Drei englische Wortpaare, die auf fast jeder Anbieterseite stehen. Zusammen ergeben sie den Eindruck, es sei alles gesagt. Tatsächlich beantworten sie drei verschiedene Fragen – und keine davon vollständig.
Dieser Beitrag nimmt sie einzeln auseinander: was jede Zusage bedeutet, was sie ausdrücklich nicht bedeutet und mit welcher Frage man sie überprüft. Am Ende steht eine einzige Frage, die alle drei ersetzt.
Die drei Versprechen, sauber getrennt
| Zusage | Betrifft | Was sie nicht bedeutet |
|---|---|---|
| Zero Retention | Wie lange Ihre Eingabe nach der Antwort noch existiert | Dass sie während der Verarbeitung nirgends liegt |
| No Training | Ob Ihre Eingabe in ein künftiges Modell einfließt | Dass sie nicht gespeichert wird |
| No Logging | Ob Ihre Eingabe in Betriebsprotokollen auftaucht | Dass überhaupt nichts protokolliert wird |
Die drei sind voneinander unabhängig. Ein Dienst kann speichern und nicht trainieren, kann trainieren und nicht protokollieren, kann alle drei zusagen und beim Abbruch einer Anfrage trotzdem den vollständigen Eingabetext in einen Fehlerbericht schreiben. Wer alle drei in einem Satz liest, prüft am Ende keine davon.
Zero Retention: die Frist ist die Aussage
„Wir speichern nichts“ ist keine überprüfbare Angabe, sondern eine Haltung. Überprüfbar wird sie erst als Frist: Wie lange existiert eine Eingabe, wo, und wodurch verschwindet sie?
Denn irgendwo liegt sie immer, wenigstens für die Dauer der Verarbeitung. Ein Sprachmodell rechnet nicht auf verschlüsseltem Text; die Eingabe steht im Arbeitsspeicher und im Speicher der Beschleunigerkarte, und zwar in Klarschrift. Das ist keine Nachlässigkeit, sondern die Funktionsweise. Die ehrliche Zusage lautet deshalb nicht „nirgends“, sondern „für die Dauer der Anfrage, und danach nicht mehr“.
Drei Orte werden dabei regelmäßig übersehen:
- Der Zwischenspeicher der Berechnung. Damit ein Modell nicht bei jedem neuen Wort den gesamten bisherigen Text neu durchrechnet, hält es Zwischenergebnisse vor – den KV-Cache. Er enthält keine Buchstaben, ist aber aus Ihrer Eingabe entstanden und liegt so lange im Speicher, wie die Anfrage läuft. Wird er zwischen Anfragen wiederverwendet, um Zeit zu sparen, ist das eine Speicherung – eine kurze, aber eine.
- Die Auslagerungsdatei. Was im Arbeitsspeicher steht, kann bei Speicherdruck auf die Platte ausgelagert werden. Dann liegt ein Teil der Eingabe in einer Datei, die niemand bewusst angelegt hat und die in keinem Löschkonzept steht.
- Der Absturzbericht. Ein Speicherauszug enthält, was im Speicher stand. Verlässt dieser Auszug den Betrieb – zum Hersteller, in ein Fehlerverfolgungssystem –, verlässt Ihre Eingabe ihn mit.
Ein Zugang, der abgerechnet und gegen Missbrauch geschützt werden soll, braucht Aufzeichnungen: Zeitpunkt, Kennung des Zugangs, Anzahl der verarbeiteten Token, Statuscode, Dauer. Das sind Metadaten, kein Inhalt – und sie sind der Grund, warum der Satz „wir speichern gar nichts“ nicht stimmen kann.
Die brauchbare Fassung lautet: Inhalte werden nicht über die Anfrage hinaus gespeichert, Abrechnungs- und Betriebsdaten mit benannter Frist. Wer diesen Unterschied nicht macht, hat entweder nicht nachgedacht oder verschweigt die zweite Hälfte.
No Training: ein Vorgang, der später stattfindet
Diese Zusage betrifft nicht die Speicherung, sondern eine Verwendung. Sie ist damit die einzige der drei, die sich brechen lässt, ohne dass sich am Betrieb etwas ändert – die Daten liegen schon, es kommt nur ein neuer Zweck hinzu.
Datenschutzrechtlich ist das der Fall, für den die Zweckbindung geschrieben wurde: Personenbezogene Daten dürfen nur für festgelegte, eindeutige und legitime Zwecke erhoben und nicht in einer damit unvereinbaren Weise weiterverarbeitet werden (Art. 5 Abs. 1 lit. b DSGVO). Eine Eingabe, die zur Beantwortung einer Frage übermittelt wurde, für das Training eines Modells zu verwenden, ist ein anderer Zweck.
Löschen lässt sich ein Datensatz. Aus einem trainierten Modell lässt sich der Beitrag einer einzelnen Eingabe nicht wieder herausrechnen – man kann nur neu trainieren. Ein Löschverlangen nach Art. 17 DSGVO trifft hier auf einen Vorgang, der praktisch nicht rückgängig zu machen ist. Deshalb ist diese Zusage die einzige, bei der ein späterer Bruch endgültig ist.
Zweite Eigenheit: Die Zusage betrifft auch die Kette. Ein Anbieter, der selbst nicht trainiert, aber ein Modell über die Schnittstelle eines Dritten bezieht, kann nur zusagen, was dieser Dritte zusagt. Zu „No Training“ gehört deshalb immer die Anschlussfrage, wer alles beteiligt ist – nachzulesen im Lexikon unter Unterauftragsverarbeiter.
No Logging: das unehrlichste der drei
Niemand betreibt einen Dienst ohne Protokolle. Ein Server ohne Zugriffsprotokoll ist nicht datensparsam, sondern nicht betreibbar: Ohne Protokoll bemerkt man keinen Angriff, findet keinen Fehler und kann keine Störung nachvollziehen. Wer „No Logging“ ohne Zusatz schreibt, sagt also entweder etwas Unwahres oder etwas anderes, als dort steht.
Gemeint ist fast immer: keine Inhalte in den Protokollen. Das ist eine sinnvolle und haltbare Zusage – und eine, die sich beschreiben lässt. Ein Betriebsprotokoll, das seine Aufgabe erfüllt, kommt mit Angaben aus, die die Anfrage nicht enthalten:
| Gehört ins Protokoll | Gehört nicht hinein |
|---|---|
| Zeitpunkt, Dauer, Statuscode | Der Eingabetext |
| Kennung des Zugangs, nicht der Person | Die Antwort des Modells |
| Modellname, Anzahl der Token | Dateinamen aus Anhängen |
| Gekürzte IP-Adresse, sofern überhaupt nötig | Der System-Prompt der Anwendung |
Im Regelbetrieb halten sich Protokolle an ihre Vorgaben. Bricht eine Anfrage ab, ändert sich das: Fehlermeldungen enthalten Kontext, damit man den Fehler findet, und dieser Kontext ist im Zweifel die Eingabe. Ein Ausnahmestapel mit dem vollständigen Anfragetext ist der häufigste Weg, auf dem Inhalte in Protokolle geraten, die keine Inhalte enthalten sollen.
Die Frage an den Anbieter lautet deshalb nicht „protokollieren Sie Inhalte“, sondern: Was steht in einem Fehlerprotokoll, wenn eine Anfrage abbricht – und wer bekommt es zu sehen?
Wie man die drei prüft
Alle drei sind Sachfragen. Sie brauchen keine technische Prüfung, sondern eine schriftliche Antwort – und die Bereitschaft, sie nicht als rhetorisch zu behandeln.
- Die Zusage in den Vertrag holen, nicht auf der Produktseite lassen Was auf einer Produktseite steht, ist Werbung und jederzeit änderbar. Was im Vertrag zur Auftragsverarbeitung steht, ist geschuldet. Art. 28 Abs. 3 DSGVO verlangt ohnehin eine Regelung zu Löschung und Rückgabe nach Abschluss der Leistung – dorthin gehört die Frist.
- Nach Fristen fragen, nicht nach Absichten „Unverzüglich“ ist keine Frist. Brauchbar sind Angaben in Stunden oder Tagen, getrennt nach Inhalt, Abrechnungsdaten und Sicherheitsprotokollen. Drei verschiedene Zahlen sind ein gutes Zeichen: Sie deuten darauf hin, dass jemand die Fälle einzeln durchdacht hat.
- Ein Auskunftsersuchen stellen Nach Art. 15 DSGVO können Sie fragen, welche Daten zu Ihnen vorliegen. Wer Zero Retention einhält, antwortet mit einer kurzen Liste aus Metadaten. Wer mit einem Gesprächsverlauf antwortet, hat die Frage bereits beantwortet – nur anders als beworben.
- Den Fehlerfall abfragen Was passiert, wenn eine Anfrage abbricht? Landet der Eingabetext in einem Fehlerbericht, geht dieser Bericht an einen Dritten, und wie lange bleibt er dort? Diese Frage überrascht regelmäßig, und ihre Antwort ist aufschlussreicher als die drei Schlagworte zusammen.
- Die Kette durchfragen Zero Retention beim Anbieter nützt wenig, wenn dahinter die Schnittstelle eines Dritten mit eigenen Regeln steht. Verlangen Sie die Liste der Unterauftragsverarbeiter mit Firma, Sitz und Aufgabe. „Dienstleister innerhalb und außerhalb der EU“ ist keine Liste, sondern deren Gegenteil.
Was wir zusagen – und was nicht
- Keine Speicherung von Eingaben und Antworten über die Anfrage hinaus
- Kein Training mit Kundeneingaben, auch nicht in bearbeiteter Form
- Keine Inhalte in Betriebsprotokollen, auch nicht im Fehlerfall
- Kein Modell eines Dritten hinter unserer Schnittstelle
- Dass während der Verarbeitung nichts im Speicher steht – das ist unmöglich
- Dass keine Abrechnungs- und Kontingentdaten entstehen
- Eine Verfügbarkeit mit Vertragsstrafe, siehe SLA
- Dass die Firmware unserer Geräte geprüft wäre – sie ist es nicht
Der Grund, warum die zweite Spalte überhaupt dasteht: Eine Zusage ohne Grenze ist keine Zusage, sondern ein Werbesatz. Wer sagt, was er nicht kann, macht das Übrige nachprüfbar.
Die eine Frage, die alle drei ersetzt
Sie zwingt zu einer Aufzählung statt zu einer Haltung. Sie deckt alle drei Versprechen ab, weil jedes von ihnen nur eine Teilantwort ist. Und sie lässt sich nicht mit einem Schlagwort beantworten: Wer sie beantwortet, hat entweder ein Löschkonzept – oder merkt gerade, dass er keines hat.
Was ein solches Konzept enthalten muss, steht im Lexikon unter Löschkonzept. Warum unser Dienst gar keinen Gesprächsverlauf führt und was dieser Verzicht kostet, steht im Beitrag Warum unser KI-Dienst kein Gedächtnis bekommt.