auch wird keine aktuelle Änderung beschrieben, die eine Eilmeldung rechtfertigen würde. Die nützliche Schlussfolgerung ist methodischer Art: Übermitteln Sie keine sensiblen Informationen, bevor Sie die für Ihren Dienst, Ihr Konto und Ihre Konfiguration geltende Richtlinie identifiziert haben, und halten Sie alle Punkte fest, die in der Dokumentation offenbleiben.