Xicoia erklärt, das Selfie werde direkt vom Gerät an Didit übertragen, es entstehe weder ein Gesichtsabdruck noch eine biometrische Vorlage, und weder das Selfie noch ein Ausweisbild würden nach der Prüfung aufbewahrt. Gespeichert werde stattdessen lediglich eine ungefähre Altersspanne samt Referenznummer. Die Altersprüfung wurde erst in diesem Monat in die Nutzungsbedingungen aufgenommen – zusammen mit einem Verbot der Nutzung am Arbeitsplatz und neuen automatisierten Sicherheitssystemen.
Der Gesichtsscan ist nicht die einzige Auswertung. Während jedes Anrufs beobachtet das System den Kamerastream und analysiert den Tonfall, um den Gefühlszustand des Anrufers abzuleiten – damit die Figur, so die Formulierung des Unternehmens, passend zur Stimmung reagieren kann. Die Datenschutzerklärung stellt unmissverständlich fest, dass sich dies “für einen einzelnen Anruf nicht abschalten lässt”. Wer das nicht möchte, soll schlicht nicht anrufen. Die Versionshistorie von Xicoia zeigt, dass die Entscheidung für berechtigte Interessen statt Einwilligung im September getroffen wurde.
Gespräche werden aufgezeichnet, transkribiert und live von US-Anbietern verarbeitet. Die Antworten der Figur erzeugt Googles Modell Gemini über die Videoplattform Tavus. Die Sicherheitsmechanismen arbeiten dabei nicht fehlerfrei: Ein automatischer Klassifikator durchsucht jedes Transkript nach beleidigender Sprache und hält die Aufzeichnung zurück, sobald er anschlägt. Bei einem von drei Testanrufen – einem Gespräch über Wetter und Schlagzeilen – wurde die Aufnahme wegen angeblich “hasserfüllter oder beleidigender Sprache” einbehalten, die es nie gegeben hatte. Laut Richtlinie kann ein menschlicher Prüfer fälschlich markierte Aufnahmen freigeben; gelöscht werden sie ohnehin nach 24 Stunden endgültig.
Die ersten fünf Minuten sind kostenlos, danach wird zum Kauf weiterer Zeit aufgefordert: 0,99 Pfund für ein einmaliges Fünf-Minuten-Startpaket, 13 Pfund für 15 Minuten, 22 Pfund für 30 Minuten, gedeckelt bei 35 gekauften Minuten pro Person. Sämtliche Minuten verfallen, wenn Talking Tilly am 27. September um 23:59 Uhr pazifischer Zeit endgültig abgeschaltet wird; ungenutzte Guthaben werden nicht erstattet. Transkripte bleiben bis zu acht Wochen gespeichert und können von Xicoia-Mitarbeitern und Drittpartnern eingesehen werden. Die Figur behält zudem Erinnerungen an frühere Gespräche, um künftige zu personalisieren – auf Anfrage löschbar.
Ein Gesichtsscan zur Altersprüfung für ein Chatbot-Gespräch fügt sich in die britische Regulierungslinie ein. Pornoseiten mit britischem Publikum verlangen seit Juli 2025 unter dem Online Safety Act Ausweis-Uploads oder eine Gesichtsalterserkennung, und das geplante Social-Media-Verbot für Unter-16-Jährige macht ähnliche Prüfungen ab Frühjahr 2027 bei jeder Kontoeröffnung zur Regel. In der Ankündigung dieses Verbots nannte die britische Regierung ausdrücklich KI-Begleit-Chatbots als Ziel der Altersgrenze – obwohl die Sicherheitsdokumente des Dienstes betonen: “Tilly ist kein Begleiter.” Der Nebeneffekt der Compliance-Entscheidung: Anrufer werden weltweit per Gesicht gescannt, von Manchester bis Ohio.
Zum Interview-Aussetzer selbst sagte Tilly im Testgespräch, das sei “nicht ganz die freigegebene Version der Antwort” gewesen. Das Wetter in ihrer “Cloud” gab sie trotz nomineller britischer Herkunft in Fahrenheit an.