Schutzmaßnahme (Guardrail)
Eine Schutzmaßnahme ist eine bewusst eingebaute Grenze, die verhindert, dass ein KI-System schädliche oder unerwünschte Ausgaben liefert. Im Englischen heißt sie Guardrail, also Leitplanke.
Programme, die auf Anfragen mit Texten oder Bildern antworten, können auch Dinge ausgeben, die niemand haben will: Bauanleitungen für Waffen, Beleidigungen, erfundene Zahlen. Eine Schutzmaßnahme ist eine bewusst eingebaute Grenze, die genau das verhindern soll. Sie ist kein einzelnes Bauteil, sondern ein Sammelbegriff für alles, was ein solches System davon abhält, aus dem Rahmen zu laufen. Das kann eine Regel sein, eine zusätzliche Prüfung oder eine Eigenschaft, die dem System beim Lernen antrainiert wurde. Der englische Begriff dafür ist Guardrail, wörtlich Leitplanke. Das Bild passt gut: eine Leitplanke lenkt das Auto nicht, sie verhindert nur, dass es den Berg hinunterfällt.
Was ohne Leitplanken passiert
Ein Sprachmodell lernt aus riesigen Textmengen aus dem Internet. Darin steht Nützliches, aber auch Hass, Falschbehauptungen und Anleitungen für Straftaten. Ohne Grenzen würde ein solches System all das bereitwillig wiedergeben, denn es unterscheidet von sich aus nicht zwischen erlaubt und verboten. Es sagt, was statistisch als Antwort passt.
Für Unternehmen ist das ein handfestes Risiko. 2016 musste Microsoft seinen Chatbot Tay nach knapp 24 Stunden abschalten, weil Nutzer ihm rassistische Aussagen beigebracht hatten. Solche Vorfälle kosten Vertrauen und mittlerweile auch Geld: Der EU-Regulierungsrahmen für KI verlangt für riskante Anwendungen ausdrücklich Sicherheitsvorkehrungen und dokumentierte Tests.
Gleichzeitig gibt es eine Gegenrichtung. Zu strenge Grenzen machen ein System nutzlos, weil es harmlose Fragen verweigert. Wer nach der Wirkung eines Medikaments fragt, will keine Belehrung, sondern eine Antwort. Diese Balance zwischen Vorsicht und Brauchbarkeit ist der eigentliche Streitpunkt in der Branche.
Vier Ebenen der Absicherung
Die erste Ebene liegt im Training. Menschen bewerten dabei Beispielantworten als gut oder schlecht, und das Modell lernt, welche Art von Antwort erwartet wird. Dieses Verfahren heißt Reinforcement Learning from Human Feedback. Es macht die Ablehnung problematischer Anfragen zu einer Gewohnheit des Modells selbst.
Die zweite Ebene ist der Systemprompt: eine feste Anweisung, die der Betreiber vor jede Nutzeranfrage setzt und die der Nutzer nicht sieht. Darin steht etwa, welche Themen tabu sind oder in welchem Ton geantwortet wird. Die dritte Ebene sind Filter, die parallel mitlaufen. Sie prüfen Eingabe und Ausgabe auf verbotene Inhalte und blockieren sie notfalls, unabhängig davon, was das Modell selbst tut.
Die vierte Ebene ist organisatorisch. Dazu gehören Nutzungsbedingungen, Sperrlisten für auffällige Konten und ein Mensch, der bei kritischen Entscheidungen gegenprüft. Keine dieser Ebenen ist allein zuverlässig. Deshalb kombiniert man sie, ähnlich wie ein Auto sowohl Gurt als auch Airbag hat.
Jailbreaks und der Alltag mit Grenzen
Am deutlichsten merkt man Schutzmaßnahmen, wenn sie greifen. Ein Chatbot antwortet dann nicht, sondern erklärt, dass er bei diesem Thema nicht helfen kann. Bildgeneratoren weigern sich, echte Personen in erfundene Situationen zu setzen. Manche Systeme kürzen medizinische Auskünfte und verweisen auf einen Arzt.
Es gibt eine ganze Szene, die versucht, diese Grenzen zu umgehen. Solche Versuche heißen Jailbreaks. Ein bekannter Trick ist die Rollenspielanfrage: Man bittet das Modell, Schauspieler in einem Film zu sein, in dem die verbotene Information zufällig im Drehbuch steht. Anbieter schließen solche Lücken nach und nach, neue tauchen auf. Das Ganze ist ein Wettlauf ohne Ziellinie.
In Nachrichten begegnet der Begriff meist in zwei Zusammenhängen. Entweder hat ein Unternehmen seine Grenzen gelockert, um konkurrenzfähiger zu bleiben, oder ein Modell hat trotz aller Vorkehrungen etwas Peinliches ausgegeben. Ein häufiger Irrtum ist übrigens, Schutzmaßnahmen mit Zensur gleichzusetzen. Technisch sind es Entscheidungen des Betreibers über sein eigenes Produkt, nicht staatliche Vorgaben.
