Sperre – wann man zur KI wechselt, die man selbst steuert

Working with Claude – CC BY 4.0

In diesem Kurs geht es hauptsächlich darum, das Beste aus Claude herauszuholen: Lassen Sie sich zeigen, wie stichhaltig jede Behauptung ist, und behalten Sie dabei die Entscheidungsgewalt. In dieser Lektion geht es um die Kehrseite derselben Medaille – wohin diese Arbeit gelangt, sobald du sie eingegeben hast, und wer darauf zugreifen kann, nachdem du den Tab geschlossen hast.

„Verwahrung“ ist der einfache Begriff dafür. Wenn du ein Dokument in ein beliebiges Online-KI-Tool einfügst, übergibst du eine Kopie an die Computer eines anderen. Das ist selten eine einfache Frage von „gut oder schlecht“. Entscheidend ist, ob du dir zuvor die drei vorangehenden Fragen gestellt hast – und ob die Antworten für eine bestimmte Arbeit lauten: „Ein öffentliches Tool ist in Ordnung“ oder „Hierfür brauche ich eine KI, die ich selbst kontrolliere.“

Die drei vorangehenden Fragen

Stellen Sie diese Fragen, bevor Sie die Arbeit einreichen, nicht danach.

1. Wohin gehen Ihre Daten? Bei den Standard-Claude- Apps und der Website werden Ihre Unterhaltungen zum Zeitpunkt der Erstellung dieses Artikels standardmäßig auf Servern in den Vereinigten Staaten verarbeitet. Bei den kommerziellen und Unternehmensangeboten können Verarbeitung und Speicherung auf andere Regionen festgelegt werden – die direkte API bietet geografische Steuerungsmöglichkeiten, und Claude über AWS Bedrock oder Google Vertex so konfiguriert werden, dass Daten in der EU, im asiatisch-pazifischen Raum oder anderen Regionen verbleiben – doch das ist eine bewusste Konfiguration, nicht das Standardverhalten, und die Einzelheiten ändern sich, daher sollten Sie die aktuelle Konfiguration Ihres Kontos überprüfen. Der Sinn der Frage: Kennen Sie die Antwort, bevor es darauf ankommt, nicht erst während eines Vorfalls.

2. Welches Recht gilt? Unabhängig davon, wo sich die Daten physisch befinden und welches Unternehmen sie verwahrt, gilt das Recht der jeweiligen Gerichtsbarkeit – für gerichtliche Anordnungen, rechtmäßige Zugriffsanfragen und die eigenen Geschäftsbedingungen des Anbieters. Auch im Ausland gespeicherte Daten liegen weiterhin im rechtlichen Einflussbereich – nur unter anderen Gesetzen als denen, die Sie von Ihrem Heimatland erwarten würden. Bei allen Angelegenheiten, die die Vertraulichkeit von Kundendaten, Gesundheitsdaten oder Verpflichtungen nach neuseeländischem Recht betreffen, sollten Sie diese Frage mit Ihrem eigenen Berater klären und nicht einfach raten. (Diese Lektion dient der allgemeinen Aufklärung und stellt keine Rechtsberatung dar – lassen Sie sich bezüglich Ihrer konkreten Verpflichtungen angemessen beraten.)

3. Was sollte niemals in ein öffentliches Tool gelangen? Eine kurze, langweilige Liste ist mehr wert als eine lange Richtlinie. Für die meisten Menschen gilt: persönliche oder gesundheitsbezogene Daten anderer Personen, die Ihnen anvertraut wurden; Passwörter, Schlüssel und Finanzdaten; alles, was unter eine Vertraulichkeits- oder Geheimhaltungsvereinbarung fällt; unveröffentlichtes, wirtschaftlich sensibles Material; und – was hier besonders aktuell ist – Informationen, mit denen Verpflichtungen gemäß den Datenhoheitsbestimmungen te Tiriti und Māori verbunden sind, die eine gesonderte Behandlung erfordern und nicht einfach standardmäßig hochgeladen werden sollten. Schreiben Sie Ihre Liste auf. „Ich werde schon daran denken“ – so landet am Freitag um 17 Uhr das Falsche im Ordner.

Was die aktuellen Bestimmungen tatsächlich besagen

Ich gehe hier konkret auf die Details ein, anstatt nur vage zu argumentieren, denn das verändert die Rechenlage:

• In den Verbraucherstufen (Free und Pro) erlauben die Nutzungsbedingungen von Anthropic, dass Ihre Unterhaltungen zum Training zukünftiger Modelle verwendet werden, sofern Sie dies zulassen – und diese Einwilligung beinhaltet einen langen Aufbewahrungszeitraum für das verwendete Material. Wenn Sie dies ablehnen, gilt eine kürzere Aufbewahrungsfrist und Ihre Chats werden nicht zum Training verwendet. Konversationen, die zur Sicherheitsüberprüfung markiert wurden, bilden eine Ausnahme – sie können unabhängig von dieser Einstellung eingesehen werden. Einstellungen und genaue Fristen ändern sich, daher sollten Sie Ihre aktuellen Kontoeinstellungen und die aktuellen Nutzungsbedingungen überprüfen, anstatt sich auf die Zahlen in diesem Absatz zu verlassen.
• Bei den kommerziellen und Unternehmensangeboten (Claude für Work, die API, Bedrock und Ähnliches) gilt eine andere Standardeinstellung: Eingaben und Ausgaben werden nicht zum Trainieren von Modellen verwendet. Berechtigte Kunden können zudem eine „Zero-Data-Retention“ vereinbaren, bei der Inhalte nach der Antwort nicht gespeichert werden – vorbehaltlich einer Genehmigung und unter der Voraussetzung, dass bestimmte Sicherheitsprotokolle weiterhin aufbewahrt werden.

Die Lehre daraus lautet nicht „Privatkunden schlecht, Unternehmen gut“. Vielmehr bestimmt die jeweilige Tarifstufe die Regeln, und die meisten Nutzer haben nie überprüft, in welcher Tarifstufe sie sich befinden.

Wann ein Unternehmen auf KI umsteigen sollte, die es selbst kontrolliert

Sie müssen nicht für alles auf öffentliche Tools verzichten. Sie brauchen jedoch eine Schwelle. Steigen Sie auf KI um, die Sie kontrollieren, wenn:

• Sie routinemäßig vertrauliche oder personenbezogene Daten anderer Personen als zentralen Bestandteil Ihrer Arbeit verarbeiten – beispielsweise als Klinik, Anwaltskanzlei, Steuerberater oder iwi-Organisation, die Gemeinschaftsdaten verwaltet;
• eine Aufsichtsbehörde, ein Geldgeber oder ein Vertrag von Ihnen verlangt, anzugeben, wo Daten verarbeitet werden und unter welchem Recht, und „ein US-Server, wahrscheinlich“ reicht nicht aus;
• das Material so wertvoll ist, dass eine Kopie, die auf dem System eines anderen liegt, ein echtes wirtschaftliches Risiko darstellt, kein theoretisches ; oder
• Sie möchten einfach, dass die Antwort auf die Frage „Wer hat Zugriff darauf?“ „Sie“ lautet und niemand sonst.

Wenn keiner dieser Punkte zutrifft, ist ein öffentliches Tool in Verbindung mit einer schriftlichen Sperrliste eine vernünftige Lösung. Passen Sie die Verwahrung an die Risiken an.

Die Brücke – und ihre Kosten

„KI, die Sie kontrollieren“ bedeutet meist, ein Open-Weight-Modell auf einer Infrastruktur zu betreiben, über deren Standort und Zugriff Sie entscheiden – Ihre eigene Hardware oder Hosting innerhalb einer Rechtsordnung und Organisation, der Sie vertrauen. Es gibt Community- und selbst gehostete Optionen, und dieser Kurs richtet sich an Menschen, die genau das tun.

Der Kompromiss ist real. Die offenen Modelle, die du selbst hosten kannst, sind heute im Allgemeinen weniger leistungsfähig als das Flaggschiff, dessen Steuerung du gelernt hast – sie sind schwächer bei langwierigen, subtilen Schlussfolgerungen und erfordern mehr Aufwand für den Betrieb und die Patch-Verwaltung. Sie geben einen Teil der Leistungsfähigkeit ab und übernehmen etwas Wartungsaufwand, im Gegenzug für die Kontrolle über das System. Für viele alltägliche Aufgaben lohnt sich dieser Kompromiss; für die schwierigsten Schlussfolgerungsaufgaben greifen Sie vielleicht dennoch auf das Flaggschiff zurück – mit einer strengen Sperrliste. Zu wissen, welche Aufgaben wo hingehören, ist die Kunst. Hier gibt es kein Upselling – nur die Empfehlung, das Tool an die Anforderungen anzupassen und die Entscheidung bei dir zu belassen.

Das ist „Custody“: kein Produkt, das man kauft, sondern die Gewohnheit, sich zu fragen, wohin die Arbeit geht, bevor man sie versendet, und die Entscheidungshoheit bei der Person zu belassen, der die Arbeit gehört. Und das geht tiefer als nur Daten. Überlassen Sie der Maschine das Rechnen und die Zusammenfassung; behalten Sie sich die Entscheidungen darüber vor, was es wert ist, getan zu werden, und wo das Ganze letztendlich landet. Diese letzte Entscheidungsgewalt ist es, die es am meisten zu bewahren gilt – sie ist der Grund, warum der Rest von Bedeutung ist.

Weiterführende Literatur

• Te Mana Raraunga – das Māori-Netzwerk für Datenhoheit.
• Anthropic Datenschutz & Recht – Datenverarbeitung, -aufbewahrung und die Grenze zwischen Privat- und Geschäftsbereich.

Druckbare Karte: Die „Keep-out“-Checkliste enthält die Frage nach der Datenhoheit, die du vor jedem Einfügen stellen kannst.

Gewidmet meiner großen Schwester Judy, die mich auf die Idee gebracht hat, einen Kurs zu schreiben, der Menschen dabei hilft, den Umgang mit KI wohlüberlegt zu erlernen.