Seit dem 2. August 2026 hat die Europ\u00e4ische Union eine Waffe, die ihr vorher fehlte. Das KI-B\u00fcro der Kommission darf die Pflichten f\u00fcr KI-Modelle mit allgemeinem Verwendungszweck (General-Purpose AI, GPAI) jetzt tats\u00e4chlich durchsetzen, mit Auskunftsverlangen, verpflichtenden Abhilfema\u00dfnahmen und Bu\u00dfgeldern von bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Die Regeln selbst gelten schon seit August 2025, doch die Z\u00e4hne wachsen ihnen erst jetzt, wie die offizielle \u00dcbersicht zu den GPAI-Leitlinien<\/a> festh\u00e4lt.<\/p> F\u00fcr die meisten Krypto-Projekte klingt das nach fremdem Terrain. F\u00fcr eine kleine, sehr technische Gruppe von KI-Krypto-Teams ist es das Gegenteil: der Beweis, dass ihre eigentliche Wette aufgeht. Diese Wette lautet, dass die n\u00e4chste Stufe von KI on-chain nicht nur nachweisbar korrekt, also verifizierbar, sondern zugleich vertraulich sein muss. Wer regulierte Daten verarbeitet, also Patientenakten, Kreditscores oder Handelsstrategien, kann sie nicht durch eine offene, \u00f6ffentlich nachvollziehbare Blockchain schicken und darauf hoffen, dass Datenschutz-Grundverordnung und KI-Verordnung wegsehen.<\/p> Ritual, das in New York gegr\u00fcndete Infrastrukturprojekt f\u00fcr verifizierbare KI, steht im Zentrum dieser These. HOGE Wire hat Ritual in diesem Jahr bereits zweimal beleuchtet: einmal als Erkl\u00e4rst\u00fcck zur Architektur und einmal als Realit\u00e4tscheck zu Mainnet und Token. Dieser Text stellt eine dritte, h\u00e4rtere Frage. Kann Inferenz gleichzeitig verifizierbar und privat sein, und ist genau diese Kombination der Grund, warum vertrauliche KI 2026 vom Nischenthema zum Gesch\u00e4ftsmodell wird?<\/p> Kurz f\u00fcr alle, die neu einsteigen. Ritual wurde 2023 von Niraj Pant und Akilesh Potti gegr\u00fcndet, zwei ehemaligen Investoren und Forschern des Krypto-Fonds Polychain. Im November 2023 sammelte das Team eine Seed-Runde \u00fcber 25 Millionen US-Dollar ein, angef\u00fchrt von Archetype, mit Beteiligung von Accel, Dialectic und Angels wie Balaji Srinivasan, wie CoinDesk<\/a> damals berichtete. Das erste Produkt, Infernet, ist ein dezentrales Orakelnetzwerk, das EVM-Vertr\u00e4gen auf Ethereum, Base und Arbitrum erlaubt, KI-Modelle aufzurufen. Das zweite, die Ritual Chain, ist eine eigene Layer-1 mit einer erweiterten EVM namens EVM++, seit Ende 2024 im Testnetz.<\/p> Zwei Dinge sind wichtig und \u00e4ndern sich seit Monaten nicht. Es gibt bis heute kein Mainnet-Datum, und es gibt keinen handelbaren RITUAL-Token. Der RITUAL-Gastoken existiert laut Entwicklerdokumentation<\/a> nur im Testnetz (Chain-ID 1979, rund 350 Millisekunden Blockzeit) und hat keinen wirtschaftlichen Wert. Der Testnetz-Start selbst wurde seinerzeit von The Block<\/a> dokumentiert. Wer die Grundarchitektur im Detail nachlesen will, findet sie im fr\u00fcheren HOGE-Wire-Erkl\u00e4rst\u00fcck; dieser Text setzt sie voraus und dreht sich um eine Eigenschaft, die in beiden bisherigen St\u00fccken nur am Rand vorkam: Vertraulichkeit.<\/p> Um zu verstehen, warum vertrauliche KI schwer ist, muss man sehen, dass zwei erw\u00fcnschte Eigenschaften in entgegengesetzte Richtungen ziehen.<\/p> Verifizierbarkeit will Transparenz. Die einfachste Art zu beweisen, dass ein Modell eine Ausgabe korrekt erzeugt hat, ist, die Rechnung offenzulegen, damit andere sie nachrechnen k\u00f6nnen. Optimistische Verfahren wie opML ver\u00f6ffentlichen die Spur der Berechnung und lassen jeden sie im Streitfall anfechten; das funktioniert nur, wenn die Spur \u00f6ffentlich ist. Zero-Knowledge-Beweise gehen sparsamer mit den Daten um, doch auch sie brauchen ein offenes Pr\u00fcfprotokoll, das jeder gegen die Behauptung halten kann.<\/p> Vertraulichkeit will das Gegenteil: Opazit\u00e4t. Ein Krankenhaus, das ein Diagnosemodell auf Patientendaten laufen l\u00e4sst, darf weder die Eingabe noch oft das Modell selbst preisgeben. Ein Fonds, der eine Handelsstrategie in ein Modell gegossen hat, will die Gewichte auf keinen Fall ver\u00f6ffentlichen, weil sie sein Gesch\u00e4ftsgeheimnis sind.<\/p> Ein konkretes Beispiel macht den Konflikt greifbar. Eine Klinik m\u00f6chte belegen, dass ihr Diagnosemodell eine bestimmte Aufnahme korrekt ausgewertet hat, damit eine Versicherung die Behandlung erstattet. Der Beweis der Korrektheit verlangt, dass ein Dritter die Rechnung nachvollziehen kann; der Datenschutz verlangt, dass weder das R\u00f6ntgenbild noch das Modell diesen Dritten je erreichen. Genau in diesem Spalt zwischen Nachweisbarkeit und Geheimhaltung siedelt sich vertrauliche Inferenz an.<\/p> Naiv kombiniert schlie\u00dfen sich beide aus: Was ich verstecke, kann niemand nachrechnen; was jeder nachrechnen kann, ist nicht mehr geheim. Der gesamte technische Aufwand, den Ritual und seine Partner betreiben, dient dazu, diesen scheinbaren Widerspruch aufzul\u00f6sen. Es geht um spezialisierte Kryptografie und um spezielle Hardware, die beweisen k\u00f6nnen, dass eine Rechnung korrekt war, ohne die Rechnung selbst zu zeigen.<\/p> Warum jetzt? Weil die Kosten des Danebengreifens 2026 real geworden sind.<\/p> Die KI-Verordnung der EU verpflichtet Anbieter von GPAI-Modellen seit dem 2. August 2025 zu Transparenz, technischer Dokumentation und Urheberrechtskonformit\u00e4t. Seit dem 2. August 2026 kann das KI-B\u00fcro diese Pflichten durchsetzen: Auskunftsverlangen, verpflichtende Abhilfema\u00dfnahmen, im Extremfall Marktr\u00fccknahme und die genannten Bu\u00dfgelder bis 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Modelle, die vor dem 2. August 2025 auf den Markt kamen, haben laut den GPAI-Leitlinien<\/a> bis zum 2. August 2027 Zeit, konform zu werden.<\/p> Parallel bleibt die DSGVO die h\u00e4rtere H\u00fcrde f\u00fcr alles, was personenbezogene Daten ber\u00fchrt. Datenminimierung und Privacy by Design nach Artikel 25 sind keine K\u00fcr, sondern Pflicht. Eine Architektur, die Rohdaten offen on-chain schreibt, ist mit beidem schwer vereinbar, weil eine \u00f6ffentliche Blockchain per Definition nichts vergisst.<\/p> Der Konflikt ist struktureller Natur. Die DSGVO kennt ein Recht auf L\u00f6schung, eine \u00f6ffentliche Blockchain jedoch ist bewusst unver\u00e4nderlich; was einmal geschrieben ist, bleibt. Personenbezogene Daten geh\u00f6ren deshalb nie im Klartext in eine solche Kette, auch nicht als Zwischenergebnis einer KI-Rechnung. Vertrauliche Verfahren umgehen das, indem nur verschl\u00fcsselte oder in Bruchst\u00fccke zerlegte Daten das Ger\u00e4t verlassen und on-chain am Ende bestenfalls ein Beweis oder ein Verweis landet, nicht der Rohwert selbst.<\/p> F\u00fcr den Finanzsektor kommt die Aufsicht der BaFin hinzu. Bankgeheimnis, Auslagerungsregeln und die DORA-Verordnung zur digitalen Betriebsstabilit\u00e4t setzen enge Grenzen, wohin Kundendaten flie\u00dfen d\u00fcrfen. Ein Kreditinstitut, das ein KI-Modell auf Transaktionsdaten anwenden will, kann diese nicht einfach an ein \u00f6ffentliches Rechennetz auslagern. Genau hier verspricht vertrauliche Inferenz einen Ausweg: rechnen, ohne die Daten je im Klartext preiszugeben.<\/p> Der konkreteste Baustein von Rituals Vertraulichkeitsstrategie tr\u00e4gt einen Namen: Nillion. Bereits im August 2024 k\u00fcndigten beide Teams eine Partnerschaft an, die Nillions Blind-Computing-Technologie als Backend f\u00fcr private Modell-Inferenz und -Speicherung in Ritual integriert, wie SiliconANGLE<\/a> berichtete.<\/p> Blind Computing bedeutet, vereinfacht gesagt: Daten werden mathematisch in Bruchst\u00fccke zerlegt und auf viele Knoten verteilt, die gemeinsam rechnen, ohne dass ein einzelner Knoten je den vollst\u00e4ndigen Datensatz sieht. Das Verfahren stammt aus der Familie der sicheren Mehrparteienberechnung (Multi-Party Computation, MPC) und des Secret Sharing. Das Ergebnis l\u00e4sst sich nur von einer vom Nutzer bestimmten Partei wieder zusammensetzen.<\/p> Der Unterschied zur gew\u00f6hnlichen Verschl\u00fcsselung ist entscheidend. Verschl\u00fcsselte Daten muss man vor der Verarbeitung wieder entschl\u00fcsseln, und in genau diesem Moment liegen sie im Klartext vor. Bei sicherer Mehrparteienberechnung wird dagegen auf den Bruchst\u00fccken selbst gerechnet, ohne sie je zusammenzuf\u00fchren. Die Sicherheit h\u00e4ngt an einer Annahme: Solange nicht mehr als eine festgelegte Zahl der Knoten heimlich zusammenspielt, kann niemand die Daten rekonstruieren. Das ist ein anderes Vertrauensmodell als bei einer TEE, wo alles an der Integrit\u00e4t eines einzelnen Chips h\u00e4ngt.<\/p> Der entscheidende Punkt f\u00fcr KI: Vertraulich bleiben nicht nur die Eingabedaten des Nutzers, sondern auch die Modellgewichte. Ein Anbieter kann ein propriet\u00e4res Modell bereitstellen, ohne es offenzulegen; ein Nutzer kann sensible Eingaben schicken, ohne sie preiszugeben. Alex Page, Mitgr\u00fcnder und CEO von Nillion, formulierte es so: Die Integration der Blind-Computing-Technologie in Rituals Schnittstelle werde Entwicklern erlauben, „die Vertraulichkeit sowohl der Nutzereingaben als auch der KI-Modelle zu wahren“.<\/p> Die genannten Anwendungsf\u00e4lle lesen sich wie eine Liste regulierter Branchen: Gesundheitswesen, Internet der Dinge, gesch\u00fctzte Preisprognosemodelle, sichere Chatbots und Retrieval-Augmented Generation (RAG) mit vertraulichen Quelldaten. Es sind genau die Felder, in denen offene Modelle bislang am Datenschutz scheiterten.<\/p> Wichtig ist, dass Nillion selbst kein Testnetz-Versprechen mehr ist. Das Netzwerk ging 2025 in den produktiven Betrieb, sodass der Baustein, auf den Ritual f\u00fcr Blind Computing setzt, real existiert und nicht blo\u00df auf dem Papier steht. Das unterscheidet diese Zusammenarbeit von vielen Ank\u00fcndigungen der Branche, in denen zwei noch unfertige Systeme einander Reife bescheinigen.<\/p> Der zweite Weg zur Vertraulichkeit l\u00e4uft nicht \u00fcber Mathematik, sondern \u00fcber Hardware. Rituals Ausf\u00fchrungsmodell kennt zwei Pfade \u00fcber einen gemeinsamen Zustand, in der Dokumentation Superposition genannt: einen replizierten Pfad, bei dem alle Validatoren dieselbe deterministische Rechnung wiederholen, und einen delegierten Pfad, bei dem schwere Arbeit wie ein LLM-Aufruf au\u00dferhalb des Ausf\u00fchrungsclients passiert, in einer Trusted Execution Environment (TEE) wie Intel SGX oder AWS Nitro. Die Antwort wird dabei kryptografisch an die Anfrage gebunden.<\/p> F\u00fcr regulierte Anwender ist das der praktischere der beiden Wege. Eine Bank, die ein Betrugserkennungsmodell auf Transaktionen anwenden will, kann die Daten in eine Enklave schicken, dort auswerten lassen und erh\u00e4lt Ergebnis plus Attestierung zur\u00fcck, ohne dass Betreiber oder Cloud-Anbieter je Einblick in die Zahlen hatten. Weil die Rechenlast nahezu ungebremst l\u00e4uft, eignet sich der Ansatz auch f\u00fcr gro\u00dfe Sprachmodelle, an denen rein kryptografische Verfahren heute noch scheitern.<\/p> Eine TEE ist ein abgeschotteter Bereich im Prozessor, in den weder das Betriebssystem noch der Betreiber der Maschine hineinsehen kann. Modell und Eingabe werden innerhalb dieses Enklaves verarbeitet; nach au\u00dfen dringt nur das Ergebnis plus eine Attestierung, die belegt, dass genau der erwartete Code gelaufen ist. F\u00fcr vertrauliche Inferenz ist das attraktiv, weil es nahezu native Geschwindigkeit liefert, anders als die schwergewichtige Kryptografie von MPC oder homomorpher Verschl\u00fcsselung.<\/p> Der Preis ist eine Vertrauensannahme: Man muss dem Chip-Hersteller und der Korrektheit seiner Enklave vertrauen. Seitenkanalangriffe der Spectre-Familie haben in der Vergangenheit gezeigt, dass Enklaven nicht unfehlbar sind. TEEs verschieben das Vertrauen also von einem zentralen Anbieter zu einem Hardware-Lieferanten, sie eliminieren es nicht. Diese Debatte, Hardware-Vertrauen gegen kryptografische Beweise, zieht sich durch die gesamte verifizierbare KI; HOGE Wire hat sie am Beispiel optimistischer Betrugsbeweise<\/a> ausf\u00fchrlich diskutiert.<\/p> Vertrauliche und zugleich pr\u00fcfbare Inferenz l\u00e4sst sich mit mindestens vier Werkzeugen bauen. Keines gewinnt auf allen Achsen; die Wahl h\u00e4ngt vom Anwendungsfall ab.<\/p>Ritual in einem Absatz: was bisher gebaut wurde<\/h2>
Das eigentliche Problem: Verifizierbarkeit und Vertraulichkeit ziehen gegeneinander<\/h2>
Der Ausl\u00f6ser: KI-Verordnung, DSGVO und was die BaFin erwartet<\/h2>
Blind Computing: die Nillion-Wette auf verteilte Geheimnisse<\/h2>
TEEs: Vertraulichkeit als Hardware-Versprechen<\/h2>
Vier Wege zur vertraulichen Inferenz im Vergleich<\/h2>