Logo m-cons.de

Machine Unlearning: Können LLMs das Recht auf Vergessenwerden nach DSGVO erfüllen?

Machine Unlearning: Wenn Künstliche Intelligenz vergessen soll

Große Sprachmodelle (Large Language Models, kurz LLMs) wie ChatGPT, Claude oder Gemini werden mit riesigen Textmengen aus dem Internet trainiert. Darin stecken zwangsläufig auch personenbezogene Daten: Namen, Lebensläufe, Zitate, Forenbeiträge oder Presseberichte über reale Menschen. Gleichzeitig garantiert die Datenschutz-Grundverordnung (DSGVO) jeder Person das Recht auf Vergessenwerden. Doch wie löscht man eine Information aus einem Modell, das sie nicht in einer Datenbank ablegt, sondern in Milliarden von Parametern verteilt „gelernt“ hat?

Genau hier setzt Machine Unlearning an, auch LLM Unlearning genannt. Dieser Beitrag erklärt, was das Recht auf Löschung nach Art. 17 DSGVO für KI-Modelle bedeutet, wie die europäischen Datenschutzbehörden das Thema bewerten, welche technischen Verfahren es gibt und warum vollständiges Vergessen bei LLMs bis heute eine offene Forschungsfrage ist.

Das Recht auf Vergessenwerden nach Art. 17 DSGVO

Art. 17 DSGVO gibt betroffenen Personen das Recht, von einem Verantwortlichen die unverzügliche Löschung ihrer personenbezogenen Daten zu verlangen. Das gilt unter anderem, wenn die Daten für ihren Zweck nicht mehr notwendig sind, die Einwilligung widerrufen wurde, die Person erfolgreich Widerspruch eingelegt hat oder die Daten unrechtmäßig verarbeitet wurden. Der Verantwortliche muss in der Regel innerhalb eines Monats reagieren (Art. 12 Abs. 3 DSGVO).[1]

Das Recht ist nicht grenzenlos. Es tritt zum Beispiel zurück, wenn die Verarbeitung zur Ausübung der Meinungs- und Informationsfreiheit, zur Erfüllung rechtlicher Pflichten oder für Archiv- und Forschungszwecke erforderlich ist. Bekannt wurde der Begriff „Recht auf Vergessenwerden“ bereits 2014 durch das Urteil des Europäischen Gerichtshofs gegen Google (Rechtssache C-131/12), das Suchmaschinen zur Entfernung bestimmter Suchergebnisse verpflichtete. Bei Suchmaschinen und Datenbanken ist die Umsetzung technisch klar: Ein Eintrag wird gelöscht oder ausgeblendet. Bei KI-Modellen ist das deutlich komplizierter.

Warum LLMs nicht einfach löschen können

Ein Sprachmodell speichert keine Dokumente, sondern lernt während des Trainings statistische Muster. Texte werden in sogenannte Tokens zerlegt und in Zahlenwerte übersetzt, die das Modell in seinen Gewichten (Parametern) verarbeitet. Eine bestimmte Information über eine Person steckt daher nicht an einer einzelnen Stelle, sondern ist über viele Parameter verteilt und mit anderem Wissen verwoben.

Trotzdem können Modelle Trainingsdaten memorieren und auf passende Anfragen wörtlich wiedergeben, etwa Adressen, Telefonnummern oder biografische Details. Und sie können über reale Personen falsche Aussagen erzeugen, sogenannte Halluzinationen. Die naheliegende Lösung, das Modell ohne die betroffenen Daten komplett neu zu trainieren, ist bei großen LLMs praktisch kaum umsetzbar: Ein Training kostet Wochen bis Monate Rechenzeit und Millionenbeträge. Für jeden einzelnen Löschantrag ist das nicht realistisch.

Wie Datenschutzbehörden das Thema bewerten

Ob ein KI-Modell überhaupt personenbezogene Daten „enthält“, ist rechtlich umstritten. Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) vertrat im Juli 2024 in einem Diskussionspapier die These, dass in einem LLM selbst keine personenbezogenen Daten gespeichert sind. Betroffenenrechte wie Auskunft, Löschung oder Berichtigung beziehen sich nach dieser Auffassung auf die Ein- und Ausgaben des KI-Systems, nicht auf das Modell an sich.[2]

Der Europäische Datenschutzausschuss (EDSA) hat diese Frage in seiner Stellungnahme 28/2024 vom 17. Dezember 2024 differenzierter beantwortet: Ob ein KI-Modell anonym ist, muss im Einzelfall geprüft werden. Anonym ist ein Modell nur, wenn die Wahrscheinlichkeit, personenbezogene Trainingsdaten direkt oder durch gezielte Abfragen zu extrahieren, vernachlässigbar ist. Wurde ein Modell mit unrechtmäßig verarbeiteten Daten trainiert, können Aufsichtsbehörden unter anderem die Löschung des Datensatzes oder sogar ein Neutraining des Modells anordnen.[3]

Wie ernst die Behörden das Thema nehmen, zeigt die Praxis: Die italienische Datenschutzbehörde Garante verhängte im Dezember 2024 ein Bußgeld von 15 Millionen Euro gegen OpenAI, unter anderem wegen fehlender Rechtsgrundlage für das Training von ChatGPT. Zusätzlich musste OpenAI eine sechsmonatige Informationskampagne starten, die auch über die Rechte auf Widerspruch, Berichtigung und Löschung aufklärt.[4] Im März 2025 reichte die Datenschutzorganisation noyb in Norwegen Beschwerde ein, nachdem ChatGPT einen Mann fälschlich als verurteilten Mörder seiner Kinder dargestellt hatte. OpenAI hatte zuvor in einem anderen Fall erklärt, falsche Angaben im Modell nicht korrigieren, sondern nur bei bestimmten Anfragen blockieren zu können.[5]

Was ist Machine Unlearning?

Machine Unlearning bezeichnet Verfahren, mit denen der Einfluss bestimmter Trainingsdaten aus einem bereits trainierten Modell entfernt werden soll, ohne es komplett neu zu trainieren. Das Ziel: Das Modell soll sich so verhalten, als hätte es die zu vergessenden Daten nie gesehen, und gleichzeitig alle übrigen Fähigkeiten behalten. In der Forschung spricht man vom Forget-Set (zu vergessende Daten) und vom Retain-Set (Wissen, das erhalten bleiben soll).

Für das Recht auf Vergessenwerden ist Unlearning besonders interessant, weil es eine technische Antwort auf eine rechtliche Pflicht verspricht. Neben dem Datenschutz wird es auch eingesetzt, um urheberrechtlich geschützte Inhalte oder gefährliches Wissen aus Modellen zu entfernen.

Die wichtigsten Methoden im Überblick

Exaktes Unlearning durch geschicktes Training: Beim SISA-Verfahren (Sharded, Isolated, Sliced, Aggregated) wird der Trainingsdatensatz in getrennte Teile aufgeteilt, auf denen jeweils eigene Teilmodelle trainiert werden. Bei einem Löschantrag muss nur das betroffene Teilmodell neu trainiert werden. Das funktioniert gut für kleinere Modelle, lässt sich auf große LLMs aber nur schwer übertragen, weil es von Anfang an in die Trainingsarchitektur eingeplant werden muss.[6]

Gradient Ascent: Das Modell wird gezielt auf den zu vergessenden Daten „rückwärts“ trainiert. Statt die Wahrscheinlichkeit bestimmter Antworten zu erhöhen, wird sie gesenkt. Die Methode ist einfach, kann aber die allgemeine Sprachqualität des Modells beschädigen, wenn sie zu stark angewendet wird.

Präferenzbasierte Verfahren: Ansätze wie DPO (Direct Preference Optimization) trainieren das Modell darauf, bei bestimmten Fragen eine Ablehnung oder ausweichende Antwort zu bevorzugen. Das Modell „weiß“ die Information womöglich noch, gibt sie aber nicht mehr preis.

Model Editing: Verfahren wie ROME oder MEMIT lokalisieren die Stellen im Netzwerk, an denen ein bestimmter Fakt abgelegt ist, und verändern gezielt diese Gewichte. Damit lassen sich einzelne Fakten korrigieren, was etwa beim Recht auf Berichtigung hilfreich sein kann.

Inferenzbasierte Ansätze: Hier bleibt das Modell unverändert. Stattdessen sorgen Ausgabefilter, Systemanweisungen oder vorgeschaltete Klassifikatoren dafür, dass bestimmte Informationen nicht ausgegeben werden. Das ist schnell umsetzbar, entfernt die Daten aber nicht aus dem Modell.

Die Grenzen: Vergessen oder nur verstecken?

Die Forschung zeigt deutlich, dass heutiges LLM Unlearning seine Versprechen oft nicht hält. Eine 2025 veröffentlichte Systematisierung (SoK) kommt zu dem Schluss, dass viele Methoden, die Wissen angeblich entfernen, in Wahrheit nur dessen Ausgabe unterdrücken. Ob echtes Entfernen überhaupt erreichbar ist, bleibt offen.[7]

Besonders eindrücklich ist eine Studie, die auf der Konferenz ICLR 2025 vorgestellt wurde: Modelle, die per Unlearning bestimmte Inhalte vergessen sollten, behielten in voller Rechengenauigkeit noch durchschnittlich 21 Prozent dieses Wissens. Nach einer üblichen 4-Bit-Quantisierung, mit der Modelle für den Einsatz auf schwächerer Hardware verkleinert werden, stieg dieser Anteil auf 83 Prozent. Das vermeintlich Vergessene war also größtenteils noch vorhanden.[8]

Auch die Messverfahren stehen in der Kritik. Der bekannte Benchmark TOFU arbeitet mit 200 erfundenen Autorenprofilen, die ein Modell lernen und anschließend wieder vergessen soll. Bereits die Autoren stellten fest, dass keine der getesteten Basismethoden wirksam vergisst.[9] Forschende der Carnegie Mellon University zeigten 2025 zudem, dass schon eine einfache Kombination aus einer „vergessenen“ und einer erlaubten Frage gelöschte Informationen wieder hervorbringen kann. Viele Benchmarks überschätzen deshalb den tatsächlichen Erfolg.[10]

Was Unternehmen beim Einsatz von KI beachten sollten

Für Unternehmen, die KI-Modelle einsetzen oder selbst trainieren, ergeben sich daraus praktische Konsequenzen. Die wichtigste: Datenschutz beginnt vor dem Training. Was nicht in den Trainingsdaten landet, muss später auch nicht vergessen werden. Personenbezogene Daten sollten deshalb vorab gefiltert, pseudonymisiert oder durch synthetische Daten ersetzt werden.

Wer mit eigenen Firmendaten arbeitet, setzt besser auf Retrieval-Augmented Generation (RAG) statt auf Feintuning. Dabei bleiben die Daten in einer externen Wissensdatenbank, aus der das Modell bei Bedarf liest. Ein Löschantrag lässt sich dort wie in jeder Datenbank umsetzen. Wichtig ist, auch die zugehörigen Vektor-Einträge, Zwischenspeicher und Chatverläufe zu löschen.

Daneben sollten Prozesse für Betroffenenanfragen festgelegt werden: Wer nimmt Löschanträge entgegen, wie werden Ein- und Ausgaben des KI-Systems geprüft, und welche Ausgabefilter greifen kurzfristig? Bei externen KI-Anbietern gehört die Frage nach Löschmöglichkeiten in den Auftragsverarbeitungsvertrag. Eine dokumentierte Datenschutz-Folgenabschätzung hilft, Risiken frühzeitig zu erkennen und nachzuweisen.

Ausblick: Digital Omnibus und AI Act

Die rechtlichen Rahmenbedingungen sind in Bewegung. Mit dem sogenannten Digital Omnibus hat die EU-Kommission im November 2025 Änderungen an der DSGVO vorgeschlagen. Danach soll das Training von KI-Systemen mit personenbezogenen Daten grundsätzlich auf ein berechtigtes Interesse gestützt werden können, verbunden mit einem Widerspruchsrecht der Betroffenen. Der Vorschlag ist allerdings noch nicht beschlossen, die Verhandlungen im Rat dauern an und ein Abschluss wird nicht vor 2027 erwartet.[11] Zusätzlich verpflichtet der europäische AI Act Anbieter von KI-Modellen mit allgemeinem Verwendungszweck zu mehr Transparenz über ihre Trainingsdaten.

Technisch wird Machine Unlearning ein aktives Forschungsfeld bleiben. Für die Praxis bedeutet das: Unlearning kann ein Baustein sein, ersetzt aber weder sorgfältige Datenauswahl noch klare Löschprozesse.

Häufige Fragen zu Machine Unlearning und DSGVO

Kann ich verlangen, dass ChatGPT oder ein anderes LLM meine Daten löscht?
Ja, Sie können sich mit einem Löschantrag nach Art. 17 DSGVO an den Anbieter wenden. In der Praxis werden solche Anträge derzeit meist über Ausgabefilter umgesetzt, nicht durch eine Änderung des Modells selbst.

Ist Machine Unlearning dasselbe wie Löschen?
Nicht unbedingt. Viele Verfahren verhindern lediglich, dass das Modell eine Information ausgibt. Studien zeigen, dass das Wissen oft weiterhin im Modell vorhanden ist und unter bestimmten Bedingungen wieder abrufbar wird.

Enthalten KI-Modelle überhaupt personenbezogene Daten?
Das ist umstritten. Der Hamburgische Datenschutzbeauftragte verneint dies für das Modell selbst, der Europäische Datenschutzausschuss verlangt dagegen eine Prüfung im Einzelfall. Eine Entscheidung des Europäischen Gerichtshofs steht noch aus.

Wie können Unternehmen das Risiko verringern?
Durch Datenminimierung vor dem Training, den Einsatz von RAG statt Feintuning mit personenbezogenen Daten, klare Prozesse für Betroffenenanfragen und eine sorgfältige Auswahl der KI-Anbieter.

Fazit: Vergessen ist für KI schwerer als Lernen

Das Recht auf Vergessenwerden stellt Künstliche Intelligenz vor eine grundlegende Herausforderung. Während eine Datenbank einen Eintrag in Sekunden löscht, ist Wissen in einem Sprachmodell untrennbar mit unzähligen anderen Informationen verwoben. Machine Unlearning bietet vielversprechende Ansätze, liefert aber nach aktuellem Forschungsstand meist kein echtes, nachweisbares Vergessen.

Solange die Technik diese Lücke nicht schließt, liegt der wirksamste Schutz in der Vorbeugung: sorgfältig ausgewählte Trainingsdaten, datensparsame Architekturen wie RAG und transparente Prozesse für Betroffene. So lassen sich die Chancen von KI nutzen, ohne die Rechte der Menschen aus den Augen zu verlieren.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.

Weiterlesen auf m-cons.de: KI und Datenschutz – ein Widerspruch? und KI & Datenschutz: Herausforderungen & Regulierung

Quellen