Verhindert das Anonymisieren meiner Eingaben, dass ein KI-Anbieter damit trainiert?

Nur bedingt. Was heutige Werkzeuge leisten, ist meist Pseudonymisierung, also das Ersetzen durch Platzhalter, nicht echte Anonymisierung. Die maschinelle Erkennung arbeitet zudem nach dem Prinzip der bestmöglichen Erkennung, nicht fehlerfrei. Gelangt der maskierte Text dennoch zum Anbieter, entscheiden dessen Bedingungen über Aufbewahrung und Training; sicherer ist, Identifikatoren gar nicht erst zu übermitteln.

Ist die Nutzung öffentlicher KI-Chatbots mit dem Berufsgeheimnis vereinbar?

Für Berufe mit gesetzlicher Schweigepflicht (Anwälte, Ärzte, Notare) ist das heikel. Wer Mandats- oder Patientendaten an einen KI-Anbieter übermittelt, gibt sie an einen Dritten weiter. Das kann das Berufsgeheimnis verletzen, ganz gleich, was der Anbieter zum Training zusagt. Nach dem revDSG kann eine solche Übermittlung zudem als Bearbeitung durch einen Auftragsbearbeiter gelten, die dann vertraglich geregelt sein muss.

Reicht es, wenn ein KI-Anbieter meine Daten in der Schweiz oder EU speichert?

Der Speicherort beantwortet eine andere Frage als das Training. Serverstandort Schweiz oder EU betrifft Aufbewahrung und anwendbares Recht, sagt aber für sich genommen nichts darüber aus, ob Eingaben zur Modellverbesserung genutzt werden; das regeln die Nutzungsbedingungen. Gehört der Anbieter zu einem US-Konzern, können zudem ausländische Herausgabepflichten greifen. Datenschutz nach DSGVO und revDSG folgt aus den Zusagen und der tatsächlichen Verarbeitung, nicht allein aus der Geografie.

Antworten

Welche KI trainiert nicht mit Ihren Daten?

Auf Vertragsebene ist die Antwort klar: Die Business-, Enterprise- und API-Angebote der grossen Anbieter trainieren laut ihren Bedingungen nicht mit Kundendaten. Bei den Produkten für Privatkunden ist das Bild gemischt. ChatGPT verwendet Chats aus Privatkonten standardmässig für das Training, ein Opt-out ist möglich; auch Anthropic nutzt Chats aus Privatkonten (Free, Pro, Max) nach seinen aktuellen Bedingungen für das Training, sofern Nutzer nicht widersprechen. Die Trainingsfrage ist allerdings nur ein Drittel des Problems, denn Aufbewahrung und menschliche Einsicht bleiben auch dort bestehen, wo nicht trainiert wird.

Training, Aufbewahrung, Einsicht: drei getrennte Fragen

Wer wissen will, was mit seinen Eingaben geschieht, muss drei Dinge auseinanderhalten.

Training: Die Eingaben fliessen in künftige Modellversionen ein. Fragmente können später in Antworten für Dritte auftauchen, und aus einem einmal trainierten Modell lässt sich ein einzelner Datensatz praktisch nicht mehr entfernen.
Aufbewahrung: Die Chats liegen für eine gewisse Zeit auf den Servern des Anbieters, teils auch nach dem Löschen im eigenen Konto. Dort sind sie ein mögliches Ziel für Angriffe und können von Behörden herausverlangt werden.
Menschliche Einsicht: Die meisten Bedingungen erlauben es Mitarbeitenden oder Auftragsverarbeitern, einzelne Chats zu lesen, etwa bei Missbrauchsverdacht.

Ein Anbieter kann bei einer dieser Fragen streng sein und bei den anderen nicht. «Wir trainieren nicht auf Ihren Daten» sagt nichts über Speicherfristen oder Einsichtsrechte.

Was die Anbieter derzeit zusagen

ChatGPT für Privatkonten nutzt Chats standardmässig zur Modellverbesserung. In den Datenkontrollen lässt sich das abschalten; der Chatverlauf bleibt davon unberührt gespeichert. Auch Anthropic nutzt Chats aus Privatkonten nach seinen aktuellen Bedingungen für das Training, sofern Nutzer nicht aktiv widersprechen; das Opt-out ist in den Datenschutzeinstellungen möglich.

Bei Business-, Enterprise- und API-Angeboten sichern die grossen Anbieter vertraglich zu, nicht auf Kundendaten zu trainieren. Das ist der wichtigste Grund, geschäftliche Nutzung über solche Konten laufen zu lassen.

Aufbewahrung und Missbrauchsprüfung bestehen aber auch dort, in je nach Vertrag unterschiedlichem Umfang. Wie sich das mit dem europäischen Datenschutzrecht verträgt, behandelt Ist ChatGPT DSGVO-konform?. Prüfen Sie zudem die jeweils aktuellen Bedingungen; dieser Stand kann sich ändern.

Warum «einfach Opt-out» nicht genügt

Das Opt-out ist besser als nichts. Als Schutzkonzept für eine Kanzlei, eine Treuhandfirma oder eine Personalabteilung trägt es trotzdem nicht, aus vier Gründen.

Erstens betrifft das Opt-out nur das Training. Die Eingaben werden weiterhin übermittelt und nach den Fristen des Anbieters aufbewahrt. Für ein Berufsgeheimnis ist bereits die Übermittlung das Problem, nicht erst das Training.

Zweitens ändern sich Bedingungen. Ein Opt-out, das heute gilt, kann nach der nächsten Anpassung der Nutzungsbedingungen anders geregelt sein, und kaum jemand liest solche Änderungen im Detail.

Drittens wird im Alltag das falsche Konto benutzt. Auf dem Firmenlaptop ist schnell die private ChatGPT-Anmeldung offen statt des Enterprise-Kontos; die vertraglichen Zusagen der Firma gelten dann nicht.

Viertens genügt ein einziges privates Konto, um die Firmenregel zu unterlaufen. Eine Richtlinie, die auf der Disziplin jeder einzelnen Person beruht, hält der Praxis selten stand. Was zu tun ist, wenn es bereits passiert ist, steht in Vertrauliche Daten in ChatGPT eingefügt.

Die stärkere Position: Daten, die nie übermittelt werden

Ein Datum, das den eigenen Verantwortungsbereich nie verlässt, kann weder trainiert noch aufbewahrt noch entwendet werden. Diese Aussage hängt an keiner Anbieterzusage und überlebt jede Änderung der Bedingungen.

Sie ist auch praktikabel. Für die meisten Aufgaben braucht das Modell den echten Namen, die echte IBAN oder die echte Adresse gar nicht; ein Platzhalter erfüllt denselben Zweck. Ein Vertragsentwurf wird gleich gut geprüft, ob dort «Meier AG» oder ein Platzhalter steht.

Rechtlich ist das schlicht Datenminimierung: Es dürfen nur die Personendaten bearbeitet werden, die für den Zweck erforderlich sind. DSG und DSGVO verlangen diesen Grundsatz ohnehin. Wer Identifikatoren vor dem Senden ersetzt, setzt ihn technisch um, statt ihn in eine Weisung zu schreiben und auf Einhaltung zu hoffen.

Wie Cedreon das umsetzt

Cedreon ist ein KI-Arbeitsplatz für sensible Daten, entwickelt in der Schweiz. Sie chatten mit gängigen Modellen von OpenAI und Anthropic und laden Word-, Excel- und PDF-Dateien hoch; Antworten verweisen auf die Fundstelle in der Datei.

Bevor Text an den Modellanbieter geht, sucht Cedreon vertrauliche Angaben (Namen, IBANs, Adressen und andere Identifikatoren) per Mustererkennung und mehrschichtiger, bestmöglicher Erkennung und ersetzt sie durch Platzhalter. Die Originale bleiben in einem verschlüsselten Tresor auf Cedreon-Seite; in der Antwort werden sie für den angemeldeten Nutzer wieder eingesetzt. Der Modellanbieter sieht die echten Werte nie.

Zwei Einschränkungen gehören dazu. Maskierung ist Pseudonymisierung, keine Anonymisierung, und die Erkennung arbeitet probabilistisch; kein Verfahren findet zuverlässig jeden Identifikator. Deshalb landet jeder Austausch in einem hash-verketteten Prüfprotokoll, an das nur angehängt werden kann: Eine Firma kann nachträglich belegen, was das Haus verlassen hat und was vorher ersetzt wurde. Zusätzlich lassen sich Leitplanken in Alltagssprache definieren (blockieren, warnen, markieren), die bei jedem Chat mitlaufen.

Der Einstieg kostet CHF 29.90 pro Nutzer und Monat; wenn Sie den Ansatz mit eigenen Dokumenten prüfen wollen, können Sie Cedreon kostenlos testen.

Häufige Fragen

Verhindert das Anonymisieren meiner Eingaben, dass ein KI-Anbieter damit trainiert?: Nur bedingt. Was heutige Werkzeuge leisten, ist meist Pseudonymisierung, also das Ersetzen durch Platzhalter, nicht echte Anonymisierung. Die maschinelle Erkennung arbeitet zudem nach dem Prinzip der bestmöglichen Erkennung, nicht fehlerfrei. Gelangt der maskierte Text dennoch zum Anbieter, entscheiden dessen Bedingungen über Aufbewahrung und Training; sicherer ist, Identifikatoren gar nicht erst zu übermitteln.
Ist die Nutzung öffentlicher KI-Chatbots mit dem Berufsgeheimnis vereinbar?: Für Berufe mit gesetzlicher Schweigepflicht (Anwälte, Ärzte, Notare) ist das heikel. Wer Mandats- oder Patientendaten an einen KI-Anbieter übermittelt, gibt sie an einen Dritten weiter. Das kann das Berufsgeheimnis verletzen, ganz gleich, was der Anbieter zum Training zusagt. Nach dem revDSG kann eine solche Übermittlung zudem als Bearbeitung durch einen Auftragsbearbeiter gelten, die dann vertraglich geregelt sein muss.
Reicht es, wenn ein KI-Anbieter meine Daten in der Schweiz oder EU speichert?: Der Speicherort beantwortet eine andere Frage als das Training. Serverstandort Schweiz oder EU betrifft Aufbewahrung und anwendbares Recht, sagt aber für sich genommen nichts darüber aus, ob Eingaben zur Modellverbesserung genutzt werden; das regeln die Nutzungsbedingungen. Gehört der Anbieter zu einem US-Konzern, können zudem ausländische Herausgabepflichten greifen. Datenschutz nach DSGVO und revDSG folgt aus den Zusagen und der tatsächlichen Verarbeitung, nicht allein aus der Geografie.