Indiskrete Sprachmodelle | KI-Chatbots geben Inhalte aus Unterhaltungen an Firmen weiter

Zwischen kostenlosen und bezahlten – und damit meist werbefreien – Pro-Versionen der Sprachmodelle fanden die Forschenden hinsichtlich der Indiskretion kaum Unterschiede. Foto: dpa/Philip Dulian Wer einem Sprachmodell von Krankheiten, Geldsorgen oder Beziehungsproblemen erzählt oder dieses für die Arbeit nutzt, geht davon aus, dass es sich um ein vertrauliches Gespräch zwischen zwei Parteien handelt – auch wenn das Gegenüber ein KI-Chatbot ist. Eine Studie des Madrider Forschungsinstituts Imdea Networks zeigt nun, dass diese Annahme bei vielen großen Diensten – jedenfalls hinsichtlich privater Unterhaltungen – nicht zutrifft.

Untersucht wurden dazu ChatGPT, Claude, Perplexity, Grok, Gemini, Mistral AI, Meta AI, DeepSeek und Microsoft Copilot. Sechs der neun Webversionen und drei von acht Android-Apps übermittelten demnach gesprächsbezogene Daten an Tracking- und Werbedienste, darunter Google, Meta und Tiktok.

Verbreitet ist etwa die Weitergabe eines zusammenfassenden Titels von Gesprächen mit dem KI-Chatbot. Dieser wird von den Systemen automatisch vergeben, damit das Thema in der Historie leichter zu finden ist. Aus der Frage nach Parkinson-Symptomen wird so der Titel »Parkinson-Symptome im Frühstadium«, aus einer Hypothekenfrage ein Titel mit Gehalts- und Kreditsumme. Gemini, Grok und Mistral gaben solche Titel laut Studie an Dritte weiter.

Über die Ergebnisse der Studie berichtet unter anderem netzpolitik.org. Der Forscher Narseo Vallina-Rodriguez sagte gegenüber dem Portal, auch scheinbar harmlose Chat-Titel könnten sehr persönliche Vorlieben, Sorgen und Lebensumstände verraten. Werden die Titel zusammen mit (auch als sogenannte Hashes verschleierten) E-Mail-Adressen oder Nutzer-IDs übertragen, lässt sich außerdem leichter erkennen, zu welchem Konto die Information gehört. Der Studie zufolge gingen bei Anthropic, Mistral und Perplexity Adressen an Dritte, bei ChatGPT, Claude, Le Chat und Perplexity auch Nutzer-IDs.

Die Studie zeigt aber auch, dass sich Web- und App-Versionen unterscheiden. In den Apps werden etwa die zusammenfassenden Titel seltener übermittelt, dafür gehen dort andere Kennungen an kommerzielle Dritte. Vier Apps übermittelten aber kontobezogene IDs, zwei E-Mail-Adressen und drei eine Zahlenfolge, die eigentlich nur der Werbezählung dient und sich zurücksetzen lässt. Bei Grok und Perplexity wurde dieser Werbeidentifier laut der Studie zusammen mit dauerhaften Nutzer- oder Installations-IDs übertragen. Der Schutz des Zurücksetzens verpufft damit.

Besonders weitreichend ist die Weitergabe bei Grok, dem Chatbot der Firma xAI von Elon Musk. Im Browser übertrug Grok Chat-Titel und Chat-Link unter anderem an Meta, Tiktok, Google und Twitter Analytics. Diese Links sind in der kostenlosen wie der kostenpflichtigen Version standardmäßig für alle einsehbar – sofern Nutzer*innen das nicht abschalten. Dritte können also den gesamten Chat-Verlauf samt Eingaben und Antworten einsehen.

Eine Sicherheitslücke für die vermeintlich private Kommunikation sind auch interne Links, die von den Chatbots für jedes Gespräch angelegt werden. ChatGPT, Claude, Grok, Mistral und Perplexity übermittelten auch diese an Dritte.

Ein weiterer Weg, auf dem Daten nach außen gelangen, ist das bewusste Teilen eines Chats durch die Nutzer*innen selbst. Grok und andere Anbieter bieten dafür sogenannte Share-Links an. Wer ein solches Gespräch freigibt, rechnet mit Einsichtnahme nur durch ausgewählte Personen. Die Forschenden untersuchten, welche der Informationen außerdem an welche Unternehmen fließen. Bei geteilten Grok-Gesprächen flossen besonders viele Details an Dritte. Meta erhielt etwa den Titel des Chats und den zuletzt eingegebenen Prompt der nutzenden Person. Tiktok bekam zusätzlich einen Screenshot der Unterhaltung.

Um zu prüfen, ob solche Verweise in Grok tatsächlich aufgerufen werden, bauten die Forschenden Köder-Links in freigegebene Gespräche ein. Sie registrierten anschließend 70 Abrufe von 70 IP-Adressen aus 14 Ländern, teilweise erst Tage später. Zwei Drittel der Zugriffe kamen aus den USA, obwohl die Unterhaltungen in der Europäischen Union geführt wurden.

Über alle neun Dienste hinweg fanden die Forschenden 44 Einrichtungen, die Daten empfangen, darunter 34 Werbe- und Trackingdienste. Am stärksten vertreten war Google mit Firebase, aber auch Meta sowie der bekannte Internetdienst Datadog. Bei DeepSeek stieß Imdea Networks auf hierzulande kaum bekannte chinesische Trackingdienste.

Die Ergebnisse der Studie zeigen auch die Grenzen der Selbsthilfe gegen die auskunftswilligen KI-Chatbots: Selbst nach Ablehnung aller nicht notwendigen Cookies blieben 80,8 Prozent der beobachteten Drittanbieter-Tracker in den Webversionen aktiv. Zwischen kostenlosen und bezahlten – und damit meist werbefreien – Pro-Versionen fanden die Forschenden ebenfalls kaum Unterschiede in Bezug auf die Indiskretion. Eine Ausnahme bildet ChatGPT: Auf der Webseite unterstützt die kostenpflichtige Version dauerhaft gespeicherte Einwilligungseinstellungen – rund 95 Prozent der Nutzer*innen arbeiten jedoch mit der Gratis-Version von ChatGPT.

Die Forschenden betonen auch, dass ihre Messungen eine Momentaufnahme sind und die bloße Anwesenheit eines Drittanbieters noch nicht belegt, dass in jeder Situation Daten zu Werbezwecken fließen. Auch wurde die Studie der Non-Profit-Organisation Imdea Networks noch nicht unabhängig überprüft; ein solches Peer-Review wird aber angekündigt.

Andere Medien haben Konzerne oder Milliardäre im Rücken. Wir haben die nd.Genossenschaft und Leser*innen wie dich. Das macht uns unabhängig und genau das wollen wir bleiben. Aber es heißt auch: Ohne dich geht die Rechnung nicht auf. Bis Ende des Jahres brauchen wir 300.000 Euro.

Du kannst direkt hier spenden, einmalig oder regelmäßig, damit nd bleibt.