Wer die KI-Notizenapp Granola im beruflichen Umfeld nutzt, sollte dringend die Datenschutzeinstellungen überprüfen: Meeting-Mitschriften sind standardmäßig per Link öffentlich zugänglich – und Notizen kostenloser Nutzer fließen automatisch ins KI-Training ein.
Granola: KI-Notizenapp gibt Meeting-Inhalte standardmäßig per Link frei
Was Granola tut – und was Nutzer wissen sollten
Granola positioniert sich als KI-gestütztes Notizbuch für Vielbesprecher: Die App verbindet sich mit dem Kalender, zeichnet Meeting-Audio auf und generiert daraus automatisch strukturierte Zusammenfassungen. Nutzer können diese Mitschriften bearbeiten, mit Kollegen teilen und über einen integrierten KI-Assistenten gezielt abfragen.
Das Problem liegt in den Standardeinstellungen. Obwohl Granola in seiner Beschreibung von „standardmäßig privaten Notizen” spricht, heißt es in den App-Einstellungen explizit:
„By default, your notes are viewable to anyone with the link.”
Ein versehentlich weitergegebener Link reicht demnach aus, damit externe Personen vollständigen Zugriff auf Meeting-Inhalte erhalten – ohne Login und ohne weitere Authentifizierung.
KI-Training ohne aktives Einverständnis
Darüber hinaus werden Notizen von Nutzern, die kein Enterprise-Abonnement abgeschlossen haben, automatisch für das interne KI-Training herangezogen. Wer das verhindern möchte, muss die entsprechende Option aktiv deaktivieren.
Dieses sogenannte Opt-out-Modell widerspricht dem Prinzip der informierten Einwilligung, das in der Datenschutz-Grundverordnung (DSGVO) als Standard vorgeschrieben ist.
Datenschutzrechtliche Einordnung
Für Unternehmen im europäischen Wirtschaftsraum ist die Konstellation problematisch. Meeting-Protokolle enthalten häufig personenbezogene Daten von Mitarbeitenden, Kunden oder Geschäftspartnern – Informationen, die nach DSGVO besonderen Schutzanforderungen unterliegen.
Eine Verarbeitung dieser Daten zu Trainingszwecken ohne ausdrückliche Einwilligung der Betroffenen dürfte in vielen Fällen nicht rechtskonform sein. Hinzu kommt das Risiko unbeabsichtigter Datenweitergabe durch die offene Link-Struktur.
Granola hat auf die Berichte bislang nicht mit einer offiziellen Stellungnahme reagiert. Enterprise-Kunden sind vom automatischen KI-Training ausgenommen, erhalten aber ebenfalls die standardmäßig öffentlich zugänglichen Link-Einstellungen.
Handlungsempfehlung für Unternehmen
Wer Granola im beruflichen Kontext einsetzt, sollte umgehend folgende Schritte unternehmen:
- Sichtbarkeit prüfen: Notizen auf private Sichtbarkeit umstellen
- KI-Training deaktivieren: Die Opt-out-Option für das KI-Training aktivieren
- Rechtliche Prüfung: Einsatz durch die unternehmenseigene Rechts- oder Datenschutzabteilung bewerten lassen
Der Fall Granola verdeutlicht, dass nutzerfreundliche Standardeinstellungen und Datenschutz-Compliance nicht immer deckungsgleich sind – eine Prüfung bleibt unverzichtbar.
Grundsätzlich gilt für alle KI-basierten Meeting-Tools: Vor dem produktiven Einsatz sollte geprüft werden, welche Daten zu welchen Zwecken verarbeitet werden und ob dies mit internen Datenschutzrichtlinien sowie den Anforderungen der DSGVO vereinbar ist.
Quelle: The Verge AI
