OpenAIs Private Safety Processing soll KI-Missbrauch erkennen, ohne Kundendaten preiszugeben

OpenAI testet Private Safety Processing, eine Sicherheitsarchitektur für berechtigte API-Kunden mit Zero Data Retention (ZDR). Das zentrale Versprechen: Das System soll Missbrauchsmuster erkennen, die erst über mehrere miteinander verbundene Anfragen sichtbar werden – ohne dass OpenAI-Mitarbeitende standardmäßig Zugriff auf die zugrunde liegenden Kundendaten erhalten.

Der Ansatz wird wichtiger, weil leistungsfähigere KI-Modelle zunehmend in längeren und stärker verteilten Arbeitsabläufen eingesetzt werden. Ein schädliches Ziel kann dabei auf mehrere Konten, Sitzungen oder einzelne Anfragen aufgeteilt werden. Keine davon muss für sich genommen eindeutig problematisch wirken. Private Safety Processing soll den fehlenden Gesamtzusammenhang herstellen und dabei die Schutzvorgaben von ZDR beibehalten.

So funktioniert Private Safety Processing

Bisherige ZDR-Schutzmechanismen bewerten Anfragen und Antworten im Wesentlichen einzeln. Die neue Vorschau soll diesen Ansatz erweitern: Automatisierte Systeme untersuchen Beziehungen zwischen mehreren Interaktionen und suchen nach Mustern, die auf möglichen Missbrauch hindeuten. Dazu könnten koordinierte Versuche gehören, Schutzvorkehrungen zu umgehen oder die Entwicklung von Schadsoftware über mehrere getrennte Anfragen zu verteilen.

Entscheidend ist die Trennung von Analyse und Speicherung. Private Safety Processing soll zusammenhängende Aktivitäten für Sicherheitszwecke auswerten. OpenAI erklärt jedoch, dass die zugrunde liegenden Prompts und Modellantworten über dieses System nicht für Mitarbeitende zugänglich gemacht werden.

Für ZDR-Bereitstellungen beschreibt OpenAI zwei mögliche Varianten der Datenkontrolle:

• Die Kundendaten bleiben auf einer vom Kunden kontrollierten Infrastruktur.
• Bei einer Speicherung auf OpenAI-Infrastruktur werden die Daten mit Schlüsseln verschlüsselt, die der Kunde kontrolliert – nicht die OpenAI-Mitarbeitenden.

In beiden Fällen können automatisierte Systeme möglichen Missbrauch erkennen und ein begrenztes Sicherheitssignal zurückgeben, ohne die ursprünglichen Prompts oder Antworten offenzulegen.

Was erhält OpenAI bei einem Verdacht?

Nach der Beschreibung der Vorschau erhält OpenAI lediglich eine eng begrenzte Information über die Art der festgestellten Aktivität. In OpenAIs Systemdarstellung wird die Ausgabe als Kategorie und Schweregrad eines Warnsignals beschrieben – nicht als Gesprächsverlauf.

Dieses Signal kann Sicherheits- oder Durchsetzungsentscheidungen unterstützen. Es ist aber nicht dasselbe, wie OpenAI die vollständige Sitzungschronik zu übermitteln. Das vorgesehene Modell lässt sich vereinfacht so zusammenfassen:

1. Automatisierte Systeme untersuchen verbundene Interaktionen auf ein potenziell schädliches Muster.
2. Überschreitet das Muster einen Risikoschwellenwert, erzeugt das System eine begrenzte Sicherheitsklassifizierung.
3. OpenAI erhält diese Klassifizierung, nicht jedoch Prompts, Antworten oder das vollständige Gespräch.
4. Der Kunde kann die zugrunde liegenden Aktivitäten in seiner eigenen Umgebung untersuchen.

Noch handelt es sich um eine Vorschau. Für Unternehmenskunden werden daher die genaue technische Umsetzung, die Schwellenwerte und der Umgang mit Fehlalarmen entscheidend sein. OpenAI kündigte an, im September 2026 mit einer breiteren Einführung zu beginnen und ein technisches Whitepaper zu veröffentlichen.

Warum OpenAI-Mitarbeitende eine markierte Unterhaltung normalerweise nicht lesen können

Ein Sicherheitsalarm gewährt OpenAI-Mitarbeitenden nicht automatisch Zugriff auf die betreffende Unterhaltung. Nach den beschriebenen ZDR-Varianten speichert OpenAI die Kundendaten nicht dauerhaft. Bei der von OpenAI gehosteten Speicheroption verfügt das Unternehmen außerdem nicht über die kundengesteuerten Entschlüsselungsschlüssel.

Kunden können relevante Inhalte freiwillig teilen – etwa um eine Durchsetzungsmaßnahme anzufechten, eine legitime Nutzung zu erklären oder die Untersuchung eines bestätigten Missbrauchs zu unterstützen. Ohne eine solche Freigabe bleibt der Alarm auf die maschinell erzeugte Sicherheitsinformation beschränkt, die an OpenAI übermittelt wird.

Damit trennt das Verfahren Beweismaterial unter Kontrolle des Kunden von anbieterweiten Risikosignalen. Das kann die Menge sensibler Daten reduzieren, die ein Anbieter verarbeiten muss, und zugleich Muster sichtbar machen, die ein Filter auf Basis einzelner Anfragen übersehen könnte.

Welche Kunden testen die Vorschau?

OpenAI nennt Glean, Databricks, Abridge und Microsoft als Kunden, die an der Entwicklung oder Erprobung der Vorschau beteiligt sind. Weitere Berichte nennen ebenfalls Microsoft und Databricks als frühe Testkunden.

Private Safety Processing ist nicht als allgemeine Einstellung für Verbraucher gedacht. Die Funktion richtet sich an berechtigte API-Bereitstellungen von Organisationen, die fortschrittliche Modelle nutzen und zugleich strenge Kontrolle über Prompts und Antworten behalten wollen.

OpenAI und Anthropic setzen auf unterschiedliche Sicherheitsmodelle

OpenAIs Ansatz priorisiert die Erkennung von Missbrauch bei möglichst geringem Zugriff des Anbieters auf Kundendaten. Anthropics Regelung für sogenannte Covered Models geht den entgegengesetzten operativen Weg: Prompts und Antworten dieser Modelle werden 30 Tage gespeichert, um Sicherheitsmaßnahmen und kontrollierte Prüfungen zu ermöglichen.

Anthropics Dokumentation zufolge gilt die 30-Tage-Vorgabe unter anderem für Modelle der Mythos-Klasse. Diese Modelle sind nicht mit ZDR verfügbar. Zugleich erklärt Anthropic, dass die aufbewahrten Daten ohne ausdrückliche Erlaubnis des Kunden nicht zum Training von Modellen verwendet werden.

Der praktische Unterschied ist damit erheblich:

• OpenAI Private Safety Processing: Automatisierte Analyse über mehrere zusammenhängende Interaktionen hinweg; OpenAI erhält laut Vorschau ein begrenztes Sicherheitssignal statt der zugrunde liegenden Inhalte.
• Anthropics Regelung für Covered Models: Prompts und Antworten werden 30 Tage aufbewahrt, damit sie für Sicherheitsarbeit und kontrollierte Prüfungen verwendet werden können.

Keine der beiden Varianten ersetzt jedoch die Governance auf Kundenseite. Unternehmen müssen vor dem Einsatz in sensiblen Bereichen unter anderem Berechtigungsvoraussetzungen, Infrastruktur, Zugriffskontrollen, Aufbewahrungsfristen, regionale Anforderungen, Einspruchsverfahren und Vertragsbedingungen prüfen.

Warum das für regulierte Unternehmen relevant ist

Organisationen aus Finanzwesen, Gesundheitssektor und Rechtsberatung verarbeiten häufig Informationen, die durch Vertraulichkeitsvereinbarungen, Datenschutzvorgaben, berufliche Verschwiegenheitspflichten oder branchenspezifische Regeln geschützt sind. Ob ein Anbieter Prompts speichern und gegebenenfalls prüfen kann, wirkt sich deshalb auf Datenminimierung, interne Freigaben, Audits und die Bewertung von Lieferantenrisiken aus.

Das bedeutet nicht automatisch, dass eine 30-tägige Speicherung unzulässig ist. Ebenso macht ZDR eine Bereitstellung nicht von selbst rechtskonform. Die beiden Modelle führen vielmehr zu unterschiedlichen Prüfungsfragen für Sicherheits- und Rechtsteams. Bei Anthropics Covered Models müssen Unternehmen die Speicherung und mögliche Prüfung durch den Anbieter einplanen. OpenAI positioniert ZDR und Private Safety Processing dagegen als Modell, das den Zugriff des Anbieters auf die eigentlichen Inhalte begrenzen soll.

Für Unternehmenskunden sind vor allem diese Fragen relevant:

• Ist das verwendete Modell für ZDR zugelassen?
• Wo werden die Daten verarbeitet und – falls sie gespeichert werden – wer kontrolliert die Verschlüsselungsschlüssel?
• Welche konkreten Felder enthält ein Sicherheitsalarm?
• Kann der Kunde einen Alarm prüfen oder anfechten, ohne das vollständige Gespräch offenzulegen?
• Was geschieht, wenn der Anbieter schweren Missbrauch vermutet?
• Sind Speicher- und Prüfungsbedingungen des Anbieters mit den vertraglichen und regulatorischen Pflichten des Unternehmens vereinbar?

Datenschutz wird zum Produktmerkmal der KI-Sicherheit

Private Safety Processing macht Datenschutz zu einem Bestandteil des Sicherheitsprodukts selbst. Die Frage lautet nicht mehr nur, ob ein Modell eine einzelne unsichere Anfrage blockieren kann. Entscheidend ist auch, ob ein Anbieter koordinierten Missbrauch über längere Arbeitsabläufe hinweg erkennt, ohne dafür Zugriff auf jedes Kundengespräch zu benötigen.

OpenAIs Vorschau bietet darauf eine mögliche Antwort: Die zugrunde liegenden Inhalte bleiben unter Kontrolle des Kunden oder werden mit kundenseitig verwalteten Schlüsseln geschützt. Automatisierte Systeme suchen nach Mustern über mehrere Interaktionen hinweg und übermitteln dem Anbieter nur eine begrenzte Risikoklassifizierung.

Anthropics Covered-Model-Regelung verfolgt einen anderen Weg: Relevante Prompts und Antworten werden für einen begrenzten Zeitraum gespeichert, damit Sicherheitsteams sie untersuchen können. Zugleich nennt Anthropic kontrollierte Prüfungen und eine Einschränkung der Nutzung zu Trainingszwecken.

Welche Strategie sich durchsetzt, hängt von der Risikotoleranz der Kunden, der Sensibilität ihrer Arbeitslasten und dem gewünschten Maß an Untersuchungszugriff des Modellanbieters ab. Das angekündigte technische Whitepaper und die breitere Einführung von Private Safety Processing dürften zeigen, wie belastbar OpenAIs Datenschutzversprechen in der Praxis sind.

Der Wettbewerb um Unternehmenskunden

Die unterschiedlichen Datenschutzmodelle sind auch ein Wettbewerbsfaktor. OpenAI stellt „Sicherheit ohne Zugriff des Anbieters auf die Inhalte“ in den Vordergrund, während Anthropic bei seinen leistungsfähigsten Covered Models stärker auf die Untersuchbarkeit potenziellen Missbrauchs setzt. Das geschieht in einer Phase, in der beide Unternehmen um Unternehmenskunden, Kapital und eine möglichst starke Position im Markt für Frontier-Modelle konkurrieren.

Anthropic soll seinen annualisierten Umsatz, also eine Hochrechnung des aktuellen Umsatztempos auf ein Gesamtjahr, Ende Juli 2026 auf 65 Milliarden US-Dollar gesteigert haben. Für OpenAI wurden im Vergleich rund 40 Milliarden US-Dollar genannt.

Für das zweite Quartal 2026 wurde Anthropics vorläufiger Umsatz mit mehr als 11,5 Milliarden US-Dollar angegeben. Berichten zufolge lag er damit erstmals über dem Quartalsumsatz von OpenAI. Dabei handelt es sich um vorläufige Angaben privater Unternehmen und nicht um geprüfte Börsenberichte.

Auch eine mögliche Bewertung Anthropics von 2 Billionen US-Dollar für einen Börsengang wurde berichtet. Das ist jedoch eine Erwartung aus dem Investorenumfeld und keine bestätigte Bewertung oder öffentliche Markttatsache.

Die Behauptung, OpenAI habe im Juni 2026 vertraulich einen S-1-Antrag eingereicht, lässt sich anhand der hier verfügbaren belastbaren Quellen dagegen nicht eindeutig bestätigen. Die vorliegenden Berichte verbinden vertrauliche Börsenunterlagen vielmehr mit Anthropic. Auch Aussagen über ein langsameres Wachstum von OpenAI im zweiten Quartal sollten bis zu offiziellen Unternehmensangaben oder geprüften Unterlagen als berichtete Vergleiche behandelt werden.