Kann ein KI-Modell vertrauliche Trainingsdaten wiedergeben?

Das Problem

Sie haben gehört, dass KI-Modelle «nur Muster lernen» und keine Daten speichern. Dann lesen Sie, dass ein Modell einem Forscher auf Anfrage eine E-Mail-Adresse oder einen Absatz eines Buchs wiedergab, der in den Lerndaten steckte. Was stimmt? Und was heisst das für Ihre vertraulichen Daten, wenn Sie sie in ein Programm eingeben oder ein Modell damit anpassen lassen?

Die Antwort liegt dazwischen. Ein Modell speichert keine Datenbank im üblichen Sinn. Aber beim Lernen kann es Teile seiner Lerndaten so stark verinnerlichen, dass es sie unter bestimmten Umständen fast wörtlich wiedergibt. Das passiert besonders bei Inhalten, die sehr oft vorkommen oder sehr eigenartig sind, etwa seltene Namen, Nummern oder lange, einmalige Texte.

Für Betriebe ist das relevant, wenn sie Modelle selbst anpassen, wenn sie nicht wissen, ob ein Anbieter Eingaben zum Training verwendet, und wenn sie sich fragen, ob KI Geheimnisse «verraten» kann. Diese Seite erklärt das Phänomen einfach und zeigt, was Sie tun können. Sie ersetzt keine Sicherheits- oder Datenschutzprüfung.

Einfach erklärt

Wie kommt es dazu? Beim Training sieht ein Modell sehr viele Texte und passt seine inneren Zahlen so an, dass es solche Texte gut vorhersagen kann. Wenn ein Text oft vorkommt oder besonders eigenartig ist, behält das Modell mehr davon. Fachleute nennen das Auswendiglernen oder Memorisieren. Forschungsarbeiten haben gezeigt, dass sich mit gezielten Anfragen manchmal Teile der Lerndaten aus Modellen herauslocken lassen.

Was ist besonders gefährdet?

• Inhalte, die oft in den Daten vorkommen (Duplikate)
• Seltene, einmalige Angaben wie Namen, Adressen, Nummern, Schlüssel
• Lange, zusammenhängende Passagen

Was ist weniger gefährdet? Allgemeines Wissen und häufige Formulierungen. Sie werden eher als Muster gelernt als als wörtliche Kopien.

Ist das bei jedem Modell ein Problem? Es hängt von Modell, Training und Daten ab. Anbieter versuchen, das Risiko zu verringern, etwa durch Entfernen von Duplikaten und Filter. Absolute Sicherheit gibt es nicht.

So lösen Sie es mit KI – Schritt für Schritt

1. Datenwege klären: Wo könnten Ihre Daten ins Training gelangen? Eigenes Fine-Tuning, Eingaben bei einem Dienst, gemeinsam genutzte Modelle?
2. Einstellungen prüfen: Prüfen Sie bei Diensten, ob Eingaben zum Verbessern der Modelle genutzt werden, und schalten Sie das ab, wenn möglich. Siehe Training mit eigenen Daten verhindern.
3. Geheimnisse fernhalten: Geben Sie Passwörter, Schlüssel, Kontonummern und vertrauliche Vertragsdetails weder in Chats noch in Trainingsdaten ein.
4. Trainingsdaten bereinigen: Wenn Sie ein Modell anpassen, entfernen Sie sensible Angaben. Siehe Vertrauliche Daten beim Anpassen schützen.
5. Zugriff beschränken: Nur Personen, die die zugrundeliegenden Daten sehen dürfen, sollten ein angepasstes Modell nutzen.
6. Wiedergabe testen: Prüfen Sie mit gezielten Fragen, ob das Modell Inhalte der Lerndaten wiedergibt, zum Beispiel durch Abfragen nach Namen, Nummern und Anfängen bekannter Texte. Verwenden Sie dafür erfundene Marker, die Sie bewusst in Testdaten platzieren.
7. Ausgaben kontrollieren: Prüfen Sie Antworten, bevor Sie sie weitergeben. Siehe Ausgaben auf Geheimnisse prüfen.
8. Vorfälle regeln: Legen Sie fest, was bei einer unerwünschten Wiedergabe zu tun ist: Zugriff sperren, Daten bewerten, informieren.

Vorlage zum Kopieren

Mit diesem Auftrag bereiten Sie einen Wiedergabetest vor. Er läuft mit erfundenen Daten und ersetzt keine Prüfung durch Sicherheitsfachleute:

Wir haben ein KI-Modell mit erfundenen Testdaten angepasst, in die wir Marker eingebaut haben: [Liste der erfundenen Namen, Nummern und Sätze].
Erstelle einen Testplan mit zwölf Anfragen, mit denen wir prüfen können, ob das Modell diese Marker wiedergibt (zum Beispiel Anfragen nach Namen, Nummern, Satzanfängen, Zusammenfassungen).
Ergänze eine Tabelle «Anfrage | Erwartung | Ergebnis | Marker wiedergegeben (ja/nein) | Bemerkung» und Hinweise, wie wir die Ergebnisse bewerten sollen.
Verwende keine echten Daten. Erfinde keine Ergebnisse. Wo du unsicher bist, schreibe «prüfen».

Setzen Sie Ihre erfundenen Marker ein. Führen Sie den Test an Ihrem Modell durch und halten Sie die Ergebnisse fest.

Worauf Sie achten müssen

• Nicht alles ist ein Risiko: Allgemeine Inhalte werden eher als Muster gelernt. Seltene, genaue Angaben sind das Problem.
• Keine Garantie durch Filter: Ausgabefilter fangen vieles ab, aber nicht alles. Siehe Guardrails einfach erklärt.
• Datenschutz: Gibt ein Modell Personendaten wieder, kann das ein Datenschutzvorfall sein. Prüfen Sie rechtliche Pflichten. Siehe Datenpanne melden.
• Anbieter fragen: Erkundigen Sie sich, wie Anbieter Wiedergabe von Trainingsdaten verhindern und ob Ihre Eingaben ins Training einfliessen.
• Eigene Modelle: Wer anpasst, trägt die Verantwortung. Testen Sie vor der Freigabe.
• Alte Daten: Was einmal im Training war, lässt sich schwer entfernen. Siehe Daten gelöscht, Chat gelöscht?.
• Gruppen und Rechte: Ein Modell mit sensiblen Inhalten sollte nicht allen Mitarbeitenden offenstehen.

Für Betriebe, die nur Dienste nutzen: Auch ohne eigenes Training sollten Sie wissen, wie Ihr Anbieter mit Eingaben umgeht. Lesen Sie die Bedingungen: Werden Eingaben zum Verbessern der Dienste verwendet? Lässt sich das abschalten? Gibt es Geschäftsangebote, bei denen das ausgeschlossen ist? Wenn Sie vertrauliche Daten verarbeiten, wählen Sie Tarife und Einstellungen, die eine Verwendung zum Training ausschliessen, und halten Sie das vertraglich fest. Legen Sie intern fest, welche Daten nie in Chat-Dienste gehören. Und denken Sie daran: Die sicherste Methode, dass ein Modell etwas nicht wiedergibt, ist, es ihm gar nicht erst zu geben.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Ein Schweizer Maschinenbauer passt ein Modell mit Servicerapporten an. In den Rapporten kommen Kundennamen und interne Seriennummern vor.

Vorher: Das Modell wird für alle Mitarbeitenden freigeschaltet. Ein Techniker fragt nach einem bestimmten Kunden und erhält zu seiner Überraschung Details zu einem Servicefall eines Konkurrenten im Auftrag.

Nachher: Der Betrieb stoppt den Einsatz, sperrt das Modell und untersucht den Vorfall. Das Modell wird neu mit anonymisierten Rapporten angepasst. Vor der Freigabe läuft ein Wiedergabetest mit erfundenen Markern. Der Zugriff wird auf eine kleine Gruppe beschränkt, und der Datenschutzverantwortliche dokumentiert den Vorfall.

So hilft Ihnen Alpasana

Damit Ihr Team versteht, wie KI mit Daten umgeht und was nie in ein Programm gehört, bietet absofort die KI-Weiterbildung für Unternehmen. Laut Beschreibung gehören Datenschutz, der verantwortungsbewusste Umgang mit Unternehmensdaten und das Prüfen von KI-Ergebnissen zu den Lerninhalten. Gelernt wird online im eigenen Tempo, und für Firmenlösungen gibt es eine Kontaktmöglichkeit.

Technische Wiedergabetests sind nicht Teil des Angebots.

Häufige Fragen

Merkt sich ChatGPT meine Eingaben für andere?

Das hängt von den Einstellungen und Bedingungen des Dienstes. Prüfen Sie sie und geben Sie nichts Vertrauliches ein, bevor Sie es geklärt haben.

Kann ich sicher sein, dass ein Modell nichts verrät?

Absolut sicher nicht. Sie können das Risiko senken, indem Sie sensible Daten fernhalten, Zugriffe beschränken und testen.

Was tue ich, wenn ein Modell vertrauliche Daten ausgibt?

Sperren Sie den Zugriff, dokumentieren Sie den Fall, bewerten Sie die Folgen und prüfen Sie Melde- und Informationspflichten.

Ist das ein Argument gegen angepasste Modelle?

Nein, aber es verlangt Sorgfalt bei Datenauswahl, Zugriff und Tests.