Dateninventar vor dem Prototyp
Teams sollten auflisten, welche Eingaben, Dokumente, Metadaten und Ausgaben verarbeitet werden. Personenbezogene, vertrauliche und besonders sensible Daten benötigen eine gesonderte Bewertung.
Datenminimierung technisch umsetzen
Nicht benötigte Felder können vor dem Modellaufruf entfernt oder pseudonymisiert werden. Wissensquellen lassen sich nach Rollen filtern. Protokolle sollten keine vollständigen vertraulichen Inhalte sammeln, wenn aggregierte Kennzahlen ausreichen.
Anbieter und Datenflüsse prüfen
Wichtige Fragen betreffen Speicherort, Unterauftragsverarbeiter, Trainingsnutzung, Löschfristen, Verschlüsselung und Vertragsgrundlage. Diese Entscheidungen gehören in die Architektur und nicht erst in die Abnahme.
Prompt Injection und übermäßige Rechte
Wenn ein Assistent externe Inhalte liest oder Werkzeuge verwendet, können manipulierte Texte sein Verhalten beeinflussen. Eingaben gelten deshalb als nicht vertrauenswürdig. Tool-Zugriffe werden begrenzt, validiert und bei kritischen Aktionen bestätigt.
Betrieb: Protokollieren, prüfen, löschen
Nach dem Launch braucht es Verantwortliche für Zugriffe, Vorfälle, Modelländerungen, Datenlöschung und regelmäßige Tests. Sicherheit ist ein laufender Prozess, kein einmaliges Projektmerkmal.
Hinweis: Inhalte zu Datenschutz und EU AI Act dienen der allgemeinen Orientierung und sind keine Rechtsberatung.
