OpenAI testet privaten Sicherheitscheck für Enterprise-Kunden

OpenAI testet ein neues Verfahren, das den Spagat zwischen KI-Sicherheit und Datenschutz für Unternehmenskunden lösen soll. Private Safety Processing soll Missbrauchsmuster über mehrere zusammenhängende Interaktionen hinweg erkennen, ohne die zugrunde liegenden Kundendaten für OpenAI-Mitarbeiter zugänglich zu machen. Die Vorschau wurde am 19. August 2026 angekündigt und ist für berechtigte Enterprise-Einsätze mit Zero Data Retention (ZDR) gedacht. 31

Damit reagiert OpenAI auf ein bekanntes Problem herkömmlicher Sicherheitsfilter: Nicht jede schädliche Nutzung ist in einer einzelnen Anfrage erkennbar. Erst eine Folge scheinbar unauffälliger Anweisungen kann zeigen, dass jemand etwa einen Angriff vorbereitet.

Was sich bei Zero Data Retention ändert

Bei bisherigen ZDR-kompatiblen Schutzmechanismen wird eine Interaktion im Wesentlichen isoliert bewertet. Private Safety Processing soll diese Prüfung auf mehrere miteinander verbundene Gespräche ausweiten. Automatisierte Systeme könnten dadurch Muster erkennen, die sich erst über längere Zeit entwickeln – beispielsweise Aktivitäten, die mit Hacking-Versuchen menschlicher Nutzer oder fehlgeleiteter KI-Agenten zusammenhängen. 31

In der Praxis könnte eine Reihe einzeln harmlos wirkender Anfragen gemeinsam auf einen riskanten Ablauf hindeuten, etwa auf die Entwicklung von Schadsoftware oder die Vorbereitung eines Eindringens in Computersysteme. Die vorliegenden Quellen beschreiben allerdings eine Funktion zur Mustererkennung – keinen Beleg dafür, dass das System jede solche Kampagne zuverlässig erkennt.

Welche Informationen OpenAI erhalten soll

Die entscheidende Datenschutzgrenze liegt laut OpenAI darin, dass die Analyse automatisiert erfolgt und die eigentlichen Kundendaten nicht an OpenAI-Mitarbeiter weitergegeben werden. Erkennt das System ein mögliches Problem, soll OpenAI lediglich ein eng definiertes Sicherheitssignal erhalten – zum Beispiel eine Information über die Art oder Schwere eines Risikos, nicht aber den Gesprächsinhalt. 310

Die Kundendaten können nach Angaben zur Vorschau auf einer vom Kunden kontrollierten Infrastruktur verbleiben. Alternativ können sie verschlüsselt gespeichert werden, wobei der Kunde die Schlüssel hält. 157 Damit soll der Vertraulichkeitsschutz erhalten bleiben, den Unternehmen mit ZDR typischerweise verbinden.

Ganz folgenlos muss ein solches Signal jedoch nicht sein. Es könnte eine Sicherheitsmaßnahme auf Kontoebene auslösen oder dazu führen, dass OpenAI den Kunden um eine Untersuchung bittet. Der Kunde kann freiwillig zusätzliche Informationen liefern, etwa um eine Markierung anzufechten oder eine Untersuchung zu unterstützen. Die Vorschau wird jedoch nicht als Mechanismus beschrieben, der OpenAI automatisch Zugriff auf die gespeicherten Gespräche verschafft. 23

Noch viele offene Fragen

Private Safety Processing wird zunächst mit ausgewählten frühen Kunden getestet und ist noch kein allgemein etabliertes Produkt. 35 Deshalb bleiben zentrale Punkte offen:

• Wie präzise sind die Risikosignale über mehrere Gespräche hinweg?
• Wie häufig könnten legitime Unternehmensanwendungen fälschlich markiert werden?
• Welche Maßnahmen folgen auf die jeweiligen Risikokategorien?
• Wie können Kunden ein Signal prüfen oder anfechten, wenn OpenAI den Inhalt selbst nicht einsehen kann?
• Welche technischen Unterlagen erhalten Unternehmen vor einer breiteren Einführung?

Das Versprechen ist daher enger als die Aussage, datenschutzfreundliche Sicherheitsmechanismen könnten Missbrauch grundsätzlich lösen. OpenAI prüft zunächst, ob ein begrenztes, automatisiert erzeugtes Signal für die Erkennung von Missbrauch ausreicht – ohne die umfassendere Datenhaltung und menschliche Inhaltsprüfung, die mit einer Speicherung des Datenverkehrs einhergehen.

Anthropic setzt auf 30 Tage Speicherung

Anthropic verfolgt bei seinen besonders leistungsfähigen, sogenannten „Covered Models“ einen stärker speicherorientierten Ansatz. Für Prompts und Antworten dieser Modelle gilt eine 30-tägige Aufbewahrung für Sicherheitszwecke. Die Regel umfasst Mythos-Modelle sowie künftige Modelle mit vergleichbaren Fähigkeiten.

Anthropic erklärt, die gespeicherten Daten weder zum Training neuer Claude-Modelle noch für andere als sicherheitsbezogene Zwecke zu verwenden. Zu den Schutzmaßnahmen gehören eingeschränkte Zugriffsrechte, die Protokollierung menschlicher Zugriffe und die Löschung nach 30 Tagen – mit wenigen Ausnahmen.

Der Vorteil dieses Ansatzes liegt in einem Rückblick auf vergangene Interaktionen: Sicherheitsteams können komplexe Angriffe untersuchen und mögliche Fehlalarme nachträglich bewerten. Gleichzeitig entsteht für Unternehmen eine größere Verpflichtung bei Datenhaltung, Compliance und Aufsicht.

Berichten zufolge will Anthropic an der 30-Tage-Vorgabe festhalten, Unternehmen aber ermöglichen, die Daten in ihrer eigenen Cloud-Infrastruktur zu speichern. Das kann Bedenken hinsichtlich der Datenhoheit verringern, beseitigt die Aufbewahrungspflicht selbst jedoch nicht.

Zwei unterschiedliche Sicherheitsmodelle

Die Ansätze lassen sich vereinfacht so gegenüberstellen:

• OpenAI: Automatisierte Analyse über mehrere Interaktionen hinweg; an OpenAI wird nur ein begrenztes Sicherheitssignal übermittelt.
• Anthropic: Speicherung des Datenverkehrs bestimmter Modelle für 30 Tage unter kontrollierten Zugriffsbedingungen.

OpenAIs Modell könnte für Unternehmen attraktiv sein, deren Einkaufs- und Datenschutzvorgaben eine Speicherung von Inhalten beim Anbieter möglichst ausschließen. Der Nachteil: Ein knappes Signal liefert möglicherweise weniger Beweismaterial, wenn ein Vorfall umstritten oder schwer einzuordnen ist.

Anthropics Ansatz verspricht mehr forensische Sichtbarkeit, bringt aber eine zusätzliche Speicher- und Compliance-Last mit sich. Keines der beiden Modelle beseitigt das Grundproblem. Mehrstufiger Missbrauch kann schwer von legitimer Forschung zu unterscheiden sein, während Datenschutzvorgaben die Informationen begrenzen, die menschlichen Ermittlern zur Verfügung stehen.

Der entscheidende Praxistest für OpenAI wird deshalb sein, ob die automatisierten Signale zuverlässig genug sind, um Sicherheitsmaßnahmen zu begründen, ohne dass OpenAI auf die Inhalte zugreifen muss, die sie zusammenfassen.

Der Wettbewerb um Unternehmenskunden

Die unterschiedlichen Datenschutzmodelle kommen zu einem Zeitpunkt, an dem OpenAI und Anthropic besonders stark um Enterprise- und Frontier-Model-Kunden konkurrieren. Anthropics hochgerechneter Jahresumsatz soll Ende Juli mehr als 65 Milliarden US-Dollar erreicht haben. Dabei handelt es sich um eine Annualized Revenue Run Rate – also eine Projektion auf Basis der jüngsten Entwicklung, nicht um den bereits verbuchten Jahresumsatz.

Außerdem sollen Investoren für einen möglichen Börsengang eine Bewertung von mindestens 2 Billionen US-Dollar diskutiert haben. Das ist eine von externen Quellen berichtete Erwartung, keine garantierte Bewertung und kein abgeschlossener Börsengang.

Diese Zahlen liefern den wirtschaftlichen Kontext, belegen aber nicht, dass Private Safety Processing ausschließlich als Reaktion auf Anthropic entwickelt wurde. Die vorsichtigere Schlussfolgerung lautet: OpenAI adressiert ein konkretes Beschaffungsproblem großer Unternehmen – wie sich leistungsfähige Modelle mit stärkerer Missbrauchskontrolle einsetzen lassen, ohne vertrauliche Geschäftsdaten an den Anbieter zu übergeben.

Für einen festen Zeitplan oder konkrete Bedingungen eines OpenAI-Börsengangs liefern die verfügbaren Quellen keine ausreichende Grundlage. Aussagen über einen unmittelbar bevorstehenden oder bereits fest beschlossenen Börsengang von OpenAI müssten separat bestätigt werden.

Fazit

Private Safety Processing soll Zero Data Retention von einer Prüfung einzelner Anfragen zu einer Sicherheitsüberwachung über mehrere zusammenhängende Gespräche erweitern. OpenAI zufolge bleiben Prompts und Antworten dabei für die eigenen Mitarbeiter unzugänglich; im Alarmfall wird lediglich ein eng begrenztes Sicherheitssignal übermittelt.

Damit präsentiert OpenAI eine datenschutzorientierte Alternative zu Anthropics 30-Tage-Modell. Vorerst handelt es sich jedoch nur um eine Vorschau mit ausgewählten Kunden. Unternehmen sollten die Funktion daher als Entwicklungs- und Testansatz betrachten, bis unabhängige Erfahrungen mehr Klarheit über Erkennungsgenauigkeit, Fehlalarme, Prüfbarkeit und tatsächliche Folgen eines Sicherheitssignals schaffen.