Privacy Layer
Sensible Daten bleiben sensibel – auch wenn ein externes Modell mitliest.
Sobald eine Antwort von einem extern betriebenen Sprachmodell bewertet wird, sieht dieses Modell die Abfrageergebnisse. Genau an dieser Stelle sitzt der Privacy Layer: Er entfernt besonders schützenswerte Inhalte, bevor sie das Haus verlassen – in Ihrer Infrastruktur, nicht beim Modellanbieter.
Die Stelle im Ablauf
Der Filter sitzt vor der Übermittlung, nicht danach.
In einem Betriebsmodus arbeitet Ihre Fachabteilung in einer externen KI-Anwendung, die über MCP angebunden ist. Deren Modell übernimmt das Reasoning – und muss dafür die Abfrageergebnisse sehen, weil es sie sonst nicht bewerten kann. Das ist keine Nebenwirkung, sondern die Funktionsweise dieses Modus.
Der Privacy Layer greift deshalb genau dort ein, wo das Ergebnis Ihre Infrastruktur verlassen würde. Die Datenbank liefert das vollständige Ergebnis an die Vermittlungsschicht in Ihrem Netz; erst danach wird gefiltert, und nur das gefilterte Ergebnis geht hinaus.
Was gefiltert wurde, hat das Unternehmen nicht verlassen – nicht gelöscht, nicht nachträglich anonymisiert, sondern nie übermittelt.
Der Unterschied ist wesentlich: Eine Löschzusage eines Anbieters ist eine vertragliche Aussage über Daten, die er bereits hat. Eine Filterung vor der Übermittlung ist eine technische Aussage über Daten, die er nie bekommen hat.
Umfang
Was der Privacy Layer aus einem Ergebnis entfernt.
Der Filter arbeitet auf dem semantischen Modell und nicht auf Spaltennamen: Ein Feld gilt als schützenswert, weil es fachlich so beschrieben ist – nicht, weil es zufällig „diagnose“ heißt.
Besondere Kategorien personenbezogener Daten
Angaben zu Gesundheit, Religion, Weltanschauung, Gewerkschaftszugehörigkeit, Herkunft, politischer Meinung, Sexualleben und biometrische Merkmale. Sie sind in der semantischen Schicht als solche gekennzeichnet und werden aus ausgehenden Ergebnissen entfernt.
Direkte Identifikatoren, wenn sie nicht gefragt waren
Namen, Anschriften, Geburtsdaten, Kunden- und Personalnummern. Eine Frage nach einer Anzahl oder einer Summe braucht sie nicht – sie werden deshalb nicht mit übermittelt.
Freitextfelder
Notizen, Bemerkungen und Kommentare enthalten regelmäßig Inhalte, die niemand dort erwartet. Freitext ist standardmäßig ausgeschlossen und wird nur dort freigegeben, wo Ihr Fachbereich das ausdrücklich entscheidet.
Zugangs- und Sicherheitsdaten
Passwort-Hashes, Token, Schlüssel und Sitzungsdaten sind für Auswertungen ohne Bedeutung und werden nicht ausgeliefert – unabhängig davon, in welchem Betriebsmodus gefragt wird.
Bezeichnungen schützenswerter Konzepte
Nicht nur Werte, auch Metadaten: Bei einem als schützenswert gekennzeichneten Konzept wird zusätzlich seine Bezeichnung maskiert, bevor ein Modell sie sieht – eine Spalte „diagnose_code“ oder ein Konzept „Konfession“ verrät die Kategorie schon im Namen. Kriterium bleibt die fachliche Kennzeichnung; maskiert wird auch der Name.
Die Liste der als schützenswert gekennzeichneten Felder ist Teil des semantischen Modells und damit lesbar. Sie ist eine fachliche Entscheidung Ihres Hauses, keine Voreinstellung eines Anbieters.
Abgrenzung
Vertragliche Zusage oder technische Grenze.
Beides kommt in Datenschutzkonzepten für KI vor. Sie leisten nicht dasselbe.
Klarstellung
Ein Filter ist kein Rechtsgutachten.
Der Privacy Layer ist eine technische Maßnahme zur Datenminimierung. Er ersetzt keine Rechtsgrundlage, keine Einwilligung, kein Verarbeitungsverzeichnis und keine Datenschutz-Folgenabschätzung – und diese Seite behauptet nicht, dass ein Einsatz mit ihm automatisch rechtmäßig ist.
Was er leistet, ist die Grundlage, auf der eine solche Bewertung überhaupt möglich wird: Es ist nachvollziehbar und protokolliert, welche Kategorien von Inhalten das Unternehmen verlassen und welche nicht. Ohne diese Nachvollziehbarkeit bleibt jede Bewertung eine Annahme.
Wenn Abfrageergebnisse Ihr Netz grundsätzlich nicht verlassen dürfen, ist nicht der Filter die Antwort, sondern der Betriebsmodus mit eigener Oberfläche. Dann sieht ein externes Modell nur die Beschreibung des semantischen Modells und kein einziges Ergebnis.
Beispiel
Dieselbe Frage, zwei Ergebnisse.
Schematische Darstellung. Links steht, was die Datenbank liefert; rechts, was in einem Modus mit externem Modell tatsächlich übermittelt wird.
Begriffe und Werte sind Beispiele. In Ihrem System stehen dort Ihre eigenen Fachbegriffe und Ihre eigenen Kennzeichnungen.
| Feld | Inhalt |
|---|---|
| Anzahl | 212 |
| Anforderungsart | Gesundheitsbezug |
| Namensliste | vorhanden |
| Feld | Inhalt |
|---|---|
| Anzahl | 212 |
| Anforderungsart | entfernt |
| Namensliste | entfernt |
- Grund
- Beide Felder sind im semantischen Modell als besondere Kategorie bzw. als direkter Identifikator gekennzeichnet.
- Protokoll
- Die Filterung steht mit Feld, Grund und Zeitpunkt im Protokoll der Abfrage.
Einrichtung
Wie festgelegt wird, was als sensibel gilt.
Die Kennzeichnung entsteht nicht durch Raten am Spaltennamen, sondern in drei Schritten – der letzte liegt bei Ihnen.
- 1
Vorschlag aus der Analyse
Bei der Analyse von Datenmodell und Sourcecode werden Felder vorgeschlagen, die nach Inhalt, Verwendung und Benennung schützenswert sein dürften. Das ist ein Vorschlag, keine Feststellung.
- 2
Freitext und Identifikatoren zuerst ausschließen
Freitextfelder und direkte Identifikatoren sind zu Beginn ausgeschlossen, nicht eingeschlossen. Eine Voreinstellung, bei der ein vergessenes Feld hinausgeht, wäre die falsche Richtung.
- 3
Fachliche Entscheidung im Haus
Ihr Fachbereich und Ihr Datenschutzbeauftragter bestätigen oder korrigieren die Kennzeichnung. Sie ist danach Teil des semantischen Modells, lesbar und versionierbar – und damit prüfbar, ohne dass jemand Sourcecode lesen muss.
Technische Randbedingungen
Wo der Filter läuft und was er hinterlässt.
- Ort
- In der Vermittlungsschicht in Ihrer Infrastruktur, zwischen Datenbank und ausgehender Verbindung.
- Wirkungsrichtung
- Ausschließlich auf ausgehende Inhalte. Eingehend erhält das Modell ohnehin keine Daten, sondern eine Frage.
- Protokollierung
- Jede Filterung wird mit Feld, Grund und Zeitpunkt protokolliert – die Maßnahme ist damit im Nachhinein belegbar.
- Verhalten bei Unklarheit
- Ist ein Feld nicht gekennzeichnet und nicht ausdrücklich freigegeben, geht es nicht hinaus.
- Gruppenschutz
- Bei gruppierten Auswertungen über schützenswerte Kategorien wird eine Mindestgruppengröße durchgesetzt. Der Geltungsbereich ist ausdrücklich die gruppierte Auswertung – nicht jede beliebig gefilterte Einzelkennzahl.
- Betriebsmodus ohne Übermittlung
- In der eigenen Oberfläche entsteht die Frage nach Filterung nicht, weil keine Abfrageergebnisse übermittelt werden.
- Stand
- Im Einsatz. Die Kennzeichnung der Felder wird in der Pilotphase gemeinsam mit Ihrem Fachbereich erarbeitet.
Häufige Fragen
Fehlt Ihnen eine Frage? Ausführliche Antworten zu Betrieb und Datenzugriff stehen auf der Sicherheitsseite.
- Wer legt fest, welche Felder als sensibel gelten?
Ihr Haus. Die Analyse liefert einen Vorschlag, die Entscheidung treffen Ihr Fachbereich und Ihr Datenschutzbeauftragter.
Das ist nicht nur eine Zuständigkeitsfrage: Ob ein Feld schützenswerte Inhalte enthält, hängt davon ab, was Ihre Anwender tatsächlich darin eintragen. Diese Kenntnis liegt im Haus und nicht bei einem Anbieter.
- Was passiert, wenn ein sensibles Feld für die Antwort nötig ist?
Dann wird die Antwort im Modus mit externem Modell nicht vollständig gegeben, und das wird benannt statt stillschweigend gekürzt. Eine Kennzahl, die aus einem gefilterten Feld gebildet wird, bleibt möglich – der Inhalt des Feldes geht dabei nicht hinaus, nur das Aggregat.
Wenn die Auswertung den Inhalt selbst braucht, ist der Betriebsmodus mit eigener Oberfläche der richtige Weg. Dort bleibt das Ergebnis im Haus, und es muss nichts gefiltert werden.
- Sind die übermittelten Daten damit anonym?
Nein, und das behauptet diese Seite nicht. Der Filter entfernt gekennzeichnete Felder aus einem Ergebnis – er bewertet nicht, ob der Rest in Verbindung mit anderem Wissen wieder einer Person zuzuordnen ist.
Eine Kennzahl über 212 Personen ist in der Regel unkritisch, eine Auswertung über drei Personen in einer benannten Filiale kann es nicht sein. Für gruppierte Auswertungen über schützenswerte Kategorien greift deshalb automatisch eine Mindestgruppengröße: Gruppen darunter werden nicht ausgeliefert, damit aus einer Verteilung keine Einzelperson wird.
Diese Schwelle ist eine technische Untergrenze, keine Unbedenklichkeitsaussage. Ob der Rest eines Ergebnisses in Verbindung mit anderem Wissen wieder einer Person zuzuordnen ist, bleibt eine fachliche und rechtliche Bewertung; die technische Maßnahme kann sie nicht ersetzen.
- Kann ein Anwender den Filter umgehen, indem er anders fragt?
Die Filterung hängt nicht an der Formulierung der Frage, sondern an der Kennzeichnung der Felder im semantischen Modell. Eine anders gestellte Frage führt zu einem anderen Abfrageplan, aber zu derselben Kennzeichnung.
Zusätzlich gilt die Rollenlogik: Was eine Rolle nicht sehen darf, wird nicht beantwortet – unabhängig davon, ob gefiltert würde. Beides sind Regeln in der Vermittlungsschicht und keine Anweisungen an ein Sprachmodell.
Sicherheit & Datenschutz
Dieselbe Prüfung aus den anderen Richtungen.
- Nowl
Betrieb & Zugriff
Die acht Fragen, die Ihre IT-Sicherheit ohnehin stellt – Datenzugriff, Rechte, ausgehende Daten, Protokollierung.
- Nowl
Datenbankzugriff
Warum das Sprachmodell keine Zugangsdaten erhält und die Grenze in der Architektur liegt.
- Nowl
Self-hosted
Welche Komponente wo läuft – und welcher Teil heute noch extern ist.
Verwandte Themen
Angrenzende Fragen, jeweils auf einer eigenen Seite beantwortet.
Claude mit Unternehmens
Was in Claude Desktop passiert, was der Anbieter dabei sieht und was im Haus bleibt.
MCP für Unternehmens
Warum ein MCP-Server für Unternehmensdaten mehr können muss, als eine Datenbank durchzureichen.
KI für Unternehmens
Welche Ansätze es gibt, KI auf eigene Unternehmensdaten zu bringen – und woran sie in der Praxis scheitern.
Wir gehen Ihre Felder einmal gemeinsam durch – danach wissen Sie, was in Ihrem Fall überhaupt hinausgehen müsste.