KI Agenten mit Zero Data Retention: die besten Plattformen 2026

Für die meisten Agententeams in Unternehmen ist die OpenAI API 2026 die beste Zero-Data-Retention-Plattform für KI Agenten: Frontier-Modelle lassen sich auf einem ZDR-konformen Pfad nutzen. Amazon Bedrock ist dagegen die stärkere Wahl, wenn eine Aufbewahrungsrichtlinie in einer gesamten AWS-Umgebung nach dem Fail-Closed-Prinzip greifen muss. Entscheidend ist die Einschränkung: ZDR schützt einen Inferenzpfad, nicht automatisch das komplette Agentenprodukt. Zustandsbehafteter Speicher, Dateien, Code-Sandboxes, Suche und Managed-Agent-Schichten können erneut zu einer Datenspeicherung führen. Bei einer normierten Last von 1 Million Eingabe- und 200,000 Ausgabetokens kostet GPT-5.6 Luna zu den aktuellen Standard-Tarifen $0.44. Die größere Budgetfrage lautet jedoch, ob das Unternehmen den Zustand des Agenten selbst betreiben kann.

Die besten Zero-Data-Retention-Plattformen für KI Agenten im Überblick

Zero Data Retention, kurz ZDR, bedeutet: Unterstützte Prompts und Ausgaben werden nach der Verarbeitung nicht dauerhaft gespeichert. Das gilt nicht automatisch für jeden Dateispeicher, jede Memory-Schicht, jedes Tool oder jeden Managed Agent, der mit dem Modell verbunden ist. Genau diese Abgrenzung entscheidet über die Platzierung.

Die folgenden Preise wurden am 22. August 2026 auf den aktuellen Anbieterseiten geprüft. Tokenpreise gelten je 1 Million Tokens, sofern keine andere Einheit angegeben ist. „Nicht aufgeführt“ heißt lediglich, dass der Anbieter auf seiner Preisseite keinen plattformspezifischen Testzeitraum bewirbt — ein Vertriebsteam kann trotzdem Guthaben anbieten.

Modellqualität, Orchestrierung und geschäftliche Eignung behandelt der ausführliche Vergleich von Enterprise-Plattformen für KI-Agenten. Hier fällt die Reihenfolge anders aus, weil sichere Aufbewahrungsregeln wichtiger sind als eine möglichst große Funktionsbreite. Eine Plattform verliert Punkte, wenn ausgerechnet ihre bequemsten Agentenfunktionen den ZDR-Anspruch aushebeln.

Was Zero Data Retention bei KI Agenten im Unternehmen bedeutet

„Wir trainieren nicht mit Ihren Daten“ und „Wir speichern Ihre Daten nicht“ beantworten zwei verschiedene Fragen. Selbst ohne Training darf ein Anbieter Prompts unter Umständen für Missbrauchsüberwachung, Fehlersuche, Gesprächsverläufe, Batch-Verarbeitung oder Dateiabrufe vorhalten. ZDR ist das engere Versprechen: Unterstützte Inhalte bleiben nach Abschluss der Anfrage nicht gespeichert.

Bei einem Agenten ist dieses Versprechen schwerer einzuhalten als bei einer einzelnen Chat Completion. Ein praxistauglicher Enterprise-Agent benötigt gewöhnlich mindestens vier Ebenen:

• Inferenz: Das Modell liest einen Prompt und liefert eine Antwort.
• Zustand: Memory, Gesprächsverlauf, Checkpoints und Aufgabenstatus.
• Wissen: Hochgeladene Dateien, Vektorspeicher, Datenbanken und Retrieval-Protokolle.
• Aktionen: Suche, Codeausführung, Browser, MCP-Server und Geschäftsanwendungen.

Nur die erste Ebene ist von Natur aus zustandslos. Die übrigen drei erfüllen ihren Zweck gerade dadurch, dass Informationen irgendwo fortbestehen. Eine Plattform kann für ZDR-Inferenz hervorragend sein und dennoch die falsche Wahl für einen Managed Agent, dessen Transkript, Dateien oder Sandbox im Produkt des Anbieters liegen.

Das ist der Preis der Datenhoheit über den Zustand. Striktes ZDR bedeutet häufig, dass das Unternehmen selbst die Datenbank für den Agentenspeicher, den Objektspeicher für Dateien, das Trace-System für die Vorfallanalyse und die Warteschlange für die Fortsetzung lang laufender Aufgaben betreiben muss. Sicherheits- und Rechtsabteilung erhalten dadurch eine klare Kontrollgrenze. Das Engineering übernimmt im Gegenzug Löschjobs, Zugriffsrichtlinien, Sicherungsregeln und Rufbereitschaft.

Der praktische Maßstab lautet nicht: „Hat der Anbieter eine ZDR-Seite?“ Entscheidend ist: Lässt sich ein vollständiger Anfragepfad zeichnen und für jedes System, das Kundeninhalte berührt, eine passende Aufbewahrungsregel nachweisen? Hängt die Antwort von einem Standard-Kontrollkästchen, einem undokumentierten Plugin oder einer Managed-Funktion ab, die unbemerkt Zustand speichert, ist der Workflow noch nicht für sensible Daten geeignet.

Nach welchen Kriterien die Plattformen ausgewählt wurden

Die neun Plattformen wurden anhand der am 22. August 2026 verfügbaren Seiten zu Datenkontrollen, Dokumentation und Preisen verglichen. Grundlage waren weder ein erfundener Test noch ein allgemeines Sicherheitssiegel. Fünf Prüfsteine bestimmten die Rangfolge:

1. Aufbewahrungszusage: Erklärt der Anbieter, dass unterstützte Prompts und Ausgaben nach der Verarbeitung nicht dauerhaft gespeichert werden?
2. Fail-Closed-Verhalten: Wird ein inkompatibles Modell oder Feature blockiert, oder kann ein Entwickler ZDR unbemerkt verlassen?
3. Abdeckung des Agenten: Was geschieht mit Memory, Dateien, Batch-Jobs, Codeausführung, Websuche, MCP und Transkripten verwalteter Agenten?
4. Administrativer Nachweis: Kann ein Sicherheitsverantwortlicher die Richtlinie zentral aktivieren und ihren Status überprüfen?
5. Kaufmännische Transparenz: Sind aktuelle Tarife und die Kosten datenschutzgerechter Alternativen klar genug, um ein Budget zu erstellen?

Plattformen, die lediglich zusichern, nicht mit Kundendaten zu trainieren, wurden ausgeschlossen. Dasselbe gilt für Orchestrierungsframeworks ohne anbieterseitige Aufbewahrungszusage: Sie können nicht garantieren, was der zugrunde liegende Modellhost speichert. In die Auswahl kamen nur Anbieter mit einer nutzbaren ZDR-Kontrolle oder einem vertretbaren zustandslosen Pfad für Enterprise-API-Datenverkehr.

Auch irreführende Produktnamen fließen negativ in die Wertung ein. Mistral unterstützt ZDR beispielsweise bei mehreren zustandslosen APIs, schließt das eigene Produkt namens Agents jedoch aus. Microsoft dokumentiert zustandslose Modellinferenz und eine angepasste Missbrauchsüberwachung, bietet aber keinen einfachen ZDR-Schalter zur Selbstbedienung. Beides kann dennoch sinnvoll sein — sofern das Implementierungsteam diese Einschränkung versteht.

1. OpenAI API: insgesamt die beste ZDR-Plattform für Frontier-Modelle

Die OpenAI API ist insgesamt die beste Wahl für Unternehmen, die aktuelle Frontier-Modelle nutzen möchten, ohne auf einen Zero-Data-Retention-Pfad zu verzichten.

Die Ankündigung vom 19. August ist geschäftlich relevant, weil sie eine klare Konsequenz formuliert: Berechtigte API-Kunden können ZDR auch dann beibehalten, wenn Modelle längere und komplexere Aufgaben übernehmen. Laut der veröffentlichten Zusage werden Prompts und Modellantworten nach der Verarbeitung nicht aufbewahrt, die Inhalte sind für Mitarbeitende von OpenAI nicht zugänglich und Unternehmensdaten werden nur nach ausdrücklicher Zustimmung zum Training verwendet. Außerdem kündigte das Unternehmen Private Safety Processing als Vorschau an. Damit sollen Risikomuster über zusammenhängende Interaktionen hinweg erkannt werden, ohne den zugrunde liegenden Inhalt für Mitarbeitende von OpenAI offenzulegen.

Besonders überzeugend ist das Angebot für Banken, Anbieter von Gesundheitssoftware, Rechtsplattformen oder Enterprise-SaaS-Unternehmen, die leistungsfähige Modelle benötigen, aber keinen routinemäßigen Zugriff des Anbieters auf Prompts akzeptieren können. OpenAI bietet ihnen eine direkte API, Kontrollen auf Projektebene, zahlreiche ZDR-fähige Inferenzendpunkte und eine klare Modell-Roadmap. GPT-5.6 Luna hält zudem die Einstiegskosten ungewöhnlich niedrig: Eine Million Eingabe- und 200,000 Ausgabetokens kosten im Standard-Tarif für kurze Kontexte $0.44.

Die Grenze verläuft beim Anwendungszustand. In der aktuellen Tabelle zur Endpunktaufbewahrung sind Chat Completions und Responses mit Einschränkungen als ZDR-fähig aufgeführt. Conversations, ChatKit Threads, Assistants, Threads, Vector Stores, Files, Evals und Batches sind es dagegen nicht. Für entfernte MCP-Server gelten jeweils eigene Aufbewahrungsregeln. Hosted Shell und Code Interpreter können temporäre Daten schreiben, solange ihre Container aktiv sind. Background Responses legt etwa 10 Minuten lang temporären Zustand auf einem Datenträger ab, damit ein Client den Job abfragen kann.

Damit ist OpenAI hier die beste Modellplattform — aber kein Freibrief für jedes OpenAI-Feature. Eine strikte Bereitstellung sollte Memory und Dateispeicherung in der Kundeninfrastruktur halten, einen unterstützten zustandslosen Endpunkt aufrufen und jedes Tool-Ziel gesondert freigeben. Unter ZDR behandelt OpenAI store bei Responses und Chat Completions als false, selbst wenn die Anfrage true übermittelt. Damit entfällt ein gefährlicher Standardwert. Die Organisation benötigt für ZDR trotzdem vorab eine Genehmigung.

Auch Private Safety Processing ist als Vorschau zu behandeln, nicht als heute einsetzbare Produktionskontrolle. OpenAI zufolge liefen Tests mit frühen Kunden; Rollout und technisches Whitepaper waren für September 2026 geplant. Das bestehende ZDR-Angebot ist die belastbare Kaufgrundlage, die Vorschau zeigt lediglich die Entwicklungsrichtung. Als mögliches CSAM eingestufte Bilder bleiben eine ausdrückliche Ausnahme und können für manuelle Prüfung und gesetzliche Meldungen aufbewahrt werden.

Am besten geeignet für: Unternehmen, die Frontier-Modelle von OpenAI über einen genehmigten zustandslosen Pfad benötigen.
Besonderheit: ZDR erzwingt bei unterstützten Responses- und Chat-Completions-Aufrufen store=false.
Preise: Laut dem aktuellen Preisblatt der OpenAI API kostet GPT-5.6 Luna für kurze Kontexte im Standard-Tarif $0.20 für Eingabe, $0.02 für gecachte Eingabe, $0.25 für das Schreiben in den Cache und $1.20 für Ausgabe; bei Batch oder Flex sind es $0.10, $0.01, $0.125 und $0.60, bei Fast $0.40, $0.04, $0.50 und $2.40 — jeweils je 1 Million Tokens. Regionale Datenverarbeitung mit Datenresidenz kostet für berechtigte Modelle, die am oder nach dem 5. März 2026 veröffentlicht wurden, 10% zusätzlich.
Kostenlos testen: Auf der aktuellen API-Preisseite ist kein plattformspezifischer Testzeitraum aufgeführt.

1. 1

   Kontrolle schriftlich bestätigen lassen

   ZDR muss für genau die API-Organisation beantragt werden, über die später der Produktivverkehr läuft. Genehmigung, Vertragsumfang, zulässige Modelle, Ausnahmen und verantwortliche Person im Sicherheitsteam sind zu dokumentieren.

2. 2

   Ein eigenes Projekt anlegen

   Der sensible Agent gehört in ein separates Projekt mit der genehmigten Aufbewahrungskontrolle, statt eine mehrdeutige Standardeinstellung der Organisation zu übernehmen. Entwicklungs- und Produktionsschlüssel müssen getrennt bleiben.

3. 3

   Jeden Endpunkt erfassen

   Der Workflow ist mit der aktuellen Endpunkttabelle von OpenAI abzugleichen. Der zentrale Inferenzpfad bleibt auf zulässigen Responses- oder Chat-Completions-Aufrufen. Conversations, Assistants, Files, Vector Stores, Evals und Batch werden aus dem strikten Pfad entfernt.

4. 4

   Zustand in die eigene Systemgrenze verlagern

   Memory, Aufgabenstatus, Dokumente und Audit-Traces werden in Systemen mit eigener Aufbewahrungsregel gespeichert. Jeder Modellaufruf erhält nur den tatsächlich benötigten Kontext.

5. 5

   Aufbewahrung mit einem Canary testen

   Ein synthetischer sensibler Datensatz wird durch alle Ziele verfolgt. Dabei sind store=false und die ausschließliche Speicherung in genehmigten Kundensystemen zu bestätigen. Ein inkompatibles Feature muss scheitern, bevor echte Daten zugelassen werden.

2. Amazon Bedrock: am besten für zentral durchgesetzte Fail-Closed-Richtlinien

Amazon Bedrock ist die stärkste Wahl, wenn eine Aufbewahrungsrichtlinie unternehmensweit in AWS durchgesetzt werden soll, statt von jedem Entwickler einzeln beachtet werden zu müssen.

Bedrock macht die Datenaufbewahrung zu einem Modus auf Konto- oder Projektebene. Wird data_retention_mode auf none gesetzt, werden laut Bedrock-Dokumentation zur Datenaufbewahrung weder Anfragen noch Antworten in dauerhaften Speicher geschrieben oder an den Modellanbieter weitergegeben. Benötigt ein Modell Datenspeicherung, wird die Anfrage blockiert. In der Responses API ist store standardmäßig false, store=true wird abgelehnt und der Background-Modus steht nicht zur Verfügung. Chat Completions und Messages werden in diesem Modus nie gespeichert.

Dieses Fail-Closed-Verhalten hebt Bedrock von Plattformen mit einem einfacher formulierten Marketingversprechen ab. Ein reguliertes Unternehmen kann über IAM- oder Service-Control-Richtlinien jeden Aufbewahrungswert außer none untersagen. Die Kontrolle übersteht damit Personalwechsel, hektische Releases und kopierten Beispielcode. Sie wird Teil der Cloud-Sicherheitsarchitektur statt eines Punkts auf einer Engineering-Checkliste.

Die klar benannte Grenze ist die Modellverfügbarkeit. Claude Fable 5 und Claude Mythos 5 erfordern provider_data_share, sofern das Konto keine modellspezifische ZDR-Genehmigung erhält. Bei aktivierter Weitergabe dürfen Prompts und Completions bis zu 30 Tage gespeichert werden. Ein Team mit der Einstellung none muss damit rechnen, dass diese Modelle nicht verfügbar sind — und sollte die blockierte Anfrage als Beleg dafür sehen, dass die Kontrolle funktioniert.

Bedrock warnt außerdem ausdrücklich: store=false allein garantiert kein ZDR. Ein Modell kann Inhalte weiterhin zur Sicherheitsprüfung aufbewahren, wenn der wirksame Aufbewahrungsmodus nicht none lautet. Für den Einkauf ist diese Trennung wertvoll: Ein API-Parameter steuert das Verhalten einer Anfrage; der Aufbewahrungsmodus setzt die Richtlinie.

Die Preise sind weniger kompakt als bei einer direkten Modell-API, weil Bedrock zahlreiche Anbieter, Regionen und Bereitstellungsarten umfasst. Auf der Preisseite von Bedrock kostet Intelligent Prompt Routing $1 je 1,000 Anfragen zuzüglich der Tokens des zugrunde liegenden Modells. Das Routing kann innerhalb einer Modellfamilie erfolgen. ZDR-Käufer sollten jedoch zuerst sicherstellen, dass jedes infrage kommende Modell none zulässt. Kostenoptimierung lohnt sich erst, wenn die Aufbewahrungsrichtlinie erfüllt ist.

Am besten geeignet für: AWS-Unternehmen, die eine Aufbewahrungsrichtlinie zentral durchsetzen möchten.
Besonderheit: Aufrufe inkompatibler Modelle scheitern, statt unbemerkt Daten zu speichern.
Preise: Die Modellnutzung variiert nach Anbieter, Modell, Region und Bereitstellungsart. Intelligent Prompt Routing kostet $1 je 1,000 On-Demand-Anfragen zuzüglich Modellnutzung.
Kostenlos testen: Auf der aktuellen Preisseite von Bedrock ist kein Bedrock-spezifischer Testzeitraum aufgeführt.

3. Google Gemini Enterprise Agent Platform: am besten für Agententeams in Google Cloud

Die Google Gemini Enterprise Agent Platform passt am besten zu einer Google-Cloud-Organisation, die jede Agentenfunktion ebenso sorgfältig steuern kann wie den Modellaufruf selbst.

Die Dokumentation vom 21. August ist ungewöhnlich hilfreich, weil sie genau die Kontrollen nennt, an denen eine pauschale ZDR-Annahme scheitert. Die Ausgangslage ist solide: Ohne Einwilligung werden Kundendaten nicht zum Training oder Fine-Tuning verwalteter Modelle verwendet, die Protokollierung von Anfragen und Antworten ist standardmäßig deaktiviert, und Kunden im Geltungsbereich der Prompt-Protokollierung zur Missbrauchsüberwachung können eine Ausnahme beantragen.

Die Schwierigkeit: Je nach Agentenfunktion gelten andere Speicherregeln. In der Interactions API steht store standardmäßig auf true; für eine ZDR-Anfrage muss daher ausdrücklich store=false gesetzt werden. Grounding mit Google Search speichert abgeleitete Suchanfragen und Kontext bis zu 3 Tage lang und lässt sich nicht deaktivieren. Google empfiehlt stattdessen Web Grounding for Enterprise. Grounding mit Google Maps speichert Prompts, Kontext und generierte Ausgabe 30 Tage lang — ebenfalls ohne Abschaltmöglichkeit.

CodeMender zieht eine weitere wichtige Grenze. Damit ein lang laufender Scan fortgesetzt werden kann, speichert der Dienst verschlüsselte Sitzungsdaten wie Codeausschnitte, Diffs, Konfiguration und Analyse-Checkpoints bis zu 7 Tage. Codeinhalte werden innerhalb weniger Sekunden nach einem Endstatus gelöscht; der übrige Sitzungsdatensatz verfällt nach 7 Tagen. Das kann eine vernünftige Aufbewahrungsfrist für Unternehmen sein, ist aber nicht null.

Die Sitzungsfortsetzung in Gemini Live ist optional und speichert gecachten Text, Audio, Video und Ausgaben bis zu 24 Stunden. Für einen strikten Pfad sollte sie ausgeschaltet bleiben. Auch Googles standardmäßiger In-Memory-Cache hat eine TTL von 24 Stunden. Google stuft diesen projektisolierten, nicht persistenten Cache dennoch als ZDR-kompatibel ein und ermöglicht Administratoren, ihn projektweit abzuschalten. Der Einkauf sollte prüfen, ob diese Definition mit der internen Richtlinie übereinstimmt, statt vorauszusetzen, dass jeder Auditor flüchtigen Speicher gleich bewertet.

Für Unternehmen, die bereits Google Cloud IAM, Netzwerke, Protokollierung und Datendienste nutzen, liegt Googles Vorteil darin, dass der genehmigte Agent seinen dauerhaften Zustand innerhalb der bestehenden Cloud-Grenze halten kann. Gegenüber Bedrock verliert die Plattform bei der Einfachheit des Fail-Closed-Modells. Mehrere Einstellungen müssen stimmen, und manche Advanced-AI-Funktionen können ZDR unmöglich machen. Google verweist bei Zweifeln an das zuständige Account-Team — diese Klärung gehört vor die Modellfreigabe.

Am besten geeignet für: Google-Cloud-Unternehmen, die Agenten um genehmigte zustandslose Gemini-Aufrufe bauen.
Besonderheit: Detaillierte, funktionsbezogene Hinweise für Search, Maps, Interactions, Live-Sitzungen, Caching und CodeMender.
Preise: Das aktuelle Google-Preisblatt für Modelle führt Gemini 3.1 Flash-Lite Global Standard mit $0.25 für Eingabe, $0.025 für gecachte Eingabe und $1.50 für Ausgabe auf; bei Priority sind es $0.45, $0.045 und $2.70, bei Flex/Batch $0.125, $0.0125 und $0.75 — jeweils je 1 Million Texttokens. Web Grounding for Enterprise enthält 5,000 Grounding-Anfragen pro Monat, danach kosten 1,000 Anfragen $14.
Kostenlos testen: Auf der aktuellen Plattform-Preisseite ist kein plattformspezifischer Testzeitraum aufgeführt.

4. Anthropic API: am besten für Claude mit kundenseitig verwaltetem Zustand

Die Anthropic API ist die richtige Claude-Option, wenn ein Unternehmen den Agenten aus zulässigen zustandslosen Funktionen zusammensetzt und dauerhaften Zustand selbst kontrolliert.

Im Rahmen einer genehmigten ZDR-Vereinbarung mit Anthropic speichert Anthropic Kundenprompts und Antworten nach Rückgabe der Antwort nach eigenen Angaben nicht dauerhaft. Die Vereinbarung wird über den Vertrieb je Organisation aktiviert. Zulässige Aufrufe von Messages und Token Counting sind abgedeckt. Auch Claude Code kann darunterfallen, wenn es einen API-Schlüssel einer Commercial-Organisation oder Claude Enterprise mit aktiviertem ZDR verwendet.

Die größte Stärke von Anthropic ist die fein aufgeschlüsselte Zulässigkeitstabelle. Clientseitige Varianten von Bash, Text Editor, Computer Use und Memory sowie reguläre Messages, Prompt Caching und die reguläre Web Search können innerhalb der ZDR-Vereinbarung bleiben. Ein leistungsfähiges Engineering-Team kann damit einen nützlichen Agenten bauen und Zustand sowie Tool-Ausführung in der eigenen Umgebung halten. Prompt Caching hält KV-Repräsentationen und Hashes für die Cache-TTL im Arbeitsspeicher, statt Prompts und Ausgaben dauerhaft abzulegen.

Die wichtigste Grenze verläuft zwischen den Frontier-Modellen. Claude Fable 5 und Claude Mythos 5 erfordern eine Aufbewahrung von 30 Tagen und stehen unter ZDR nicht zur Verfügung. Eine genehmigte ZDR-Organisation kann die Speicherung für einen einzelnen Workspace einschalten; dessen Datenverkehr erfüllt dann allerdings nicht mehr die strikte Richtlinie. Das ist eine Einkaufsentscheidung, kein einfacher Modellschalter: Entweder akzeptiert das Unternehmen die Speicherung für diese Modelle oder es wählt ein anderes, zulässiges Modell.

Managed-Funktionen bilden die zweite Grenze. Claude Managed Agents ist zustandsbehaftet; Transkripte bleiben bis zur Löschung erhalten. Batch speichert Daten 29 Tage. Code Execution und Programmatic Tool Calling können Containerdaten bis zu 30 Tage aufbewahren. Files bleiben bis zur Löschung oder bis zum Ablauf bestehen, und für den MCP Connector gilt die reguläre Aufbewahrung. Dynamic Filtering für Web Search und Web Fetch ist nicht ZDR-fähig, obwohl die Standardvarianten zulässig sind.

Ein Unterschied zu Bedrock gehört im Architekturreview deutlich hervorgehoben: Eine nicht zulässige Funktion wird unter Anthropic ZDR nicht zwingend blockiert. Entwickler können sie verwenden und damit für diese Daten die Vereinbarung verlassen. Die Flexibilität der API verlagert die Durchsetzung zurück in Code-Reviews, Gateway-Richtlinien und Integrationstests.

Anthropic dokumentiert zudem Ausnahmen. Markierte Daten oder Inhalte unter einer rechtlichen Aufbewahrungspflicht dürfen bis zu 2 Jahre gespeichert werden. Das macht den Vertrag nicht wertlos, setzt dem Begriff „null“ aber eine Sicherheits- und Rechtsgrenze. Sicherheitsteams sollten diese Grenze festhalten, statt ein absolutes Versprechen abzugeben, das der Anbieter selbst nicht gibt.

Am besten geeignet für: Claude-Workloads, deren Memory und Tools in kundenseitig kontrollierten Systemen laufen können.
Besonderheit: Eine detaillierte Zulässigkeitsmatrix trennt clientseitige Tools von verwalteten Funktionen mit Datenspeicherung.
Preise: Laut Preisen der Anthropic API kostet Haiku 4.5 $1 für Eingabe und $5 für Ausgabe. Bei Sonnet 5 sind es $2 für Eingabe, $10 für Ausgabe, $2.50 für das Schreiben in den Cache und $0.20 für das Lesen aus dem Cache. Opus 5 kostet $5 für Eingabe und $25 für Ausgabe, jeweils je 1 Million Tokens. Fable 5 kostet $10 für Eingabe und $50 für Ausgabe, ist jedoch nicht ZDR-fähig. Batch spart 50%, liegt aber ebenfalls außerhalb von ZDR.
Kostenlos testen: Auf der aktuellen Preisseite ist kein API-Testzeitraum aufgeführt.

5. Fireworks AI: am besten für private Inferenz mit offenen Modellen

Fireworks AI ist die klarste Wahl für Unternehmen, die Open-Model-Inferenz mit Zero Data Retention als Standardverhalten suchen.

Für offene Modelle erklärt die Fireworks-Dokumentation zur Datenverarbeitung, dass Prompts und Generierungen nur während der Anfrage im flüchtigen Speicher liegen und nicht dauerhaft geschrieben werden, sofern der Nutzer die Protokollierung nicht ausdrücklich aktiviert. Prompt Caching kann Promptdaten und KV-Caches einige Minuten im flüchtigen Speicher halten; Nutzungsmetadaten wie Tokenzahlen werden gespeichert. Für ein Sicherheitsreview ist das eine direkte, verständliche Abgrenzung.

Ideal ist die Plattform für private Klassifikation, Extraktion, Zusammenfassung oder Agentenplanung, wenn kein verwaltetes Gesprächsobjekt des Anbieters benötigt wird. Ein Plattformteam kann ein offenes Modell auswählen, die Memory-Datenbank in der eigenen Cloud betreiben und Fireworks als Inferenzschicht mit hohem Durchsatz einsetzen. Die Standardeinstellung senkt das Risiko, dass ein neues Projekt versehentlich mit aktivierter Protokollierung startet.

Die Ausnahme ist wesentlich: In der Fireworks Responses API ist store=True voreingestellt. Dann werden Prompts, Antworten und Tool-Aufrufe 30 Tage lang gespeichert. Für einen ZDR-Workflow mit Responses muss store=False gesetzt werden. Andere Fireworks-Dienste folgen der standardmäßigen ZDR-Richtlinie; erweiterte Funktionen wie FireOptimizer können jedoch eine ausdrückliche Zustimmung zur Prompt-Protokollierung einschließen.

Das Preisblatt für Fireworks Serverless ist transparent genug, um verschiedene Bereitstellungsvarianten zu vergleichen. GPT OSS 120B Standard kostet $0.15 für Eingabe, $0.015 für gecachte Eingabe und $0.60 für Ausgabe. Im Priority-Pfad sind es $0.18, $0.018 und $0.72. GPT OSS 20B Standard beginnt bei $0.07 für Eingabe, $0.035 für gecachte Eingabe und $0.30 für Ausgabe. Batch halbiert die Serverless-Preise für Ein- und Ausgabe; jeder asynchrone Workflow muss vor der Nutzung dennoch an der Aufbewahrungsanforderung geprüft werden.

Fireworks liegt hinter den drei Frontier-Anbietern, weil Käufer aus dem vorhandenen Modellkatalog wählen, statt jedes neueste proprietäre Modell unter einer einzigen ZDR-Zusage zu erhalten. Vor Groq rangiert Fireworks wegen des standardmäßigen ZDR-Verhaltens und der ungewöhnlich klaren Dokumentation zur Responses API. Die Entscheidung zwischen beiden sollte von Modellverfügbarkeit, Latenzziel und der Eignung der jeweiligen Steuerungsebene abhängen.

Am besten geeignet für: Unternehmen, die offene Modelle hinter einem selbst verwalteten Agenten-Stack bereitstellen.
Besonderheit: Außerhalb gespeicherter Responses-Aufrufe ist ZDR bei der Open-Model-Inferenz die Standardeinstellung.
Preise: GPT OSS 20B Standard kostet $0.07 für Eingabe, $0.035 für gecachte Eingabe und $0.30 für Ausgabe. Bei GPT OSS 120B Standard sind es $0.15, $0.015 und $0.60, bei Priority $0.18, $0.018 und $0.72 — jeweils je 1 Million Tokens. Batch kostet 50% der Serverless-Tarife für Ein- und Ausgabe.
Kostenlos testen: Neue Konten erhalten $1 kostenloses Guthaben.

6. GroqCloud: am besten für latenzarme Open-Model-Inferenz

GroqCloud ist die beste Wahl, wenn ein Agent mit offenen Modellen niedrige Latenz und eine für alle Kunden verfügbare ZDR-Selbstbedienungskontrolle benötigt.

Groq speichert Inferenzinhalte standardmäßig nicht, doch diese Voreinstellung ist nicht mit ZDR gleichzusetzen. Laut GroqCloud-Datendokumentation darf das Unternehmen Ein- und Ausgaben vorübergehend bis zu 30 Tage protokollieren, um Zuverlässigkeitsprobleme zu beheben oder mutmaßlichen Missbrauch zu untersuchen. Jeder Kunde kann in Data Controls ZDR global oder für einzelne Funktionen aktivieren und diese Speicherung damit ausschließen.

Für Start-ups oder Plattformteams im Mittelstand, die nicht auf einen Enterprise-Vertriebsprozess warten können, ist dieser Self-Service-Pfad attraktiv. Er ist außerdem präzise genug für finanzierte Unternehmen, die einen Sprach-, Klassifikations- oder Tool-Auswahl-Agenten auf offenen Modellen aufbauen. Nutzungsmetadaten werden immer gespeichert; Groq erklärt jedoch, dass sie keine Kundeneingaben oder -ausgaben enthalten.

Der Kompromiss ist der Wegfall bestimmter Funktionen. Batch-Dateien können bis zu 30 Tage bestehen bleiben, sofern sie nicht früher gelöscht werden. Fine-Tuning-Datensätze und Gewichte bleiben bis zur Löschung erhalten. Aktiviertes ZDR deaktiviert Funktionen, deren Zweck von gespeicherten Kundendaten abhängt. Produktverantwortliche müssen sich daher zwischen einem strikten Inferenzpfad und dem Komfort von Batch oder gehosteter Anpassung entscheiden.

Im aktuellen Produktionskatalog von Groq kostet GPT OSS 120B $0.15 für Eingabe und $0.60 für Ausgabe, GPT OSS 20B $0.075 für Eingabe und $0.30 für Ausgabe — jeweils je 1 Million Tokens. Mit dem kostenlosen Kontotarif lassen sich Integration und Ratenlimits risikoarm prüfen. Ein Upgrade auf Developer verursacht nicht sofort Kosten, sondern stellt das Konto auf nutzungsabhängige Abrechnung mit höheren Limits, Flex, Batch, Support und Ausgabenlimits um.

Die Bereitstellungsklassen bringen eine weitere Betriebsentscheidung mit sich. On-Demand ist Standard. Flex nutzt dieselben Tokenpreise und bietet mehr Durchsatz, kann aber einen Kapazitätsfehler zurückgeben. Performance ist eine ausschließlich für Enterprise verfügbare, bereitgestellte Klasse mit Vertriebspreis. auto wählt eine verfügbare Klasse. Ein Agent mit direktem Nutzerkontakt, der keine Wiederholungsversuche toleriert, benötigt womöglich ein Enterprise-Gespräch, obwohl der Tokenpreis niedrig wirkt.

Am besten geeignet für: Latenzarme Agenten auf offenen Modellen, die beim Anbieter zustandslos bleiben können.
Besonderheit: Jeder Kunde kann ZDR ohne separates Enterprise-Genehmigungsverfahren aktivieren.
Preise: GPT OSS 20B kostet $0.075 für Eingabe und $0.30 für Ausgabe; bei GPT OSS 120B sind es $0.15 und $0.60 — jeweils je 1 Million Tokens. Kostenlose und Developer-Kontotarife sind verfügbar; Performance nutzt über den Vertrieb vereinbarte Enterprise-Preise.
Kostenlos testen: Ein kostenloser Kontotarif ist verfügbar.

7. Microsoft Foundry: am besten für Unternehmen mit Azure-Governance

Microsoft Foundry eignet sich am besten für Unternehmen auf Azure, die zustandslose Modellinferenz, mandantengesteuerten Speicher und einen formellen Weg zur Abschaltung der Inhaltsspeicherung für die Missbrauchsüberwachung benötigen.

Laut Datenschutzdokumentation von Microsoft Foundry sind die über Azure angebotenen Modelle zustandslos: Prompts und Completions werden weder im Modell gespeichert noch zum Training oder zur Verbesserung von Basismodellen verwendet. Verwaltete Kunden können eine angepasste Missbrauchsüberwachung beantragen. Nach der Genehmigung entfallen Datenspeicher und menschliche Prüfung für die Missbrauchsüberwachung; während der Verarbeitung einer Anfrage kann die automatisierte Prüfung jedoch weiterhin stattfinden.

Diese Kombination ermöglicht einen vertretbaren ZDR-ähnlichen Pfad, allerdings bündelt Microsoft ihn nicht in einer einzigen universellen Self-Service-Einstellung. Das Unternehmen muss eine Genehmigung erhalten, zustandslose Funktionen auswählen und das Abonnement prüfen. Ist die Speicherung für die Missbrauchsüberwachung deaktiviert, weist eine genehmigte Foundry-Ressource in ihren Fähigkeiten ContentLogging als false aus. Für Kontrollverantwortliche ist das ein wertvoller Nachweis, da sich der Status im Portal oder über Azure-Management-APIs prüfen lässt.

Der typische Käufer ist ein Unternehmen, dessen Identitäten, Netzwerke, Schlüsselverwaltung, Datenresidenz und Beschaffung bereits über Azure laufen. Der Agent kann Dokumente und dauerhaften Zustand in selbst ausgewählten Azure-Ressourcen halten, eine zustandslose Bereitstellung zur Inferenz aufrufen und innerhalb eines Cloud-Governance-Modells bleiben. Das ist häufig wichtiger, als beim Modelltarif wenige Cent einzusparen.

Die Grenze bilden Funktionen, die konstruktionsbedingt Daten speichern. Responses kann den Nachrichtenverlauf ablegen. Auch Assistants Threads, Files, Vector Stores, Stored Completions, Batch und Fine-Tuning speichern Kundendaten im Mandanten. Verschlüsselung, Mandantenhoheit und Löschkontrollen können diese Speicherung vertretbar machen, verwandeln sie aber nicht in Zero Data Retention. Ein strikter Workflow sollte einen zustandslosen Modellaufruf mit einer externen Zustandsschicht und eigener Löschrichtlinie kombinieren.

Die Preise für Azure-Modelle folgen drei kommerziellen Varianten: Standard On-Demand, Provisioned Throughput Units und Batch. Batch wird innerhalb von 24 Stunden abgeschlossen und kostet 50% weniger als Global Standard. Da hochgeladene Arbeit während der Verarbeitung gespeichert wird, ist dies jedoch nicht der strikte Pfad. GPT-5.6 Luna für kurze Kontexte kostet bei Global Standard $0.20 für Eingabe, $0.02 für gecachte Eingabe, $0.25 für das Schreiben in den Cache und $1.20 für Ausgabe. In Data Zone steigen diese Tarife auf $0.22, $0.03, $0.28 und $1.32.

Am besten geeignet für: Unternehmen, die sensible KI bereits über Azure-Abonnements und geografische Kontrollen steuern.
Besonderheit: ContentLogging:false liefert genehmigten Kunden einen überprüfbaren Kontrollstatus für die Speicherung zur Missbrauchsüberwachung.
Preise: Bei GPT-5.6 Luna für kurze Kontexte kostet Global Standard $0.20 für Eingabe, $0.02 für gecachte Eingabe, $0.25 für das Schreiben in den Cache und $1.20 für Ausgabe; in Data Zone sind es $0.22, $0.03, $0.28 und $1.32 — jeweils je 1 Million Tokens. Batch liegt 50% unter Global Standard, speichert die Arbeit jedoch. Preise für bereitgestellte Kapazität hängen von Bereitstellung und Reservierung ab.
Kostenlos testen: Auf der aktuellen Modellpreisseite ist kein Foundry-spezifischer Testzeitraum aufgeführt.

8. OpenRouter: am besten für ZDR-Routing über mehrere Anbieter

OpenRouter ist das beste Gateway, wenn ein Enterprise-Agent auf mehrere Anbieter zugreifen soll und die Routingschicht Endpunkte ohne ZDR-Richtlinie ausschließen muss.

Die ZDR-Durchsetzung von OpenRouter funktioniert global, je Modellgruppe, innerhalb einer Guardrail oder für einzelne Anfragen. Eine Anfrage mit zdr:true wird ausschließlich an Endpunkte geroutet, die OpenRouter als ZDR-fähig kennzeichnet. Die Anfrageregel wird mit Konto- und Guardrail-Einstellungen durch ein logisches ODER verknüpft. Eine einzelne Anfrage kann eine strengere Richtlinie daher nicht abschwächen.

Das ist bei Modelltests und im produktiven Routing über mehrere Anbieter hinweg nützlich. Ein Plattformteam kann eine einzige OpenAI-kompatible Integration behalten, zulässige Endpunkte vergleichen und verhindern, dass ein Fallback bei einem Anbieter mit Prompt-Speicherung landet. OpenRouter erklärt außerdem, Prompts nur dann zu speichern, wenn der Kunde die Prompt-Protokollierung ausdrücklich aktiviert.

Der Nutzen hat zwei Grenzen. Erstens erfasst OpenRouters ZDR-Durchsetzung das Provider-Routing für die Inferenz, nicht Plugins oder Tools wie Websuche. Jeder Drittanbieter braucht ein eigenes Review. Zweitens kann eine Richtlinie für Modellgruppen die Route auf unerwartete Weise verändern. Wird ZDR für Anthropic durchgesetzt, entfallen Anthropic-Endpunkte des Erstanbieters, während Routen über Bedrock und Vertex verfügbar bleiben können. Bei der OpenAI-Gruppe können Azure-Routen bestehen bleiben, obwohl die Erstanbieter-Endpunkte von OpenAI entfallen. In der Google-Gruppe kann Vertex weiterhin verfügbar sein, während AI Studio ausgeschlossen wird.

Dieses Verhalten ist nur dann hilfreich, wenn das Sicherheitsteam den verbleibenden Anbieterpfad freigegeben hat. Ein „ZDR-Modell“ allein reicht nicht. Vertrag, Region, Konfiguration der Missbrauchsüberwachung, Tool-Kette und Betreiber des Endpunkts müssen zur vorgesehenen Richtlinie passen. OpenRouter veröffentlicht eine aktuelle Liste der ZDR-Endpunkte; Unternehmen sollten die genehmigte Auswahl dennoch als Momentaufnahme festhalten und bei Routenänderungen alarmieren.

Die Preisseite von OpenRouter ist übersichtlich. Free umfasst mehr als 25 kostenlose Modelle, 4 Anbieter und 50 Anfragen pro Tag. Pay-as-you-go bietet mehr als 500 Modelle und 80 Anbieter ohne Mindestumsatz bei einer Plattformgebühr von 5.5%. Enterprise arbeitet mit Volumenverpflichtungen und über den Vertrieb vereinbarten Gebührenrabatten. Bring-your-own-key-Nutzung ist bei Pay-as-you-go bis zu einem monatlichen Inferenzlistenpreis von $25,000 gebührenfrei, bei Enterprise bis $200,000; darüber werden 5% berechnet.

OpenRouter steht auf Platz acht, weil ein Gateway eine weitere Auftragsverarbeiter- und Richtlinienschicht hinzufügt. Das kann die Durchsetzung verbessern, macht aber weder ein nicht konformes Tool noch einen nicht konformen Anbieter konform. Sinnvoll ist die Plattform, wenn Modellauswahl und Fallbacks wichtig genug sind, um diese zusätzliche Grenze zu rechtfertigen.

Am besten geeignet für: Multi-Modell-Agenten, die ZDR-bewusstes Routing und kontrollierte Fallbacks benötigen.
Besonderheit: Richtlinien auf Konto-, Modellgruppen-, Guardrail- und Anfrageebene können Routen zu nicht ZDR-fähigen Endpunkten verhindern.
Preise: Free umfasst mehr als 25 Modelle, 4 Anbieter und 50 Anfragen pro Tag. Pay-as-you-go hat ohne Mindestumsatz eine Plattformgebühr von 5.5%. Enterprise nutzt vertriebsbasierte Volumenverpflichtungen. BYOK ist bei Pay-as-you-go bis zu einem monatlichen Inferenzlistenpreis von $25,000 und bei Enterprise bis $200,000 gebührenfrei, danach werden 5% fällig.
Kostenlos testen: Free ist ein dauerhaft kostenloser Tarif und kein zeitlich begrenzter Test.

9. Mistral AI: für zustandslose Mistral-Workloads, nicht für Mistral Agents

Mistral AI ist eine gute ZDR-Plattform für genehmigte zustandslose API-Workloads. Das verwaltete Produkt Agents liegt jedoch ausdrücklich außerhalb der ZDR-Grenze.

Die ZDR-Dokumentation von Mistral stellt die Kontrolle nach Genehmigung in kostenpflichtigen Tarifen bereit. Zu den abgedeckten zustandslosen Endpunkten gehören Chat Completions, Fill-in-the-Middle Completions, Embeddings, Moderation, Classification, OCR, Speech und Transcription. Labs-Modelle sind ausgeschlossen. Für mehrsprachige Extraktionsdienste, private Dokumentklassifikation oder kundenseitig betriebene Coding-Agenten ist das ein nützliches Spektrum.

Die Grenze wird ungewöhnlich eindeutig benannt: Agents, Batch-Dateien, Conversations, Libraries, Files, Vibe Work und Chat sind nicht abgedeckt. Das Produkt namens Agents kann daher nicht die verwaltete Schicht eines strikten ZDR-Agenten bilden. Stattdessen muss die zustandslose API unter einem eigenen Orchestrator liegen; Memory, Dokumente und Aufgabenstatus bleiben an anderer Stelle.

Mistral trennt außerdem ZDR vom Widerspruch gegen Training. Ein Kunde benötigt nicht zwingend ZDR, um die Nutzung berechtigter Daten für das Modelltraining zu verhindern. Umgekehrt erzeugt die Auswahl „kein Training“ keine Aufbewahrungsdauer von null. Diese Formulierung hilft dem Einkauf, die Anforderung korrekt festzuschreiben.

Laut Preisen der Mistral API kostet Mistral Large je 1 Million Tokens $0.50 für Eingabe und $1.50 für Ausgabe. Batch senkt den Tokenpreis um 50%, gecachte Eingabe kann die Eingabekosten um bis zu 90% reduzieren — Batch-Dateien liegen allerdings außerhalb von ZDR. Die Produkttarife für Nutzer sind Free mit monatlich $10 API-Guthaben, Pro für $14.99 pro Monat mit monatlich $30 API-Guthaben, Team für $24.99 pro Nutzer und Monat sowie Enterprise über den Vertrieb. Keiner dieser Produkttarife macht die verwaltete Agents-Funktion ZDR-fähig. Eine ZDR-Organisation braucht einen kostenpflichtigen Tarif und eine Genehmigung.

Mistral landet auf dem letzten Platz, weil die Suchanfrage ausdrücklich Enterprise-Agenten betrifft. Die zustandslose API ist wettbewerbsfähig, der Preis klar und die Abdeckungsliste hilfreich. Durch den widersprüchlichen Produktnamen besteht für Entscheider jedoch ein zu großes Risiko, die falsche Schicht auszuwählen.

Am besten geeignet für: Aufrufe von Mistral-Modellen innerhalb einer selbst entwickelten Agentenarchitektur mit kundenseitiger Zustandsspeicherung.
Besonderheit: Breite Abdeckung zustandsloser APIs für Text, OCR, Klassifikation und Audio.
Preise: Mistral Large kostet je 1 Million Tokens $0.50 für Eingabe und $1.50 für Ausgabe. Batch liegt 50% niedriger und gecachte Eingabe kann bis zu 90% günstiger sein; Batch-Dateien sind jedoch nicht von ZDR abgedeckt. Die Nutzerprodukte sind Free mit monatlich $10 API-Guthaben, Pro für $14.99 pro Monat mit monatlich $30 Guthaben, Team für $24.99 pro Nutzer und Monat sowie Enterprise über den Vertrieb. ZDR erfordert weiterhin einen kostenpflichtigen Tarif und eine Genehmigung.
Kostenlos testen: Der kostenlose Produkttarif erfüllt die Voraussetzungen für ZDR nicht.

Das monatliche Inferenzbudget ist nicht das gesamte Datenschutzbudget

Tokenpreise sind relevant, weil ein Enterprise-Agent durch abgerufene Dokumente, Tool-Ergebnisse und wiederholten Memory-Kontext Milliarden Eingabetokens erzeugen kann. Über die Modellqualität sagen sie trotzdem nichts aus. Der folgende Vergleich normiert ausschließlich eine Last von 1 Milliarde Eingabe- und 200 Millionen Ausgabetokens — ohne Caching, Tools, regionalen Aufschlag oder Mengenrabatt.

Fireworks oder Groq mit GPT OSS 120B kommen auf $270. OpenAI GPT-5.6 Luna kostet $440, Google Gemini 3.1 Flash-Lite $550, Mistral Large $800 und Anthropic Sonnet 5 $4,000. Ein niedrigerer Betrag bedeutet nicht, dass das Modell dieselbe Aufgabe mit gleicher Genauigkeit, Latenz oder Anzahl an Wiederholungsversuchen erledigt.

Die bessere Beschaffungsrechnung enthält drei Zeilen:

1. Inferenz: Modelltokens, Tools, Grounding, regionale Verarbeitung und Gateway-Gebühren.
2. Verantwortung für den Zustand: Datenbank, Objektspeicher, Secrets, Verschlüsselung, Löschjobs, Traces und Backups.
3. Kontrollbetrieb: Genehmigungsnachweise, Regressionstests, Anbieterüberwachung, Vorfallprüfung und Arbeitszeit.

Ein privater Agent ist wirtschaftlich, wenn die Summe dieser drei Zeilen unter den Kosten und Risiken eines verwalteten Workflows mit Datenspeicherung liegt. Das Ergebnis hängt von der Sensibilität der Daten ab. Ein Support-Agent, der öffentliche Inhalte eines Hilfe-Centers verarbeitet, benötigt womöglich kein ZDR. Bei einem Due-Diligence-Agenten, der Übernahmeunterlagen liest, sieht es oft anders aus.

Einen ausführlicheren Vergleich der Tokenökonomie verschiedener Anbieter bietet der Vergleich der günstigsten KI-APIs. Qualitätsbenchmark und Preisblatt sollten getrennt bleiben.

Welche Plattform passt zu welchem Unternehmen?

Ein finanzierter Gründer, der ein Produkt für Gesundheit oder Finanzen entwickelt, sollte mit der OpenAI API beginnen, sofern Frontier-Leistung zählt und das Unternehmen eine ZDR-Genehmigung erhalten kann. Erinnerungen zu Patienten, Kunden oder Transaktionen bleiben in der eigenen Datenschicht. Sind nicht zulässige OpenAI-Ressourcen für das geplante Produkt zentral, muss die Architektur korrigiert werden, bevor der Einkauf das Modell freigibt.

Ein CTO im Mittelstand mit etablierter AWS-Steuerung sollte Amazon Bedrock wählen, wenn die Sicherheitsanforderung unternehmensweit durchgesetzt werden muss. Die Entscheidung fällt gegen Bedrock aus, wenn ein benötigtes Modell none nicht zulässt und das Unternehmen kein anderes Modell akzeptiert.

Ein Unternehmen auf Google Cloud sollte die Gemini Enterprise Agent Platform wählen, wenn IAM, Datenspeicher und Betrieb bereits dort liegen. Die Entscheidung kippt, sobald der Workflow auf Grounding mit Google Search oder Maps, Sitzungsfortsetzung in CodeMender oder eine andere Advanced-AI-Funktion angewiesen ist, die die Richtlinie nicht erfüllen kann.

Ein erfahrener Plattformentwickler mit Claude-Präferenz sollte zur Anthropic API greifen, wenn das Team zulässige Messages-Aufrufe und clientseitige Tools verwenden kann. Sind Fable 5, Mythos 5, Managed Agents, gehostete Codeausführung oder der MCP Connector unverzichtbar, fällt die Wahl anders aus.

Teams mit offenen Modellen sollten Fireworks AI und GroqCloud gemeinsam in die engere Auswahl nehmen. Fireworks passt, wenn das standardmäßige ZDR-Verhalten und der Bereitstellungskatalog überzeugen. Groq punktet mit niedriger Latenz, ZDR im Self-Service und seinem Kapazitätsmodell. Vor der Entscheidung müssen das konkrete Modell und der konkrete Workload getestet werden.

Ein auf Azure standardisiertes Unternehmen sollte Microsoft Foundry nutzen, wenn die angepasste Missbrauchsüberwachung genehmigt ist und sich ContentLogging:false verifizieren lässt. Benötigt die Organisation dagegen einen einzigen portablen ZDR-Vertrag über mehrere Clouds hinweg statt Azure-spezifischer Kontrollen, fällt die Entscheidung gegen Foundry aus.

OpenRouter empfiehlt sich, wenn Modellauswahl, Fallbacks und Anbietervielfalt zwingende Anforderungen sind. Als Datenschutzabkürzung taugt es nicht: Jedes Plugin, jedes Tool und jeder verbleibende Anbieterendpunkt braucht weiterhin eine Freigabe.

Die zustandslose API von Mistral ist sinnvoll, wenn Mistral-Modelle zur Aufgabe passen und das Unternehmen den Agentenzustand selbst aufbauen kann. Für eine strikte ZDR-Anforderung darf die Wahl nicht auf das verwaltete Produkt Agents fallen.

Welche Angebote bei striktem ZDR ausscheiden

Claude Fable 5 und Claude Mythos 5 sind zu vermeiden, sofern die Organisation einer Aufbewahrung von 30 Tagen nicht ausdrücklich zustimmt. Dieselbe Ausnahme gilt für diese betroffenen Modelle über die API des Erstanbieters und Cloud-Marktplätze hinweg, wenn das Konto keine spezifische ZDR-Berechtigung besitzt.

Mistral Agents scheidet aus, wenn die Anforderung wörtlich Zero Data Retention lautet. Zustandslose APIs von Mistral können zulässig sein, das verwaltete Agents-Produkt ist es nicht.

Grounding mit Google Search und Google Maps gehört nicht in einen strikten Pfad. Bei Search gilt eine unvermeidbare Aufbewahrung von bis zu 3 Tagen, Maps speichert relevante Inhalte 30 Tage. Web Grounding for Enterprise ist die Alternative, sofern Anwendungsfall und Vertrag dazu passen.

Auch Standardwerte für gespeicherte Gespräche sind zu vermeiden. Bei Fireworks Responses ist store=True voreingestellt, bei Google Interactions steht store standardmäßig ebenfalls auf true. Eine Produktionsrichtlinie sollte das private Verhalten ausdrücklich festlegen und jede Bereitstellung ablehnen, in der diese Angabe fehlt.

Zustandsbehaftete Komfortendpunkte erfordern eine separate Aufbewahrungsfreigabe. Dazu zählen OpenAI Conversations, Assistants, Threads, Files, Vector Stores und Batch; Anthropic Managed Agents, Batch, Files, Codeausführung und MCP Connector; Groq Batch und Fine-Tuning-Zustand; Microsoft Responses-Verlauf, Assistants Threads, Files und Batch sowie Mistral Conversations, Libraries, Files und Batch.

Ebenso unzureichend ist ein Datenschutzreview nur für das Gateway. OpenRouter kann verhindern, dass eine Inferenzroute einen nicht ZDR-fähigen Endpunkt erreicht. Das Gateway steuert aber weder Websuch-Plugin noch MCP-Server, CRM, Browser, Analysetool oder Datenbank, die nach dem Modellaufruf Inhalte erhalten.

Der nächste Montagsschritt: ein einziger Aufbewahrungstest

Am Anfang sollte keine Beschaffungsrunde mit neun Anbietern stehen. Besser ist es, am Montag einen sensiblen Workflow auszuwählen und dessen Grenze nachzuweisen.

1. 1

   Einen Datensatz auswählen

   Ein synthetischer Datensatz bildet die sensiblen Daten nach, die der Agent später verarbeitet. Eine eindeutige Canary-Zeichenfolge macht jede Kopie auffindbar.

2. 2

   Jede Station einzeichnen

   Client, Gateway, Modellendpunkt, Cache, Memory-Datenbank, Dateispeicher, Observability-System, Tool und menschlicher Prüfpfad werden vollständig aufgelistet. Neben jede Station gehören ein Verantwortlicher und eine Aufbewahrungsregel.

3. 3

   Die strikte Kontrolle aktivieren

   Die ZDR- oder zustandslose Konfiguration der Plattform wird auf Organisations- oder Projektebene eingeschaltet. Speicherflags werden in jeder Anfrage ausdrücklich gesetzt, auch wenn der Anbieter erklärt, dass ZDR sie überschreibt.

4. 4

   Den Workflow absichtlich brechen

   Nun wird eine inkompatible Funktion aufgerufen. Eine belastbare Kontrolle muss sie blockieren, deaktivieren oder einen Alarm auslösen. Gelingt der Aufruf und wird der Canary gespeichert, braucht die Architektur eine weitere Durchsetzungsschicht.

5. 5

   Suchen, löschen und abzeichnen

   Jedes genehmigte System wird nach dem Canary durchsucht, der Löschpfad ausgeführt und der Nachweis gesichert. Sicherheitsteam und Produktverantwortliche zeichnen das Diagramm ab. Nach jeder Änderung an Modell, Tool oder Agentenfunktion wird der Test wiederholt.

Das Ergebnis ist keine Richtlinie mit 40 Seiten. Es besteht aus einer Anfragekarte, einem Nachweispaket und einer Entscheidung: Workflow beibehalten, Funktion ändern oder Anbieter wechseln. So wird ZDR zur betrieblichen Kontrolle statt zum Beschaffungsadjektiv.

Häufig gestellte Fragen

Welche Plattform für KI Agenten ist für Unternehmen am besten?

Für die meisten Unternehmen mit Bedarf an Frontier-Leistung ist die OpenAI API die beste ZDR-Modellplattform. Amazon Bedrock ist überlegen, wenn eine Aufbewahrungsrichtlinie in einer AWS-Organisation nach dem Fail-Closed-Prinzip greifen muss. Für eine bestehende Google-Cloud-Umgebung passt die Google Gemini Enterprise Agent Platform am besten. Die Wahl ändert sich, sobald eine benötigte Memory-, Datei-, Such- oder Managed-Agent-Funktion außerhalb von ZDR liegt.

Welcher KI-Agent ist 2026 der beste?

Einen einzigen besten Agenten für jeden Enterprise-Workflow gibt es nicht. Für striktes ZDR sollte der Agent um einen unterstützten zustandslosen Modellendpunkt gebaut werden, während dauerhafter Zustand in kundenseitig kontrollierten Systemen bleibt. OpenAI führt bei ZDR mit Frontier-Modellen, Bedrock bei der Richtliniendurchsetzung und Fireworks oder Groq bei Open-Model-Inferenz.

Welche wichtigen KI-Trends prägen Unternehmen 2026?

Ein wichtiger Trend ist die Trennung von Modellzugriff und Verantwortung für den Zustand. Die Aufbewahrungsregeln von Frontier-Modellen entscheiden inzwischen über die Modellzulässigkeit. Gleichzeitig müssen Unternehmen Memory, Dateien, Traces und Tool-Governance zunehmend selbst kontrollieren, um sensible Agenten-Workflows privat zu halten.

Welche KI-Plattform ist 2026 die beste?

Für ein allgemeines Enterprise-KI-Programm ist die Plattform am besten, die zu Cloud-Kontrollen, Modellanforderungen, Datengrenze und Betriebsteam des Unternehmens passt. Bei der engeren ZDR-Anforderung führen OpenAI API, Amazon Bedrock und Google Gemini Enterprise Agent Platform — jeweils mit anderen Kompromissen bei Funktionsabdeckung und Durchsetzung.

Gesucht ist eine einseitige Übersicht, die KI-Tools passenden Geschäftsabläufen und Risiken zuordnet? Die AI Tools Map for Business Owners gibt es über den Newsletter.