Sind KI-Modelle anonym? Warum Trainingsdaten oft doch personenbezogen bleiben
Kurz gesagt
Nein. Ein KI-Modell ist nicht automatisch anonym, nur weil Trainingsdaten nicht im Klartext gespeichert sind. Forschung zu Extraktionsangriffen zeigt, dass memorisierte Trainingsdaten unter Umständen aus Sprachmodellen wiedergewonnen werden können – eine pauschale Anonymitäts-Zusage gibt es nicht.
Der Irrtum: Gewichte statt Klartext = anonym
Ein Sprachmodell speichert keine Datenbank mit Namen und Adressen. Es besteht aus Milliarden numerischer Parameter, die während des Trainings angepasst wurden. Daraus folgt für viele der intuitive, aber rechtlich unzutreffende Schluss: Wenn keine Klartextdaten mehr vorliegen, kann auch kein Personenbezug mehr bestehen. Die Aufsichtsbehörden sehen das anders: Ob ein Modell personenbezogene Daten „enthält", ist eine Einzelfallfrage, bei der sowohl die technische als auch die rechtliche Bewertung offen bleibt – die Debatte ist wissenschaftlich und juristisch nicht abschließend geklärt.
Was Extraktionsangriffe zeigen
Der wissenschaftliche Forschungsstand zu technischen Extraktionsangriffen zeigt, dass memorisierte Trainingsdaten unter Umständen aus Sprachmodellen wiedergewonnen werden können. Ergebnisse sind dabei modell-, daten- und angriffsspezifisch – es gibt keine pauschale Quote dafür, wie viel eines Trainingsdatensatzes „auslesbar" ist. Für Unternehmen bedeutet das: Die Annahme „unser Modell kann keine Trainingsdaten preisgeben" ist eine Vermutung, kein belastbarer Compliance-Nachweis.
Pseudonymisierung schützt weniger, als viele denken
Pseudonymisierte Daten – etwa eine Kundennummer statt eines Namens – bleiben nach geltendem Recht und Rechtsprechung regelmäßig personenbezogen, solange eine Zuordnung mit vertretbarem Aufwand möglich ist. Für einzelne Empfänger kann die Einordnung kontextabhängig unterschiedlich ausfallen: Wer über die Zusatzinformationen zur Re-Identifizierung verfügt, verarbeitet personenbezogene Daten, auch wenn ein anderer Empfänger ohne diese Information nur pseudonyme Daten sieht.
Embeddings sind ein eigenes Problemfeld
Auch Embeddings – die numerischen Repräsentationen semantischer Ähnlichkeiten, die etwa in RAG-Systemen genutzt werden – können personenbezogen sein, wenn sie einer Person zugeordnet, mit anderen Daten verknüpft oder zur Unterscheidung von Personen genutzt werden können. Eine pauschale Einstufung als „nur Zahlen, also unproblematisch" greift zu kurz; Kontext und Reidentifizierbarkeit entscheiden im Einzelfall.
Was das für den praktischen KI-Einsatz bedeutet
Der Personenbezug muss für KI-Systeme auf mehreren Ebenen geprüft werden: Rohdaten, Trainingsdaten, Testdaten, Modell, Eingabe, Kontext, Protokoll, Retrieval-Datenbank, Ausgabe, Nutzerkonto und nachgelagerte Entscheidung. Ein System kann auf einer Ebene ohne Personenbezug arbeiten und auf einer anderen mit Personenbezug – etwa ein Modell, das selbst keine identifizierbaren Trainingsdaten preisgibt, aber über ein angeschlossenes RAG-System personenbezogene Kundendaten verarbeitet. Diese Differenzierung sollte in jeder Dokumentation von Verarbeitungstätigkeiten mit KI-Bezug abgebildet sein.