Was ein Modell aus Ihren Unterlagen lernt, und was nicht

Ein Sprachmodell erwirbt sein Grundwissen im Vortraining auf sehr großen Textmengen. Eine nachgelagerte Feinabstimmung auf einem Firmenbestand überträgt zweierlei: die Form, also Aufbau der Antworten, Fachbegriffe, hausinterne Benennungen, typische Arbeitsschritte und Tonfall, und das stabile Fachwissen des Hauses, soweit es im Trainingsmaterial oft genug und in genügend Varianten vorkommt. Auf diese Bedingung kommt es an. Gekhman et al. (EMNLP 2024) zeigen, dass Beispiele mit für das Modell neuen Fakten deutlich langsamer gelernt werden als Beispiele, die zum vorhandenen Wissen passen, und dass die Neigung zu Falschaussagen mit dem Anteil solcher Beispiele steigt, sobald das Modell sie schließlich doch übernimmt.

Ovadia et al. (2024) berichten, dass Modelle neue Fakten aufnehmen, wenn ihnen dieselbe Information in vielen Formulierungen begegnet. Für die Praxis heißt das: Ein Fakt, der im Material einmal vorkommt, prägt sich schwach ein; ein Anlernvorgang muss aus jedem Dokument viele belegte Beispiele erzeugen, statt es einmal abzuschreiben. Was sich laufend ändert, etwa Preise oder Bestände, gehört nicht in die Gewichte, sondern in den Dokumentenabruf.

Auswendiglernen ist real und messbar. Carlini et al. (ICLR 2023) haben für ein öffentliches Modell mit 6 Milliarden Parametern gezeigt, dass sich 33 Prozent der für die Messung ausgewählten Trainingsabschnitte wörtlich hervorlocken ließen, wenn 50 Token Kontext vorgegeben wurden, und 65 Prozent bei 450 Token. Drei Faktoren treiben den Effekt: die Größe des Modells (eine Verzehnfachung erhöht das Auswendiggelernte um 19 Prozentpunkte), die Häufigkeit, mit der ein Text im Material vorkommt, und die Länge des Vorgabetextes in der Anfrage.

Der Häufigkeitseffekt ist der praktisch wichtigste. Kandpal et al. (ICML 2022) messen, dass eine Textfolge, die zehnmal im Material steht, im Mittel rund tausendmal häufiger wieder ausgegeben wird als eine, die nur einmal vorkommt. Bausteine, die in einem Unternehmen in Dutzenden Dokumenten identisch auftauchen, also Vertragsklauseln, Textbausteine, Standardschreiben, sind damit die kritische Kategorie, nicht der einzelne Sonderfall.

Zwei weitere Befunde sind für die Bewertung nüchtern einzuordnen. Nasr et al. (2023) zeigen, dass nachträgliche Ausrichtung eines Modells das Auswendiglernen nicht beseitigt, sondern nur verdeckt, und dass sich Trainingsdaten aus Produktionssystemen in großem Umfang herausholen lassen. Ippolito et al. (INLG 2023) haben einen Filter gebaut, der wörtliche Wiedergabe vollständig unterbindet, und gezeigt, dass er sich durch leicht umformulierte Anfragen umgehen lässt. Eine Garantie gegen Wiedergabe von Trainingsinhalten gibt es nach heutigem Stand nicht.

Das betrifft auch die Bereinigung vor dem Anlernen. Lukas et al. (IEEE S&P 2023) halten fest, dass automatische Entfernung personenbezogener Angaben das Risiko senkt, aber nicht beseitigt, weil kein Erkennungsverfahren fehlerfrei arbeitet.

Es gibt einen technischen Hebel. Statt alle Gewichte eines Modells neu zu berechnen, lässt sich nur eine kleine Zusatzschicht anpassen (LoRA: eine Feinabstimmung, die lediglich einige Millionen zusätzliche Parameter neben dem unveränderten Modell lernt). Wang und Li (2025) haben beide Wege verglichen: Beim vollständigen Nachtrainieren stieg die wörtliche und sinngemäße Wiedergabe von Trainingsinhalten auf über 50 Prozent, sobald Texte zwanzigfach im Material vorkamen, während sie mit der schmalen Anpassung auch bei dieser Häufung nahe null blieb.

Diese Quellenlage stützt die Richtung, trägt aber keine Garantie. Die Messung stammt aus Modellen der GPT-2-Familie, also weit unterhalb heutiger Produktionsgrößen, und die Autoren nennen selbst offen, dass eine theoretische Erklärung fehlt und stärkere Angriffsverfahren das Ergebnis verschieben könnten. Hou et al. (2025) messen an einem Modell mit 7 Milliarden Parametern, dass sich Trainingszugehörigkeit nach einer LoRA-Feinabstimmung immer noch mit Kennwerten zwischen 0,72 und 0,85 erkennen lässt, wobei 0,5 dem Raten entspräche. Die schmale Anpassung senkt das Risiko also deutlich, sie hebt es nicht auf. Passend dazu zeigen Biderman et al. (TMLR 2024), dass dieser Weg weniger vom neuen Material aufnimmt als vollständiges Nachtrainieren und dafür die Fähigkeiten des Grundmodells besser erhält.

Sprachmodelle erzeugen Text, der wahrscheinlich klingt, nicht Text, der geprüft ist. Huang et al. (ACM TOIS 2025) fassen den Forschungsstand zusammen: Ausgaben sind regelmäßig plausibel und trotzdem sachlich falsch. Kalai et al. (2025) führen das auf die Anreize in Training und Bewertung zurück: Wer bei Unsicherheit rät, schneidet in üblichen Benchmarks besser ab als wer die Unsicherheit benennt, weshalb Modelle das Raten lernen. Xu et al. (2024) argumentieren formal, dass sich das nicht restlos beseitigen lässt. Falsche Angaben sind damit kein Betriebsfehler, den ein Anbieter abstellen könnte, sondern eine Eigenschaft der Technik, mit der man organisatorisch umgeht.

Was ein Modell weiß, endet mit dem Material, auf dem es gerechnet wurde. Cheng et al. (2024) zeigen zusätzlich, dass der tatsächliche Wissensstand oft älter ist als der angegebene Stichtag, weil Sammlungen aus dem Netz größere Mengen alter Inhalte mitschleppen. Vu et al. (2023) messen, dass Modelle unabhängig von ihrer Größe bei Fragen versagen, deren Antwort sich innerhalb eines Jahres ändert, und dass ein Zugriff auf aktuelle Quellen zur Antwortzeit diese Lücke schließt. Ein neuer Preis, ein neuer Vertragsstand, eine Kennzahl von gestern stehen nicht in den Gewichten.

Vier Maßnahmen sind belegt oder rechtlich geboten. Erstens die Bereinigung vor dem Anlernen: personenbezogene Angaben entfernen und Mehrfachvorkommen reduzieren, weil Häufung der stärkste Treiber des Auswendiglernens ist (Kandpal et al.). Zweitens der Dokumentenabruf für Fakten: Shuster et al. (EMNLP 2021) belegen, dass das Nachschlagen in hinterlegten Quellen Falschaussagen deutlich verringert, und Vu et al. zeigen dasselbe für tagesaktuelle Fragen. Niu et al. (ACL 2024) halten zugleich fest, dass auch mit Dokumentenabruf Aussagen entstehen, die den hinterlegten Quellen widersprechen; der Abruf verbessert die Lage, er ersetzt die Prüfung nicht. Drittens die menschliche Prüfung überall dort, wo Entscheidungen Personen betreffen; Art. 22 DSGVO gibt Betroffenen ein Recht darauf, keiner ausschließlich automatisierten Entscheidung mit erheblicher Wirkung unterworfen zu werden. Viertens die Zweckbindung: Ein solches System gehört als internes Assistenzsystem eingesetzt, mit klarer Ansage an die Belegschaft, dass Ausgaben Entwürfe sind.

IonKon stimmt zwei Basismodelle per LoRA-Feinabstimmung ab, Qwen3.5-9B und Qwen3.8-27B, also auf dem Weg, für den die oben genannten Messungen das geringere Auswendiglernen zeigen. Vor dem Anlernen werden personenbezogene Angaben automatisch aus dem Material entfernt. Aus den Unterlagen entstehen Trainingsbeispiele in vielen Varianten; die belegten Fakten darin sind auf ihre Fundstelle zurückführbar. So lernt das Modell das stabile Fachwissen des Hauses, ohne Dokumente abzuschreiben. Für tagesaktuelle Einzelfakten ist der Dokumentenabruf vorgesehen, den die mitgelieferte Oberfläche AnythingLLM mitbringt: Dort pflegen Sie Dokumente selbst ein und aus, ohne neue Feinabstimmung. Ausgaben tragen eine signierte, maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 der KI-Verordnung, damit erkennbar bleibt, was maschinell erzeugt wurde. Das System ist als internes Assistenzsystem gedacht und nicht als Grundlage für Entscheidungen über Personen. Was hier nicht steht, ist eine Garantie gegen wörtliche Wiedergabe oder gegen Falschaussagen. Die gibt der Stand der Technik nicht her, und wer sie zusagt, sagt zu viel zu.