ICO-KI-Entwickler: 10 Datenänderungen, Agenten als Nächstes

Ein Datenschutzhinweis ist nicht glamourös. Er ist aber auch der Ort, an dem KI-Governance meist konkret wird: nicht in Keynote-Folien, sondern in dem Text, den Nutzerinnen und Nutzer tatsächlich sehen, in den Formularen für Rechte, die sie tatsächlich verwenden können, und in der Prüfspur, die eine Aufsichtsbehörde tatsächlich kontrollieren kann. Das britische Information Commissioner’s Office hat nun erklärt, dass zehn große Entwickler von KI-Basismodellen Änderungen daran vorgenommen haben oder sich verpflichtet haben, Änderungen vorzunehmen, wie sie mit personenbezogenen Daten umgehen. Das ist weniger eine Siegesrunde als ein nützlicher Compliance-Wetterbericht.

Was sich laut ICO geändert hat

Laut der ICO-Mitteilung vom 8. Oktober 2026 haben zehn führende Entwickler von KI-Basismodellen nach aufsichtsrechtlicher Begleitung Verbesserungen beim Datenschutz vorgenommen oder zugesagt, und die Behörde weitet ihre Prüfung auf agentische KI aus. The Next Web berichtete, dass die namentlich genannten Entwickler Amazon, Anthropic, Apple, Cohere, DeepSeek, Google, Meta, Microsoft, OpenAI und Stability AI sind. Derselbe Bericht sagte, die Änderungen beträfen klarere Informationen darüber, wie die Daten von Menschen verwendet werden, stärkere Möglichkeiten zur Ausübung von Datenrechten und strengere Prüfungen der Schutzmaßnahmen der Entwickler.

@title ICO-Weg der KI-Aufsicht
@source The Next Web
@source ICO

  6 Nov 2024 ··· recruitment intervention
  2025 ··· foundation model programme
  March 2026 ··· biometrics strategy update
  8 Oct 2026 ··· developer changes
  8 Oct 2026 ··· agentic AI call

@caption Der Weg des ICO führt von Branchenaudits zu Basismodellen und Agenten.

Die Formulierung ist wichtig. Das ICO sagt nicht, dass jede zugesagte Änderung bereits im Produkt angekommen ist, und The Next Web berichtete, dass die Behörde überwacht, ob Unternehmen liefern. Richard Nevinson, Direktor für Technologieregulierung beim ICO, formulierte die Sicht der Behörde so: „Unsere Zusammenarbeit mit einigen der größten Entwickler hat echte Zusagen gesichert, die Menschen dabei helfen werden, besser zu verstehen und zu kontrollieren, wie ihre Daten verwendet werden, selbst in einem schnelllebigen und komplexen Bereich.“ Einfach gesagt: Die Datenschutzgeschichte eines Modellanbieters muss heute mehr aushalten als eine Fußnote in den Nutzungsbedingungen.

Warum dies nicht nur eine Geschichte über Basismodelle ist

Die Zeitachse hinter der Ankündigung zeigt, wie sich das ICO von Branchenaudits in die Modellschicht bewegt. Im November 2024 erklärte das ICO, dass seine Intervention zu KI-Rekrutierungstools fast 300 Empfehlungen hervorgebracht habe, darunter personenbezogene Informationen fair zu verarbeiten, sie auf ein Minimum zu beschränken und Bewerberinnen und Bewerbern klar zu erklären, wie KI-Tools ihre Informationen nutzen würden. Die Unternehmen in diesen Audits akzeptierten oder akzeptierten teilweise alle Empfehlungen, so das ICO.

The Next Web berichtete, dass das ICO 2025 ein Programm zur Beaufsichtigung von Entwicklern von Basismodellen eingerichtet habe und 11 Unternehmen nach dem Risiko von Regelverstößen, ihrem Marktanteil im Vereinigten Königreich und der Nutzung risikoreicherer Trainingsdaten auswählte. Elon Musks xAI war das elfte Unternehmen, doch das ICO pausierte diese Arbeit, nachdem es eine formelle Untersuchung zum Grok-Chatbot eröffnet hatte, die laut The Next Web weiterhin läuft. Diese Abfolge ist der interessante Punkt für Entwicklerinnen und Entwickler: Die Aufsichtsbehörde wartet nicht auf ein perfektes KI-Gesetz, bevor sie fragt, ob geltendes Datenschutzrecht eingehalten wird.

Was Entwickler in Kontrollen übersetzen sollten

Die eigene KI- und Datenschutzleitlinie des ICO sagt, dass die Leitlinie nach dem Data (Use and Access) Act überprüft wird, aber die aktuelle Richtung ist nicht rätselhaft. Die Leitlinie behandelt Transparenz in der KI und greift Branchenwünsche auf, Fairness-Anforderungen zu klären. Die praktische Übersetzung ist langweilig und nützlich: Wissen, welche personenbezogenen Daten in Trainings- oder Feinabstimmungs-Workflows gelangen, diese Nutzung in einer Sprache erklären, die eine Person verstehen kann, einen Weg für Anfragen zu Datenrechten offenhalten und dokumentieren, warum die eigenen Schutzmaßnahmen angemessen sind.

Für Unternehmen, die Basismodelle kaufen statt sie zu trainieren, wird die Pflicht vertraglich, bevor sie philosophisch wird. Wenn Ihr Produkt einen dieser Entwickler über eine API nutzt, sollte Ihre Anbieterprüfung fragen, wie personenbezogene Daten verwendet werden, welche Workflows für Rechte bestehen, welche Schutzmaßnahmenprüfungen sich geändert haben und wie künftige Zusagen berichtet werden. Wenn die Antwort ein Blogbeitrag und ein Schulterzucken ist, ist das keine Kontrolle. Es ist ein Screenshot, der darauf wartet, ein Beweisstück zu werden.

Warum Agenten der nächste Prüfbereich sind

Das ICO erklärte in seiner Mitteilung vom 8. Oktober 2026, dass es einen Aufruf zur Einreichung von Informationen zu agentischer KI startet, und bestätigte Anfragen zu jüngsten Tests und Einsätzen agentischer KI Anfang dieses Jahres. Das ist der natürliche nächste Ort, an dem man hinschaut. Ein Chatbot kann personenbezogene Daten falsch handhaben, aber ein Agent kann so gestaltet sein, dass er Informationen über Dienste hinweg abruft, ableitet, überträgt oder daraufhin handelt. Dadurch wird es schwieriger, Hinweis, Einwilligung, Minimierung und Rechtehandhabung in einer ordentlichen Box zu halten.

The Next Web berichtete außerdem, dass das ICO der Ansicht ist, aktuelle Trainingspraktiken erschwerten es Entwicklern weiterhin, britisches Datenschutzrecht einzuhalten, und dass die Behörde diese Probleme gegenüber der Regierung anspricht. Das ist kein Freifahrtschein für Produktteams. Es bedeutet, dass die schwierigen Fälle weiterhin schwierig sind, während die leichteren Fälle, klarere Hinweise, nutzbare Wege für Rechte und aufgezeichnete Prüfungen von Schutzmaßnahmen, nun Grundvoraussetzungen für alle sind, die im Vereinigten Königreich tätig sein wollen, ohne Datenschutz als dekorativen Anhang zu behandeln.

Das nächste nützliche Signal wird sein, was das ICO in seiner Evidenzarbeit zu agentischer KI fragt und ob die Überwachung der zehn Entwicklerzusagen in eine öffentliche Nachverfolgung mündet. Entwicklerinnen und Entwickler sollten dies als Vorschau auf erwartete Kontrollen lesen, nicht als fertige Checkliste. Lernende und Nutzerinnen und Nutzer sollten es als Erinnerung verstehen, dass Datenrechte weiterhin gelten, wenn die Oberfläche dialogorientiert wirkt und das System darunter kompliziert aussieht.