KI-Labore und Nutzerdaten: Wissenschaft und Wirtschaft stellen die Vertrauensfrage

Für manche Unternehmen, die um ihr geistiges Eigentum fürchten, ist das ein Problem. Nvidia nutzt Fable laut The Information nur noch für weniger sensible Aufgaben wie Open-Source-Projekte. Für interne Projekte wie KI-gestützte Lieferkettenüberwachung setzt das Unternehmen seine eigenen Nemotron-Modelle ein. "Als Unternehmen glauben wir, dass Zero Data Retention standardmäßig aktiviert sein sollte", sagte Justin Boitano, Nvidias Vizepräsident für Enterprise AI, gegenüber The Information. Dabei hat Nvidia selbst in Anthropic investiert und liefert dem Unternehmen Hardware für die Modellentwicklung.

Booz Allen Hamilton, einer der ersten Nutzer von Anthropics Mythos-Modell, hat seinen Mitarbeitern laut The Information untersagt, Fable für Arbeiten an proprietärer Cybersicherheits-Software zu verwenden. CTO Bill Vass sagte: "Wir machen uns ein wenig Sorgen, dass Fable von unserem Code lernen könnte."

Palantir geht noch einen Schritt weiter: Das Unternehmen blockiert laut The Information die Bereitstellung von Fable über seine eigene Software an Kunden, bis Anthropic unwiderrufliche Zero-Data-Retention-Garantien gewährt. Palantir-CEO Alex Karp sagte bei einer Kundenveranstaltung, Unternehmen seien es leid, von KI-Laboren "ausgenutzt" zu werden. Karp hatte sein Misstrauen schon zuvor deutlich gemacht. Allerdings ist Palantirs Warnung auch eigennützig: Es will, dass Kunden die KI-Modelle über seine vermeintlich sichere Plattform nutzen, statt direkt bei den Anbietern.

Nach dem Kundenprotest und nachdem OpenAI im August Kunden seiner GPT-5.6-Cyber-Modelle die Option eingeräumt hatte, Sicherheitslogs auf eigenen Servern zu speichern, zog Anthropic nach. Das Unternehmen kündigte ebenfalls im August ein ähnliches Programm an, das ab Herbst schrittweise an ausgewählte Kunden ausgerollt werden soll.

Metadaten als blinder Fleck

Selbst Zero Data Retention schützt jedoch nicht vor allen Möglichkeiten der Labore, aus der Nutzung ihrer Dienste zu lernen. Sowohl OpenAI als auch Anthropic sammeln laut The Information bestimmte Metadaten und technische Nutzungsdaten von Unternehmenskunden. OpenAI bezeichnet diese als "de-identifiziert", also frei von Informationen, die Rückschlüsse auf einzelne Kunden erlauben.

OpenAI schreibt auf seiner Website, es lasse Geschäftsdaten durch automatisierte Klassifizierer und Sicherheitstools laufen, "um besser zu verstehen, wie unsere Dienste genutzt werden". Die dabei erzeugten Klassifikationen seien Metadaten über die Geschäftsdaten, enthielten aber nicht die Geschäftsdaten selbst. Laut The Information ist manchen Kunden unklar, was genau die Metadaten umfassen. Die aktuelle Transparenz reiche nicht aus.

Viele Wege, um auf Nutzerdaten zu trainieren

Relevant ist in diesem Kontext eine Einschätzung von John Schulman, Mitgründer von OpenAI, der zwischenzeitlich bei Anthropic war und jetzt bei Thinking Machines arbeitet. Schulman beschreibt, dass es unterschiedliche Formen des Trainings auf Nutzerdaten gebe, die KI-Unternehmen ungern offenlegten.

Das Spektrum reiche vom direkten Pretraining auf Nutzerdaten mit hohem Risiko der Reproduktion von Inhalten über die Destillation großer Modelle in kleinere bis zur Konstruktion von Reinforcement-Learning-Aufgaben aus "Nutzerspuren".

Letzteres habe zwar ein geringes Reproduktionsrisiko, könne aber dennoch geistiges Eigentum von Kunden extrahieren. Es reiche von harmlos ("explizites Nutzerfeedback für Reward-Modell-Training") bis invasiv ("Coding-Umgebung und Commit-Historie des Nutzers hochladen und in RL-Umgebungen verwandeln"). "De-Identifizierung ist schwach", so Schulman. "Man kann jemanden mit einer kleinen Anzahl von Bits identifizieren, und lange Nutzungsspuren haben mehr als genug." Gegen den Abfluss geistigen Eigentums schütze De-Identifizierung zudem nicht.

Die KI-Forscherin Sarah Hooker, die zuvor bei Cohere und Google Deepmind war, beschreibt ein ähnliches Schlupfloch: Es gebe "clevere Techniken für synthetische Daten, die verteilungsäquivalente Daten erzeugen und dabei die Privatsphäre wahren". Mit anderen Worten: Selbst wenn ein KI-Labor die Originaldaten nicht direkt nutzt, kann es daraus statistische Muster gewinnen, die denselben Zweck erfüllen.

Hooker warnt Unternehmen: "Wenn Sie ein Unternehmen mit geistigem Eigentum sind, haben Sie ein begrenztes Zeitfenster, um Ihre eigene Intelligenz aufzubauen. Andernfalls füttern Sie ein Frontier-Labor, das früher oder später in Ihre Branche eindringen wird."

In einem Folgebeitrag relativierte Schulman: Es sei "äußerst unwahrscheinlich", dass Training auf Nutzerdaten wesentlich zu Fortschritten bei Frontier-Fähigkeiten beitrage. Diese kämen primär durch die Skalierung von Pretraining und Reinforcement Learning. Nutzerdaten würden eher genutzt, um Fehlermodi oder Situationen zu finden, die mit bezahlten Annotatoren schwer nachzustellen seien.

Allerdings betonte er: "Modellfirmen unterscheiden sich darin, wie aggressiv sie auf Nutzerdaten trainieren, und das Hochladen von Repos ist nicht hypothetisch" – wohl eine Anspielung auf KI-Coding-Tools wie Codex oder Cursor, bei denen Nutzer ihre Code-Repositories direkt mit den Diensten verbinden. Schulman wünscht sich stärkere Normen für die Offenlegung, wie Unternehmen auf Nutzerdaten trainieren.

Der Fall Buckmaster zeigt: Die Vertrauensfrage wird gestellt

Schulman äußerte sich im Kontext des Falls um den Mathematiker Tristan Buckmaster, der kürzlich schwere Vorwürfe gegen OpenAI erhoben hatte. Buckmaster und sein Koautor Levent Alpöge hatten mithilfe von KI-Modellen Fortschritte bei den Navier-Stokes-Gleichungen erzielt und dabei ihre Entwürfe über OpenAIs Codex hochgeladen. Kurz darauf präsentierte OpenAI einen eigenen Durchbruch auf demselben ungewöhnlichen Lösungsweg.

OpenAI räumte zunächst ein, es könne "nicht ausschließen, dass anonymisierte Daten, die aus ihrer Nutzung unserer Produkte stammen, zur Verbesserung unserer Modelle beigetragen haben". Nach einer internen Untersuchung aktualisierte das Unternehmen den Beitrag jedoch: Buckmasters Codex-Prompts aus den zwei Monaten vor der Veröffentlichung am 8. September 2026 hätten das System "in keiner Weise beeinflusst, auch nicht durch Training". Das interne Modell sei durch großskaliges Reinforcement-Learning auf Basis eines zuvor vortrainierten Modells entwickelt worden. Der Fall brachte die Vertrauensfrage zwischen Wirtschaft, Wissenschaft und den KI-Laboren dennoch neu auf.