KI nutzen, ohne Daten preiszugeben

Mal eben einen Text zusammenfassen lassen, eine E-Mail formulieren oder eine Idee weiterentwickeln – generative KI gehört für viele Menschen inzwischen zum Alltag. Doch wer dabei vertrauliche Informationen eingibt, gibt sie automatisch an die großen US-amerikanischen Technologiekonzerne weiter. Ein Forschungsteam der FernUniversität in Hagen hat deshalb einen Prototyp entwickelt, der sensible Inhalte automatisch erkennt und entfernt, bevor sie an ein KI-Sprachmodell gesendet werden.

Entwickelt haben das sogenannte Privacy Gateway Pascal Tippe und Michael Maximilian Grötzner am Informatik-Lehrstuhl Parallelität und VLSI der FernUni (Prof. Dr. Jörg Keller). Tippe, Doktorand am Lehrstuhl, und Masterstudent Grötzner sind gleichberechtigte Autoren der Studie. Grötzner hat die Studie außerdem auf dem internationalen Privacy Enhancing Technologies Symposium (PETS) präsentiert.

Datenschutz endet nicht bei Namen und Adressen

Viele Menschen achten bereits darauf, keine Namen oder Telefonnummern in Anfragen an KI-Systeme einzutippen. Das reicht jedoch oft nicht aus. Denn nicht nur einzelne Angaben verraten etwas über eine Person. Häufig genügt schon die Kombination scheinbar harmloser Details, um Rückschlüsse auf ihre Identität zuzulassen. „Diese Kombination ist eben nicht so leicht zu verfremden oder zu bereinigen“, erklärt Pascal Tippe. „Gerade wenn Menschen schnell mit einem Sprachmodell arbeiten, erkennen sie oft gar nicht, welche Informationen zusammengenommen Rückschlüsse auf ihre Identität zulassen.“

Aus vielen einzelnen Angaben können mit der Zeit persönliche Profile entstehen – etwa zu Interessen, Gewohnheiten oder politischen Ansichten. „Gelangen diese Daten in falsche Hände, zum Beispiel durch einen Hackerangriff auf die KI-Systeme, können sie missbraucht werden“, warnt Tippe. „Außerdem betreffen viele Eingaben nicht nur die eigene Person, sondern auch Kolleginnen und Kollegen, Kundinnen und Kunden oder Familienmitglieder, die einer Weitergabe ihrer Daten nie zugestimmt haben.“

Besonders in Unternehmen kann das weitreichende Folgen haben. Mitarbeitende jonglieren täglich mit Kundendaten, internen Dokumenten oder Geschäftsgeheimnissen. Werden solche Inhalte an externe KI-Anbieter übermittelt, kann dies gegen Datenschutzvorgaben verstoßen oder vertrauliches Unternehmenswissen preisgeben. Ein vollständiges Verbot generativer KI halten die Forschenden dennoch nicht für den richtigen Weg. „Die eine Lösung wäre zu sagen: Dann benutzen wir es halt gar nicht und verbieten es“, sagt Tippe. „Das hätte aber extreme Produktivitätseinbußen. Und Leute tendieren dazu, es dann so oder so zu benutzen, egal, ob es erlaubt ist oder nicht.“

Ein Dolmetscher zwischen Mensch und KI

Genau hier setzt das Privacy Gateway an. Der Prototyp arbeitet wie ein intelligenter Vermittler zwischen Nutzenden und dem Sprachmodell. Bevor eine Anfrage an einen externen KI-Dienst gesendet wird, prüft das System den gesamten Text auf sensible Informationen. Anders als bisherige Datenschutzfilter sucht es dabei nicht nur nach offensichtlichen Angaben wie Namen, Adressen oder Kreditkartennummern. Es bewertet den gesamten Zusammenhang einer Anfrage und erkennt auch Informationen, die erst im Zusammenspiel Rückschlüsse auf Personen oder Unternehmen zulassen.

„Wer beispielsweise von einer Reise erzählt, den Abflughafen nennt, den Reisezeitraum beschreibt und nebenbei noch den eigenen Beruf oder besondere Hobbys erwähnt, liefert bereits genügend Informationen, um identifiziert zu werden“, warnt Tippe. „Solche indirekten Hinweise kann das Privacy Gateway erkennen und verallgemeinern, ohne dass der eigentliche Sinn der Anfrage verloren geht.“

Hinter dem Privacy Gateway steckt deshalb mehr als ein technischer Filter. Die Forschenden haben die Vorgaben der Datenschutz-Grundverordnung und den Schutz von Geschäftsgeheimnissen in ein Regelwerk übersetzt, das ein Sprachmodell anwenden kann. „Wir haben ein Codebook erstellt“, erklärt Tippe. „Darin haben wir die rechtlichen Definitionen der Datenschutz-Grundverordnung, also Artikel 4 und Artikel 9 zu personenbezogenen Daten, sowie das deutsche Geschäftsgeheimnis in eine Menge an Anweisungen übersetzt.“ Dadurch könne das System nicht nur erkennen, dass sensible Informationen enthalten sind, sondern auch begründen, warum sie geschützt werden müssen, bevor die Anfrage an ein externes KI-System weitergeleitet wird.

„Wir haben festgestellt, dass dieses Sprachmodell Dinge sehr, sehr gut klassifizieren und sanitarisieren, also unkenntlich machen kann“, sagt Tippe. „Es erkennt im Text, wo personenbezogene Daten sind, und kann das entsprechend begründen.“ Damit unterscheidet sich der Ansatz von herkömmlichen Filtern, die vor allem nach einzelnen Begriffen oder Zahlenfolgen suchen und diese schwärzen.

Datenschutz und KI zusammendenken

Den Prototyp überprüften Tippe und Grötzner anhand eines umfangreichen Datensatzes mit unterschiedlichen Alltagsszenarien und sensiblen Anwendungsfällen. Dabei untersuchten sie nicht nur, wie zuverlässig vertrauliche Informationen erkannt und anonymisiert werden, sondern auch, welchen Einfluss dies auf die Qualität der Antworten hat. Die Ergebnisse zeigen, dass sich sensible Informationen in vielen, aber eben nicht allen Fällen wirksam entfernen lassen, ohne dass die Qualität der KI-Antworten deutlich leidet.

„Bei den meisten Anfragekategorien haben wir gesehen, dass die wichtigsten Informationen erhalten bleiben und das Ganze noch relativ gut benutzbar ist“, sagt Tippe. Gleichzeitig zeige die Untersuchung aber auch Grenzen auf: „Bei Prompts, die extrem viele personenbezogene Daten enthalten, beispielsweise bei umfangreichen medizinischen Diagnosen, die man gerne mal mit der KI bespricht, geht relativ viel verloren, was wichtig sein könnte.“ Damit macht die Studie deutlich, dass Datenschutz und Nutzbarkeit nicht immer vollständig miteinander vereinbar sind.

Noch ist das Privacy Gateway ein Forschungsprototyp. Perspektivisch könnte eine solche Lösung jedoch direkt in Unternehmen betrieben werden. Sensible Informationen würden dann bereits auf den eigenen Servern geprüft und anonymisiert, bevor sie überhaupt an externe KI-Anbieter gelangen. „Wenn in Zukunft leistungsfähige Sprachmodelle lokal betrieben werden können, wäre das ein realistischer Anwendungsfall“, sagt Tippe.

Mit ihrer Forschung zeigen Pascal Tippe und Michael Maximilian Grötzner, wie sich Datenschutz und generative KI besser miteinander verbinden lassen. Statt Menschen vor die Wahl zwischen Datensicherheit und den Möglichkeiten moderner KI zu stellen, verfolgt ihr Ansatz das Ziel, beides zusammenzudenken: die Potenziale leistungsfähiger Sprachmodelle zu nutzen, ohne dabei sensible Informationen aus der Hand zu geben.