X

Grok-Gespräche sind nicht Ende-zu-Ende-verschlüsselt und werden in einer Form gespeichert, die das Unternehmen lesen kann.

Laut den FAQ von SpaceXAI kann eine begrenzte Zahl befugter Beschäftigter Grok-Gespräche prüfen (um Modelle zu verbessern, Missbrauch zu untersuchen und rechtliche Pflichten zu erfüllen).

Der verschlüsselte Chat von X (XChat) speichert die privaten Schlüssel der Nutzer auf den Servern von X, verschlüsselt mit einer vierstelligen PIN, und Sicherheitsforscher und Kryptografen raten davon ab, ihm zu vertrauen, solange er nicht unabhängig geprüft ist.

X ist ein werbefinanziertes soziales Netzwerk, und sein Eigentümer SpaceXAI trainiert und betreibt außerdem die KI Grok mit öffentlichen Beiträgen und Interaktionsdaten von X-Nutzern.

Die Bildbearbeitung von Grok wurde in großem Umfang genutzt, um aus Fotos echter Menschen, darunter Frauen und in einigen Fällen Kinder, sexualisierte Bilder zu erzeugen, was zu Untersuchungen der Europäischen Kommission und der britischen Ofcom führte.

Mitte Januar 2026 erklärte X, es habe Grok auf X daran gehindert, Bilder echter Menschen so zu bearbeiten, dass sie freizügige Kleidung tragen, und sperre solche Erzeugungen per Geoblocking dort, wo sie illegal sind. Berichten zufolge waren die eigenständige Grok-App und -Website zunächst nicht erfasst. Beide Untersuchungen liefen bei der letzten Prüfung noch.

Forbes fand heraus, dass mehr als 370.000 Grok-Gespräche, die über den „Teilen“-Knopf geteilt worden waren, von Google und anderen Suchmaschinen indexiert wurden; Nutzer wurden nicht klar gewarnt, dass sie durch das Teilen öffentlich auffindbar wurden.

Durch einen Fehler in der Twitter-API, der im Januar 2022 behoben wurde, konnten Angreifer E-Mail-Adressen und Telefonnummern mit Konten verknüpfen; Twitter bestätigte, dass auf diese Weise Daten zu 5,4 Millionen Konten zusammengetragen wurden. Im Januar 2023 wurde eine Liste mit E-Mail-Adressen von über 200 Millionen Nutzern online veröffentlicht, die Forscher mit derselben Schwachstelle in Verbindung brachten, Twitter erklärte allerdings, es habe keine Hinweise darauf gefunden, dass die Daten aus der Ausnutzung seiner Systeme stammten.

Die irische Data Protection Commission leitete im Dezember 2022 eine Untersuchung zu den Datensätzen über 5,4 Millionen Nutzer ein.

Twitter behob den zugrunde liegenden API-Fehler im Januar 2022, die abgegriffenen Daten waren da aber bereits gesammelt.

Twitter stimmte einer Zivilstrafe von 150 Millionen Dollar zu, um Vorwürfe der FTC und des Justizministeriums beizulegen, es habe Telefonnummern und E-Mail-Adressen, die Menschen zur Kontosicherheit angegeben hatten, genutzt, um ihnen zielgerichtete Werbung zu zeigen.

Laut FTC lief die Praxis von 2013 bis 2019 und betraf mehr als 140 Millionen Nutzer. Der Vergleich war eine gerichtlich genehmigte Anordnung, die das Justizministerium im Namen der FTC einreichte; Twitter räumte kein Fehlverhalten ein.

X sammelt deine Beiträge, Direktnachrichten (bei unverschlüsselten Direktnachrichten einschließlich ihres Inhalts), Interaktionen und Gerätedaten; SpaceXAI sammelt deine Eingaben in Grok, hochgeladene Dateien und Kontoinformationen und nutzt öffentliche Beiträge und Interaktionsdaten von X. Die Unternehmen können als verbundene Unternehmen Daten miteinander teilen.

Grok bietet einen privaten Chatmodus, dessen Gespräche nicht für das Training genutzt und innerhalb von 30 Tagen gelöscht werden, sowie eine Einstellung „Improve the model“, mit der du dem Training widersprechen kannst.

2024 schaltete X standardmäßig eine Einstellung ein, die ihm erlaubte, öffentliche Beiträge zum Training von Grok zu nutzen. Die irische Data Protection Commission zog gegen X vor den High Court, und X stimmte zu, Beiträge von Nutzern aus der EU/dem EWR, die zwischen dem 7. Mai und dem 1. August 2024 gesammelt worden waren, nicht mehr für das Training von Grok zu verarbeiten; die Aufsichtsbehörde leitete im April 2025 eine förmliche DSGVO-Untersuchung der Praxis ein.

Du kannst ein Archiv deiner X-Daten herunterladen und dein Konto deaktivieren.

X veröffentlicht Transparenzberichte, auch zu Behördenanfragen, setzte sie allerdings nach 2022 aus, bevor es 2024 einen weltweiten Bericht veröffentlichte.

Als US-Unternehmen kann X nach US-Recht, einschließlich des CLOUD Act, gezwungen werden, Daten herauszugeben, über die es verfügt, egal wo sie gespeichert sind.