Zero-Retention-Policy

LLM

Anbieter

Nutzungsbedingungen

OpenAI Models

Microsoft Azure

innoGPT hat mit Microsoft einen Kundenvertrag über die Nutzung der Azure Services geschlossen. Die Azure Services nutzt innoGPT auf Basis dieses Kundenvertrages sowie der Produktbestimmungen für Azure, die grundlegende Datenschutz- und Informationssicherheitspflichten von Microsoft enthalten. innoGPT hat außerdem einen Auftragsverarbeitungsvertrag mit Microsoft abgeschlossen, der die Datenverarbeitung durch Microsoft regelt. Microsoft hat sich darin unter anderem verpflichtet, die Daten nicht offenzulegen oder zugänglich zu machen. Das bedeutet konkret, dass sämtliche Prompts, Outputs, Embeddings und eigene Trainingsdaten nicht (i) anderen Nutzern zur Verfügung gestellt, (ii) an OpenAI oder andere Modell-Entwickler weitergegeben, (iii) zum Training der Modelle genutzt oder (iv) zur Verbesserung von anderen Microsoft-Services genutzt werden. Microsoft sichert in den Datenschutz- und Sicherheitsbestimmungen für die Azure Core Services folgendes zu: "Wenn der Kunde einen bestimmten Dienst derart konfiguriert, dass er in einem Rechenzentrum innerhalb einer Großregion (jeweils als „Geo“ bezeichnet) bereitgestellt wird, speichert Microsoft die Kundendaten-at-rest innerhalb dieses bestimmten Geo." In unserem Fall ist das Frankfurt.

Für Dienste, die Microsoft für bestimmte Geografien bereitstellt, speichert oder verarbeitet Microsoft die Kundendaten nicht außerhalb der von innoGPT angegebenen Geografie (EU). Einzelne LLMs, die von innoGPT Kunden aktiv ausgewählt werden müssen, werden von Microsoft aber nur „global“ bereitgestellt. Bei diesen LLMs kann Microsoft Prompts und Vervollständigungen in jeder Azure Open AI-Region weltweit verarbeiten. In solchen Fällen gelten für Datenübertragungen ins Ausland die Datenschutzvorschriften der EU, die den Schutz für personenbezogene Daten sicherstellen. Wir haben mit Microsoft die Geltung der EU-Standardvertragsklauseln vereinbart, außerdem ist Microsoft unter dem EU-US Data Privacy Framework zertifiziert. Ruhende Daten (data-at-rest) werden auch in diesen Fällen in der von innoGPT festgelegten Geografie (EU) gespeichert.

Anthropic Models

Amazon Bedrock

innoGPT hat mit AWS einen Kundenvertrag geschlossen. AWS Bedrock-Services nutzt innoGPT auf Basis der AWS Service Terms. AWS hat sich in diesen Terms dazu verpflichtet, Inhalte, die über AI-Services verarbeitet werden, nicht für das Training der Modelle und auch nicht zur Verbesserung anderer AWS-Services zu nutzen. Dass Amazon die Daten nicht zu Trainingszwecken benutzt, ergibt sich den AWS Service Terms, dem DPA und ist im User Guide auch noch einmal zusammengefasst: „Amazon Bedrock doesn't store or log your prompts and completions. Amazon Bedrock doesn't use your prompts and completions to train any AWS models and doesn't distribute them to third parties." innoGPT hat außerdem einen Auftragsverarbeitungsvertrag mit AWS abgeschlossen, der die Datenverarbeitung durch AWS regelt. AWS hat sich darin u.a. verpflichtet, die Daten vertraulich zu behandeln, nicht gegenüber Dritten offenzulegen und die Daten nur in der Europäischen Union zu verarbeiten.

Google Models

Google Cloud Platform

innoGPT hat mit Google einen Kundenvertrag geschlossen. Google Cloud Platform-Services nutzt innoGPT auf Basis der Service Specific Terms. Google hat sich in diesen Terms dazu verpflichtet, Kundendaten ohne vorherige Genehmigung des Kunden nicht zum Trainieren oder zur Verbesserung der KI/ML-Modelle zu nutzen. Dementsprechend erklärt Google auch in einem Leitfaden zu generativen AI-Produkten von Google Cloud sowie in einer Erklärung zu Datenschutzverpflichtungen für Cloud-basierte AI Produkte, dass Google Cloud standardmäßig keine Kundendaten zum Trainieren seiner Foundation Modelle nutzt: „Kunden können die Foundation Models von Google Cloud verwenden, da sie sicher sein können, dass ihre Prompts, Antworten und alle Trainingsdaten für Adaptermodelle nicht zum Trainieren von Foundation Models verwendet werden." Außerdem hat innoGPT mit Google Cloud einen Auftragsverarbeitungsvertrag mit Google Cloud abgeschlossen, der die Datenverarbeitung durch Google Cloud regelt. In den Service Terms sichert Google Cloud außerdem zu, dass, wenn der Kunde eine bestimmte Region oder Multi-Region als Datenstandort wählt, Google die Kundendaten nur in dieser ausgewählten Region oder Multi-Region speichert.

Mistral Models

Mistral AI

innoGPT nutzt die Modelle von Mistral AI über eine direkte API-Anbindung. Gemäß der Datenschutzerklärung von Mistral AI werden Ein- und Ausgaben, die über die kostenpflichtigen API-Dienste ("paid version of our APIs") verarbeitet werden, nicht für das Training der KI-Modelle verwendet. Mistral AI speichert diese Daten für einen Zeitraum von 30 Tagen zur Missbrauchsüberwachung, bevor sie gelöscht werden. Als europäisches Unternehmen mit Sitz in Frankreich unterliegt Mistral AI direkt den strengen Anforderungen der DSGVO und verarbeitet die Daten auf Servern innerhalb der Europäischen Union. Zur Regelung der Datenverarbeitung wurde ein Auftragsverarbeitungsvertrag (Data Processing Addendum, DPA) mit Mistral AI geschlossen.

OpenAI Image Models

OpenAI

innoGPT hat mit OpenAI einen Vertrag zur direkten Nutzung der API-Dienste geschlossen. Gemäß den von OpenAI veröffentlichten Datenschutzgrundsätzen für Geschäftskunden und die API-Nutzung, verpflichtet sich OpenAI explizit dazu, Kundendaten, die über die API übermittelt werden, nicht zum Trainieren oder Verbessern ihrer Modelle zu verwenden. Diese Zusage gilt standardmäßig. innoGPT hat keiner abweichenden Nutzung zugestimmt. Zur Erkennung und Verhinderung von Missbrauch können Daten für einen Zeitraum von maximal 30 Tagen aufbewahrt und danach gelöscht werden. Für die Datenverarbeitung hat innoGPT einen Auftragsverarbeitungsvertrag (Data Processing Addendum, DPA) mit OpenAI geschlossen. Die Datenübermittlung in die USA wird durch die Vereinbarung der EU-Standardvertragsklauseln (Standard Contractual Clauses, SCCs) abgesichert, die Bestandteil dieses DPA sind.

Perplexity Models

Perplexity AI

innoGPT hat einen Vertrag mit Perplexity AI zur direkten Nutzung ihrer API-Dienste geschlossen. Gemäß den API-Nutzungsbedingungen von Perplexity verpflichtet sich das Unternehmen explizit, Kundendaten („Customer Content“) nicht zu nutzen, um „generative KI-Modelle zu trainieren, neu zu trainieren, zu verfeinern oder anderweitig zu verbessern“. Für die Datenverarbeitung wurde ein Auftragsverarbeitungsvertrag (Data Processing Addendum, DPA) mit Perplexity AI geschlossen. Da es sich um ein US-Unternehmen handelt, wird die Datenübermittlung durch die im DPA enthaltenen EU-Standardvertragsklauseln (SCCs) sowie die Zertifizierung von Perplexity AI unter dem EU-US Data Privacy Framework abgesichert, um einen angemessenen Schutz personenbezogener Daten zu gewährleisten.

Image Models

Replicate

innoGPT bindet Bildgenerierungsmodelle über die Plattform Replicate an und hat hierzu einen Vertrag geschlossen. Gemäß der Datenschutzerklärung von Replicate wird explizit zugesichert, dass die Ein- und Ausgaben, die Nutzer an den Dienst übermitteln („Service Data“), nicht zur Schulung der eigenen Modelle verwendet werden. Dies gilt auch für die auf Replicate gehosteten Open-Source-Modelle. Es ist wichtig zu beachten, dass über die API erstellte Vorhersagen (Predictions), inklusive aller Eingaben und Ausgaben, nach einer Stunde automatisch vom Server gelöscht werden. Die Datenverarbeitung findet in den USA statt. Zur Gewährleistung eines angemessenen Datenschutzniveaus für die Datenübermittlung wurde mit Replicate ein Auftragsverarbeitungsvertrag (Data Processing Addendum, DPA) geschlossen, der die EU-Standardvertragsklauseln (SCCs) als rechtliche Grundlage enthält.