GPT-5.5 Instant: Was die neuen Memory Sources für DSGVO-pflichtige Mittelständler wirklich bedeuten
- Stefan Bach
- 6. Mai
- 4 Min. Lesezeit
Aktualisiert: 15. Mai
GPT-5.5 Instant verknüpft jetzt Memory Sourcesüber Chat-Sessions hinweg. Für DSGVO-pflichtige Unternehmen bedeutet das: Jede gespeicherte Information wird Teil eines persistenten Profils, das nicht trivial löschbar ist — und das ein Auskunftsersuchen nach Art. 15 DSGVO komplizierter macht als bisher. Drei DSGVO-Risiken, die ins Verarbeitungsverzeichnis gehören:
OpenAI hat am 5. Mai 2026 das ChatGPT-Standardmodell ausgetauscht. GPT-5.5 Instant löst GPT-5.3 Instant ab – mit laut interner Evaluation 52,5 Prozent weniger halluzinierten Aussagen bei Hochrisiko-Themen wie Medizin, Recht und Finanzen. Gleichzeitig führt OpenAI eine Funktion ein, die in der deutschen Berichterstattung untergeht, aus DSGVO-Sicht aber die wichtigere Nachricht ist: Memory Sources.
Wer in Deutschland mit personenbezogenen Daten arbeitet – und das ist im B2B-Mittelstand jeder, der ChatGPT für Kundenanfragen, Vertriebsanalysen oder Recruiting nutzt – sollte beide Updates getrennt bewerten. Das eine ist eine Qualitätsverbesserung. Das andere ist ein DSGVO-Hebel.
Was Memory Sources können – und was nicht
Bisher war ChatGPTs Personalisierung eine Black Box. Wenn das Modell auf vergangene Konversationen, hochgeladene Dateien oder verknüpfte Gmail-Konten zugriff, sahen Nutzer nicht, welcher Kontext konkret in eine Antwort einfloß. Mit Memory Sources zeigt OpenAI das ab sofort transparent an: Welche gespeicherte Erinnerung, welcher frühere Chat, welche Datei wurde herangezogen? Einzelne Einträge lassen sich als relevant oder irrelevant markieren, korrigieren oder löschen.
Das ist auf den ersten Blick eine Datenschutz-Entlastung. Auf den zweiten Blick liest sich der OpenAI-Hinweis im Kleingedruckten anders: „Memory Sources zeigen möglicherweise nicht jeden Faktor an, der eine Antwort beeinflusst hat. So wird etwa nur ein Teil der durchsuchten Chats als Quelle aufgeführt.“ OpenAI selbst gibt also zu: Die Transparenz ist unvollständig.
Warum das für DSGVO-pflichtige Unternehmen relevant ist
Artikel 15 DSGVO gewährt jeder betroffenen Person ein Auskunftsrecht: Welche personenbezogenen Daten werden zu welchem Zweck verarbeitet? Artikel 17 ergänzt das Löschrecht. Wenn ein Unternehmen ChatGPT nutzt und dabei Kundennamen, Vertragsdetails oder Gesundheitsinformationen in Prompts einfließen lässt, wird OpenAI zum Auftragsverarbeiter – mit allen Pflichten aus Artikel 28.
Memory Sources verändern die Lage in einem konkreten Punkt: Nutzer können erstmals nachvollziehen, welche Daten gespeichert sind und Einfluss nehmen. Das ist ein Schritt in Richtung Nachvollziehbarkeit, wie sie Artikel 5 DSGVO fordert. Aber: Solange OpenAI selbst zugibt, dass nicht jeder Einflussfaktor angezeigt wird, kann ein Unternehmen einer betroffenen Person keine vollständige Auskunft erteilen. Die Verantwortlichkeit bleibt beim Mittelständler, die Datenbasis ist lückenhaft.
Konkret bedeutet das: Wer Memory in Plus- oder Pro-Accounts aktiviert hat, sollte vor jedem Mandat klären, welche Daten dort liegen. Wer eine Auftragsverarbeitungsvereinbarung mit OpenAI hat, sollte prüfen, ob die AVV-Klauseln die Memory-Funktion explizit abdecken – viele ältere Vereinbarungen tun das nicht.
52,5 Prozent weniger Halluzinationen reichen nicht
Die zweite Schlagzeile des Updates: GPT-5.5 Instant produziert in OpenAIs internen Tests bei Hochrisiko-Prompts aus Medizin, Recht und Finanzen 52,5 Prozent weniger halluzinierte Behauptungen als sein Vorgänger. Bei zuvor von Nutzern als faktenfehlerhaft markierten Konversationen sank die Fehlerrate um 37,3 Prozent. Auch die Benchmarks ziehen an: Beim Mathematikwettbewerb AIME 2025 von 65,4 auf 81,2 Prozent Genauigkeit, beim wissenschaftlichen GPQA-Test von 78,5 auf 85,6 Prozent.
Das ist eine echte Verbesserung. Aber für Mittelständler in regulierten Branchen ändert es wenig an einer Grundregel: Eine Reduktion von 100 auf 47,5 Prozent Halluzinationen ist keine Halluzinationsfreiheit. Versicherungen, Anwaltskanzleien, Steuerberater, Mediziner und Finanzberater haben Pflichten zur fachlichen Richtigkeit, die nicht statistisch erfüllbar sind. Wer in der Beratung einen fehlerhaften KI-Output ungeprüft an Mandanten weitergibt, haftet – unabhängig davon, ob das Modell zu 95 oder zu 99 Prozent richtig liegt.
Die Schlussfolgerung: GPT-5.5 Instant macht KI-gestützte Recherche und Vorbereitung effizienter. Es macht Human-in-the-Loop nicht überflüssig. Im Gegenteil – je leistungsfähiger das Modell, desto subtiler die verbleibenden Fehler, desto wichtiger die fachliche Prüfung durch Verantwortliche.
Was deutsche Mittelständler jetzt prüfen sollten
Fünf konkrete Punkte aus der DSGVO-Brille:
1. Memory-Status pro Account. Prüfen, welche Mitarbeiter Memory aktiviert haben und welche Daten dort liegen. Für sensible Mandate (Personal, Recht, Finanzen) Memory deaktivieren oder dedizierte Accounts ohne Memory nutzen.
2. AVV-Status. OpenAIs Auftragsverarbeitungsvereinbarung prüfen – besonders, ob Memory-Funktionen und der neue Gmail-Zugriff abgedeckt sind. Bei älteren AVV ggf. neue Version anfordern.
3. Mitarbeiter-Schulung zu Memory. Wer Memory bewusst kuratiert und nicht-erforderliche Einträge löscht, reduziert das Datenvolumen, das im Falle einer Auskunftsanfrage rekonstruiert werden müsste. Datensparsamkeit nach Artikel 5 DSGVO beginnt im Tool-Einsatz.
4. EU AI Act-Vorbereitung. Ab August 2026 greifen die ersten Pflichten des EU AI Acts. Unternehmen, die GPT-5.5 Instant in Hochrisiko-Anwendungen einsetzen – etwa Recruiting, Bonitätsprüfung, medizinische Vorprüfung – müssen Risikomanagement-Systeme dokumentieren. Die Halluzinations-Reduktion ist ein Argument, ersetzt aber kein Risikomanagement.
5. Dokumentation der Prüfpfade. Wer KI-Outputs vor der Weitergabe an Kunden prüft, sollte das dokumentieren – wer hat wann was geprüft, mit welchem Ergebnis. Bei einer Aufsichtsbehörden-Anfrage ist diese Dokumentation der Unterschied zwischen Sorgfaltspflicht-Erfüllung und Bußgeld.
Mein Fazit
GPT-5.5 Instant ist ein gutes Update. Memory Sources sind ein wichtiger Schritt in Richtung DSGVO-Konformität, lösen das Grundproblem aber nicht: ChatGPT bleibt ein US-Dienst mit Datenverarbeitung in den USA, dessen interne Logik für europäische Aufsichtsbehörden nicht vollständig nachvollziehbar ist. Wer als Mittelständler trotzdem mit ChatGPT arbeitet – und das tun gute Gründe –, muss die rechtlichen Rahmenbedingungen aktiv gestalten, nicht hoffen, dass OpenAI sie löst.
Konkret heißt das: AVV-Prüfung, Memory-Hygiene, dokumentierte Prüfpfade, EU-AI-Act-Vorbereitung. Wer das systematisch aufstellt, kann die 30-bis-40-prozentige Effizienzsteigerung, die KI im Marketing inzwischen liefert, nutzen – ohne sich Haftungsrisiken einzuhandeln, die jeden Effizienzgewinn auffressen.
Weiterlesen im Sicherheits-Cluster
Wenn Sie KI-Sicherheit für den Mittelstand systematisch angehen wollen, passen drei aktuelle Beiträge dazu:
Kommentare