Geteilte AI-Chats: robots.txt schützt nicht

Ein einzelner AI-Chat fühlt sich privat an. Ob er es ist, hängt davon ab, welcher Account genutzt wird, wer im Workspace sitzt, welche Connectoren aktiv sind und ob jemand einen Link geteilt hat. Das sind vier verschiedene Fragen, und die Antwort „ich habe doch nichts freigegeben“ beantwortet nur eine davon.

Geteilte Links sind der Punkt, an dem Teams ihre eigene Freigabe unterschätzen. OpenAI beschreibt das für ChatGPT unmissverständlich: Wer Zugriff auf einen geteilten Link hat, kann die Unterhaltung sehen, und er kann den Link weitergeben. Wichtiger ist der zweite Teil. Löschst du einen geteilten Link, ist die Unterhaltung über diesen Link nicht mehr erreichbar. Hat sie aber jemand vorher in seinen eigenen Verlauf importiert, bleibt der Inhalt dort weiterhin zugänglich.

Einen Link zu teilen ist also eine aktive Freigabe mit unbekannter Reichweite und einem Rückruf, der Lücken hat. Für Kundenarbeit heisst das: AI-Ergebnisse zuerst intern bereinigen, vertrauliche Stellen entfernen, Quellen prüfen, und erst dann gezielt teilen.

Was gar nicht erst ungeprüft in einen Chat gehört: Namen und Kontaktdaten, CRM-Exporte und Leadlisten, Umsätze, Margen und interne Zielwerte, nicht veröffentlichte Angebote und Strategien, Zugangsdaten und Tokens, private Report- oder Admin-Links, und Fehlermeldungen, die Rückschlüsse auf Kundensysteme zulassen.

robots.txt ist ein Signal an Crawler, keine Sicherheitsmassnahme. Google sagt das in der eigenen Dokumentation deutlich und rät ausdrücklich davon ab, private Inhalte damit verstecken zu wollen. Der Grund ist einfach: Wohlerzogene Crawler halten sich an die Regel, andere Systeme müssen es nicht, und eine Adresse kann über einen Link, einen Screenshot oder ein Verzeichnis trotzdem bekannt werden.

noindex ist die zweite Verwechslung. Es steuert, ob eine Seite in Suchergebnissen erscheint. Erreichbar bleibt sie trotzdem für jeden, der die Adresse kennt. Wer eine Seite aus dem Index nimmt, hat sie nicht geschützt, sondern nur unauffälliger gemacht.

Vertraulich heisst Zugriffsschutz: Login oder Passwortschutz, rollenbasierte Berechtigungen, nicht öffentliche Speicherorte. Dazu gehört die unbequeme Frage, was neben den HTML-Seiten sonst noch offen liegt. PDFs, JSON-Endpunkte, Sitemaps, Preview-Umgebungen und vergessene Staging-Domains sind die üblichen Fundstellen.

Viele AI-Tools haben gute Datenkontrollen. Sie sind nur selten so eingestellt, wie ein Team es annimmt, und sie unterscheiden sich je nach Plan. Ein persönlicher Gratis-Account ist für Kundenarbeit nicht dasselbe wie ein verwalteter Business-Workspace, auch wenn die Oberfläche gleich aussieht.

Die Frage ist deshalb nicht nur, ob ein Anbieter mit deinen Eingaben trainiert. Sie ist eine Liste: Welcher Accounttyp läuft, wer hat Adminrechte, wie lange werden Daten aufbewahrt, welche Connectoren und Actions haben Zugriff, wer darf teilen und exportieren, und lässt sich das im Nachhinein nachvollziehen.

Produktdetails und Planbezeichnungen ändern sich häufig. Wer die Antworten einmal aufschreibt und danach jährlich nachprüft, ist besser dran als wer sie nie festgehalten hat.

Geprüft am 26. August 2026. Zu geteilten und gelöschten Links: OpenAI Help Center, ChatGPT Shared Links FAQ, help.openai.com/en/articles/7925741-chatgpt-shared-links-faq. Zu robots.txt und noindex: Google Search Central, developers.google.com/search/docs/crawling-indexing/robots/intro sowie developers.google.com/search/docs/crawling-indexing/block-indexing. Zum Schweizer Rahmen: EDÖB, KI und Datenschutz, edoeb.admin.ch/de/ki-und-datenschutz.

Datenkontrollen und Planbezeichnungen der AI-Anbieter ändern sich häufig. Die hier genannten Grundsätze sind stabil, die konkreten Einstellungen deines Tools liest du im Zweifel direkt in dessen Dokumentation nach.