Was du fragst, steht in der Antwort

Aus der Antwort einer KI lässt sich zurückrechnen, was jemand gefragt hat. Damit fällt die letzte Ausrede weg.

Es gibt Fragen, die tippt man lieber, als sie auszusprechen. Wie du jemandem kündigst, der seit zwanzig Jahren dabei ist. Wie du mit einem Verdacht umgehst, den du nicht beweisen kannst. Wie du dem Kirchenvorstand beibringst, dass das Geld dieses Jahr nicht reicht.

Der Chatbot fragt nicht zurück, warum du das wissen willst. Das ist der halbe Reiz.

Die andere Hälfte ist ein Gefühl, das niemand je überprüft hat: dass dieses Fenster ein geschützter Raum sei. Ist es nicht. Und seit ein paar Wochen ist das nicht mehr nur ein Datenschutzargument, sondern ein technisches.

Warum wir dem Chatfenster mehr erzählen als dem Nachbarbüro

Weil es nichts kostet. Kein Gesicht, keine Reaktion, kein „das bleibt aber unter uns“, das erfahrungsgemäß nicht unter uns bleibt.

Wer im Hauptamt sitzt, kennt das Rechenwerk: Jede Frage an eine Kollegin ist auch eine Information über dich. Dass du unsicher bist. Dass es ein Problem gibt. Dass du den Namen kennst, um den es geht. Der Chatbot verlangt diesen Preis nicht — also zahlst du ihn woanders, ohne es zu merken.

Als ausgebildeter Verwaltungsbeamter kann ich dir sagen: Wir haben für Akten strenge Regeln und für Chatfenster gar keine. Das ist keine Lücke, das ist eine offene Tür.

Die Antwort verrät die Frage

Ein Team der IIT Bombay und von Adobe Research hat ein Modell gebaut, das aus einer fertigen KI-Antwort den Prompt rekonstruiert, der sie ausgelöst hat. Statt das nächste Wort vorherzusagen, sagt dieses Modell die vorherigen voraus. Previous-Token Prediction nennen sie das (arXiv 2607.29378).

Es braucht dafür keinen Zugriff auf die Modellgewichte. Es braucht nicht einmal zu wissen, welches System geantwortet hat: Ein Inversmodell, trainiert auf einem kleinen Qwen-Modell, rekonstruierte auch Prompts aus GPT-4o-Antworten. Getestet wurden kurze Eingaben von ein bis zwei Sätzen — also genau das, was Menschen tatsächlich tippen.

Der ausgegebene Text trägt die Frage mit sich. Das ist der Punkt.

Was das im Alltag bedeutet

Du fragst nach einer Formulierung für ein schwieriges Gespräch. Du kopierst die Antwort in eine Mail. Die Mail geht raus. Der Text, der jetzt in fremden Postfächern liegt, ist eine Ableitung deiner Frage — und deine Frage enthielt den Fall.

Dasselbe gilt für den Absatz im Gemeindebrief, den Textbaustein in der Vorlage, den Vorschlag, den du in die Sitzung mitbringst. Nicht der Prompt wandert, sondern das Produkt. Und das Produkt lässt sich rückwärts lesen.

Der Gegenvorschlag ist unbequem und billig

Trenne den Fall von der Frage. Nicht „Wie sage ich Frau M., dass ihre Stelle wegfällt“, sondern „Wie formuliert man ein Trennungsgespräch bei langjähriger Betriebszugehörigkeit“. Keine Namen, keine Orte, keine Daten, keine Kombinationen, die nur auf eine Person passen.

Klingt nach Aufwand. Ist es auch — ungefähr fünfzehn Sekunden. Und es hat einen Nebeneffekt, den ich nicht erwartet habe: Die generische Frage bringt oft die bessere Antwort, weil sie das Problem sortiert, bevor die Maschine drankommt.

Was seelsorglich ist, gehört ohnehin in kein System, das du nicht kontrollierst. Auch nicht anonymisiert. Auch nicht „nur zum Ausprobieren“.

Was das nicht löst

Anonymisieren schützt den Fall, nicht dich. Deine Themen, deine Unsicherheiten, dein Ton bleiben ablesbar — die Studie hat nur kurze Eingaben getestet, aber Muster über hundert Chats hinweg braucht kein Inversmodell.

Und es ändert nichts an der Vertragslage. Ob und wie lange dein Anbieter Eingaben speichert, steht in seinen Bedingungen, nicht in deinem Bauchgefühl. 🔎 Nachlesen ist da einmal wirklich nötig, und zwar bevor die halbe Verwaltung mitzieht.

Welche Frage würdest du niemandem stellen?

Geh die letzten fünf Sachen durch, die du einem Chatbot anvertraut hast. Wie viele davon würdest du so, mit Namen, auch in eine Dienst-Mail schreiben?