Der Auditor für Datenaufbewahrung bei KI-Anbietern: Herausfinden, was Ihr LLM-Anbieter tatsächlich speichert
Warum dieser Prompt wichtig ist
Assumptions about vendor data handling are the most common gap in AI contracts. A clause nobody read can keep customer transcripts for years or use them for training, and that commitment is hard to reverse after rollout.
Wofür wir ihn verwenden
Before Friday's renewal, your legal team needs to know whether the AI assistant your support team uses keeps customer conversations, for how long, and whether those conversations train future models.
Prompt
Act as a privacy and security analyst who reads AI vendor terms for a procurement review. This is analysis, not legal advice. Context: I am [YOUR ROLE] at [YOUR COMPANY NAME]. We use [PROVIDER AND PRODUCT NAME] for [USE CASE, e.g. customer support transcripts]. The data involved includes [DATA TYPES, e.g. customer names, order details, uploaded files]. Our obligations include [REGULATIONS OR CONTRACT TERMS, e.g. GDPR, a customer DPA]. Below is the provider's current data-use, retention and training text, copied in full with section headings: [PASTE THE FULL TERMS TEXT HERE]. Task: (1) For each data category (prompts, model outputs, uploaded files, account metadata, logs, and feedback ratings), extract the retention period, whether it is used for model training, whether human reviewers can access it, and how deletion works. (2) Flag every term that is vague, conditional, or dependent on a plan, setting or region. (3) Compare the default position against this requirement: [OUR DATA REQUIREMENT, e.g. no training use and deletion within 30 days]. (4) List the questions to put to the vendor before renewal. Constraints: Base every claim on the text I pasted and cite its section heading. If a term is absent, write not stated. Do not assume an opt-out or a retention limit exists unless the text names it. Note any clause that refers to a document I have not provided. Output Format: (a) a table with columns Data category, Retention, Training use, Human review, Deletion, Section reference; (b) a list of vague or conditional terms, each with a one-line explanation; (c) a gap summary comparing the default with our requirement, as one sentence per gap; (d) a numbered list of vendor questions.
Ergebnis
Data retention review: Acme AI Assistant (Enterprise, support team) Requirement: no training use, deletion within 30 days
Table | Data category | Retention | Training use | Human review | Deletion | Section reference | |---|---|---|---|---|---| | Prompts and conversations | 365 days by default | Not used, unless feedback is submitted | Possible for abuse review | Via admin console, 30 days after request | 3.1, 5.2 | | Model outputs | Same as prompts | Not used | Same as prompts | Same as prompts | 3.1 | | Uploaded files | Until the user deletes them | Not stated | Not stated | Not stated | 3.4 | | Account metadata | Duration of contract plus 2 years | Not used | No | Deleted on contract end | 6.3 | | Logs | 90 days | Not used | Engineering access only | Automatic at 90 days | 6.1 | | Feedback ratings | Indefinite | May be used to improve our services | Possible | Not stated | 4.2 |
Vague or conditional terms - Section 4.2: feedback may be used to improve the services. This is not defined as model training, but it is also not excluded. Treat as training use until the vendor confirms otherwise. - Section 5.2: human review applies to abuse signals. The threshold for an abuse signal is not defined. - Section 3.4: file retention depends on an unnamed storage setting. The text refers to 'the applicable storage configuration' without a schedule. - Section 7.1: a zero-retention mode is mentioned for API customers only. It is not stated whether the Enterprise plan can use it.
Gap summary - Conversations are retained for 365 days by default, against our 30-day deletion requirement. - Feedback ratings have no retention limit and may feed model improvement. - Uploaded files have no stated retention period or deletion mechanism.
Vendor questions 1. Does the Enterprise plan support zero-retention mode, and if so, which section enables it? 2. Is feedback data used for training, and can that be turned off for our tenant? 3. What is the retention period for uploaded files, and how is deletion confirmed? 4. What is the defined threshold for an abuse signal that triggers human review?
Die meisten KI-Beschaffungsprüfungen lassen die Datenbedingungen aus. Dieser Prompt liest den Text des Anbieters zu Aufbewahrung und Training, extrahiert die Antwort für jede Datenart, die Sie senden, und macht aus den Lücken Fragen, die Sie dem Anbieter vor der Verlängerung stellen können.
Wann Sie ihn verwenden
Vor der Verlängerung am Freitag fragt Ihr Rechtsteam, ob der KI-Assistent des Supportteams Kundengespräche speichert, wie lange, und ob diese Gespräche künftige Modelle trainieren.
Warum das wichtig ist
Annahmen darüber, wie ein Anbieter Daten behandelt, sind die häufigste Lücke in KI-Verträgen. Eine Klausel, die niemand gelesen hat, kann Kundentranskripte jahrelang speichern oder für das Training nutzen, und diese Zusage lässt sich nach dem Rollout kaum zurücknehmen, besonders wenn der AVV auf Grundlage des Marketings des Anbieters statt seiner tatsächlichen Bedingungen unterschrieben wurde.
Warum der Prompt so aufgebaut ist
Die Rolle rahmt das Ergebnis als Analyse statt als Rechtsberatung, sodass das Modell keine selbstsicheren Schlussfolgerungen zieht, auf die sich ein Prüfer verlassen könnte. Der Kontext verlangt, den vollständigen Bedingungstext einzufügen, denn Modelle, die aus dem Gedächtnis mit der Richtlinie eines Anbieters arbeiten, sind veraltet und erfinden Klauseln. Die Aufteilung nach Datenkategorie ist wichtig, weil Anbieter Gespräche, Dateien und Bewertungen oft unterschiedlich behandeln und eine einzige Zusammenfassung das verdeckt. Die Vorgaben verlangen, dass jede Aussage einen Abschnittstitel zitiert, und erlauben die Antwort nicht angegeben, die bei schweigenden Richtlinien am hilfreichsten ist. Die Lückenzusammenfassung und die Fragen an den Anbieter machen die Prüfung zu etwas, mit dem der Einkauf arbeiten kann.
So passen Sie ihn an
- Fügen Sie die vollständigen Bedingungen ein, einschließlich referenzierter Dokumente, soweit sie per Verweis einbezogen sind. Notieren Sie jedes Dokument, auf das der Anbieter verweist und das Sie nicht geprüft haben.
- Vergleichen Sie die Bedingungen mit dem Tarif, den Sie tatsächlich kaufen. Viele Anbieter unterscheiden zwischen Verbraucher-, Team- und Unternehmenstarifen, und die Formulierung kann bei jedem abweichen.
- Wiederholen Sie die Prüfung nach jeder Änderung der Anbieterbedingungen. Richtlinien zur Datennutzung bei KI ändern sich häufig, und eine Freigabe auf Basis des Textes von letztem Jahr hat womöglich keinen Bestand mehr.
Ein brauchbarer Test der Ausgabe: Jede Zeile lässt sich in einer Minute gegen den eingefügten Text prüfen. Lässt sich eine Zeile nicht prüfen, ist die Antwort zu unzuverlässig für eine Freigabe.