Werden unsere Eingaben zu Trainingsdaten?
Über die Weiterverwendung entscheiden die Bedingungen des Anbieters, nicht die Technik. Sie gehört vor die Beschaffung, weil sie nachträglich kaum zu korrigieren ist.
Zwischen Diensten für Endverbraucher und Angeboten für Unternehmen liegt in dieser Frage der größte Unterschied. Dieselbe Marke, dasselbe Modell und doch verschiedene Bedingungen. Der Blick in die richtige Fassung der Bedingungen ist deshalb der erste Schritt.
Was vor der Beschaffung zu klären ist
- Welche Fassung der Bedingungen für Ihr Konto tatsächlich gilt
- Ob Eingaben zum Training verwendet werden dürfen und ob das abschaltbar ist
- Ob die Abschaltung vertraglich zugesagt oder nur eine Einstellung ist
- Wie lange Eingaben gespeichert werden und wer darauf zugreifen kann
- Ob Unterauftragnehmer Zugriff haben und in welchen Ländern
- Ob Eingaben zur Missbrauchskontrolle von Menschen gesichtet werden
- Welche Inhalte grundsätzlich nicht eingegeben werden dürfen
Kein Training heißt nicht keine Speicherung
Die Zusage, Eingaben nicht zum Training zu verwenden, wird häufig für die Antwort auf die Vertraulichkeitsfrage gehalten. Sie ist nur ein Teil davon.
Anbieter unterscheiden zwischen drei Dingen: der Verwendung zum Training, der Aufbewahrung für einen begrenzten Zeitraum und dem Zugriff durch eigene Beschäftigte. Verbreitet ist eine Aufbewahrung zur Prüfung auf Missbrauch, oft dreißig Tage, verbunden mit einer Zugriffsmöglichkeit im Verdachtsfall. Für den Schutz eines Geschäftsgeheimnisses zählt genau dieser Zugriff, nicht allein die Frage nach dem Training.
Zu fragen ist deshalb nach allen drei Punkten und nach ihrer vertraglichen Absicherung. Eine Verarbeitung ohne Aufbewahrung bieten mehrere Anbieter an, sie ist aber gesondert zu vereinbaren und gilt nicht für jedes Produkt des Anbieters.
Die Verwendung zum Training verschiebt auch die Rollen. Solange der Anbieter allein den Dienst erbringt, ist er Auftragsverarbeiter. Nutzt er Eingaben zum eigenen Training, verfolgt er insoweit eigene Zwecke und ist dafür selbst verantwortlich. Ein Vertrag über Auftragsverarbeitung deckt diesen Teil dann nicht mehr ab.
Wie wir unterstützen
Wir prüfen die Bedingungen des Anbieters in der für Sie geltenden Fassung und verhandeln die Zusagen, die es braucht. Die interne Regelung dazu formulieren wir. Wo eine Zusage nicht zu erreichen ist, sagen wir, welche Inhalte dann draußen bleiben müssen.
Vertrauliches im Prompt?
Wir klären, was der Anbieter mit Ihren Eingaben tun darf.
Bedingungen prüfen lassenHäufige Fragen
Verlieren wir den Schutz als Geschäftsgeheimnis?
Der gesetzliche Schutz setzt angemessene Geheimhaltungsmaßnahmen voraus. Die Eingabe vertraulicher Informationen in einen Dienst, der sie weiterverwenden darf, gefährdet genau diese Voraussetzung. Der Schutz entfällt dann bereits von vornherein und nicht erst im Prozess. Deshalb gehört die Frage in die Nutzungsregelung und nicht in das Ermessen der Einzelnen.
Genügt ein Opt-out in den Einstellungen?
Nur wenn es vertraglich abgesichert ist und für alle genutzten Konten gilt. Eine Einstellung, die jederzeit einseitig geändert werden kann und die einzelne Beschäftigte selbst umstellen können, trägt keine Geheimhaltungsstrategie. Belastbar wird es mit einer vertraglichen Zusage und einer zentral verwalteten Konfiguration.
Der Anbieter trainiert nicht. Sind die Eingaben damit weg?
Nein, das sind zwei verschiedene Zusagen. Verbreitet ist eine Aufbewahrung der Eingaben für einen begrenzten Zeitraum zur Prüfung auf Missbrauch, häufig dreißig Tage, mit Zugriffsmöglichkeit für Beschäftigte des Anbieters. Für Vertraulichkeit ist deshalb nach Aufbewahrung und Zugriff zu fragen und nicht nur nach dem Training. Eine Verarbeitung ohne Aufbewahrung ist bei mehreren Anbietern erhältlich, aber gesondert zu vereinbaren.
Ist der Anbieter unser Auftragsverarbeiter?
Für die Erbringung des Dienstes in aller Regel ja. Sobald er Eingaben zum eigenen Training oder zur Verbesserung seiner Produkte nutzt, verfolgt er insoweit eigene Zwecke und ist dafür selbst verantwortlich. Ein Vertrag über Auftragsverarbeitung deckt diesen Teil dann nicht mehr ab. Genau deshalb ist der Ausschluss der Weiterverwendung nicht nur eine Frage der Vertraulichkeit, sondern auch eine der Rollenverteilung.
Und wenn personenbezogene Daten in der Eingabe stehen?
Dann kommt die datenschutzrechtliche Ebene hinzu: Rechtsgrundlage, Zweckbindung, Informationspflichten und die Frage, wie Betroffenenrechte in einem trainierten Modell überhaupt erfüllt werden sollen. Praktisch ist es meist einfacher, personenbezogene Daten vor der Eingabe zu entfernen, als die Verarbeitung im Modell später zu beherrschen.