Privacy Gateway: Neue Schutzschicht soll sensible Daten vor Cloud-KI abfangen

Unternehmen wollen generative KI nutzen, ohne Kundendaten, personenbezogene Informationen oder Geschäftsgeheimnisse unkontrolliert an externe KI-Anbieter zu übertragen. Forschende der FernUniversität in Hagen haben dafür einen neuen Ansatz entwickelt: Ein sogenanntes Privacy Gateway soll Eingaben semantisch prüfen und sensible Informationen entfernen oder verallgemeinern, bevor der Prompt ein externes Sprachmodell erreicht. Noch ist die Technik allerdings ein Forschungsprototyp.

Mehr als Namen und Telefonnummern herausfiltern

Klassische Datenschutzfilter suchen typischerweise nach eindeutig erkennbaren Informationen wie Namen, Telefonnummern, Kreditkartennummern oder E-Mail-Adressen. Das reicht bei generativer KI jedoch nicht immer aus.

Denn auch eine Kombination zunächst unscheinbarer Angaben kann eine Person, ein Unternehmen oder ein vertrauliches Projekt identifizierbar machen. Genau dieses sogenannte „Semantic Leakage“ wollen Michael Maximilian Grötzner und Pascal Tippe von der FernUniversität in Hagen mit ihrem Privacy Gateway adressieren.

Das Gateway sitzt konzeptionell zwischen Anwender und externem KI-Dienst. Es analysiert den vollständigen Kontext einer Anfrage und soll sensible Informationen je nach Situation entfernen, ersetzen oder verallgemeinern. Erst die bereinigte Version würde anschließend beispielsweise an ChatGPT, Claude, Gemini oder einen anderen Cloud-KI-Dienst übertragen. Der Ansatz ist damit grundsätzlich nicht an einen bestimmten Anbieter gebunden.

Semantischer Filter schlägt klassische Mustererkennung

In der Studie verglichen die Forschenden ihren LLM-basierten Ansatz unter anderem mit Microsoft Presidio, einem etablierten Werkzeug zur Erkennung und Anonymisierung personenbezogener Daten.

Besonders deutlich wurde der Unterschied bei Informationen, deren Sensibilität sich erst aus dem Kontext ergibt. Bei sogenannten semantischen Geschäftsgeheimnissen erreichte das Privacy Gateway laut Studie eine Bereinigungsrate von 89,9 Prozent. Presidio kam in diesem Testszenario auf 3,1 Prozent. Bei einzeln erkennbaren Geschäftsgeheimnissen lagen die Werte bei 97,6 beziehungsweise 28,8 Prozent.

Für Unternehmen ist genau dieser Unterschied relevant. Projektnamen, interne Kennungen, technische Details oder Informationen über Kundenbeziehungen entsprechen häufig keinem standardisierten Muster. Ein klassischer Regex- oder Named-Entity-Recognition-Filter kann solche Zusammenhänge daher übersehen.

Der Forschungsansatz versucht stattdessen zu beurteilen, welche Rückschlüsse ein informierter Dritter aus der gesamten Eingabe ziehen könnte. Das zugrunde liegende Regelwerk orientiert sich dabei unter anderem an Definitionen der DSGVO und am Schutz von Geschäftsgeheimnissen. Das bedeutet allerdings nicht, dass der Einsatz eines solchen Gateways automatisch eine DSGVO-konforme Verarbeitung garantiert.

Der lokale Betrieb ist noch die größte Hürde

Der Ansatz hat derzeit einen entscheidenden Haken: Die für eine zuverlässige semantische Analyse benötigte Modellleistung lässt sich im Versuch noch nicht überzeugend mit kleineren lokalen Sprachmodellen bereitstellen.

Die Forschenden testeten verschiedene quantisierte Gemma-Modelle mit weniger als 20 Milliarden Parametern auf einer Nvidia GeForce RTX 3060 mit 12 GB VRAM. Für die komplexe semantische Erkennung reichte deren Leistungsfähigkeit nach Angaben der Autoren nicht aus. Für die eigentliche Validierung der Architektur kam deshalb Gemini 2.5 Pro als leistungsfähiges Referenzmodell zum Einsatz, das einen entsprechend starken lokalen Schutzmechanismus simulieren sollte.

Damit ist ein wichtiges Versprechen der Architektur – sensible Daten vollständig innerhalb der eigenen Vertrauenszone zu analysieren – bislang eher Zielbild als sofort einsetzbare Lösung.

Auch die Latenz spielt eine Rolle. Im Versuch lag sie bei Standardanfragen im Mittel bei rund 11,9 Sekunden, bei komplexeren Stresstests bei rund 22,8 Sekunden. Für interaktive KI-Anwendungen mit hohen Anforderungen an die Antwortzeit wäre das derzeit ein erheblicher Nachteil.

Datenschutz kann die Qualität der KI-Antwort beeinflussen

Hinzu kommt ein grundsätzliches Problem: Manche Informationen sind zugleich vertraulich und für die Lösung einer Aufgabe notwendig.

Das zeigt sich beispielsweise bei technischem Support. Ein spezifischer Produktname, eine interne Systembezeichnung oder ein konkreter Fehlercode kann ein Geschäftsgeheimnis darstellen – gleichzeitig benötigt das Sprachmodell genau diese Information möglicherweise, um eine brauchbare Antwort zu liefern.

Die Autoren sprechen in diesem Zusammenhang vom „Semantic Coupling Limit“. In bestimmten Situationen lassen sich maximale Vertraulichkeit und maximale Nutzbarkeit nicht gleichzeitig erreichen.

Was IT-Entscheider daraus mitnehmen können

Das Privacy Gateway ist noch kein fertiges Enterprise-Produkt. Der Forschungsansatz zeigt aber, wohin sich Schutzmechanismen für generative KI entwickeln könnten.

Bisher konzentrieren sich viele Unternehmen auf Zugriffsregeln, freigegebene KI-Dienste, Data Loss Prevention und die Schulung von Mitarbeitern. Eine zusätzliche semantische Kontrollschicht könnte diese Maßnahmen künftig ergänzen und Prompts unmittelbar vor der Übertragung an einen Cloud-KI-Anbieter bewerten.

Für CIOs und CISOs wäre das vor allem dort interessant, wo leistungsfähige externe Modelle genutzt werden sollen, gleichzeitig aber sensible Unternehmensinformationen die eigene Infrastruktur möglichst nicht verlassen dürfen.

Die Herausforderung verschiebt sich damit: Es reicht langfristig möglicherweise nicht, nur bekannte Datentypen zu erkennen. Unternehmen müssen auch kontrollieren können, welche Informationen sich aus dem Kontext einer KI-Anfrage ableiten lassen.

Fazit

Das Privacy Gateway zeigt einen vielversprechenden Weg für den sicheren Einsatz externer KI-Modelle: Statt sensible Daten erst beim Cloud-Anbieter schützen zu wollen, setzt die Kontrolle bereits vor der Übertragung an.

Die Studie zeigt zugleich deutlich die Grenzen. Die semantische Analyse benötigt aktuell erhebliche Modellleistung, erhöht die Latenz und kann bei stark kontextabhängigen Aufgaben die Qualität der Anfrage beeinträchtigen.

Für Unternehmen ist der Ansatz deshalb weniger eine sofort verfügbare Lösung als ein Hinweis darauf, wie sich die nächste Generation von Datenschutz- und DLP-Systemen für generative KI entwickeln könnte.