Andy Yen, Mitgründer und CEO von Proton, hält KI und Privatsphäre für vereinbar – allerdings nur, wenn verschiedene Risiken getrennt betrachtet werden. Lumo, der am 23. Juli 2025 gestartete KI-Assistent von Proton, soll laut dem Unternehmen Gespräche nicht serverseitig protokollieren und Nutzereingaben nicht zum Training seiner Modelle verwenden. Das ist eine wichtige Datenschutzposition, aber noch keine pauschale Garantie für jede Phase der Verarbeitung.
Warum private KI möglich sein soll
Yens Argument ist pragmatisch: KI sei zu nützlich, um sie einfach abzulehnen. Deshalb müsse Proton eine Alternative entwickeln, bei der möglichst wenig gespeichert und möglichst klar kontrolliert wird, was mit persönlichen Eingaben passiert. Lumo ist die konkrete Antwort auf diesen Anspruch.
Der entscheidende Punkt lautet: „Privat“ ist bei KI kein einzelner Schalter. Es geht mindestens um vier Ebenen – die Speicherung, die Nutzung für Modelltraining, die Verarbeitung während der Antwortgenerierung und die Berechtigungen eines Agenten. Wer diese Ebenen in einen Topf wirft, bekommt schnell eine Sicherheitszusage, die mehr verspricht, als sie tatsächlich abdeckt.
Was Lumo laut Proton schützt
Proton beschreibt Lumo mit mehreren voneinander unabhängigen Schutzversprechen:
- Es sollen keine serverseitigen Gesprächsprotokolle aufbewahrt werden.
- Gespeicherte Chats sollen mit Zero-Access-Verschlüsselung geschützt sein. Das bedeutet laut Proton, dass Proton diese gespeicherten Unterhaltungen nicht lesen kann.
- Nutzergespräche und Eingaben sollen nicht zum Training der Sprachmodelle verwendet werden.
- Die Verarbeitung soll in europäischen Rechenzentren von Proton stattfinden und auf Open-Source-Modellen basieren.
- Die Websuche ist optional und wird von der Nutzerin oder dem Nutzer aktiviert.
- Hochgeladene Dateien sollen nach der Analyse nicht als Aufzeichnung erhalten bleiben.
- Für eingeloggte Nutzer gibt es außerdem einen Ghost-Modus, bei dem der aktuelle Chat nach dem Schließen verschwindet.
Das sind klare Produkt- und Richtlinienangaben. Sie beantworten vor allem Fragen zu Aufbewahrung, Speicherung und Nutzung der Daten. Sie beweisen nicht automatisch, dass Proton jeden einzelnen Verarbeitungsschritt während der Inferenz kryptografisch nicht einsehen kann.
Die GPU-Schnittstelle ist die entscheidende Einschränkung
Eine KI-Antwort entsteht nicht erst beim Speichern des Chats. Die Eingabe muss während der sogenannten Inferenz verarbeitet werden – also in dem Moment, in dem das Modell aus einem Prompt eine Antwort berechnet. Dafür werden GPUs eingesetzt, spezialisierte Prozessoren für parallele Rechenaufgaben.
In einem Interview sagte Yen, die Infrastruktur für einen stärkeren kryptografischen Schutz von Lumo sei weitgehend aufgebaut gewesen. Es habe zum damaligen Zeitpunkt aber noch das letzte Stück an der Schnittstelle zu den GPUs gefehlt. Diese Aussage beschreibt den Stand während des Interviews; sie ist keine Aussage über den heutigen Status dieser Komponente.
Genau hier liegt der technische Unterschied: Zero-Access-Verschlüsselung für gespeicherte Chats schützt gespeicherte Daten. Sie ist nicht dasselbe wie eine Ende-zu-Ende-Absicherung während jeder Berechnung auf einer GPU. Für Nutzer bedeutet das: Eine Datenschutzrichtlinie, eine verschlüsselte Ablage und ein kryptografisch geschützter Verarbeitungspfad sind drei verschiedene Versprechen.
Die Grenze, die Verschlüsselung nicht lösen kann
Auch die beste Verschlüsselung schützt nicht vor einem Agenten, dem Nutzer freiwillig zu weitreichende Rechte geben. Yen nennt als Beispiel den Zugriff auf Mail oder andere Konten: Wenn ein Agent auf dem Gerät Informationen lesen und anschließend weitergeben darf, hilft die Verschlüsselung der gespeicherten Daten an dieser Stelle nicht mehr.
Das ist keine Besonderheit von Lumo, sondern eine grundlegende Grenze des Berechtigungsmodells. Sobald ein System handeln darf, wird nicht nur die Vertraulichkeit der Daten wichtig, sondern auch die Frage, was der Agent tun darf. Ein Modell ohne Schreibrechte, ohne Zugang zu Kontakten und ohne direkte Kontoberechtigung hat weniger Möglichkeiten, Schaden anzurichten als ein Agent mit umfassendem Zugriff.
Die praktische Regel ist simpel: Gib einem KI-Agenten nie mehr Zugriff, als seine konkrete Aufgabe erfordert. Für sensible Daten sind getrennte Konten, redigierte Eingaben und kontrollierte Werkzeuge sinnvoller als ein pauschales „Vertrau dem Agenten“.
Cloud-KI, lokale KI und die Vertrauensgrenze
Lokale KI kann die Weitergabe eines Prompts an einen externen Anbieter reduzieren, weil die Verarbeitung auf dem eigenen Gerät stattfindet. Für besonders sensible Aufgaben ist das grundsätzlich die stärkere Ausgangslage. Vollständig privat ist lokale KI dadurch aber nicht automatisch.
Auch ein lokales Modell hängt von der Sicherheit des Geräts, möglicher Schadsoftware, der Netzwerkkonfiguration und den verbundenen Anwendungen ab. Werden Modell, Erweiterungen oder Agenten mit externen Diensten verknüpft, entsteht erneut eine Vertrauensgrenze außerhalb des eigenen Rechners.
| Datenschutzebene | Was Proton über Lumo sagt | Bedeutung für Nutzer | Praktische Folge |
| Gesprächsspeicherung | Serverseitige Gesprächsprotokolle sollen nicht aufbewahrt werden. | Die Aufbewahrung ist ein eigenes Risiko und nicht identisch mit der Modellverarbeitung. | Sensible Chats trotzdem nur mit den nötigsten Informationen führen. |
| Gespeicherte Chats | Gespeicherte Unterhaltungen sollen Zero-Access-verschlüsselt sein. | Der Schutz bezieht sich auf die gespeicherten Chats, nicht automatisch auf jede spätere Berechnung. | Speicherung und Verarbeitung getrennt bewerten. |
| Modelltraining | Proton sagt, dass Nutzergespräche und Eingaben nicht zum Training verwendet werden. | Eine Trainingsrichtlinie beantwortet nicht automatisch alle Fragen zur laufenden Verarbeitung. | Vor der Nutzung die jeweils geltenden Bedingungen prüfen. |
| Inferenz auf GPUs | Yen beschrieb die stärkere kryptografische Absicherung der GPU-Schnittstelle zum Zeitpunkt des Interviews als noch nicht abgeschlossen. | Die Verarbeitung während der Antwortgenerierung ist eine eigene Schutzebene. | Keine gespeicherten Chats mit einem vollständigen Ende-zu-Ende-Schutz während der Inferenz gleichsetzen. |
| Agentenberechtigungen | Verschlüsselung kann keinen Agenten stoppen, der mit weitreichenden Geräte- oder Kontorechten Daten offenlegt. | Der erlaubte Handlungsspielraum entscheidet mit über das Risiko. | Zugriffe begrenzen, Geheimnisse entfernen und Konten voneinander trennen. |
Warum Datenschutz über politische Lager hinweg gefragt ist
Yen beschreibt Datenschutz als Thema, das nicht sauber in ein politisches Lager passt. Er sagte, Proton habe sowohl unter der Biden- als auch unter der Trump-Regierung einen Anstieg der Nachfrage beobachtet. Seine Schlussfolgerung: Das Interesse an Kontrolle über persönliche Daten hängt nicht nur von einer bestimmten Partei oder Regierung ab.
Für die KI-Debatte ist das relevant, weil sich die Frage nicht auf Werbung oder einzelne Anbieter beschränkt. Wer private Nachrichten, Arbeitsdokumente oder Zugangsdaten in ein System gibt, muss darauf vertrauen, wie dieses System mit den Informationen umgeht – unabhängig davon, wer gerade politische Verantwortung trägt.
Was Nutzer daraus mitnehmen sollten
Kann KI also privat sein? Ja, in einem abgestuften Sinn. Ein Dienst kann Datenspeicherung reduzieren, Training mit Eingaben ausschließen, gespeicherte Chats verschlüsseln und den Zugriff von Agenten begrenzen. Daraus folgt aber nicht automatisch, dass jede Phase der Inferenz für den Anbieter unzugänglich ist.
Für die Praxis ergibt sich ein nüchterner Rahmen:
- Sende an Cloud-KI nur die Informationen, die für die Aufgabe nötig sind.
- Entferne Passwörter, API-Schlüssel, private Identifikatoren und andere Geheimnisse aus Prompts.
- Trenne die Frage „Wird es gespeichert?“ von der Frage „Was passiert während der Verarbeitung?“
- Begrenze Agentenrechte auf einzelne Aufgaben und Konten.
- Nutze lokale Modelle dort, wo die Daten besonders sensibel sind und die eigene Geräte- und Netzwerksicherheit das erlaubt.
- Behandle Anbieterangaben zu Logs, Training und Verschlüsselung als einzelne Zusagen – nicht als universelles Gütesiegel.
Lumo zeigt damit beides: Datenschutzfreundliche KI ist als Produktziel plausibel, und Proton formuliert dafür ungewöhnlich konkrete Schutzversprechen. Der schwierige Teil beginnt jedoch dort, wo der Prompt verarbeitet wird und wo ein Agent handeln darf. Genau diese Ebenen müssen Nutzer getrennt bewerten.
