Datenschutz-Dokumentation: KI-Assistenten mit automatischem Datenschutz-Filter

1. Worum geht es?

Dieses Dokument zeigt dem Datenschutzbeauftragten, welche technischen Vorkehrungen getroffen wurden, damit keine personenbezogenen Daten (Namen, Adressen, Krankenkassennummern, IBANs etc.) unbemerkt an externe KI-Anbieter im Ausland übermittelt werden.

Die Behörde Bildungsbau Hamburg setzt KI-Assistenten ein, um den Mitarbeitern bei der täglichen Arbeit zu helfen (z. B. E-Mails formulieren, Dokumente zusammenfassen). Damit die Eingaben der Mitarbeiter nicht ungeschützt an fremde Server gehen, wurde ein eigener Sicherheitsfilter auf unserem eigenen Server installiert. Er prüft jede Eingabe, bevor sie das Haus verlässt, und ersetzt sensible Daten durch harmlose Platzhalter.

2. Die Ausgangslage: KI-Chatbots und Datenschutz

KI-Assistenten wie LibreChat sind nützlich, arbeiten aber mit externen Anbietern zusammen (z. B. OpenRouter, der wiederum Modelle wie Claude oder GLM bereitstellt). Diese Anbieter verarbeiten die Anfragen auf Servern außerhalb unserer Kontrolle.

Ohne Schutzmaßnahme würde das passieren:

Das ist mit dem Datenschutz nicht vereinbar. Deshalb wurde der in diesem Dokument beschriebene Filter eingerichtet.

3. Unsere Schutzmaßnahme im Überblick

Zwei kostenlose, quelloffene („Open Source“) Programme bilden den Kern des Schutzes. Beide laufen auf unserem eigenen Server in Hamburg:

Die KI-Assistenten sind über LibreChat erreichbar – eine Chat-Oberfläche, die in der Behörde läuft. Alle Modelle (z. B. „Alltagsassistent“, „Fachexperte“) sind so eingerichtet, dass sie zwingend über den Filter laufen. Es gibt keinen direkten Weg zur KI im Ausland.

4. Wie der Schutz Schritt für Schritt funktioniert

Wenn ein Mitarbeiter eine Nachricht schreibt, passiert Folgendes – automatisch und innerhalb von Sekundenbruchteilen:

Wichtig an diesem Ablauf:

• Schritt 4 & 5 passieren ausschließlich auf unserem Server. Die Lupe (Presidio) und die Ersetzung laufen hier – nicht beim externen Anbieter.
• In Schritt 6 verlässt nur der gesäuberte Text das Haus. Kein echter Name, keine echte Nummer.
• Die Zuordnungstabelle (welcher Platzhalter gehört zu welchem echten Wert) bleibt bei uns auf dem Server. Sie geht nicht ins Ausland.
• Der Filter ist immer aktiv. Er muss nicht extra eingeschaltet werden und kann nicht versehentlich vergessen werden.

5. Welche Daten automatisch erkannt werden

Presidio ist für die deutsche Sprache eingerichtet und kennt 28 Datenkategorien, die automatisch erkannt und durch Platzhalter ersetzt werden. Die Liste wurde um Deutschland-spezifische Regelungen erweitert.

Als Sprachmodell nutzt Presidio das große deutsche Modell de_core_news_lg (ein Verfahren der künstlichen Intelligenz zur Spracherkennung, kostenlos und Open Source).

Darüber hinaus gibt es eine Ausnahmeliste („Allow-Liste“). Darin können Begriffe eingetragen werden, die von der Erkennung ausgenommen sind – zum Beispiel interne Behördenbezeichnungen, die fälschlich als Person erkannt würden.

6. Zusätzlicher Inhaltsfilter: Blockade sensibler Eingaben

Zusätzlich zur Ersetzung sensibler Daten gibt es einen zweiten Filter, der bestimmte Eingaben komplett blockiert – sie gehen dann gar nicht erst zur KI:

7. Der PII-Tester: Werkzeug für die Mitarbeiter

Damit die Mitarbeiter den Filter selbst ausprobieren und nachvollziehen können, was erkannt und ersetzt wird, gibt es eine eigene Test-Oberfläche: den PII-Tester. Dort kann jeder beliebige Text oder jede Datei (PDF, Word, Textdatei) hochgeladen werden, um zu prüfen, was der Filter daraus macht. Das ist gewollt: Die Mitarbeiter können so vor dem Einsatz prüfen, ob ihre Daten zuverlässig geschützt sind.

Nach einem Klick auf „PII prüfen“ zeigt das Werkzeug das Ergebnis:

Was der Tester besonders macht – der Rückmelde-Kreislauf

Kein Filter ist perfekt. Deshalb kann der Tester mehr als nur anzeigen:

• Verpasste Daten melden: Hat der Filter etwas übersehen? Der Mitarbeiter kann es markieren (z. B. „Banking Plus Team“ als Organisation). Ein Mausklick prüft, ob eine neue Regel das schließen würde.
• Falsch erkannte Daten melden: Hat der Filter etwas fälschlich als sensibel markiert? Das kann ebenfalls gemeldet und behoben werden.
• Dauerhaft übernehmen: Nach einem Test kann die neue Regel mit einem Klick dauerhaft in die Konfiguration übernommen werden. Der Filter wird dadurch mit der Zeit immer besser – durch das Wissen der Mitarbeiter.

8. Die Admin-Oberfläche: Pflege der Erkennungsregeln

Ein Administrator kann die selbst hinzugefügten Erkennungsregeln (die aus den Mitarbeiter-Rückmeldungen entstanden sind) einsehen, prüfen und bei Bedarf wieder entfernen. Der Zugang ist durch ein Passwort geschützt.

In dieser Ansicht wird transparent dokumentiert, warum eine Regel hinzugefügt wurde (sie stammt aus einer Mitarbeiter-Rückmeldung) und wie sie konfiguriert ist. Änderungen werden sofort wirksam, der Filter-Container wird automatisch neu aufgebaut.

9. Die Chat-Oberfläche: LibreChat

LibreChat ist die Oberfläche, die die Mitarbeiter im Alltag nutzen. Sie ist ähnlich aufgebaut wie bekannte Chat-Programme. Alle dortigen KI-Modelle sind so eingerichtet, dass sie zwingend über den Filter laufen – es gibt keinen direkten Weg zur KI im Ausland.

Drei vorgefertigte Modelle stehen zur Verfügung („Alltagsassistent“, „E-Mail-Assistent“, „Fachexperte“). Alle drei nutzen denselben Datenschutz-Filter.

10. Technische Umsetzung (für die IT)

Alle Programme laufen als sogenannte „Container“ – das sind voneinander getrennte, in sich geschlossene Programme – auf einem eigenen Server in Hamburg. Die Kommunikation untereinander erfolgt nur über das interne Netzwerk.

Die Verbindung nach außen (für die Mitarbeiter) ist über eine verschlüsselte Verbindung (HTTPS) abgesichert. Der einzige externe Empfänger von KI-Anfragen ist OpenRouter; die Anfragen enthalten nur Platzhalter, keine echten Daten.

11. Was nach draußen geht – und was nicht

12. Zusammenfassung und Fazit