Untersucht wurden unter anderem die Dienste ChatGPT, Claude und Gemini, aber auch die KI von Meta und Elon Musks Chatbot Grok, chinesische Tools wie Deepseek und auch die europäische KI-Alternative von Mistral. Getestet wurden jeweils die Webbrowser-Versionen und Android-Apps. Bei der Analyse handelt es sich um ein sogenanntes Preprint – darunter versteht man eine Vorversion einer Studie, die noch nicht von anderen Wissenschaftlerinnen und Wissenschaftlern geprüft wurde.
Die schlechte Nachricht vorab: Es gibt keinen einzigen der gängigen KI-Chatbots, der auf Drittanbieter-Tools für Analyse oder Werbung vollständig verzichtet. In jedem untersuchten Dienst fanden die Forscher externe Werkzeuge – von Entwickler-Tools zur Fehlerdiagnose (wie Datadog oder Sentry) bis hin zu Werbenetzwerken (wie von Google, Meta oder Tiktok). Über die Werbe-Tracker können Unternehmen das Nutzerverhalten nachverfolgen und gezielt Anzeigen schalten.
Ebenfalls unbefriedigend: Das Ablehnen des Cookie-Banners schränkt den Datenabfluss nur teilweise ein. Bei 44,4 Prozent der kostenlosen Web-Dienste erfassen Tracker auch nach dem Ablehnen aller optionalen Cookies weiterhin Daten. In Android-Apps fehlen Cookie-Einwilligungskontrollen oftmals komplett. Zudem bieten kostenpflichtige Premium-Abonnements im Vergleich zu kostenlosen Versionen praktisch keinen besseren Schutz beim Drittanbieter-Tracking.
Die Forscherinnen und Forscher sehen allein schon in dieser Praxis einen Konflikt mit den gängigen EU-Datenschutzrichtlinien wie der DSGVO. Die Weitergabe der Daten an Drittanbieter sei schlicht zu intransparent.
Noch brisanter wird es, wenn man sich anschaut, welche Daten genau an Drittanbieter weitergegeben werden. Im Gegensatz zum klassischen Webtracking beschränkt sich die Datenerfassung häufig nicht nur auf das Surf- oder Klickverhalten. Drittanbieter erfahren teils sogar, was man in die Chatbots eintippt.
Sechs von neun Web-Clients (ChatGPT, Claude, Gemini, Grok, Mistral und Perplexity) und drei von acht Android-Apps (ChatGPT, Claude und Perplexity) übermitteln inhaltsbezogene Gesprächselemente der KI-Interaktionen an Dritte. Dazu zählen etwa eindeutige Chat-URLs (Permalinks), automatisch generierte Chat-Titel, die das Thema der Unterhaltung prägnant zusammenfassen, Chat-IDs und eingegebene Prompts.
Mehr noch: Diese Daten der Chat-Unterhaltung werden häufig zusammen mit dauerhaften Nutzer- und Geräte-Identifikatoren übertragen. Dazu gehören etwa gehashte E-Mail-Adressen – das sind kryptografisch umgewandelte E-Mail-Adressen, die von der Werbeindustrie für den gezielten Datenabgleich genutzt werden, ohne die Klartext-Adresse zu übertragen. Weitere Daten sind mobile Werbe-IDs, Account-IDs sowie synchronisierte Tracking-Cookies. Dadurch könnten Drittanbieter vertrauliche Gesprächsinhalte womöglich langfristigen Nutzerprofilen zuordnen.
Der mit Abstand neugierigste KI-Chatbot ist laut der Untersuchung Grok von Elon Musks KI-Unternehmen xAI. Schon bei normalen Unterhaltungen überträgt Grok die eindeutige Chat-URL, die Chat-ID sowie den automatisch generierten Chat-Titel gleichzeitig an sieben verschiedene Drittanbieter, darunter Meta, TikTok, X/Twitter Analytics, Google Ads, DoubleClick und Google Tag Manager.
Wenn Chat-Inhalte geteilt werden, übermittelt Grok sogar den exakten Text der Nutzer-Prompts an Meta und Tiktok – und an Tiktok sogar Screenshots des Gesprächsverlaufs. In den Experimenten der Forscher war Grok der einzige Dienst, bei den im Chat platzierten Mess-Links nachträglich wiederholt von externen Crawlern und Systemen aufgerufen wurden.
Musks Dienst hat dazu noch weitere Datenschutzprobleme: Chat-Permalinks sind standardmäßig für jeden öffentlich einsehbar, bis man das selbst deaktiviert.
Ausgerechnet der KI-Bot des Facebook-Mutterkonzerns Meta zeigt sich in der Untersuchung vergleichsweise datenschutzfreundlich – zumindest auf den ersten Blick. Beim Test im regulären Chatbetrieb wurden keine Gesprächselemente (wie Chat-URLs, KI-Titel oder Prompts) an externe Werbenetzwerke weitergegeben. Das allerdings dürfte auch damit zusammenhängen, dass Meta selbst ein Werbekonzern und damit weniger auf Drittanbieter-Werkzeuge angewiesen ist – der Schein trügt also ein bisschen.
Auch der Microsoft Copilot schnitt im Test als vergleichsweise datenschutzfreundlich ab. Der Bot schützt Chat-Verläufe standardmäßig durch Zugriffskontrolle und übermittelt im normalen Chat keine Gesprächsinhalte oder Titel an Werbe-Tracker. Durchaus übermittelt der Dienst aber auf Android die Werbe-ID (AAID) an den Analysedienst Adjust und stellt auf der Website auch bei abgelehnten Cookies Verbindungen zu Google Ads.
Erstaunlich wenig Daten gibt auch das chinesische Deepseek weiter. Es sendet keine Chat-URLs, Titel oder Prompts an Werbenetzwerke und hält Chat-Links privat. Allerdings nutzt der Dienst chinesische Spezialdienste (Fengkong Cloud auf Android, ShuMei im Web) zur Risikobewertung und zum Erstellen von Geräte-Fingerabdrücken.
Die bekanntesten KI-Chatbots bewegen sich beim Datenhunger im Mittelfeld. ChatGPT hält Chat-Permalinks privat, sendet aber technische Gesprächs-IDs und URLs zur Fehlerdiagnose an den Telemetriedienst Datadog und baut selbst nach dem Ablehnen optionaler Cookies Verbindungen zu Google Ads auf.
Claude bietet vorbildlichen Schutz bei der Cookie-Einwilligung: Das Ablehnen optionaler Cookies blockiert den Datenabfluss an Werbeplattformen, zudem bleiben Chatlinks privat. Jedoch überträgt das Tool Chat-IDs und URLs zusammen mit Nutzer- und Organisations-IDs an Datadog und den Kundendienst-Dienst Intercom. Auf Android werden Standortdaten und die Android-ID an Sift Science gesendet.
Das Tool Vibe (früher Le Chat) vom französischen KI-Unternehmen Mistral sendet Chat-URLs, KI-generierte Titel und Nutzer-E-Mail-Adressen an den Support-Dienst Intercom. Perplexity AI übermittelt eingegebene Prompts an Wingify, gehashte E-Mail-Adressen an die Marketingfirma Singular sowie Nutzer-E-Mails an RevenueCat. Der eigene Crawler rief externe Test-Links wiederholt ab.
Gemini von Google setzt zwar auf private Chat-Links, ist jedoch tief in das Google-Tracking-Ökosystem eingebunden. Es übermittelt automatisch generierte Chat-Titel direkt an Google Analytics und nimmt auch nach dem expliziten Ablehnen nicht-essenzieller Cookies Verbindungen zu Google Ads auf.
Für Nutzerinnen und Nutzer der Dienste bedeuten die Erkenntnisse vor allem eines: Wer sensible Fragen hat, sollte sich besser zweimal überlegen, welche Informationen er genau mit KI-Chatbots teilt. Im Zweifel erhalten Marketing- und Werbefirmen hochpräzise Einblicke in die Interessen, Probleme, Kaufabsichten und sogar finanzielle oder gesundheitliche Lebenslagen von potenziellen Kunden, um passgenaue und personalisierte Werbung auszuspielen.
Auch dem Geschäftsmodell der KI-Bots selbst dürften die Informationen dienen. OpenAI hatte erst vor einigen Wochen Werbeanzeigen bei ChatGPT in Europa eingeführt, jedoch betont, Datenschutz und Privatsphäre achten zu wollen. „Wir geben keinerlei Informationen aus Unterhaltungen an Werbetreibende weiter“, erklärte Dave Dugan, Vice President of Ads bei OpenAI, damals.
Ob das langfristig für alle Anbieter gelten wird, steht auf einem anderen Blatt. Branchenbeobachter befürchten längst, dass es bei eingeblendeten Werbeanzeigen in Chatbots womöglich nicht bleiben könnte. Denkbar wäre auch, dass KI-Chatbots ihre Nutzer irgendwann dazu überreden, ein bestimmtes Produkt zu kaufen. Und je mehr Informationen sie besitzen, desto besser dürfte diese Taktik funktionieren.