Ein Assistent, der eine E-Mail zusammenfasst, ist vor allem ein Werkzeug zum Lesen. Darf er die Mail auch verschicken, eine Reservierung ändern oder einen Kauf vorbereiten, wird aus derselben Verbindung eine Handlungsvollmacht. Genau an dieser Grenze wird die private Testphase des KI-Assistenten Instinct interessant.
Instinct soll Anwendungen und Geräte verbinden, darunter E-Mail, Messaging, Kalender, Bildschirm, Audio und Standort. Laut dem unabhängigen Bericht von TechCrunch befindet sich der Dienst noch in einer privaten Testphase. Die zentrale Frage ist deshalb nicht, ob ein solcher Assistent grundsätzlich bequem sein kann. Entscheidend ist, ob Nutzer bei einem Dienst mit so viel Kontext und möglicher Handlungsmacht Zugriff, Bestätigung, Speicherung und Löschung getrennt kontrollieren können.
Vom Kontozugriff zur externen Handlung
Der Ablauf wirkt auf den ersten Blick schlicht: Ein Nutzer verbindet ein Konto oder Gerät, der Assistent erhält Kontext, plant eine Aufgabe und nutzt bei Bedarf einen verbundenen Dienst. In der Praxis liegen darin aber unterschiedliche Risikostufen.
Eine Reiseplanung kann etwa damit beginnen, dass der Assistent Nachrichten und Kalendereinträge liest. Er kann anschließend einen Entwurf für eine Antwort erstellen. Erst wenn er eine Nachricht versendet, eine Fahrt bucht oder eine Zahlung auslöst, handelt er außerhalb seiner eigenen Oberfläche. Lesen, Entwerfen, Versenden, Buchen und Kaufen sind keine Varianten derselben Funktion. Sie brauchen unterschiedliche Rechte und unterschiedliche Formen der Bestätigung.
Instinct beschreibt sich auf seiner Website als persönlichen Assistenten, der Anwendungen und Geräte verknüpft. Die Privacy Notice nennt je nach Nutzung unter anderem Bildschirm- und App-Inhalte, Dokumente, Nachrichten, E-Mails sowie Cursor- und Tastatureingaben. Audio ist dort an aktivierte Funktionen gebunden; daraus folgt kein pauschal ständig offenes Mikrofon. Je nach Einsatz können auch Standort-, Zahlungs-, Zugangs- oder Gesundheitsinformationen eine Rolle spielen.
Die am 24. August 2026 revidierten Nutzungsbedingungen gehen über einen reinen Auskunftsdienst hinaus. Sie sehen nach ihrem Wortlaut Interaktionen mit verbundenen Diensten vor und formulieren für bestimmte Vereinbarungen, Verpflichtungen oder Transaktionen eine Agentenrolle im Namen des Nutzers. Das ist eine Vertragsregel, kein Beleg dafür, dass Instinct bereits einen Kauf oder Vertrag ohne Auftrag abgeschlossen hat. Es zeigt aber, wie weit die vorgesehene Kontrollfläche reicht.
Was die Dokumente belegen – und was nicht
Bei Instinct treffen drei unterschiedliche Belegarten aufeinander. Die Produktseite und die Privacy Notice beschreiben die möglichen Zugriffe. Die Terms of Service legen fest, welche Handlungen und welche Nutzung von übermittelten Materialien der Anbieter vertraglich vorsieht. TechCrunch liefert den aktuellen Anlass und berichtet über Beobachtungen einzelner Tester. Keine dieser Quellen ist ein unabhängiger Sicherheits-, Datenfluss- oder Löschtest des gesamten Dienstes.
TechCrunch schrieb am 24. August über Berichte einzelner Tester: Gespeicherte oder weiter auffindbare Inbox-Inhalte nach einer Zugriffstrennung, das Auslesen eines Anmeldecodes, einen Phishing-Test und eine E-Mail, die ohne vorherige Nachfrage versendet worden sein soll. Das sind relevante Warnsignale, aber weiterhin attribuierte Einzelbeobachtungen. Sie belegen weder eine allgemeine Fehlerrate noch eine bestätigte Datenschutzverletzung.
Die Terms enthalten außerdem eine weit gefasste Lizenz für Materialien, die unter anderem Betrieb, Entwicklung, Training, Fine-Tuning und Verbesserung von Technologien nennt. Die Privacy Notice beschreibt eine gesonderte Ausnahme für direkt aus Google Workspace bezogene Daten: Sie sollen laut Anbieter nicht für Auswertung, Fine-Tuning, Training, Modellverbesserung, Werbung oder den Verkauf an registrierte Datenbroker genutzt werden. Diese Zusage betrifft genau diese Datenkategorie. Sie ist kein unabhänglicher Nachweis dafür, was mit anderen Daten, Suchindizes, Ableitungen oder Backups geschieht.
Die Kontrollkette persönlicher KI
Die technische Debatte über KI-Agenten wird oft an der Qualität ihrer Antworten geführt. Für persönliche Assistenten ist die wichtigere Prüfung eine Kette aus sechs Stufen:
- Zugang und Rechte
- Welche Konten und Geräte sind verbunden? Können Leserechte, Schreibrechte und besonders folgenreiche Aktionen getrennt vergeben werden?
- Kontextaufnahme
- Welche Inhalte werden für eine Aufgabe tatsächlich gelesen, gespeichert oder verworfen? Eine Liste möglicher Datenkategorien ersetzt keinen nachvollziehbaren Datenfluss.
- Planung und Tool-Auswahl
- Externe Inhalte wie Mails, Kalendertermine oder Webseiten können irreführende Anweisungen enthalten. Der Assistent muss sie von legitimen Aufträgen unterscheiden.
- Externe Handlung
- Vor einer E-Mail, Buchung oder Zahlung sollte sichtbar sein, was an wen mit welchen Parametern gesendet wird – und wie sich der Vorgang abbrechen lässt.
- Training und Drittanbieter
- Nutzer müssen erkennen können, welche Daten nur für den Betrieb verarbeitet werden und welche in Analyse-, Trainings- oder Drittanbieterpfade gelangen können.
- Widerruf und Löschung
- Ein getrennter OAuth-Zugang ist nicht dasselbe wie ein belegtes Entfernen aus Rohdaten, Suchindex, abgeleiteten Daten und Backups.
Diese Kontrollkette ist eine redaktionelle Einordnung der vorliegenden Unterlagen. Sie beruht nicht auf einem Live-Test, Penetrationstest oder einer juristischen Einzelfallprüfung von Instinct.
Warum Sicherheit bei Agenten mehr bedeutet als ein Passwort
OWASP beschreibt das allgemeine Risiko „Excessive Agency“: Ein Sprachmodell bekommt zu viele Funktionen, zu breite Berechtigungen oder zu viel Autonomie. Manipulierte Inhalte können dann versuchen, den Assistenten zu einer unerwünschten Aktion zu bewegen. Das ist keine Instinct-Prüfung. Es erklärt aber, warum eine Bestätigungsschaltfläche allein nicht genügt, wenn der Kontext bereits falsch interpretiert wurde.
Für hochwirksame Aktionen empfiehlt OWASP minimale Rechte und eine menschliche Freigabe. Praktisch heißt das: Ein Dienst, der einen Kalender lesen darf, sollte nicht automatisch E-Mails senden können. Wer eine Buchung vorbereitet, sollte Ziel, Preis und Bedingungen anzeigen, bevor etwas verbindlich wird. Und ein Protokoll muss nicht nur für Entwickler existieren, sondern für die Person lesbar sein, deren Konto verwendet wurde.
Was deutsche und europäische Nutzer daraus mitnehmen können
Ein Deutschland- oder EU-Start von Instinct ist nicht belegt. Die Fragen sind trotzdem sofort übertragbar, weil ähnliche Assistenten auf denselben Zugang zu Mail, Kalender, Bildschirm oder Zahlungswegen angewiesen sind.
Die Europäische Kommission und der Europäische Datenschutzausschuss nennen Rechte auf Information, Zugang, Löschung, Einschränkung, Portabilität und Widerspruch. Das ist kein Automatismus: Das Recht auf Löschung kennt etwa Ausnahmen, und die Regeln zu ausschließlich automatisierten Entscheidungen betreffen rechtliche oder ähnlich erhebliche Wirkungen. Aus diesen allgemeinen Hinweisen folgt keine Instinct-spezifische Rechtsbewertung.
Vor dem Verbinden prüfen
- Welche Datenquelle braucht die konkrete Aufgabe wirklich?
- Sind Lesen, Schreiben und riskante Aktionen getrennt freigegeben?
- Ist vor einer Nachricht, Buchung oder Zahlung eine klare Vorschau mit Bestätigung vorgesehen?
- Gibt es ein verständliches Action-Log und einen Abbruchweg?
- Was passiert nach Widerruf mit gespeicherten Daten, Suchindizes und Sicherungen?
- Ist verständlich getrennt, welche Daten für Betrieb, Analyse oder Modelltraining genutzt werden können?
Ein persönlicher Assistent kann Aufgaben übernehmen, an denen ein Chatbot zwangsläufig endet. Das kann nützlich sein. Mit jedem weiteren Zugriff steigt aber auch die Pflicht, Grenzen sichtbar zu machen. Der nächste belastbare Nachweis für Instinct wäre deshalb keine weitere Demo, sondern ein unabhängiger Test: getrennte Rechte, manipulierte Inhalte in Mail und Web, verbindliche Bestätigung vor externen Aktionen, vollständige Logs und ein nachvollziehbarer Löschtest.
Quellen und weiterführende Informationen
- TechCrunch: Instinct’s powerful AI assistant is raising privacy and security concerns (24.08.2026)
- Instinct: Produktseite
- Instinct: Terms of Service (Revision 24.08.2026)
- Instinct: Privacy Notice (Revision 22.07.2026)
- OWASP: LLM06 – Excessive Agency
- Europäische Kommission: Information for individuals
- EDPB: Data subject rights
Hinweis: Für diesen Artikel wurden KI-gestützte Recherche- und Editierwerkzeuge verwendet. Der Inhalt wurde redaktionell geprüft. Stand: 2026-08-26.
