Ist Instinct AI sicher? Datenschutz, Nutzungsbedingungen und gemeldete Vorfälle

Ein Datenleck bei Instinct AI ist nicht bekannt. Der Agent verlangt aber mehr Zugriff als die meisten Apps, und seine Nutzungsbedingungen machen Sie für sein Handeln verantwortlich. Tester haben von einer E-Mail berichtet, die ohne Bestätigung verschickt wurde, und von Daten, die nach dem Entzug des Zugriffs noch vorhanden waren; das Unternehmen hat daraufhin Einstellungen geändert. Ob Instinct sicher genug ist, hängt davon ab, welche Konten Sie verbinden und welche Aktionen Sie ihn ohne Rückfrage ausführen lassen.

Dieser Artikel zeigt, was in der Datenschutzerklärung und den Nutzungsbedingungen steht (beide zuletzt am 26. August 2026 überarbeitet), was berichtet wurde und wie Instinct reagiert hat. Am Ende stehen eine Checkliste für Privatpersonen und eine für Unternehmen, deren Mitarbeiter womöglich dienstliche Konten verbinden. Stand der Angaben ist Oktober 2026. Wir haben Instinct nicht genutzt, der Zugang läuft nur über Einladungen. Wenn Sie das Produkt noch nicht kennen, beginnen Sie mit Was ist Instinct AI?.

Welche Daten sammelt Instinct?

Je nachdem, was Sie verbinden, erfasst Instinct:

• Kontaktdaten und Zahlungsinformationen (über einen externen Zahlungsdienstleister)
• den Inhalt von Nachrichten, E-Mails und anderer Kommunikation, auf die Sie ihm Zugriff geben
• Audio- und Sprachdaten, sofern aktiviert
• Google-Workspace-Daten: Kalender, E-Mail, Dateien und deren Metadaten
• den genauen Standort, wenn Sie ihn teilen
• Nutzungs-, Clickstream-, IP-, Geräte- und Logdaten

Sie können ihm auch „Ihren Benutzernamen und Ihr Passwort für Konten bei Drittanbietern“ geben, damit er sich für Sie anmeldet. Auch Gesundheitsdaten können verarbeitet werden, etwa wenn er einen Termin bucht oder eine E-Mail aus einer Praxis zusammenfasst.

Zur Weitergabe heißt es in der Datenschutzerklärung: „Wir verkaufen Ihre Informationen nicht.“ Daten gehen an Dienstleister, an „externe Anbieter von KI-Modellen, die die Dienste unterstützen“, an die Unternehmen, mit denen Instinct in Ihrem Auftrag zu tun hat, und an verbundene Unternehmen. Die Modellanbieter werden nicht genannt.

Zum Training: Google-Workspace-Daten werden nicht zum Training von KI-Modellen verwendet. Andere Daten schon. Sie können unter app.instinct.com/settings widersprechen, der Widerspruch gilt aber nur ab diesem Zeitpunkt. Daten, die für eine Sicherheitsprüfung markiert wurden, dürfen weiterhin genutzt werden, und bereits trainierte Modelle sind nicht betroffen.

Zwei Lücken fallen auf. Die Datenschutzerklärung nennt keine Speicherfristen, und sie erwähnt weder die DSGVO noch den CCPA. Für Nutzer in Großbritannien und der EU heißt das: keine angegebene Rechtsgrundlage für die Verarbeitung und kein beschriebener Weg, Betroffenenrechte geltend zu machen.

Was steht in den Nutzungsbedingungen von Instinct?

Die Nutzungsbedingungen regeln die Aktionen, und dort liegt das eigentliche Risiko. Der zentrale Satz lautet: „Sie ermächtigen die Dienste, in Ihrem Namen Aktionen auszuführen.“ Sie setzen Instinct als Ihren Vertreter ein, und jede Vereinbarung, die er eingeht, „ist für Sie bindend, als hätten Sie sie direkt selbst geschlossen“.

Die Lizenz an Ihren Inhalten hat sich geändert. TechCrunch zitierte die im August 2026 geltenden Nutzungsbedingungen: Sie räumten eine „unbefristete und unwiderrufliche“ („perpetual and irrevocable“) Lizenz ein, Nutzerinhalte zu verwenden, zu speichern, zu veröffentlichen und zu verändern, auch für KI-Training, und erlaubten es, Bildschirmaufnahmen, Mausbewegungen und Tastatureingaben von Geräten zu erfassen. Die am 26. August überarbeitete Fassung verwendet „perpetual“ und „irrevocable“ nicht mehr, Stand unserer Prüfung am 8. Oktober 2026. Sie erlaubt aber weiterhin, Ihre Inhalte zur Verbesserung des Dienstes zu nutzen, einschließlich KI-Training, sofern Sie nicht widersprechen.

Jeremy Banon sagte TechCrunch, aus Sicherheitssicht sei Instinct „ein klares Nein“, nannte die Richtlinie aber zugleich „zu 100 % offen“. Das trifft es: Die Risiken sind offengelegt, und sie liegen beim Nutzer.

Welche Probleme wurden gemeldet?

August 2026: Beschwerden von Testern

TechCrunch sammelte Ende August Berichte früher Tester:

• Peter Yang sagte, Instinct habe seine Gmail-Daten auf Anfrage nicht gelöscht; der Agent hatte seine E-Mails indexiert und gespeichert. Später ergänzte Instinct eine Einstellung zum Löschen externer Daten.
• Claire Vo sagte, Instinct habe ihr Postfach noch Stunden nach dem Trennen des Google-Zugriffs zusammengefasst. Der Bot erklärte ihr, die E-Mails seien für spätere Suchen im Klartext gespeichert.
• Katie Jacobs Stanton sagte, Instinct habe eine E-Mail für sie verschickt, ohne vorher nachzufragen. Sie trennte ihr E-Mail-Konto.
• Alex Cohen versuchte, den Agenten zu phishen, indem er ihm von einem neuen Gmail-Konto aus Anweisungen schickte, und löschte danach sein Konto. Seiner Ansicht nach ist es noch nicht sicher, einer KI Lese- und Schreibzugriff auf ein Postfach zu geben.

Instinct erklärte dem Wall Street Journal, man nehme „die geäußerten Sicherheitsbedenken ernst“, und Shinn sagte, das Unternehmen habe den Agenten an einigen Aktionen gehindert, die frühere Versionen ausführen konnten (PYMNTS). Der OECD AI Incidents Monitor hat die Berichte erfasst.

Für Unternehmen ist der Fall Claire Vo am aufschlussreichsten. In der Datenschutzerklärung steht, dass „das Trennen einer Drittanbieter-Integration die über diese Integration erfassten Daten nicht automatisch löscht“. Der Entzug des Zugriffs stoppt nur die weitere Erfassung. Bereits indexierte Daten zu löschen ist ein eigener Schritt, unter app.instinct.com/workspace.

September 2026: Hat Instinct Nutzerdaten geleakt?

Am 21. September veröffentlichte ein Nutzer Screenshots, in denen Instinct offenbar den zweiten Vornamen einer anderen Person verwendete und über das Foto eines Finanzdokuments sprach, das er nach eigener Aussage nie geschickt hatte. Der Bot entschuldigte sich, sagte, das Foto sei „in die Unterhaltung geraten“, und sprach von einem „ernsten Fehler“ (Business Insider).

Shinn antwortete auf X, der Vorfall sei „durch eine Halluzination verursacht worden (das Modell hat einen Eigennamen erfunden)“ und „kein Datenleck gewesen, es wurden keine Nutzerdaten geteilt und keine Isolationsgrenze zwischen Nutzern verletzt“. Er beschrieb die Daten als „wirklich partitioniert“, durch isolierte Sandboxes, kurzlebige lokale Zugangsdaten und identitätssignierte Tool-Ausführung. Das Team habe 48 Stunden lang ein „aktives System zur Erkennung von Halluzinationen“ gebaut, das den Agenten vor seinem nächsten Schritt umlenken oder stoppen kann.

Business Insider wies darauf hin, dass Shinn nicht erklärte, woher das Team wusste, dass es eine Halluzination war. Keine unabhängige Stelle hat eine der beiden Versionen bestätigt. Ehrlich gesagt war es weder ein bestätigtes Leck noch ein bestätigtes Nicht-Leck. Sichtbar wird aber ein anderes Problem: Der Agent selbst hat einem Nutzer gesagt, die Daten einer anderen Person seien in seinen Chat geraten, und das war, falls das Unternehmen recht hat, falsch. Ein Agent, der sein eigenes Verhalten falsch wiedergibt, ist schwerer zu untersuchen.

Oktober 2026: Schutzmaßnahmen für Gruppenchats

Mit den Gruppenchats, angekündigt am 5. Oktober, nannte Shinn neue Regeln: Ihr Agent fragt nach, bevor er sich mit dem Agenten einer Gruppe verbindet; Sie wählen aus, welchen Gruppen Sie vertrauen, und können das Vertrauen widerrufen; der Gruppenagent kann nicht auf persönliche Konten zugreifen; und Ihr Agent fragt, bevor er Informationen teilt oder handelt (TechCrunch). Das sind Aussagen des Unternehmens; ein Audit oder eine technische Dokumentation wurde dazu nicht veröffentlicht.

Checkliste für Privatpersonen

Wenn Sie eine Einladung haben, senken diese Schritte den Großteil der oben beschriebenen Risiken:

1. Widersprechen Sie dem KI-Training gleich am ersten Tag unter app.instinct.com/settings, denn der Widerspruch wirkt nicht rückwirkend.
2. Verbinden Sie ein Konto nach dem anderen. Beginnen Sie mit einem Kalender, nicht mit Ihrem Hauptpostfach.
3. Geben Sie keine Passwörter für Bank-, Gesundheits- oder Behördenkonten heraus.
4. Bitten Sie den Agenten, vor jeder E-Mail, Buchung und Zahlung bei Ihnen nachzufragen, und achten Sie darauf, ob er es tut. Die Nutzungsbedingungen garantieren es nicht.
5. Nutzen Sie für alles, was Instinct kauft, eine Karte mit niedrigem Limit oder eine virtuelle Karte.
6. Wenn Sie einen Dienst trennen, löschen Sie auch dessen indexierte Daten unter app.instinct.com/workspace.
7. Ignorieren Sie online verkaufte Einladungen und Links zu instinct.ai; die echte Website ist instinct.com.
8. Entscheiden Sie innerhalb von 30 Tagen, ob Sie dem Schiedsverfahren per E-Mail an support@instinct.com widersprechen.

Checkliste für Unternehmen

Die schwierigere Frage ist, was passiert, wenn ein Mitarbeiter ein dienstliches Google-Workspace-Konto mit einem Agenten für Verbraucher verbindet. Nach den Nutzungsbedingungen binden die Vereinbarungen des Agenten den Nutzer; nach Ihren Verträgen kann eine E-Mail aus dem Konto eines Mitarbeiters das Unternehmen binden. Der Agent kann außerdem Kundendaten indexieren und an nicht genannte Modellanbieter weitergeben.

Eine praxistaugliche Richtlinie deckt aus unserer Sicht vier Bereiche ab:

• Bestandsaufnahme. Prüfen Sie in der Admin-Konsole von Google Workspace oder Microsoft 365, welche Drittanbieter-Apps Zugriff auf Mail, Drive oder Kalender haben, und legen Sie fest, welche Verbraucher-Agenten erlaubt sind. Persönliche Agenten dieser Art fordern typischerweise Zugriff auf Mail, Dateien und Kalender auf einmal an.
• Minimale Rechte. Ist ein Agent erlaubt, vergeben Sie standardmäßig nur Leserechte und behalten Rechte zum Senden, Löschen und Bezahlen für benannte, genehmigte Fälle vor. Trennen Sie private und dienstliche Konten.
• Bestätigungsschritte. Jede Aktion, die externe Nachrichten verschickt, Dienste abonniert, Bedingungen akzeptiert oder Geld ausgibt, sollte den Klick eines Menschen erfordern. Kann ein Tool das technisch nicht durchsetzen, reicht eine schriftliche Regel nicht aus.
• Offboarding und Audit. Den OAuth-Zugriff zu widerrufen heißt nicht, Daten zu löschen. Ihr Prozess sollte das Löschen der beim Anbieter gespeicherten Daten einschließen und festhalten, was der Agent während der Verbindung getan hat.

Für regulierte Daten (Gesundheit, Finanzen, personenbezogene Daten von Personen in der EU) sind der fehlende DSGVO-Bezug und die fehlenden Speicherfristen in der Datenschutzerklärung von Instinct schon für sich genommen Grund genug, dienstliche Konten vorerst herauszuhalten.

Genau diese Kontrollen bauen wir in die Agenten ein, die wir für Unternehmen entwickeln: eng gefasster Tool-Zugriff, Freigabeschritte vor nicht umkehrbaren Aktionen und Protokolle, die zeigen, wer oder was was getan hat. Wenn Sie Unterstützung bei einer Richtlinie oder beim Bau eines internen Agenten mit diesen Kontrollen brauchen, arbeiten unsere Teams für KI-Beratung und LLM-Entwicklung und -Beratung genau daran. Wie sich der Ansatz von Instinct von dem von Meta und OpenAI unterscheidet, lesen Sie in Instinct vs. Meta Muse vs. ChatGPT Dots.

FAQ

Hat Instinct AI Nutzerdaten geleakt?

Bestätigt ist das nicht. Im September veröffentlichte ein Nutzer Screenshots, die offenbar Daten einer anderen Person zeigten. Der Gründer von Instinct sprach von einer Halluzination des Modells, nicht von einem Leck, und sagte, es seien keine Nutzerdaten geteilt worden. Keine der beiden Erklärungen wurde unabhängig überprüft.

Nutzt Instinct meine Daten für KI-Training?

Google-Workspace-Daten werden nicht für das Training verwendet. Andere Daten möglicherweise schon, sofern Sie nicht in den Einstellungen widersprechen. Der Widerspruch gilt nur für die Zukunft und umfasst keine Daten, die für eine Sicherheitsprüfung markiert wurden.

Werden meine Daten bei Instinct gelöscht, wenn ich Gmail trenne?

Nein. Laut Datenschutzerklärung löscht das Trennen einer Integration bereits erfasste Daten nicht automatisch. Indexierte Daten müssen Sie separat unter app.instinct.com/workspace löschen.

Kann Instinct ohne Rückfrage E-Mails senden oder einkaufen?

Die Nutzungsbedingungen erlauben ihm, in Ihrem Namen zu handeln, und garantieren keinen Bestätigungsschritt. Eine Testerin berichtete von einer E-Mail, die ohne Rückfrage verschickt wurde, und Shinn sagte, einige Aktionen seien später eingeschränkt worden. Für Gruppenchats sagt das Unternehmen, der Agent frage immer nach, bevor er etwas teilt oder handelt.

Sollten Mitarbeiter dienstliche Konten mit Instinct verbinden?

Nicht ohne ausdrückliche Unternehmensrichtlinie. Der Dienst nennt keine Rechtsgrundlage nach DSGVO und keine Speicherfristen, teilt Daten mit nicht genannten Anbietern von KI-Modellen und bindet den Nutzer an Vereinbarungen, die der Agent eingeht.

Unterm Strich

Instinct legt offen, welchen Tausch er verlangt: weitreichenden Zugriff und volle Verantwortung gegen einen Assistenten, der Dinge erledigt. Bei dienstlichen E-Mails und Kundendaten sollten die Kontrollen beim Unternehmen liegen, nicht in den Standardeinstellungen des Agenten. AI Superior hilft Unternehmen, diese Kontrollen zu gestalten und Agenten zu bauen, die sich daran halten.