Ein Krankenhaus m\u00f6chte einer Aufsichtsbeh\u00f6rde belegen, dass es f\u00fcr eine Diagnose das zugelassene KI-Modell benutzt hat und nicht eine billigere, unsichere Variante. Die Krankenakte darf es daf\u00fcr nicht herausgeben. Eine Bank m\u00f6chte zeigen, dass ihr Scoring-Modell einen Kredit regelkonform bewertet hat, ohne das Modell (ihr Gesch\u00e4ftsgeheimnis) oder die Daten des Kunden offenzulegen. Beides klingt nach einem Widerspruch: etwas beweisen und es zugleich verbergen. Genau dieser Widerspruch ist das Versprechen von zk-ML.<\/p>
Die Schlagzeilen \u00fcber Zero-Knowledge Machine Learning drehten sich 2026 vor allem um Tempo: Lookups statt riesiger Schaltkreise, GKR-Beweise, und DeepProve, das den ersten vollst\u00e4ndigen Beweis eines Sprachmodells lieferte. Das ist die halbe Geschichte. Die andere, leisere H\u00e4lfte lautet: Ein Beweis muss nicht nur zeigen, dass gerechnet wurde, er kann dabei auch verbergen, wor\u00fcber gerechnet wurde. Verifizierbarkeit und Vertraulichkeit im selben Objekt.<\/p>
Dieser Text handelt von dieser zweiten H\u00e4lfte: Was zk-ML an Datenschutz leisten kann, das kein anderes Verfahren so leistet; der Haken, den die Produktfolien gern weglassen; was 2026 daran tats\u00e4chlich neu ist; und warum DSGVO, das Bayerische Landesamt f\u00fcr Datenschutzaufsicht und die BaFin dieses Thema f\u00fcr deutschsprachige Leser handfester machen als jede Tokenkurve.<\/p>
zk-ML ist ein Zero-Knowledge-Beweis \u00fcber eine Berechnung des maschinellen Lernens. Ein Prover zeigt: Modell M lief auf Eingabe x und ergab Ausgabe y. Der Verifizierer pr\u00fcft daf\u00fcr nur einen kurzen Beweis in Millisekunden, statt M selbst laufen zu lassen. Das ist die bekannte H\u00e4lfte von verifizierbarer KI: Vertrauen verschiebt sich von „vertraue dem Server“ zu „pr\u00fcfe den Beweis“.<\/p>
Der entscheidende Zusatz steckt im Wort Zero-Knowledge: Ein solcher Beweis offenbart nur, was der Prover offenbaren will. Er kann das Modell geheim halten, die Eingabe geheim halten oder beides, und trotzdem \u00fcberzeugend belegen, dass die Rechnung stimmt. Diese Eigenschaft hat kein anderer der vier Wege zu \u00fcberpr\u00fcfbarer KI. opML (das optimistische Modell mit Betrugsbeweisen) und das krypto-\u00f6konomische Modell (Stake und Slashing) beweisen zwar Korrektheit, verbergen aber nichts: Wer die Berechnung anzweifelt, muss sie nachrechnen k\u00f6nnen, also m\u00fcssen die Daten offenliegen. Ein Trusted Execution Environment<\/a> (TEE) verbirgt zwar, aber nur gegen\u00fcber dem Cloud-Betreiber, nicht gegen\u00fcber der Mathematik: Die Daten liegen im Klartext in der Enklave, man vertraut dem Chiphersteller. zk-ML ist das einzige Verfahren, das Beweis und Geheimnis in einem Zug liefert, ohne dass irgendjemand die Rohdaten sehen muss.<\/p> Das ist kein nachtr\u00e4glicher Marketing-Dreh, sondern war von Anfang an der Reiz. In seinem viel zitierten Aufsatz \u00fcber Krypto und KI h\u00e4lt Vitalik Buterin<\/a> fest, der gr\u00f6\u00dfte Teil einer KI-Berechnung seien Matrixmultiplikationen, „for which it is possible to make very efficient ZK-SNARKs or MPCs (or even FHE)“, und erg\u00e4nzt: „If we want to keep the model and the inputs private, we can, though it gets a bit more complicated.“ Dieses „a bit more complicated“ ist, wie sich zeigen wird, der ganze Streitpunkt.<\/p> Wer \u00fcber Datenschutz bei zk-ML redet, sollte zwei Dinge trennen, die oft in einen Topf geworfen werden. Es gibt zwei verschiedene Geheimnisse, und sie geh\u00f6ren unterschiedlichen Parteien.<\/p> Das erste ist das Modell, also die Gewichte. F\u00fcr ein Unternehmen ist das trainierte Modell h\u00e4ufig das wertvollste Gut, teurer als die Infrastruktur, auf der es l\u00e4uft. zk-ML erlaubt, sich kryptografisch auf ein Modell festzulegen (ein Commitment, praktisch ein Fingerabdruck der Gewichte) und anschlie\u00dfend zu beweisen: Die Ausgabe y stammt aus genau diesem festgelegten Modell. Die Gewichte selbst bleiben verborgen. Das ist Modell-Provenienz ohne Modell-Preisgabe, und es l\u00f6st ein reales Gesch\u00e4ftsproblem: Ein Anbieter kann belegen, dass er sein lizenziertes, gepr\u00fcftes Modell einsetzt, ohne es an Kunden oder Konkurrenten zu verschenken.<\/p> Das zweite Geheimnis sind die Daten, also die Eingabe x. Ein Mensch will beweisen, dass ein Ergebnis aus seinen echten Daten stammt (sein Gesicht, sein Kontostand, ein Laborwert), ohne diese Daten herzugeben. Der Beweis tr\u00e4gt dann nur das Ergebnis und die Zusicherung, dass sauber gerechnet wurde. Beides zugleich zu verbergen, Modell und Eingabe, geht ebenfalls, wird aber, wie Buterin sagt, komplizierter. In der Praxis entscheidet eine einzige Frage dar\u00fcber, was realistisch geheim bleibt: Wer h\u00e4lt die Daten und erzeugt den Beweis?<\/p> Ein ZK-Beweis \u00fcber eine Inferenz entsteht nicht aus dem Nichts. Der Prover muss das Modell tats\u00e4chlich auf der echten Eingabe laufen lassen, Schicht f\u00fcr Schicht, um \u00fcberhaupt die Zwischenwerte zu bekommen, die der Beweis dann versiegelt. Zum Zeitpunkt der Beweiserzeugung sieht der Prover also sowohl die Gewichte als auch die Eingabe im Klartext. Zero-Knowledge versteckt das Ergebnis dieser Rechnung vor der Au\u00dfenwelt, nicht vor dem, der rechnet.<\/p> Daraus folgt eine unbequeme Konsequenz, die in Produktvideos selten vorkommt. Wenn ein fremder Dienst den Beweis erzeugt, muss dieser Dienst die Daten sehen. Reines zk-ML macht es einem Dritten nicht m\u00f6glich, \u00fcber Daten zu rechnen, die er gar nicht sehen darf. Ausgerechnet dieser Fall wird oft als der gro\u00dfe Datenschutz-Sieg verkauft („die KI sieht deine Daten nie“), und ausgerechnet ihn l\u00f6st reines zk-ML nicht. Ein \u00dcberblicksaufsatz zu ZK-basiertem verifizierbarem maschinellen Lernen (arXiv<\/a>) ordnet die Verfahren entlang genau dieser Trennung ein: Integrit\u00e4t nachweisen ist nicht dasselbe wie Eingaben vor dem Rechner verbergen.<\/p> Es gibt zwei saubere Auswege. Erstens: Die Partei, die die Daten h\u00e4lt, beweist selbst. Dann verlassen die Rohdaten ihr Ger\u00e4t nie, nur der Beweis geht hinaus. Das ist Client-side Proving. Zweitens: Man will nur das Modell verbergen, nicht die Eingabe. Dann beweist der Modell-Besitzer, und der Nutzer liefert seine Eingabe offen. F\u00fcr den wirklich harten Fall, bei dem ein Dritter \u00fcber Daten rechnen soll, die er nicht sehen darf, braucht man andere Werkzeuge: Fully Homomorphic Encryption (FHE), Multi-Party Computation (MPC) oder die Kombination mit Client-side Proving.<\/p> So gelesen ist zk-ML kein Zaubertrick, der Datenschutz aus dem Nichts erzeugt, sondern ein pr\u00e4zises Werkzeug: Es verbirgt gegen\u00fcber dem Verifizierer und der \u00d6ffentlichkeit, nicht gegen\u00fcber dem Prover. Die gesamte Datenschutz-Frage schrumpft damit auf ein Architekturproblem zusammen, n\u00e4mlich den Prover an die richtige Stelle zu setzen.<\/p> Die eleganteste Antwort auf diesen Haken ist, den Beweis dort zu erzeugen, wo die Daten ohnehin liegen: auf dem Ger\u00e4t des Nutzers. Die Rohdaten verlassen das Telefon nicht; verschickt und on-chain gepr\u00fcft wird nur ein kompakter Beweis von wenigen Kilobyte. Lange war das reine Theorie, weil die Beweiserzeugung rechen- und speicherhungrig ist und ein Smartphone eben kein Rechenzentrum hat.<\/p> 2026 r\u00fcckt dieser Ansatz in Reichweite. Ein Beispiel ist Bionetta (arXiv<\/a>), ein Framework f\u00fcr Client-side-zk-ML um den Autor Dmytro Zakharov, das auf einer Beweistechnik namens UltraGroth aufbaut. Die Arbeit beansprucht einen deutlichen Geschwindigkeitsvorsprung beim Beweisen eigens zugeschnittener neuronaler Netze gegen\u00fcber Werkzeugen wie EZKL, Lagranges DeepProve und dem \u00e4lteren zkml, und zwar als nach eigener Aussage einzige Variante, die sich ohne \u00fcberbordende Beweisgr\u00f6\u00dfe direkt von einem EVM-Smart-Contract pr\u00fcfen l\u00e4sst. Einordnung im Fachgebiet: Kryptografie und Computer Vision, also Bild- und Mustererkennung.<\/p> Dass die Computer Vision im Titel steht, ist kein Zufall, denn der klassische Datenschutz-Anwendungsfall ist Identit\u00e4t. Beweise, dass du ein echter, einzigartiger Mensch bist, oder dass du \u00fcber 18 bist, ohne Iris, Ausweis oder Geburtsdatum herzugeben. Entsteht der Beweis auf deinem Ger\u00e4t, bekommt niemand sonst die biometrischen Rohdaten zu Gesicht. Client-side Proving verwandelt das abstrakte „beweisen, ohne zu zeigen“ in etwas, das auf Alltagshardware laufen soll, und es ist genau der Punkt, an dem der europ\u00e4ische Datenschutz direkt andockt.<\/p> zk-ML ist nicht der einzige Weg, KI-Rechnen vertraulich zu machen, und es ist nicht der beste f\u00fcr jeden Zweck. Es konkurriert mit drei anderen Familien, die jeweils ein anderes Geheimnis am st\u00e4rksten sch\u00fctzen. Die folgende Tabelle trennt, was oft vermischt wird: was ein Verfahren verbirgt, was es beweist, wem man dabei vertrauen muss und wo es 2026 praktisch steht.<\/p>Zwei Arten von Geheimnis: das Modell und die Daten<\/h2>
Der Haken, den die Marketing-Folien verschweigen<\/h2>
Client-side Proving: der Beweis entsteht auf deinem Ger\u00e4t<\/h2>
zk-ML gegen FHE, MPC und TEE<\/h2>