Im März 2025 ist im Rahmen des „Support Pool of Experts“-Programms ein ca. 100-seitiger Bericht zu datenschutzrechtlichen Risiken beim Einsatz grosser Sprachmodelle (LLMs) und zu Sicherheitsmassnahmen erschienen („AI Privacy Risks & Mitigations – Large Language Models (LLMs)“). Das Programm dient der Unterstützung der Aufsichtsbehörden bei komplexen Fällen, mit dem Ziel, ohne Verbindlichkeit zur Anwendung der DSGVO beizutragen.
Der Bericht analysiert nach einer ausführlichen EInführung auch in technische Aspekte und in Agentic AI die datenschutzrechtlichen Herausforderungen im Zusammenhang mit der Entwicklung, dem Betrieb und der Einbindung von LLMs in KI-Systeme.
Risiken
Er orientiert sich bei der Risikoanalyse am Lebenszyklus eines LLM-Systems:
1. Risiken in der Trainingsphase:
- Unkontrollierte Datenquellen: LLMs werden häufig mit grossen Datensätzen trainiert, die u.a. aus Webscraping stammen können. Sie können unbeabsichtigt personenbezogene oder sensible Informationen enthalten.
- Inhaltliche Memorierung: Das Modell kann sich personenbezogene Inhalte „einprägen“ und später reproduzieren.
- Mangelhafte Anonymisierung: Auch wenn Daten vorverarbeitet werden, reicht die Anonymisierung nicht immer aus.
- Rechtsunsicherheit: Der rechtliche Status von Trainingsdaten (z. B. Einwilligung, Zweckbindung) ist u.U. ungeklärt.
2. Risiken bei der Modellanwendung:
- Leakage: Outputs können je nachdem direkt oder indirekt auf reale Personen oder Trainingsinhalte verweisen.
- Rekonstruierbarkeit: Bestimmte Eingaben können dazu führen, dass das Modell Trainingsmuster oder Quelltexte teilweise wiedergibt.
- RAGs: Wenn Datenquellen (z. B. ein RAG) bei Prompts und der Antwort herangezogen werden, können u.U. sensible Inhalte offengelegt werden.
3. Risiken durch Feedbacks:
- Unklare Datenflüsse: Feedbacks von Nutzern (z. B. Korrekturen und Bewertungen) können gespeichert und erneut bearbeitet werden, u.a. ohne Einwilligung/unzulässigerweise.
- Profilbildung: Kontinuierliche Interaktionen mit einem System können nutzerbezogene Verhaltensmuster speichern.
- Fehlende Zweckbindung: Rückmeldedaten werden oft nicht getrennt verarbeitet und mit anderen Datensätzen vermischt.
4. Systemische Risiken in Agenten-Architekturen:
- Autonomie: LLMs in agentischen Systemen können u.U. eigenständig Entscheidungen mit potentiellen Auswirkungen auf Betroffene fällen.
- Intransparenz: Der Ablauf der Entscheidungsfindung ist technisch komplex und für Aussenstehende u.U. nicht nachvollziehbar.
- Risikopotenzierung: Je mehr externe Tools und Datenquellen integriert sind, desto schwerer lassen sich Datenflüsse kontrollieren.
Massnahmen
Als Risikominderungsmassnahmen nennt das Dokument bspw.:
1. Design und Konzeption:
- Datenminimierung: Verzicht auf unnötige personenbezogene Datenquellen im Training, insbesondere keine Verwendung von Rohdaten aus nicht validierten offenen Quellen.
- Privacy by Design: Integration von Datenschutzprinzipien in Architektur und Systemplanung, z. B. durch modulare Datentrennung oder eingeschränkte Kontextfenster.
- Technische Schutzmassnahmen: Einbau von Differential Privacy oder Ähnlichem.
2. Trainings- und Datenaufbereitung:
- Datenauswahl: Nutzung geprüfter, möglichst anonymisierter oder pseudonymisierter Trainingsdaten; bevorzugt synthetische oder aggregierte Quellen.
- Filter: Einsatz automatisierter Erkennungs- und Ausschlussmechanismen für sensible Inhalte (z. B. persönliche Identifikatoren, Gesundheitsdaten, Finanzinformationen).
- Anonymität: Validierung, ob Trainingsdaten den Kriterien der Irreversibilität im Sinne der Opinion 28/2024 entsprechen.
3. Betrieb und Anwendung:
- Zugriffs- und Rollenkonzepte: Implementierung differenzierter Zugriffsbeschränkungen für Admins, Entwickler und Endnutzer.
- Output-Kontrolle: Verwendung von Output-Filtern, Prompt-Firewalls und toxizitätsbasierten Blacklists zur Verhinderung der Ausgabe schädlicher oder identifizierender Inhalte.
- Token-Level-Schutz: Einsatz semantischer Tokenfilterung zur Detektion und Maskierung sensitiver Inhalte vor Auslieferung an den Nutzer.
- RAG-Schutz: Bei Retrieval-Augmented Generation (RAG): Zugriffsbeschränkungen, Protokollierung von Abfragen, Validierung der verwendeten Daten.
4. Feedback und Verbesserung:
- Trennung: Technische Trennung zwischen operativer Nutzung und Trainingsdaten.
- Consent Management: Transparente Gestaltung von Feedback, Kennzeichnung freiwilliger Rückmeldungen, dokumentierte Einwilligungen.
- Löschprozesse: Implementierung reversibler Feedbackspeicherung mit Option auf Widerruf und Löschung.
5. Monitoring, Restrisikoanalyse und Governance:
- Risikoreview: Regelmässige technische und organisatorische Überprüfungen, insbesondere bei Systemupdates, Architekturänderungen oder Modellaustausch.
- Restrisikoklassifikation: Systematische Bewertung akzeptierter Restrisiken, gestützt auf nachvollziehbare Schwere- und Eintrittswahrscheinlichkeiten.
- Dokumentation und Transparenz: Führung eines Risikoregisters, Protokollierung datenschutzrelevanter Entscheidungen, Offenlegung gegenüber Aufsichtsbehörden.