Project Lily: Menschen lesen ChatGPT-Chats mit

OpenAI beschäftigt Hunderte externe Auftragnehmer, die echte ChatGPT-Unterhaltungen lesen. Das berichtet 404 Media am 14.09.2026 unter Berufung auf interne Dokumente. Das Programm heißt "Project Lily". Die Leute bewerten die Antworten des Modells und kritisieren sie, damit ChatGPT besser wird. Laut den Dokumenten geht es zum Beispiel darum, dass sich das Modell weniger vermenschlicht und Nutzern weniger nach dem Mund redet.

Gelesen werden nicht nur einzelne Prompts, sondern teils ganze Gespräche. Nutzernamen sehen die Prüfer nicht, und OpenAI versucht nach eigener Aussage, persönliche Daten vorher zu entfernen. Das Unternehmen räumt aber ein, dass sensible Details trotzdem durchrutschen können. Anthropic hat 404 Media bestätigt, dass es ebenfalls menschliche Prüfung einsetzt, um seine Modelle zu verbessern.

Keine Lücke, sondern Absicht

Wichtig für die Einordnung: Hier ist nichts gehackt worden, und keine Zugriffskontrolle hat versagt. Menschliche Bewertung von Modellantworten ist ein Standardbaustein beim Training großer Sprachmodelle. Neu ist, wie groß das Programm ist und dass es mit echten Nutzerchats arbeitet.

Wer nachliest, was OpenAI selbst schreibt, findet die Grundlage dafür. Im Hilfeartikel zum Modelltraining steht, dass ChatGPT durch weiteres Training auf den Gesprächen besser wird, "unless you opt out". Die EU-Datenschutzrichtlinie stützt das Training auf berechtigtes Interesse. Dass dabei Menschen die Chats zu lesen bekommen, steht in beiden Texten nicht ausdrücklich. Wir haben am 15.09.2026 danach gesucht und keinen entsprechenden Satz gefunden. Die Seite zum Enterprise-Datenschutz spricht allgemein davon, dass OpenAI zum Training "Daten von ChatGPT-Nutzer:innen und menschlichen Trainer:innen" verwendet.

Ob diese Grundlage auch das Mitlesen durch Dritte trägt, müssten Aufsichtsbehörden beurteilen. Erwartet haben dürften es die wenigsten. Ein Prüfer sagt gegenüber 404 Media, er glaube nicht, dass Nutzer sich vorstellen, ein Auftragnehmer irgendwo werte ihre Gespräche aus.

Wer betroffen ist

Der Bericht spricht von ChatGPT-Nutzern allgemein und unterscheidet nicht nach Tarifen. Die Regeln von OpenAI ziehen hier aber eine klare Linie:

Tarif	Training auf Inhalten	Wer bei OpenAI Zugriff haben kann
Free, Plus, Pro, Codex für Einzelpersonen	ja, außer bei Opt-out	laut Bericht auch externe Prüfer für das Training
Temporärer Chat	nein	nicht Gegenstand des Berichts
ChatGPT Business, Enterprise, API	standardmäßig nein	autorisierte Mitarbeitende und spezialisierte Drittanbieter, beschränkt auf Support, Missbrauchsprüfung und gesetzliche Pflichten

Weil Project Lily dem Training dient und OpenAI auf Geschäftsdaten standardmäßig nicht trainiert, spricht viel dafür, dass Business-, Enterprise- und API-Daten nicht in diesem Programm landen. Belegt ist das nicht, der Bericht schweigt dazu. Und auch dort gibt es Menschen, die Inhalte sehen können, nur zu einem engeren Zweck.

Bei Anthropic sieht es für Privatkonten ähnlich aus. Laut Privacy Center fließen Chats von Free, Pro und Max ins Training, wenn Nutzer das in den Einstellungen erlauben. Die Daten werden dann bis zu fünf Jahre aufbewahrt. Chats, die für eine Sicherheitsprüfung markiert wurden, kann das Safeguards-Team auswerten. Inkognito-Chats sind vom Training ausgenommen. Für die kommerziellen Produkte verweist Anthropic auf eigene Regeln.

Das eigentliche Problem

Beim Tippen eines Prompts weiß niemand, was später mit dem Gespräch passiert. Die Zustimmung gilt einer allgemeinen Formulierung, und unter die passen im Lauf der Zeit neue Zwecke. Genau das zieht sich durch die vergangenen Wochen: OpenAI hat Werbung in die Datenschutzrichtlinie geschrieben, bei der personalisierten Variante zählen frühere Chats mit. Ein Mathematiker fragte, ob seine monatelangen Gespräche über ein offenes Problem in ein Ergebnis von OpenAI eingeflossen sind (Hintergrund). Und jetzt stellt sich heraus, dass Menschen mitlesen.

Ein Opt-out hilft dagegen nur begrenzt. Er gilt nur für neue Gespräche, und ob er eingehalten wird, können Nutzer nicht prüfen. Was bereits abgegeben ist, bleibt abgegeben. Daten, die gar nicht erst beim Anbieter landen, lassen sich später auch nicht für etwas Neues verwenden.

Was Teams jetzt tun sollten

Tarif klären. Wer beruflich mit ChatGPT oder Claude arbeitet, gehört in einen Business-, Enterprise- oder API-Zugang mit Auftragsverarbeitungsvertrag, nicht in ein privates Konto. Eine Übersicht der Tarife steht in KI-Tools sicher nutzen.
Training in privaten Konten abschalten, bevor vertrauliche Inhalte hineinwandern, nicht danach. Bei OpenAI unter Einstellungen, Datenkontrollen, "Improve the model for everyone". Für einmalige Fragen gibt es den temporären Chat.
Daten sparsam weitergeben. Kundendaten, personenbezogene Testdaten, Zugangsdaten und Interna gehören nicht in einen Prompt. Das gilt auch für Logs, Stacktraces und Konfigurationsdateien, die man schnell mal hineinkopiert.
Souveräne Optionen prüfen. Wo Inhalte wirklich vertraulich sind, ist ein europäischer Anbieter mit klarer Vertragslage oder ein lokal betriebenes Modell die Variante, bei der niemand außerhalb des eigenen Teams mitliest.
Schatten-IT ansprechen. Die meisten sensiblen Daten landen nicht über offizielle Zugänge im Chat, sondern über private Konten von Kolleginnen und Kollegen. Eine klare Regel plus ein brauchbarer offizieller Zugang bringen da meist mehr als ein Verbot.