Konzeptkarte

SAP Business AI — Datenschutz und Datennutzung

Stand 2026-09-25

Redaktion: Cédric-Olivier Mâry, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist SAP Business AI?

SAPs öffentliche Zusage ist konkret, nicht allgemein gehalten: Kundendaten werden nicht an Drittanbieter von Modellen weitergegeben, um deren LLMs zu trainieren oder zu verbessern, und Foundation-Modelle von Drittanbietern verarbeiten einen Prompt, ohne ihn über den Inferenzaufruf hinaus zu speichern. Was SAP nicht zusichert — eine vollständige Datenresidenz innerhalb der EU für jedes Modell oder dass die eigene Masking-Erkennung jedes personenbezogene Muster erfasst — ist genau das, was ein Berater pro Projekt, pro Modell und pro Region prüfen muss.

Die präzise Zusage, klar formuliert

SAPs öffentliche Position zu Kundendaten und KI ist enger und nützlicher, als es die Marketingformel „wir trainieren nicht mit Ihren Daten“ vermuten lässt, weil SAP die tatsächliche Mechanik nennt: SAP gibt Kundendaten nicht an andere Anbieter weiter, um deren große Sprachmodelle oder Bildmodelle zu trainieren oder zu verbessern, und in SAP AI Launchpad gespeicherte Daten werden nicht zur Qualitätsverbesserung von SAP-Produkten verwendet, etwa um LLMs zu trainieren. Wenn ein Kunde eine SAP-KI-Funktion nutzt, die ein von einem Drittanbieter gehostetes Foundation-Modell aufruft — GPT, Claude, Gemini und weitere, erreichbar über den Generative AI Hub —, wird der Prompt ausschließlich zur Verarbeitung an diesen Modellanbieter gesendet; er wird vom Anbieter über den Inferenzaufruf hinaus weder gespeichert noch anderweitig aufbewahrt. Das ist eine vertragliche und architektonische Aussage, keine vage Beruhigung, und es ist der eine Satz, den man einem Datenschutzbeauftragten des Kunden wörtlich zitieren sollte, weil er genau die Frage beantwortet, die DSB tatsächlich stellen: Landen unsere Daten im Trainingsdatensatz eines anderen. Die dokumentierte Antwort ist Nein — aber diese Antwort deckt speziell Training und Aufbewahrung durch den Modellanbieter ab, nicht jede Datenschutzfrage, die ein Einsatz aufwirft.

Warum es zählt

SAPs dokumentierte Zusage ist konkret — keine Weitergabe von Kundendaten an Drittanbieter von Modellen zu Trainingszwecken und keine Aufbewahrung durch den Modellanbieter über den Inferenzaufruf hinaus —, wörtlich zitierbar gegenüber einem Kunden-DSB statt aus Marketingsprache umformuliert.
Die Entitätserkennung der Maskierung hat einen begrenzten Umfang: Personennamen zuverlässig auf Englisch, Adressen und Orte nur für die USA — ein europäischer Einsatz benötigt eigene, an echten Daten getestete Entitäten, nicht das Standardprofil ab Werk.
„Nicht durch den Modellanbieter aufbewahrt“ ist nicht dieselbe Aussage wie „bleibt in der EU“: Die Hosting-Region des Modell-Endpunkts bestimmt weiterhin die Schrems-II-Analyse, unabhängig von SAPs Zusage, nicht zu trainieren.

Kernpunkte

SAP gibt Kundendaten nicht an Drittanbieter weiter, um deren LLMs oder Bildmodelle zu trainieren oder zu verbessern; von Drittanbieter-Foundation-Modellen genutzte Daten werden verarbeitet, nicht über den Inferenzaufruf hinaus aufbewahrt.
In SAP AI Launchpad gespeicherte Daten werden nicht für SAPs eigene Produktqualitätsverbesserung oder LLM-Training verwendet.
Die Datenschutzarchitektur reiht sich: BDC (Daten bleiben in der verwalteten Landschaft) → AI Core (baut den Prompt innerhalb des Berechtigungsumfangs zusammen) → Generative AI Hub (ein gesteuerter Kanal zum gewählten Modell).
Orchestrierungs-Maskierung: Anonymisierung ist unumkehrbar; Pseudonymisierung wird in der Antwort wiederhergestellt; die Entitätserkennung ist ungleichmäßig — englische Personennamen, standardmäßig nur US-Adressen/-Orte.
Grounding ruft nur ab, was der Berechtigungsumfang des Aufrufers erlaubt, kein ungeschütztes Gesamtkorpus.
„Nicht durch den Anbieter aufbewahrt“ ist eine Aufbewahrungszusage, keine Residenzgarantie — die Hosting-Region des Modells bestimmt weiterhin die Schrems-II-Analyse (C137).
SAPs Product Development Schedule kann SAP erlauben, Kundendaten für allgemeine F&E zu nutzen, sofern der Kundenvertrag dies nicht einschränkt — das Bestellformular prüfen, nicht die Trust-Center-Seite.
Drei-Fragen-Checkliste je Projekt: welches Modell und welche Region, passt die Maskierung zu den verwendeten Sprachen/Formaten, schränkt der Vertrag die allgemeine F&E-Nutzung ein.

Begriffe auf dieser Seite

Kein-Training-Zusage: SAPs erklärte Richtlinie, dass Kundendaten nicht an Drittanbieter von Modellen weitergegeben werden, um deren LLMs oder Bildmodelle zu trainieren oder zu verbessern.
Anonymisierung: Maskierungsmethode, die personenbezogene Daten unumkehrbar ersetzt; Modell und Antwort sehen ausschließlich Platzhalter.
Pseudonymisierung: Maskierungsmethode, die personenbezogene Daten durch wiederherstellbare Platzhalter ersetzt; Antwort und Tool-Call-Argumente können die Originalwerte wieder anzeigen.
Product Development Schedule: SAPs Vertragsdokument, das die Bedingungen festlegt, unter denen SAP Kundendaten für allgemeine Produktforschung und -entwicklung nutzen darf.
Datenresidenz: Der Ort, an dem Daten physisch verarbeitet oder gespeichert werden; eine eigenständige Frage, unabhängig davon, ob ein Anbieter sie aufbewahrt oder damit trainiert.
Grounding-Umfang: Die Abrufgrenze im Orchestrierungsdienst, festgelegt durch die eigenen Datenberechtigungen des Aufrufers statt durch ein ungeschütztes Gesamtkorpus.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: den vollständigen Entscheidungsrahmen · die häufigen Fallstricke und ihre Behebung · die Kurzreferenz · die Codeblöcke · die zitierfähigen Kennzahlen.

In der App öffnen →