Zero Data Retention machte OpenAI blind für mehrstufigen Missbrauch

OpenAI hat Zero Data Retention eingeführt, damit berechtigte API-Kunden verhindern können, dass das Unternehmen ihre Prompts oder Modellantworten nach Abschluss einer Anfrage speichert, und dieses Versprechen gilt weiterhin: kein Zugriff durch OpenAI-Mitarbeiter, keine Nutzung für Training ohne ausdrückliche Zustimmung. Der Preis dieses Versprechens zeigt sich auf der Sicherheitsseite. In der Ankündigung vom 19. August 2026 erklärt OpenAI unumwunden, dass bei längeren, mehrstufigen agentenbasierten Aufgaben die gefährlichsten Verhaltensweisen - ein Angreifer, der Schutzmechanismen testet, sich über mehrere Konten koordiniert, einen Angriff als legitime Forschung tarnt, oder ein Agent, der trotz Stopp-Anweisung weiterhandelt - erst über mehrere Interaktionen hinweg sichtbar werden, nicht innerhalb einer einzelnen.

Bestehende ZDR-kompatible Sicherheitsprüfungen bewerten jede Interaktion isoliert und konnten dieses Muster strukturell nicht erkennen. OpenAI geht noch weiter und schreibt, "einige aktuelle Einsätze von Spitzenmodellen haben von Kunden verlangt, ihrem KI-Anbieter die Speicherung sensibler Inhalte zur Sicherheitsüberwachung zu erlauben" - ein unausgesprochener, aber deutlicher Seitenhieb gegen Wettbewerber, die dieses Problem durch mehr statt weniger Datenspeicherung gelöst haben. Für eine Bank, eine Klinikgruppe oder eine Kanzlei mit strengen Datenschutzpflichten war dieser Kompromiss nie akzeptabel, und genau diese Lücke soll Private Safety Processing schließen.

Die Lösung verlagert Sicherheitsprüfungen hinter die Schlüssel der Kunden

Private Safety Processing, am 19. August 2026 noch in der Vorschauphase, erweitert OpenAIs bisherige Einzelinteraktions-Prüfungen so, dass Muster über mehrere zusammenhängende Interaktionen hinweg erkannt werden, ohne dass OpenAI-Mitarbeiter Zugriff auf die zugrunde liegenden Kundendaten erhalten. Der Mechanismus funktioniert auf zwei Wegen, je nachdem, wo die Daten liegen. Liegen sie auf der eigenen Infrastruktur des Kunden im Rahmen eines echten ZDR-Einsatzes, kommt OpenAI damit gar nicht erst in Berührung. Liegen sie auf von OpenAI bereitgestelltem Speicher, werden sie mit Schlüsseln verschlüsselt, die der Kunde kontrolliert, und OpenAI-Mitarbeiter besitzen diese Schlüssel schlicht nicht.

Erkennt das System ein Risiko, erhält OpenAI weder den markierten Prompt noch die Antwort noch die Begründung hinter der Meldung. Das Unternehmen erhält lediglich, wie es selbst formuliert, "ein eng definiertes Signal, das die Art der beteiligten Aktivität angibt" - genug, um über eine Durchsetzungsmaßnahme zu entscheiden, aber nicht genug, um nachzuvollziehen, was tatsächlich geschah. Kunden können jede Meldung oder Maßnahme mit ihren eigenen Systemen prüfen und freiwillig mehr Informationen mit OpenAI teilen, wenn sie eine Entscheidung anfechten oder eine Untersuchung unterstützen wollen - die Offenlegung bleibt auf Kundenseite freiwillig, nicht automatisch bei OpenAI.

Glean, Databricks, Abridge und Microsoft testen das System bereits

Vier namentlich genannte Organisationen testen Private Safety Processing bereits vor einer breiteren Einführung: Glean, Databricks, Abridge und Microsoft. Sunil Agrawal, Chief Information Security Officer von Glean, gab OpenAI die bislang deutlichste öffentliche Rückendeckung: "Enterprise AI adoption depends solely on customer control of data, with no direct or derivative use beyond the chosen service. OpenAI's no-training commitment and ZDR give Glean confidence to build with OpenAI. As models become more capable, OpenAI shows safety can advance without compromising the privacy and control that sustain enterprise trust." Das ist ein Unternehmenskunde, der sich öffentlich für ein System ausspricht, das noch gar nicht ausgeliefert wird.

Eine Ausnahme bleibt in jeder Version dieses Designs bestehen: OpenAI ist gesetzlich verpflichtet, mutmaßliches Missbrauchsmaterial von Kindern zu melden, weshalb Bilder mit Verdacht auf solches Material auch innerhalb von ZDR-Einsätzen weiterhin zur manuellen Prüfung und Meldung gespeichert werden, genau wie bisher. Private Safety Processing rührt an dieser Ausnahme nichts. OpenAI plant die breite Einführung samt einem technischen Whitepaper, das den Mechanismus genauer erklärt, für September 2026 - was bis dahin ausgeliefert wird, kann sich durch Kundenfeedback noch verändern.

Das Whitepaper im September ist der eigentliche Test, nicht diese Ankündigung

Niemand außerhalb von OpenAI hat die Verschlüsselungs- und Schlüsselkontroll-Behauptungen hinter Private Safety Processing bislang unabhängig geprüft, und genau diese Lücke sollte ein Compliance-Team in Deutschland oder Österreich bis September offenhalten. Das "eng definierte Signal", das OpenAI beschreibt, ist naturgemäß für den Kunden, der es empfängt, undurchsichtig - nützlich, um über eine Meldung zu entscheiden, aber nicht detailliert genug für eine Prüfung nach Art. 28 DSGVO oder für einen Auditor, der genau wissen will, was aus verschlüsselten Inhalten abgeleitet wurde und wie. Gerade angesichts der strengen Durchsetzungskultur von BDSG und DSGVO in Deutschland lautet die ehrliche Antwort auf die Frage "können wir das prüfen" bis zum versprochenen Whitepaper: noch nicht.

Die Ankündigung folgt drei Tage nach Äußerungen von OpenAIs CFO zu einem möglichen Börsengang 2027 und wenige Tage nach der Ausweitung von ChatGPT Ads auf Europa, und zusammengenommen zeigt sich ein Muster: OpenAI wirbt sichtbar um das Vertrauen regulierter Branchen vor weiterem kommerziellem Wachstum. Das macht Private Safety Processing nicht zu einer reinen Marketingaktion - die Kundenliste und der Mechanismus sind real -, aber die Beweislast liegt beim Whitepaper, nicht bei dieser Ankündigung. Jede Behauptung eines Anbieters zu "Zero Data Retention" sollte künftig mit einer Nachfrage geprüft werden: Wie genau wird die Sicherheitsüberwachung über mehrere Sitzungen hinweg gehandhabt.

Weiterlesen: OpenAIs Firmenkundenumsatz überholte im Juli die Privatkunden  |  IBM setzt sein Consulting auf einen KI-Anbieter