Der Vermieter warnt vor der Miete
Ausgerechnet Satya Nadella. Der Chef von Microsoft, dem Konzern, der mehr KI-Infrastruktur vermietet als fast jeder andere, schreibt einen Post darüber, dass genau diese Mietbeziehung für Kunden ein Problem hat.
Seine These heisst Reverse Information Paradox.
Der Ökonom Kenneth Arrow beschrieb 1962 ein bekanntes Dilemma im Handel mit Information: Der Käufer kennt den Wert einer Information erst, wenn er sie hat. Dann hat er sie aber schon, ohne dafür bezahlt zu haben. Der Verkäufer riskiert also, sein Wissen zu verschenken, nur um es verkaufen zu können. Patente wurden unter anderem dafür erfunden: Sie erlauben, eine Idee offenzulegen, ohne sie herzuschenken.
KI dreht dieses Dilemma um. Heute riskiert nicht der Verkäufer sein Wissen, sondern der Käufer. Um ein KI-Modell nützlich zu machen, musst du es mit deinem Kontext füttern: deine Prozesse, deine Kundenfälle, deine Preislogik, deine Qualitätsmassstäbe. Je besser das Modell für dich arbeiten soll, desto mehr davon gibst du hinein.
Du bezahlst also zweimal. Einmal mit Geld für die Tokens. Und einmal mit dem Wissen, das die Nutzung erst wertvoll macht.
Was da genau abfliesst (und warum es mehr ist als Daten)
Für Geschäftsleute übersetzt: Stell dir vor, du stellst eine brillante externe Fachkraft ein. Günstig und rund um die Uhr verfügbar. Es gibt nur eine Bedingung: Sie macht sich bei jeder Aufgabe Notizen. Über die Aufgabe selbst, aber auch über deine Art zu arbeiten: welche Antworten du akzeptierst und wo du nachbesserst. Und diese Notizen gehören nicht dir, sondern ihrem eigentlichen Arbeitgeber, der damit seine nächste Fachkraft ausbildet. Auch für deine Mitbewerber.
Das klingt zugespitzt, trifft aber den Mechanismus. Nadella nennt es "exhaust", also Abgas der Nutzung: Prompts, die Werkzeuge, die deine KI-Agenten verwenden, und vor allem die Korrekturen, wenn das Modell danebenliegt. Jede Korrektur ist destilliertes Erfahrungswissen. Die Sorte Wissen, die ein Mitbewerber kaum kaufen kann, weil sie nur in deiner Firma existiert: Wissen über deine Kunden und deine Abläufe.
Einzeln ist jede dieser Spuren harmlos. In der Summe entsteht daraus ein Bild deiner Arbeitsweise, und es entsteht beim Anbieter, nicht bei dir. Die Informationsasymmetrie wächst mit jeder Nutzung: Der Anbieter lernt laufend mehr über dich, du erfährst praktisch nichts darüber, was er lernt.
Das ist dabei kein Sicherheitsvorfall, sondern der normale, vertraglich meist zulässige Betriebszustand vieler KI-Dienste. Das macht es so leicht zu übersehen.
Alex Karp sagt dasselbe, aus dem gegnerischen Lager
Nadella zitiert in seinem Post eine zweite Stimme: Alex Karp, CEO von Palantir. Im CNBC-Interview formuliert Karp es schärfer. Die technisch anspruchsvollen Kunden, sagt er, wollen "control over their compute, their models, their data stack, and their alpha". Sie wollen wissen, dass ihnen die Produktionsmittel gehören und nicht schleichend an jemand anderen übergehen.
Karp geht noch weiter. Sein Vorwurf an die Modellanbieter: Kunden bezahlen für Tokens, während der eigentliche Wert, das "Alpha" ihres Geschäfts, in die Gegenrichtung wandert. Und er stellt die Fragen, die aus seiner Sicht jeder Einkäufer stellen müsste: Wem gehören die Daten? Wo werden sie gecacht? Sind die Prompts geschützt? Wird hier etwas an den Anbieter transferiert?
Beide reden dabei im eigenen Interesse. Karp verkauft mit Palantir genau die modellunabhängige Orchestrierungsschicht, die er empfiehlt. Nadella positioniert Microsofts Tenant-Modell als Antwort auf ein Problem, das seine eigene Branche geschaffen hat. Dass ausgerechnet diese zwei, der Hyperscaler und sein Herausforderer, mit entgegengesetzten Geschäftsinteressen dieselbe Diagnose stellen, spricht eher für die Diagnose als dagegen.
Meine Meinung: Verträge sind eine Schicht, keine Grenze
In meinen Mandaten sehe ich immer wieder, wie sich Unternehmen mit Vertragsklauseln beruhigen: kein Training auf Kundendaten, Zero Retention, Datenbearbeitungsvertrag. Diese Klauseln sind nötig, und du solltest sie einfordern. Aber sie haben eine strukturelle Schwäche: Du kannst nicht überprüfen, was in der Infrastruktur eines Anbieters tatsächlich mit deinen Daten geschieht. Ein Vertrag gibt dir einen Anspruch für den Streitfall. Er gibt dir keine Kontrolle im Betrieb.
In der Sicherheitsarchitektur gilt seit Jahrzehnten ein Grundsatz: Was technisch möglich ist, wird irgendwann passieren, ob durch Absicht oder durch Fehler. Ein Anbieter kann seine Nutzungsbedingungen ändern oder übernommen werden. Dein Vertrag von gestern schützt dein Wissen von morgen nur bedingt.
Deshalb halte ich die Reihenfolge für falsch, die heute üblich ist: zuerst der Vertrag, Architektur später oder nie. Richtig ist die Umkehrung. Zuerst die Architektur, die den Abfluss technisch begrenzt. Der Vertrag ist die zweite Verteidigungslinie, nicht das Fundament.
Die Gegenrichtung gilt allerdings auch: Eine rein technische Abschottung ist ebenso illusorisch. Wer jedes Frontier-Modell meidet und alles selbst hostet, verzichtet auf erhebliche Fähigkeiten, und das steht in keinem Verhältnis zum Risiko vieler Arbeitslasten. Sobald du ein externes Modell nutzt, überquert dein Prompt die Grenze. Die realistische Frage lautet darum: Welches Wissen fliesst ab, in welcher Menge, und was davon behältst du selbst?
Was stattdessen möglich ist
Nadella fasst seine Antwort in fünf Punkten zusammen: Control, Capability, Choice, Cost, Compound. Für einen Konzern mit eigenem ML-Team ist das ein brauchbarer Bauplan. Für ein Schweizer KMU muss man ihn übersetzen, sonst bleibt er Poesie.
Übersetzt beschreibt er ein Unternehmen, das Frontier-Modelle voll nutzt und trotzdem sein Alpha behält. So ein Unternehmen erkennst du an fünf Eigenschaften.
Es weiss, was abfliesst. Eine saubere Datenklassifizierung beantwortet die Grundfrage, welche Informationen ein externes Modell sehen dürfen und welche nie. Ohne diese Sichtbarkeit ist jede Schutzmassnahme Zufall, denn was du nicht siehst, kannst du nicht begrenzen. Und die Karp-Fragen (wo liegen die Daten, wo wird gecacht, was passiert mit den Prompts?) sind dort beantwortet, bevor ein Vertrag unterschrieben wird.
Es behandelt nicht jeden Prompt gleich. Unkritische Aufgaben laufen über das beste verfügbare Modell, sensible Fälle über schweizerisch oder europäisch gehostete Endpunkte oder ein Open-Weight-Modell auf eigener Infrastruktur. Das funktioniert, weil das Risiko am Inhalt hängt und nicht am Werkzeug: Wer alles gleich behandelt, verliert entweder Fähigkeiten (alles verboten) oder Wissen (alles erlaubt). Voraussetzung ist eine Orchestrierung, die an keinem einzelnen Anbieter klebt. Das ist Nadellas "Choice", und nebenbei die beste Verhandlungsposition beim Preis.
Seine Lernschleife liegt im eigenen Haus. Der am meisten übersehene Punkt. Prompts, die funktionieren, die Korrekturen des Teams am Output und die Massstäbe, an denen Qualität gemessen wird (die Evals): Das ist destilliertes Know-how, und es liegt in den eigenen Systemen statt nur in der Chat-Historie des Anbieters. Der Effekt zeigt sich beim Anbieterwechsel: Das Gelernte zieht mit um, statt drüben zu bleiben. Das ist der Unterschied zwischen einer Firma, die KI nutzt, und einer, die durch KI besser wird.
Verträge bilden die zweite Schicht. Kein Training auf den eigenen Daten, Zero Retention, Auditrechte, klare Löschfristen, Datenbearbeitungsvertrag nach nDSG. Sie geben dir den Anspruch für den Streitfall, während die Architektur den Abfluss im Betrieb begrenzt. Beide Schichten zusammen tragen; jede allein ist löchrig.
Und eine schlanke Governance hält das Ganze zusammen. Eine KI-Governance, die festlegt, wer welche Modelle wofür nutzen darf. Ohne sie sucht sich die Nutzung ihren eigenen Weg, und der Abfluss läuft über Schatten-Tools an allen anderen Vorkehrungen vorbei.
Die ehrliche Frage
Wenn dein wichtigster KI-Anbieter morgen den Zugang abstellen würde: Was bliebe von dem, was deine Organisation in den letzten zwölf Monaten mit KI gelernt hat?
Wenn die Antwort "wenig bis nichts" lautet, hast du bisher nicht in deine eigene Fähigkeit investiert, sondern in die des Anbieters. Das meint Nadella mit dem Reverse Information Paradox. Die gute Nachricht: Anders als bei Arrows Paradox musst du nicht auf ein neues Patentrecht warten. Die Grenze, die dein Wissen schützt, kannst du selbst ziehen, und der beste Zeitpunkt dafür ist, bevor die Lernschleife woanders läuft.
Wie Unternehmen KI produktiv einsetzen, ohne im Werkzeug-Chaos zu landen, habe ich im Beitrag KI im KMU: zwischen ChatGPT-Chaos und echtem Geschäftswert beschrieben.
