Unternehmens-Chatbot und Anonymisierung von Daten: Der Praxisleitfaden

Grundbegriffe

Anonymisierung, Pseudonymisierung und Maskierung unterscheiden

Wirksam anonymisierte Informationen lassen sich mit vernünftigerweise zu erwartenden Mitteln keiner Person mehr zuordnen. Die DSGVO gilt dann für diese anonymen Daten nicht. Diese Schwelle ist hoch: Auch Kombinationen aus scheinbar harmlosen Merkmalen können eine Re-Identifikation ermöglichen.

Pseudonymisierung ersetzt identifizierende Merkmale durch Kennungen, während zusätzliche Zuordnungsinformationen getrennt geschützt werden. Sie reduziert Risiken, hebt den Personenbezug jedoch nicht automatisch auf. Maskierung oder Redaction bezeichnet technische Verfahren, mit denen Felder verdeckt oder ersetzt werden; ob das Ergebnis anonym ist, hängt vom Gesamtkontext und der Re-Identifizierbarkeit ab.

Ein Name durch „Person A“ zu ersetzen, macht einen ausführlichen Falltext nicht automatisch anonym.

End-to-End Betrachtung

Wo ein Unternehmens-Chatbot Daten verarbeitet

Die Chatoberfläche ist nur der sichtbare Endpunkt. Schon vor dem Modellaufruf können Identität, Rolle, Eingabe und relevante Dokumentabschnitte zusammengeführt werden. Nach dem Modellaufruf entstehen Ausgabe, Telemetrie, Feedback und möglicherweise neue Einträge in Fachsystemen.

Eine Datenschutzanalyse muss deshalb die gesamte Kette abbilden. Wer nur den Modellanbieter prüft, übersieht oft Vektordatenbanken, Observability-Plattformen, Logspeicher, Caches oder externe Tools. Für jeden Datenslot werden Zweck, Rechtsgrundlage, Empfänger, Speicherort und Aufbewahrung definiert.

Privacy Engineering

Anonymisierung gehört vor den Modellaufruf

Wenn der Use Case keinen Personenbezug benötigt, sollte er vor der Modellverarbeitung entfernt werden. Eine Preprocessing-Schicht erkennt direkte und indirekte Identifikatoren, wendet Regeln pro Datenklasse an und dokumentiert, welche Transformation stattgefunden hat. Bei Bedarf können konsistente Platzhalter eingesetzt werden, damit Beziehungen im Text erhalten bleiben.

Nach der Ausgabe ist eine zweite Kontrolle sinnvoll. Sie schützt vor dem unbeabsichtigten Wiedergeben von Identifikatoren aus der Wissensbasis oder dem Modell. Dieser Output-Filter ersetzt jedoch nicht die Eingabeminimierung: Daten, die das Modell nicht benötigt, sollten es gar nicht erst erreichen.

Wissenszugriff

RAG, Embeddings und dokumentgenaue Berechtigungen

Ein RAG-System kann vertrauliche Informationen aus Dokumenten in den Prompt einfügen. Deshalb muss die Berechtigung vor der Übergabe an das LLM geprüft werden. Nutzeridentität, Gruppe, Mandant und Zweck können in den Retrieval-Filter einfließen. Die DSK nennt Mandantentrennung sowie Rollen- und Rechtekonzepte als etablierte Maßnahmen für RAG-Subsysteme.

Embeddings und Vektorspeicher sind ebenfalls Teil der Datenverarbeitung. Je nach Umsetzung können Vektoren zusammen mit Textabschnitten gespeichert sein oder Rückschlüsse auf Inhalte ermöglichen. Lösch- und Auskunftsprozesse müssen Referenzdokumente, Chunks, Embeddings, Caches und Indizes gemeinsam berücksichtigen.

Der Chatbot darf niemals mehr wissen, als die angemeldete Person im zugrunde liegenden Prozess wissen darf.

Informationssicherheit

Datenschutz allein macht den Chatbot nicht sicher

Das BSI beschreibt indirekte Prompt Injections als intrinsische Schwachstelle anwendungsintegrierter Sprachmodelle. Manipulierte Inhalte in Webseiten, E-Mails oder Dokumenten können versuchen, Systemanweisungen zu überschreiben oder Daten und Tools missbräuchlich zu verwenden.

Ein Enterprise-Chatbot benötigt daher getrennte Vertrauenszonen, minimale Tool-Rechte, Allowlists, Freigaben für kritische Aktionen und eine klare Trennung zwischen Daten und Instruktionen. Red Teaming prüft nicht nur beleidigende Ausgaben, sondern gezielt Datenexfiltration, Rollenüberschreitung und manipulierte Quellen.

Betriebsmodell

EU Cloud, Private Cloud oder On-Premises?

Der Betriebsort allein beantwortet nicht die Datenschutzfrage. Relevant sind alle Beteiligten und Verarbeitungsschritte: Modell, Embedding, Vektordatenbank, Logs, Supportzugriffe und Unterauftragnehmer. Ein EU-Hosting kann Datenflüsse vereinfachen, ersetzt aber weder Zweckbindung noch Zugriffsschutz.

On-Premises oder Private Cloud geben mehr Infrastrukturkontrolle, erhöhen jedoch Betriebsverantwortung und Anforderungen an Updates, Skalierung und Security. Eine hybride Architektur kann Datenklassen unterschiedlichen Modellen zuweisen: öffentliches Wissen an leistungsfähige Cloud-Modelle, sensible Prozesse an kontrolliert betriebene Modelle.

Umsetzung

Die Checkliste für einen sicheren Unternehmens-Chatbot

Ein KI- und Datenschutz-Workshop schafft zuerst Transparenz über Nutzer, Fragen, Quellen und Systemaktionen. Danach werden Datenklassen, Rechtsgrundlagen, Berechtigungen und Qualitätsziele in eine technische Zielarchitektur übersetzt. Ein begrenzter Pilot validiert Anonymisierung und Antwortqualität mit repräsentativen Daten.