Was passiert ist
Am 19. August 2026 hat OpenAI in einem Blogbeitrag die Zero Data Retention für Frontier-Modelle bekräftigt und um Private Safety Processing ergänzt. Das ist auf den ersten Blick eine technische Randnotiz. Für die Finanzbranche ist es mehr.
Zero Data Retention bedeutet: API-Kunden können konfigurieren, dass Prompts und Modellantworten nicht gespeichert werden. Weder für Trainingszwecke noch für spätere Prüfungen. Diese Zusage galt bisher für einen Teil des Modellportfolios. Jetzt wird sie für die leistungsfähigsten Modelle fortgeschrieben. Private Safety Processing stellt sicher, dass Sicherheitsprüfungen der Eingaben nicht mit einer Datenspeicherung verbunden sind.
Die Quelle ist der offizielle OpenAI-Blog vom 19. August 2026. Für uns in der Finanzbranche heißt das: Eine zentrale Datenschutz-Hürde für den Einsatz großer Sprachmodelle in sensiblen Prozessen wird kleiner. Nicht beseitigt, aber kleiner.
Warum es jetzt für Finanzinstitute zählt
Ich arbeite seit Jahren mit Banken, Vermögensverwaltern, Family Offices und Beratungsunternehmen. Das häufigste Killerkriterium für Cloud-KI war nicht die Modellqualität. Es war die Frage: Was passiert mit den Daten? Werden Kundennamen, Depotnummern, Vertragsinhalte, Verdachtsmeldungen beim Anbieter gespeichert? Wenn ja, war das Projekt beendet. Compliance hat abgelehnt, der Datenschutzbeauftragte hat abgelehnt, der Vorstand hat abgelehnt.
Zero Data Retention adressiert genau diesen Punkt. Wenn ein Anbieter bestätigt, dass keine Daten zurückbleiben, ändert sich die Risikobewertung. Aus meiner Sicht ist das der wichtigste Schritt, den OpenAI in diesem Jahr für den Finanzsektor gemacht hat.
Konkret betrifft das mindestens vier Arbeitsfelder:
- Kreditanalyse: Jahresabschlüsse, BWA, Handelsregisterauszüge und Kreditverträge können in großen Mengen ausgewertet werden, ohne dass die Dokumente den Anbieter erreichen und dort verbleiben. Die Verarbeitung erfolgt, die Speicherung entfällt.
- Vermögensverwaltung und Family Office: Protokolle von Kundengesprächen, Anlagevorschläge und Research-Notizen werden automatisiert zusammengefasst. Die Rohdaten bleiben im eigenen System, nur die Verarbeitung läuft über die API.
- Compliance und AML: Verdachtsmeldungen und unstrukturierte Hinweise können in natürlicher Sprache vorbewertet werden. Die Ergebnisse fließen in das Meldewesen, die Ursprungsdaten werden nicht beim Modellanbieter gespeichert.
- Steuerberatung und Wirtschaftsprüfung: Belegprüfung, Vertragsklausel-Extraktion und Prüfungsdokumentation profitieren von der gleichen Logik.
Ein typisches Muster aus der Praxis: Ein Family Office möchte die Korrespondenz mit einer Treuhandgesellschaft automatisch auf steuerlich relevante Aussagen prüfen. Bisher scheiterte das am Datenabfluss. Mit Zero Data Retention ist das technisch möglich, ohne dass die vertrauliche Korrespondenz den Anbieter erreicht und dort gespeichert wird. Vorausgesetzt, der Vertrag stimmt.
Ich warne trotzdem vor drei Kurzschlüssen.
Erstens: Zero Data Retention ist kein Ersatz für eine saubere Vertragsgestaltung. Die Zusage muss im Vertrag stehen, nicht nur im Blogbeitrag. Und der Kunde muss die Voraussetzungen erfüllen. Typischerweise sind das größere Organisationen mit eigenem Risikomanagement. Einzelne Vermögensverwalter und kleine Kanzleien müssen prüfen, ob sie über einen Dienstleister in den Genuss kommen.
Zweitens: Die Daten werden trotzdem verarbeitet, auch wenn sie nicht gespeichert werden. DSGVO und Bankgeheimnis verlangen weiterhin eine Rechtsgrundlage. Bei personenbezogenen Daten von Kunden reicht ein Auftragsverarbeitungsvertrag allein nicht. Der Verantwortliche bleibt das Finanzinstitut. Die Risikobewertung verschiebt sich, aber sie verschwindet nicht.
Drittens: Zero Data Retention bedeutet auch, dass keine Protokolle der Anfragen und Antworten existieren. Für die interne Revision oder für aufsichtsrechtliche Prüfungen kann das ein Problem sein. Wer später nachweisen will, wie eine Kreditentscheidung zustande gekommen ist, braucht eine eigene Protokollierung im eigenen System. Die Verantwortung für die Nachvollziehbarkeit bleibt bei Ihnen. Das ist machbar, aber es erfordert Architekturarbeit im Vorfeld.
Für mich ist die Sache klar: Wer heute noch mit dem Argument „Cloud-KI ist wegen Datenschutz nicht möglich“ arbeitet, muss seine Unterlagen aktualisieren. Die Faktenlage hat sich am 19. August 2026 geändert.
Konkrete Handlungsempfehlung
Ich empfehle drei Schritte. Sofort, nicht irgendwann.
Schritt 1: Vertragsbasis klären.
Prüfen Sie mit Ihrem IT-Dienstleister oder direkt mit dem API-Anbieter, ob Ihre Organisation für Zero Data Retention qualifiziert ist. Lassen Sie sich die Bedingungen schriftlich geben. Achten Sie auf zwei Punkte: Welche Modelle umfasst die Zusage? Und was gilt für Private Safety Processing? Ohne diese Bestätigung ist das Marketingversprechen wertlos.
Schritt 2: Einen Use Case auswählen, der ohne Speicherung funktioniert.
Beginnen Sie mit einem Prozess, bei dem die Daten nach der Verarbeitung nicht mehr gebraucht werden. Ich nenne drei Beispiele: Kreditantragsdokumente extrahieren und Kennzahlen ableiten. Vertragsklauseln in der Vermögensverwaltung auf Risiken prüfen. Interne Verdachtsmomente in natürlicher Sprache vorbewerten. Wichtig: Definieren Sie vorher, welche Daten gar nicht erst in die API gehen. Kundennamen, Kontonummern, Depotnummern können vorher maskiert werden.
Schritt 3: Datenschutz-Folgenabschätzung aktualisieren.
Wenn Sie bisher eine Nutzung von Cloud-KI wegen Speicherung abgelehnt haben, nehmen Sie die neue Faktenlage in Ihre Dokumentation auf. Holen Sie Datenschutzbeauftragten und Informationssicherheit an einen Tisch. Das Ergebnis wird nicht überall „ja“ sein. Aber dort, wo es bisher „nein“ war, ist eine Neubewertung fällig.
Mein Rat an Finanzinstitute, die zögern: Die Konkurrenz schläft nicht. Wer als Erster dokumentierte Zero-Data-Retention-Prozesse in der Kreditanalyse oder im Compliance-Bereich etabliert, gewinnt Effizienzvorteile. Wer bis zum nächsten Datenschutz-Gipfel wartet, verliert Monate.
Noch ein Satz zur Einordnung: Zero Data Retention ist kein Allheilmittel. Es löst nicht die Frage der Modellqualität, nicht die der Halluzination bei Zahlen, nicht die der Prüfbarkeit. Aber es räumt die größte Datenschutz-Hürde für den Einsatz großer Sprachmodelle in der Finanzbranche zur Seite. Das ist genug, um es ernst zu nehmen.