Wenn du zweimal darüber nachgedacht hast, proprietäres Wissen oder Kundendaten mit OpenAI oder Anthropic zu teilen, bist du nicht allein. Der Schutz der Privatsphäre ist für Unternehmen, die einen KI-Anbieter auswählen, zu einem entscheidenden Faktor geworden. Fortune berichtete(neues Fenster) diese Woche, dass die Labore an der Spitze der KI-Innovation inzwischen über Zero Data Retention (ZDR) konkurrieren. Das Versprechen von ZDR ist einfach: Der Anbieter verarbeitet deinen Prompt, gibt eine Antwort zurück und legt keine Aufzeichnung davon an. In der Praxis bleibt ZDR jedoch Kunden der höchsten Tarifstufe vorbehalten. Hinzu kommen Ausnahmen (dazu gleich mehr), die es einem Anbieter ermöglichen, seine eigene Richtlinie schon nach wenigen Wochen außer Kraft zu setzen.

Wie es dazu kam

Am 9. Juni führte Anthropic seine leistungsfähigsten Modelle ein, Fable 5 und Mythos 5, mit einer verbindlichen 30-tägigen Aufbewahrungspflicht für den gesamten Verkehr. Sie galt auf jeder Plattform, auf der die Modelle laufen, einschließlich AWS Bedrock und Google Vertex AI, und sie setzte Zero-Retention-Vereinbarungen außer Kraft, die einige Unternehmen bereits unterzeichnet hatten. Anthropic erklärte, die Daten seien nötig, um Missbrauch zu erkennen, würden nicht für das Training verwendet und nach 30 Tagen „in fast allen Fällen“ gelöscht.

Die Unternehmen ließen sich davon nicht überzeugen. Innerhalb eines Tages beschränkte Microsoft den Zugriff seiner eigenen Mitarbeiter auf Fable(neues Fenster), während seine Anwälte die Bedingungen prüften. Nvidia begrenzte seine Nutzung von Anthropic-Modellen(neues Fenster) auf weniger sensible Arbeiten und setzte intern auf die eigenen Nemotron-Modelle. Palantir lehnte es ab, Anthropic-Modelle(neues Fenster) über seine Software anzubieten, solange Anthropic keine unwiderrufliche Zero Retention garantiert. Booz Allen Hamilton(neues Fenster), die US-Beratungsfirma, die einen Großteil ihrer Arbeit für Verteidigungs- und Nachrichtendienste leistet, untersagte ihren Mitarbeitern die Nutzung des kommerziellen Modells für proprietäre Cybersicherheitsarbeit.

Einen Monat später warnten Microsoft-CEO Satya Nadella(neues Fenster) und Palantir-CEO Alex Karp(neues Fenster) Unternehmen öffentlich vor der Abhängigkeit von Frontier-KI. „Man bezahlt im Grunde zweimal für Intelligenz“, sagte Nadella, „einmal mit Geld und ein zweites Mal mit etwas noch Wertvollerem: dem proprietären Wissen, das man offenlegen muss, damit diese Intelligenz nützlich wird.“

Die Anbieter konkurrieren jetzt darum, den Schaden zu beheben. Am 19. August bekräftigte OpenAI die vollständige Zero Data Retention(neues Fenster) für berechtigte Enterprise- und API-Kunden seiner Frontier-Modelle. In einer Vorschau zeigte das Unternehmen Private Safety Processing: ein Design, bei dem Inhalte berechtigter Kunden auf Infrastruktur bleiben, die der Kunde kontrolliert, oder auf OpenAI-Infrastruktur liegen, verschlüsselt mit Schlüsseln, die OpenAI nicht besitzt. Automatisierte Systeme scannen sie und geben ein eng gefasstes Signal zurück, das Kategorie und Schweregrad der Aktivität beschreibt.

Am 1. September kündigte Anthropic die Enterprise Frontier Safeguards(neues Fenster) (EFS) an, die Daten zur Missbrauchsüberwachung im eigenen Cloud-Konto des Kunden und unter dessen eigenen Verschlüsselungsschlüsseln speichern statt bei Anthropic. EFS war zum Zeitpunkt der Ankündigung noch nicht verfügbar und wird im späteren Herbst schrittweise für Enterprise-Abonnements eingeführt. Bis dahin erhalten die von Anthropic als berechtigt eingestuften Kunden ZDR für Fable als Übergangslösung.

Beide Lösungen behalten die Überwachung bei. Wo die Aufzeichnungen liegen und wer sie lesen kann, mag sich geändert haben, aber keines der beiden KI-Labore hat sich verpflichtet, die Aufzeichnungen zu entfernen.

Warum die Datenaufbewahrung zum Ausschlusskriterium geworden ist

Unternehmen, die Enterprise-KI eingeführt haben, akzeptierten Aufbewahrungsbedingungen in der Annahme, dass ihre Daten nur kurz gespeichert, ausschließlich zur Erkennung von Missbrauch verwendet und nie für das Training genutzt würden. Vier Dinge haben diese Annahme untergraben.

Ein Gericht kann ein Löschversprechen außer Kraft setzen. Im Mai 2025 zwang eine Aufbewahrungsanordnung in dem Rechtsstreit mit der New York Times(neues Fenster) OpenAI dazu, ChatGPT- und API-Ausgabeprotokolle unbegrenzt zu speichern, einschließlich gelöschter Chats und Chats im kostenpflichtigen Team-Abonnement. Die Anordnung galt etwa vier Monate, und ein Teil dieser Daten wird noch immer vorgehalten. API-Kunden mit ZDR waren nicht betroffen, weil ihre Daten nie gespeichert wurden. Doch sobald ein Anbieter eine Kopie behält, entscheidet ein Gericht, wie lange es sie gibt.

US-Recht erreicht deine Daten, wo auch immer sie liegen. Nach dem CLOUD Act können US-Behörden ein US-Unternehmen zwingen, Daten herauszugeben, die es besitzt, verwahrt oder kontrolliert, selbst wenn diese Daten in einem europäischen Rechenzentrum liegen. Eine Option zur EU-Datenresidenz bei einem US-Anbieter ändert, wo deine Daten gespeichert werden, nicht aber, welche Regierung sie herausverlangen kann. Partner und Auftragnehmer sind Teil dieses Problems, keine Randnotiz: Anthropics 30-Tage-Regel galt auch für AWS und Google Cloud, und OpenAI erklärt, dass spezialisierte Drittauftragnehmer für Support, Missbrauchsuntersuchungen und rechtliche Compliance auf Unterhaltungen zugreifen können. Verschlüsselungsschlüssel, die der Kunde hält, begrenzen, was ein Cloud-Anbieter herausgeben kann, aber sie entziehen den Anbieter nicht der US-Gerichtsbarkeit.

Das FBI kann auch National Security Letters ohne richterliche Genehmigung ausstellen. Diese verlangen Teilnehmer- und Transaktionsdaten, also wer den Dienst genutzt hat, wann und in welchem Umfang, nicht den Inhalt von Unterhaltungen. Sie gehen meist mit einer Schweigepflicht einher, sodass es dem Anbieter untersagt sein kann, dich zu informieren. Deshalb sind Metadaten wichtig, selbst wenn der Inhalt gelöscht wird.

Die US-Regierung kann das Modell auch einfach abschalten. Drei Tage nach dem Start am 9. Juni untersagte ein Schreiben des US-Handelsministeriums Nicht-US-Bürgern den Zugriff auf Fable 5 und Mythos 5. Anthropic widerrief den Kunden weltweit den Zugriff, bis die Beschränkungen um den 30. Juni aufgehoben wurden. Etwa drei Wochen lang war das leistungsfähigste Modell auf dem Markt außerhalb der Vereinigten Staaten nicht verfügbar, weil eine US-Behörde das so entschieden hatte. Keine noch so gut formulierte Datenverarbeitungsklausel schützt davor. Auch die Verfügbarkeit ist ein jurisdiktionelles Risiko, und europäische Käufer behandeln sie zunehmend als solches: In einer in diesem Jahr veröffentlichten Proton-Umfrage unter 1.500 europäischen Führungskräften gaben 74 % an, sie befürchteten, eine US-Behörde könnte einen Anbieter anweisen, ihnen den Zugriff zu sperren.

Die Aufbewahrung wurde zum Preis für den Zugang. Ein ausgehandelter ZDR-Vertrag schützte ein Unternehmen nicht bei dem Modell, das es am liebsten nutzen wollte. Unternehmen, die an die Vertraulichkeit gegenüber Kunden oder branchenspezifische Vorschriften gebunden sind, mussten zwischen dem besten Modell und ihren eigenen Pflichten wählen.

Eine Unterscheidung, die man festhalten sollte: „Wir trainieren nicht damit“ ist nicht dasselbe wie „wir lernen nichts daraus“. Ein Anbieter, der deine Prompts behält, kann sie trotzdem auswerten: welche Aufgaben du automatisierst, wie deine Workflows aussehen. Von Fortune zitierte Sicherheitsexperten sagen, KI-Unternehmen könnten solche Erkenntnisse nutzen, um künftige Produkte zu verbessern, ohne direkt mit den Daten zu trainieren. Das könnte einem Anbieter helfen, etwas zu entwickeln, das mit deinem Produkt konkurriert.

Alle Ausnahmen bei Zero Retention

Die Schlagzeilenzahl ist selten die ganze Richtlinie. Liest man die Aufbewahrungsbedingungen, tauchen immer wieder dieselben Ausnahmen auf.

  • Missbrauchsüberwachung. Die meisten KI-APIs speichern Prompts und Ausgaben standardmäßig, um sie auf Missbrauch zu scannen, in der Regel etwa 30 Tage lang, manchmal mit menschlichen Prüfern, die sie lesen können. Die Missbrauchsüberwachung war genau die Begründung für Anthropics 30-Tage-Regel(neues Fenster), und deshalb muss man ZDR beantragen. Die aktuell veröffentlichten Standardwerte: OpenAI API, 30 Tage zur Missbrauchsüberwachung; Azure OpenAI, 30 Tage im Speicher von Microsoft, wobei die menschliche Prüfung auf bereits markierte Inhalte beschränkt ist und nur nach Genehmigung für eine modifizierte Missbrauchsüberwachung entfernt werden kann, was eine Enterprise-Vereinbarung erfordert; die kostenpflichtige Gemini Developer API von Google, standardmäßig 55 Tage, konfigurierbar auf 7, 14 oder 28, während Vertex AI 30 Tage läuft. Die Zahl hängt davon ab, welche Oberfläche man tatsächlich kauft.
  • Markierte Unterhaltungen. Wenn ein automatisierter Klassifikator entscheidet, dass ein Chat gegen die Nutzungsrichtlinie verstößt, ändert sich die Aufbewahrungsuhr. Nach den veröffentlichten Bedingungen von Anthropic können als Verstöße markierte Eingaben und Ausgaben bis zu zwei Jahre lang aufbewahrt werden, die daran angehängten Einstufungen für Vertrauen und Sicherheit sogar bis zu sieben Jahre. Klassifikatoren machen Fehler: Ein Sicherheitsteam, das die eigenen Abwehrmaßnahmen prüft, oder eine Forscherin, die nach Chemie fragt, könnte einen auslösen. Aufbewahrungsrichtlinien versprechen in der Regel nicht, dich darüber zu informieren, wenn es passiert.
  • Daten über deine Daten. Selbst wenn die Unterhaltung selbst gelöscht wird, können Aufzeichnungen darüber bestehen bleiben: Klassifizierungswerte, Konto- und Benutzerkennungen, Zeitstempel, Nutzungsvolumen, welche Tools oder Konnektoren aufgerufen wurden. Das reicht aus, um ein detailliertes Bild davon zu erstellen, wie dein Unternehmen arbeitet. Und es ist genau die Art von Aufzeichnung, die ein National Security Letter verlangen kann.
  • Feedback-Schaltflächen. Ein Daumen nach oben oder unten(neues Fenster) sendet die gesamte Unterhaltung mit. Daten, die über Feedback oder Fehlerberichte übermittelt werden, bewahrt Anthropic fünf Jahre lang auf.
  • Dateien, Memory und Agenten. ZDR deckt in der Regel den Modellaufruf ab, nicht die darum herumgebauten Funktionen. Hochgeladene Dateien, Vektorspeicher, Memory, gespeicherte Chats, Konnektoren und Agenten-Sitzungen werden gespeichert, bis du sie löschst. Anthropics eigene Richtlinie etwa schließt Dienste „mit längerer Aufbewahrung unter deiner Kontrolle“ aus, wie die Files API.
  • Persönliche Konten. Wenn Mitarbeitende KI in persönlichen Abonnements nutzen, fallen die Daten deines Unternehmens unter die Verbraucherbedingungen. Nach den Ende 2025 aktualisierten Verbraucherbedingungen werden Chats von Anthropic-Nutzern, die ihre Chats für das Training freigeben, bis zu fünf Jahre lang aufbewahrt.

Löschversprechen enden fast immer mit Ausnahmen für Sicherheitsuntersuchungen und rechtliche Verpflichtungen, der Klausel „in fast allen Fällen“. Genau in diesen Ausnahmen bleiben deine Daten am längsten.

Die Bedingungen selbst sind das Risiko

Anthropic hat seine Richtlinie geändert: Seine neuesten Modelle kommen ohne die Aufbewahrungspflicht von Fable auf den Markt, und EFS ist auf dem Weg. Doch all diese Änderungen beweisen, dass ein Anbieter die Bedingungen eigenmächtig ändern und jedes bereits geschlossene Abkommen brechen kann.

Der KI-Anbieter, den du nutzt, bestimmt die Bedingungen dafür, wie mit deinen Daten umgegangen wird, und er kann sie jederzeit neu schreiben.

Deshalb haben einige Unternehmen beschlossen, sensible KI-Arbeiten lieber im Haus zu erledigen. Dem Bericht von Fortune zufolge verzeichnete das Sicherheitssoftware-Unternehmen Cinder nach der Fable-Ankündigung einen starken Anstieg gewöhnlicher Unternehmen, die fragten, wie sie offene Modelle selbst betreiben können.

Doch diese komplexe Infrastruktur selbst zu betreiben, ist noch selten. Menlo Ventures(neues Fenster) schätzte, dass Open-Source-Modelle Ende 2025 11 % der Unternehmensnutzung von LLMs ausmachten, gegenüber 19 % im Jahr zuvor. Und das war noch vor der Gegenreaktion in diesem Sommer.

Unternehmen wissen, dass die Sicherheit in ihre Verantwortung fällt, wenn sie ein Modell selbst betreiben. Nicht viele Unternehmen können diese Last tragen.

Fünf Fragen, die du deinem KI-Anbieter stellen solltest

Beginne mit einer Bestandsaufnahme: Liste alle verwendeten KI-Tools auf und notiere, in welcher Stufe und in welchem Konto – geschäftlich oder privat – jede Person arbeitet. Stelle dann jedem Anbieter folgende Fragen:

  1. Was genau wird in unserer Stufe aufbewahrt, und für welche Modelle und Funktionen? Frag, ob ZDR sowohl neue als auch aktuelle Modelle abdeckt und ob es hochgeladene Dateien, Memory, Konnektoren, Agenten und Feedback einschließt, nicht nur den einfachen API-Aufruf.
  2. Was speichert die Missbrauchsüberwachung, wie lange, und verlängert eine Markierung diese Frist? Frag, wer markierte Inhalte prüft, ob ein Mensch sie lesen kann und ob du informiert wirst, wenn eine deiner Unterhaltungen markiert wird.
  3. Was bleibt erhalten, wenn die Unterhaltung gelöscht wird? Frag nach Klassifizierungswerten, Metadaten, Protokollen, die Partner und Auftragnehmer speichern, und Sicherungen.
  4. Wer kann auf aufbewahrte Daten zugreifen, und welche Regierungen können sie verlangen? Frag, ob Mitarbeitende und Auftragnehmer sie lesen können. Frag, ob der Anbieter oder einer seiner Cloud-Anbieter dem CLOUD Act unterliegt, unabhängig davon, wo deine Daten gespeichert sind. Frag, ob du über eine Vorladung oder eine Aufbewahrungsanordnung informiert wirst und ob der Anbieter veröffentlicht, wie viele Regierungsanfragen er erhält, einschließlich National Security Letters. Die Anordnung im Fall der New York Times hielt gelöschte Chats in kostenpflichtigen Team-Abonnements monatelang vor.
  5. Könnt ihr diese Bedingungen ändern, und mit welcher Frist? Frag, ob deine ZDR-Vereinbarung auch für künftige Modelle gilt. Im Juni setzte die neue Aufbewahrungsregel von Anthropic bestehende Vereinbarungen für die neuesten Modelle ab dem Tag ihres Starts außer Kraft.
  6. Was tut ihr für Kunden, die euer Produkt genau deshalb gewählt haben, weil ihr keine Aufzeichnungen führt? Angreifer tendieren aus denselben Gründen zu Zero Retention wie Unternehmen. Der Bedrohungsbericht von Anthropic aus September beschreibt eine Plattform, die Verkehr über US-Infrastruktur tunnelte, um regionale Sperren zu umgehen, und einen ZDR-Dienst nutzte, um eingeschränkte Forschungsanfragen zu leiten. Jeder glaubwürdige Anbieter, auch einer, der nichts zu protokollieren hat, braucht eine Antwort darauf, wie Missbrauch erkannt wird, wenn es kein Archiv zum Prüfen gibt. Wenn er keine formulieren kann, ist das bemerkenswert.

Eine private KI wählen

Wir haben Lumo für Unternehmen entwickelt, die privat arbeiten und auf diese Fragen gute Antworten haben wollen. Lumo führt keine Protokolle deiner Unterhaltungen, und das ist der Standard für alle Nutzer, keine Funktion, die Spitzenverträgen vorbehalten ist.

Chats, die du zum Speichern auswählst, sind mit Zero-Access-Verschlüsselung geschützt, sodass nur du sie auf deinem Gerät entschlüsseln kannst und Proton sie weder lesen noch herausgeben noch auswerten kann.

Lumo trainiert nicht mit deinen Unterhaltungen und läuft auf Open-Source-Modellen in den europäischen Rechenzentren von Proton, unter Schweizer und EU-Recht statt unter US-Rechtsverfahren. Und da Proton durch Abonnements finanziert wird und nicht durch den Aufbau von Frontier-Modellen, haben wir keinen Grund, aus deinen Daten zu lernen.

Erfahre mehr über Lumo