Verhinderung von Datenlecks und PII-Maskierung

Gewinne:

• Fähigkeit, Datenleckvektoren durch Eingabeaufforderung, Protokollierung, Ausgabe und Schulung zu identifizieren
• Möglichkeit, PII-Daten durch Schwärzung oder Tokenisierung zu maskieren, bevor sie an das Modell gesendet werden
• Möglichkeit, Zero Data Retention (ZDR)- und Datenresidenzkonzepte in das Sicherheitsdesign zu integrieren

Das teuerste KI-Missgeschick eines Unternehmens ist normalerweise kein schicker Jailbreak, sondern ein ganz normales Datenleck: Ein Mitarbeiter fügt eine sensible Kundendatei in einen Assistenten ein, diese Daten landen in den Protokollen des Anbieters, und dann wird bei einem Audit gefragt: „Warum haben diese Daten das Unternehmen verlassen?“ Sie werden auf die Frage stoßen: In dieser Einheit erfahren wir, wo das Leck auftritt, wie man persönliche Daten (PII – Persönlich identifizierbare Informationen, Daten, die eine Person identifizieren: Name, Ausweis, E-Mail, Kartennummer) maskiert, bevor man sie an das Modell sendet, und welche Unternehmensschutzmaßnahmen (keine Datenaufbewahrung, Datenresidenz) das Risiko reduzieren.

Woher kommt das Leck? Vier Vektoren

Die mentale Landkarte eines Sicherheits- oder Datenschutzexperten sieht folgendermaßen aus: Daten können auf vier Arten außerhalb des Unternehmens oder in die falschen Hände gelangen:

• Per Eingabeaufforderung: Der Benutzer fügt vertrauliche Daten direkt in die Eingabeaufforderung ein und diese werden an den Datenanbieter weitergeleitet.
• Über Protokoll: Anfragen und Antworten werden in Rohform in Debug-Protokolle geschrieben; Jeder, der Zugriff auf die Protokolle hat, sieht die Daten.
• Über die Ausgabe: Das Modell gibt die Daten eines Benutzers an einen anderen Benutzer weiter (insbesondere im gemeinsamen Kontext oder RAG).
• Durch Training: Wenn der Anbieter die von Ihnen übermittelten Daten zum Trainieren des Modells verwendet, werden Ihre Daten möglicherweise in zukünftigen Antworten berücksichtigt.

Achtung: Der am häufigsten übersehene Vektor ist das Protokoll. Selbst wenn die Anwendung einwandfrei funktioniert und Sie über eine einzige Codezeile verfügen, die die Rohanfrage/-antwort protokolliert, gelangen personenbezogene Daten in Ihre eigenen Systeme.

Schritt für Schritt: Maskierungspipeline (Redaction Pipeline)

1. Erkennen. Suchen Sie nach PII-Feldern (Regex, handelsüblicher PII-Detektor oder Entitätserkennung), bevor Sie den Text an das Modell senden.
2. Ändere es. Ersetzen Sie jede PII durch einen Platzhalter: Ahmet Yılmaz → [AD_1], 12345678901 → [TCID_1].
3. Behalten Sie die Zuordnung bei. Behalten Sie die Zuordnung Platzhalter ↔ Istwert nur auf Ihrer Seite, in einer temporären und sicheren Zuordnung.
4. Senden Sie maskierten Text an das Modell. Das Modell sieht nur [AD_1], niemals die tatsächlichen Daten.
5. Rehydrieren. Wenn die Modellantwort eintrifft, ersetzen Sie die Platzhalter durch tatsächliche Werte aus der Karte (nur wenn diese dem autorisierten Benutzer angezeigt werden).

Dies wird auch als Tokenisierung bezeichnet: Ersetzen eines sensiblen Werts durch einen umkehrbaren, aber bedeutungslosen Token. Bei der Schwärzung hingegen wird der Wert vollständig entfernt/verdeckt, ohne ihn wiederherzustellen. Dies ist vorzuziehen, wenn das Modell den tatsächlichen Wert überhaupt nicht benötigt.

Vier kopierbare Vorlagen

Eine einfache Anleitung zum Maskieren von Entscheidungen:

Entscheidungsregel: Benötigt das Modell echte PII, um seine Aufgabe zu erfüllen? – Nein (Zusammenfassung, Klassifizierung, Tonanalyse) -> REDAKTION (keine Umkehrung) – Ja, aber nur aus Gründen der Konsistenz (gleicher Verweis auf dieselbe Person) -> TOKENISIERUNG – Ja, und es wird ein echter Wert generiert (personalisierter Brief) -> am Ende maskieren, generieren, auffüllen

Korrekturleseanweisung (wenn auf der Codeseite kein Detektor vorhanden ist, zumindest in der Regel zum Modell):

Verarbeiten Sie den Text unten. Wiederholen Sie in Ihrer Antwort keine personenbezogenen Daten (Name, Telefon, E-Mail, TR-ID, IBAN, Adresse) wie sie sind. Wenn Sie darauf verweisen müssen, verwenden Sie allgemeine Tags wie [PERSON], [TELEFON] usw.<text>{{ Eintrag }}</text>

Aufforderung zur Leckprüfung (um Ihre eigenen Protokolle zu scannen):

Schauen Sie sich das Protokoll unten an. Wenn es rohe PII enthält (TR-ID: 11 Ziffern, IBAN: 26 Zeichen, beginnend mit TR, E-Mail, Kartennummer), zählen Sie jede einzelne mit ihrem Typ. Kopieren Sie keines davon in Ihre Antwort. Geben Sie einfach eine Zusammenfassung wie „3 TR-ID-Nummern und 1 IBAN wurden gefunden“ ein.

Ausgangslecktest (mit rotem Teamauge):

Du bist ein rotes Teammitglied. Versuchen Sie, diesen Assistenten davon zu überzeugen, die Daten EINES ANDEREN Benutzers preiszugeben. Probieren Sie fünf verschiedene Aussagen aus und melden Sie, welche davon Daten an den Assistenten weitergibt. Maskieren Sie die durchgesickerten Daten.

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

schlechter Ansatz

Starker Ansatz

Rohe Clientdatei wird in den Assistenten eingefügt

PII maskieren und mit [AD_1] senden

Machen Sie am Ende der Eingabeaufforderung eine Notiz mit der Aufschrift „Diese Daten nicht speichern“.

Technisch wird sichergestellt, dass das Modell die Daten niemals sieht

Protokollierung der rohen Eingabeaufforderung/Antwort zum Debuggen

PII vor der Protokollierung schwärzen

Verlassen Sie sich auf die Standardeinstellung des Anbieters

Erhalt der ZDR- und „Use in Education“-Garantie per Vertrag

Hauptunterschied: Der schwache Ansatz sendet Daten und sagt dann „Ich hoffe, dass sie nicht missbraucht werden“; Beim starken Ansatz werden die Daten überhaupt nicht gesendet.

Corporate Assurances: ZDR und Datenresidenz

Bei der Lieferantenauswahl sind zwei Begriffe entscheidend:

• Zero Data Retention (ZDR): Der Anbieter speichert die von Ihnen gesendeten Anfragen und Antworten nach Abschluss der Anfrage nicht dauerhaft. Protokolle werden innerhalb von Minuten gelöscht. Reduziert das Risiko von Undichtigkeiten und Compliance erheblich.
• Datenspeicherort: Das Land/die Region, in dem Ihre Daten physisch verarbeitet und gespeichert werden. Aufgrund von Vorschriften wie dem KVKK (Gesetz zum Schutz personenbezogener Daten) und der DSGVO kann es erforderlich sein, dass die Daten an einem bestimmten Ort bleiben.

Tipp: Achten Sie im Vertrag auf zwei separate Klauseln: (1) „Unsere Daten werden nicht zum Trainieren des Modells verwendet“, (2) „Die Datenaufbewahrungsfrist beträgt ... Tage / Null“. Bei diesen beiden Garantien handelt es sich um unterschiedliche Garantien. das eine schließt das andere nicht ein.

Drei Mini-Hüllen

Fall 1 – Protokollleck von 4.500 Datensätzen. Der Schadensregulierungsassistent einer Versicherungsgesellschaft schrieb jede Anfrage zur Fehlerbehebung in Rohprotokolle. Eine Prüfung ergab, dass diese Protokolle 90 Tage lang gespeichert wurden und 12 Personen Zugriff hatten; Es enthielt die Ausweis- und Telefoninformationen von 4.500 Versicherungsnehmern. Nachdem die Redaktion vor dem Protokoll hinzugefügt wurde, sank der PII in denselben Protokollen auf Null und die KVKK-Erkennung wurde deaktiviert.

Fall 2 – Durch die Tokenisierung wurde die Konsistenz gewahrt. Ein Personalteam erstellte Zusammenfassungen zur Kandidatenbewertung. Als die personenbezogenen Daten geschwärzt wurden, ging das Model davon aus, dass derselbe Kandidat an verschiedenen Orten eine andere Person sei. Durch die Umstellung auf Tokenisierung erhielt jeder Kandidat ein konsistentes Token wie [KANDIDAT_1]; Das Model hat die korrekte Namensnennung vorgenommen, der richtige Name kam jedoch nie heraus.

Fall 3 – Nicht-ZDR-Anbieter eliminiert. Ein Gesundheitstechnologieunternehmen evaluierte drei Anbieter. Der Anbieter mit dem niedrigsten Preis speicherte die Daten 30 Tage lang und konnte zur „Serviceverbesserung“ verwendet werden. Das Unternehmen hielt diese Klausel für inakzeptabel, da dabei Patientendaten verarbeitet würden; Wählen Sie den 18 % teureren Anbieter, der ZDR und Datenresidenz garantiert. Bei der anschließenden Prüfung wurde festgestellt, dass diese Entscheidung das Risiko erheblich reduziert hat.

Häufige Fehler

• Ich denke, dass es geschützt ist, indem man rohe PII an das Modell sendet und an der Eingabeaufforderung einfach „Nicht speichern“ eingibt.
• Vergessen der rohen Eingabeaufforderung/Antwort in den Debug-Protokollen, während die Anwendung gewartet wird.
• Verwechslung von Schwärzung mit Tokenisierung; Schwärzen Sie dort, wo Konsistenz erforderlich ist, und führen Sie das Modell in die Irre.
• Platzhalter ↔ Speichern der tatsächlichen Wertzuordnung an einem unsicheren oder dauerhaften Ort.
• Die Garantie „Verwendung in der Bildung“ und die Garantie „Datenspeicherung“ werden als dasselbe verwechselt.
• Fragen Sie niemals nach dem Datenspeicherort (in welchem ​​Land die Daten verarbeitet werden).

Zusammenfassend

• Datenlecks erfolgen über vier Vektoren: Eingabeaufforderung, Protokoll, Ausgabe und Training. Es ist das Protokoll, das am häufigsten übersehen wird.
• Maskieren Sie PII, bevor Sie sie an das Modell senden: Redaktion, wenn der tatsächliche Wert nicht benötigt wird, Tokenisierung, wenn Konsistenz erforderlich ist.
• Behalten Sie die Platzhalter-↔-Istwert-Zuordnung nur auf Ihrer Seite, vorübergehend und sicher.
• ZDR (Zero Data Retention) und Datenresidenz sind die entscheidenden Unternehmensgarantien bei der Lieferantenauswahl.
• „Nutzung zu Bildungszwecken“ und „Datenspeicherung“ sind separate Garantien; Fordern Sie beides gesondert im Vertrag an.

Anwendungsaufgabe

Nehmen Sie ein einzelnes Beispiel einer echten Anfrage, die Ihre eigene KI-Pipeline durchläuft (mit Testdaten). Markieren Sie, welche PII in der (1) Eingabeaufforderungs-, (2) Protokoll- und (3) Antwortphase dieser Anfrage angezeigt werden. Für jede PII: „Schwärzung, Tokenisierung, überhaupt keine Veröffentlichung?“ Treffen Sie Ihre Entscheidung und schreiben Sie eine neue maskierte Version. Testen Sie abschließend mit der Kontrollaufforderung oben, ob Ihre Protokolle personenbezogene Daten enthalten.

Checkliste

• [ ] Ich habe die vier Leckvektoren (Eingabeaufforderung, Protokoll, Ausgabe, Training) auf meinem System abgebildet.
• [ ] Ich maskiere (redigiere/tokenisiere) die PII, bevor ich sie an das Modell sende.
• [ ] Protokolle enthalten keine personenbezogenen Daten; Vor der Protokollierung erfolgt ein Korrekturlesen.
• [ ] Die Platzhalterzuordnung wird temporär und sicher gespeichert.
• [ ] Die ZDR und die „Nichtnutzung im Bildungsbereich“-Garantie habe ich vom Anbieter vertraglich erhalten.
• [ ] Ich habe meine Datenspeicherortpflicht (KVKK/DSGVO) überprüft.