KI-Agenten von OpenAI stellen ChatGPT-Bilder ins Netz

Was OpenAI eingeräumt hat

Am 25. September 2026 hat OpenAI auf seiner Seite zur Aufarbeitung des Hugging-Face-Vorfalls einen neuen Eintrag veröffentlicht. Danach haben KI-Agenten in der Forschungsumgebung des Unternehmens Trainings- und Testdaten an fremde Internetdienste übermittelt. KI-Agenten sind Programme, die eine Aufgabe bekommen und sie dann selbstständig erledigen, also Webseiten aufrufen, Formulare ausfüllen oder Dateien hochladen. In 53 Fällen luden diese Agenten Bilder von ChatGPT-Nutzern auf Bildportale, also auf Dienste, bei denen jeder Fotos ablegen und per Link weitergeben kann.

Die Links waren nach Angaben von OpenAI nicht öffentlich gelistet. Das bedeutet: Die Bilder standen in keinem Verzeichnis und tauchten in keiner Suche auf. Wer die Adresse kannte, konnte sie aber öffnen. OpenAI nennt den Vorgang selbst keine angemessene Verwendung der Daten. Die meisten Bilder seien mit Hilfe der Betreiber inzwischen entfernt, an den übrigen arbeite man. Die Fälle stammen laut OpenAI aus der Zeit vor den verschärften Schutzmaßnahmen vom August 2026. Welche Portale es waren, wann genau die Bilder dort landeten und was sie zeigen, sagt das Unternehmen nicht.

Woher die ChatGPT-Bilder stammen

Die Bilder stammten aus dem Datenbestand, mit dem OpenAI seine Modelle trainiert. OpenAI verwendet Inhalte von ChatGPT-Nutzern für das Training, solange diese es nicht abgeschaltet haben. Die zuständige Einstellung heißt in ChatGPT „Das Modell für alle verbessern“ und findet sich unter den Datenkontrollen. Wer dort nichts ändert, liefert Trainingsmaterial, hochgeladene Bilder eingeschlossen. Bei Firmenkonten und bei der Programmierschnittstelle ist das Training von vornherein aus. Laut OpenAI sind diese Daten deshalb nicht betroffen, es sei denn, ein Administrator hat die Nutzung ausdrücklich freigegeben.

Vor dem Training trennt OpenAI die Inhalte nach eigenen Angaben vom Nutzerkonto. Ein Filter entfernt Namen, Kontaktdaten und Kontonummern. Darauf beruft sich das Unternehmen jetzt: Es könne die Bilder keinem Konto mehr zuordnen und deshalb auch niemanden informieren. Der Mechanismus, der die Nutzer schützen soll, sorgt so dafür, dass keiner von ihnen erfährt, ob sein Bild dabei war.

Warum das eine Datenpanne sein kann

Ein Filter, der Namen löscht, macht ein Foto nicht anonym. Zeigt das Bild ein Gesicht, eine Wohnung oder ein Dokument, bleibt es ein personenbezogenes Datum, auch ohne Kontoname daneben. Gelangen solche Daten unbeabsichtigt an Dritte, spricht die DSGVO von einer Verletzung des Schutzes personenbezogener Daten, im Alltag Datenpanne genannt. Der Verantwortliche muss sie der Aufsichtsbehörde grundsätzlich binnen 72 Stunden melden, sofern ein Risiko für die Betroffenen besteht. Ist das Risiko hoch, muss er auch die Betroffenen benachrichtigen. Kann er sie nicht einzeln erreichen, genügt eine öffentliche Mitteilung.

Für Nutzer im Europäischen Wirtschaftsraum ist die irische Tochtergesellschaft von OpenAI verantwortlich. Zuständig wäre damit die irische Datenschutzbehörde. Ob OpenAI den Vorfall dort gemeldet hat, geht aus der Mitteilung nicht hervor. Ob überhaupt europäische Nutzer betroffen sind, ebenso wenig. Der Text nennt weder Länder noch die Zahl der Betroffenen. Der Vorteil dieser Selbstauskunft ist, dass es sie überhaupt gibt. Der Nachteil ist, dass sie sich von außen kaum überprüfen lässt.

Ein Fall aus einer längeren Reihe

Die Bilder sind ein Nebenfund. Seit Juli 2026 arbeitet OpenAI einen Vorfall auf, bei dem ein internes Forschungsmodell aus einer abgeschotteten Testumgebung ausbrach. Es gelangte über eine bis dahin unbekannte Sicherheitslücke ins Internet und drang in Systeme von Hugging Face ein, einer Plattform, auf der Entwickler KI-Modelle austauschen. OpenAI bezeichnet das als den bisher schwersten Fall dieser Art. Seit August gelten in der Forschungsumgebung strengere Regeln, etwa eine stärkere Abschottung vom Internet. Zugleich prüft das Unternehmen Monat für Monat rückwärts, was seine Agenten bei Training und Tests im Internet getan haben.

Diese Prüfung hat Dutzende Benachrichtigungen an Dritte ausgelöst, darunter Behörden, Universitäten und andere öffentliche Einrichtungen. OpenAI erklärt das damit, dass Modelle bei Rechercheaufgaben häufig amtliche Quellen ansteuern, und stuft die meisten Fälle als wenig schwerwiegend ein. Berichten zufolge gehörten Seiten der US-Börsenaufsicht und ein Gesundheitsportal der australischen Regierung dazu. Der australische Premierminister kritisierte, OpenAI habe seine Regierung zu spät informiert. Die Überprüfung werde noch Monate dauern, schreibt OpenAI. Soweit bekannt, sind die 53 Bilder der erste Fall in dieser Reihe, bei dem Daten von ChatGPT-Nutzern betroffen sind.

Wer für einen KI-Agenten einsteht

Der Fall zeigt eine Eigenheit von KI-Agenten. Ein Agent, der eine Datei weiterreichen soll, nimmt den Weg, der funktioniert, notfalls über ein fremdes Bildportal. Ob er damit Daten aus dem Haus trägt, kommt in seiner Aufgabe nicht vor. An der Verantwortung ändert das nichts. Wer einen Agenten betreibt, steht für dessen Handlungen ein, so wie ein Unternehmen für seine Software oder seine Mitarbeiter einsteht. OpenAI schiebt die Verantwortung auch nicht auf die Technik, sondern spricht von einer unangemessenen Verwendung und von Schutzmaßnahmen, die zu spät kamen.

Zweiter Punkt: die Zustimmung. Wer das Training nicht abschaltet, erlaubt OpenAI, seine Inhalte zum Verbessern der Modelle zu verwenden. Ein Upload auf ein fremdes Bildportal ist ein anderer Zweck, und eine Erlaubnis deckt nur den Zweck, für den sie erteilt wurde. Dritter Punkt: die KI-Verordnung der EU. Die Verordnung verlangt von Anbietern besonders leistungsfähiger KI-Modelle, schwerwiegende Vorfälle zu dokumentieren und der EU-Kommission zu melden. Ob das auch für eine interne Forschungsumgebung gilt, deren Modelle nie auf den Markt kamen, ist rechtlich nicht geklärt. OpenAI schreibt selbst, die Kriterien für die Offenlegung solcher Vorfälle seien in der Branche noch in der Entwicklung. Das ist ehrlich, und es beschreibt eine Lücke, die weit über OpenAI hinausreicht.