Privacy Filter

Ein Privacy Filter ist ein Prüfschritt, der persönliche Angaben aus einem Text entfernt, bevor jemand anderes ihn zu sehen bekommt. Gemeint sind Dinge wie Namen, Wohnadressen, Telefonnummern, Kontodaten oder Krankheitsdiagnosen. Der Filter sucht solche Stellen und löscht sie, ersetzt sie durch Platzhalter oder verfremdet sie. Aus « Mein Name ist Lena Hoffmann, ich wohne in der Ahornstraße 12 » wird dann etwa « Mein Name ist [NAME], ich wohne in [ADRESSE] ». Der Rest des Satzes bleibt erhalten, damit der Inhalt weiter verständlich ist. Man kann sich das wie einen schwarzen Filzstift vorstellen, mit dem eine Behörde einzelne Zeilen in einem Dokument unkenntlich macht, bevor sie es herausgibt.

Was passiert, wenn niemand filtert

Große Sprachmodelle lernen aus riesigen Textmengen, die aus dem Internet, aus Büchern und aus Nutzergesprächen stammen. Wenn in diesen Texten echte Personendaten stecken, kann das Modell sie mitlernen. Forscher haben mehrfach gezeigt, dass sich solche Daten später wieder herauskitzeln lassen: Bei einem bekannten Experiment gaben ältere Modelle auf bestimmte Anfragen hin echte E-Mail-Adressen und Telefonnummern aus ihren Trainingsdaten aus. Das Modell hat dabei nichts gehackt. Es hat schlicht wiederholt, was es gesehen hat.

Dazu kommt der rechtliche Druck. In der EU regelt die Datenschutz-Grundverordnung, kurz DSGVO, wie Unternehmen mit personenbezogenen Daten umgehen dürfen. Verstöße können Bußgelder in Millionenhöhe kosten. Wer einen Chatbot betreibt, muss deshalb belegen können, dass er nicht wahllos Kundendaten speichert. Ein Privacy Filter ist eine der wenigen Maßnahmen, die sich dabei technisch nachweisen und protokollieren lassen.

Für Unternehmen gibt es einen zweiten Grund, und der ist oft der ausschlaggebende. Mitarbeiter tippen in Chatbots regelmäßig Dinge ein, die eigentlich vertraulich sind: Vertragsentwürfe, Gehaltslisten, unveröffentlichte Zahlen. Mehrere Konzerne haben KI-Werkzeuge deshalb zeitweise komplett gesperrt. Ein Filter ist die mildere Lösung, weil er das Werkzeug nutzbar hält und trotzdem die heiklen Teile abfängt.

Mustererkennung, Modelle und die Grenze dazwischen

Die einfachste Bauart arbeitet mit festen Suchmustern. Eine IBAN hat immer denselben Aufbau, eine deutsche Postleitzahl besteht aus fünf Ziffern, eine E-Mail-Adresse enthält ein @-Zeichen. Solche Muster lassen sich als Regel formulieren und zuverlässig finden. Diese Methode ist schnell, kostet fast nichts und macht bei klar geformten Daten kaum Fehler.

Bei Namen und Orten reicht das nicht. « Bäcker » kann ein Beruf oder ein Nachname sein, « Essen » eine Stadt oder eine Mahlzeit. Hier kommt ein zweites, kleines KI-Modell zum Einsatz, das den Satzzusammenhang bewertet. Es wurde darauf trainiert, in Texten Personen, Organisationen und Orte zu markieren. Fachleute nennen diese Aufgabe Named Entity Recognition, also das Erkennen benannter Einheiten. Moderne Filter kombinieren beides: Regeln für das Eindeutige, ein Modell für das Mehrdeutige.

Wichtig ist der Unterschied zwischen zwei Betriebsarten. Beim Schwärzen verschwindet die Information endgültig. Bei der Pseudonymisierung merkt sich das System in einer getrennten, geschützten Tabelle, welcher Platzhalter zu welchem echten Wert gehört. So kann ein Support-System die Antwort am Ende wieder mit dem richtigen Namen versehen. Das ist praktischer, aber auch riskanter, denn diese Zuordnungstabelle ist selbst ein lohnendes Angriffsziel.

Vom Firmen-Chatbot bis zur Kartenkamera

Am häufigsten begegnet man Privacy Filtern in Unternehmensversionen bekannter KI-Dienste. Dort sitzt der Filter zwischen dem Eingabefeld und dem eigentlichen Modell. Krankenhäuser nutzen ihn, um Arztbriefe für die Forschung auswertbar zu machen, ohne Patientennamen preiszugeben. Banken setzen ihn vor Protokolldateien ein, damit Entwickler bei der Fehlersuche keine echten Kontodaten zu sehen bekommen.

Den bekanntesten Fall sieht fast jeder regelmäßig: In Kartendiensten wie Google Street View sind Gesichter und Autokennzeichen automatisch verwischt. Das ist derselbe Gedanke, nur auf Bilder angewandt. Auch Videokonferenz-Werkzeuge, die automatisch Protokolle erstellen, filtern auf Wunsch Namen aus der Zusammenfassung.

Ein verbreiteter Irrtum ist, ein Privacy Filter mache ein System datenschutzkonform. Das tut er nicht. Kein Filter erkennt alles, und aus scheinbar harmlosen Resten lassen sich Personen manchmal wieder zusammensetzen: Wohnort, Geburtsjahr und Beruf reichen in kleinen Gemeinden oft schon aus. Verwechseln sollte man den Begriff außerdem nicht mit der Sichtschutzfolie für Laptopbildschirme, die im Handel ebenfalls Privacy Filter heißt. Gemeint ist im KI-Kontext immer die Software, nicht die Folie.