KI nutzen, ohne Personendaten zu verschicken

Die Herausforderung

KI-Assistenten sind im Betrieb längst angekommen – meist schneller als die Frage, wohin die Daten dabei reisen. Jeder Prompt ist eine Datenverarbeitung, bei den großen Anbietern mit Zwischenstopp in den USA. „Wird nicht gespeichert“ hilft da wenig: Auch für eine Antwort, die nach Sekunden vergessen ist, verlassen die Daten die EU. Im Verarbeitungsverzeichnis stand davon nichts. Und zwischen Code und Konfiguration lag gelegentlich, was dort nichts verloren hat: E-Mail-Adressen, Kontonummern, ein Passwort im Klartext.

Was wir gebaut haben

• Eine Linie statt eines Verbots: Code und Infrastruktur dürfen zum US-Assistenten, Personen- und Gesundheitsdaten nicht. Solche Aufgaben gehen an EU- oder lokale Modelle über das eigene LLM-Gateway. Festgehalten in einer KI-Nutzungsrichtlinie, im Verarbeitungsverzeichnis und in Vorlagen für Transfer-Folgenabschätzung und DSFA – ohne neuen Cloud-Vertrag.
• Leitplanken an jedem Prompt: Bevor eine Eingabe das Haus verlässt, prüfen Filter sie auf Sozialversicherungs- und Kontonummern, Schlüssel und Gesundheitsbegriffe. Harte Treffer werden geblockt, weiche lassen sich bewusst freigeben. Ein zweiter Wächter hält den Assistenten davon ab, selbst Personaltabellen oder den Passwort-Tresor abzufragen.
• Maskiert statt gesperrt: Wo der Assistent Daten aus Suche, Datenbank oder Dateien zieht, ersetzt ein Pseudonymisierungsdienst Namen und Nummern durch Platzhalter – überall dieselben, damit „Person 1“ in jeder Quelle dieselbe Person bleibt.
• Ein Maskierer für alle: Mitarbeitende geben Text, CSV oder JSON in ein internes Web-Werkzeug, sehen in einer Pflicht-Vorschau, was erkannt wurde, und bekommen die Rückübersetzung als verschlüsselte Schlüsseldatei. Der Server vergisst die Zuordnung, ausgehende Verbindungen sind gesperrt.
• Ein Protokoll, das man nicht frisiert: Jede Prüfung landet hashverkettet im zentralen Log – mit Kategorie, ohne Rohwert. Nachts sucht ein Rückblick-Scan, was trotzdem durchgerutscht ist.
• Schlüssel statt Generalschlüssel: Der KI-Assistent einer Fachabteilung liest ERP-Daten nur über eigene Schnittstellen mit Token und einer Liste erlaubter Methoden. Schreiben darf er genau dort, wo es freigegeben ist.

Was es bringt

Ein Selbsttest mit 23 erfundenen Fällen weist die Wirksamkeit nach, wie Art. 32 DSGVO es verlangt – derzeit ohne Fehlgriff in beide Richtungen. Der Maskierer erwischt alle 18 Personendaten seines Testkorpus, in unter 20 Millisekunden. Die Grenzen stehen dabei im Klartext: Was jemand selbst in den Prompt tippt, kann der Filter anhalten, aber nicht umschreiben. Namen erkennt nur ein Sprachmodell, kein Muster – Gesundheitsdaten bleiben deshalb ganz bei EU- oder lokalen Modellen. Nebenbei schreiben die KI-Sitzungen ihre Lehren in ein gemeinsames Gedächtnis, das Zugangsdaten beim Speichern selbst schwärzt.

Für wen das passt

Geschäftsführungen und Datenschutzbeauftragte, deren Teams KI-Assistenten schon nutzen oder bald nutzen wollen – und die lieber eine prüfbare Linie hätten als ein Verbot, das niemand einhält. Kein neuer Cloud-Vertrag, kein Abschied vom gewohnten Werkzeug. Dafür eine Antwort, wenn das nächste Audit fragt, wohin die Prompts eigentlich gehen.