KI-Entwicklung auslagern, ohne dass Ihre Daten das Haus verlassen: Wie ein externes Team in Ihren Systemen arbeitet

Eine externe Firma kann ein KI-System bauen und betreiben, das mit Dokumenten arbeitet, die Ihr Unternehmen nicht verlassen dürfen. Die Dokumente bleiben auf Ihren Servern, und die Entwickler der Firma greifen über Konten darauf zu, die Sie vergeben und sperren können, von Rechnern aus, die Sie kontrollieren. Entwickelt wird auf Beispieldokumenten, die Ihr Team freigegeben hat, und mit echten Dokumenten arbeiten die Entwickler nur auf Ihren Servern. Um eine Firma zu finden, die so arbeiten kann, fragen Sie, wie ihre Entwickler bei einem früheren Kunden auf dessen Dokumente zugegriffen haben und was die Firma am Ende gelöscht hat.

Kann eine externe Firma unser KI-System bauen, wenn unsere Daten das Haus nicht verlassen dürfen?

Ja. Wo das Sprachmodell läuft, ist eine eigene Entscheidung, die der oben verlinkte Artikel zum geschlossenen Perimeter behandelt. In diesem Artikel geht es um die Menschen, die das System bauen, und darum, was sie sehen und kopieren können. Ein Modell auf Ihren eigenen Servern schützt wenig, wenn ein Entwickler einen Ordner mit echten Dokumenten auf einem Laptop speichert, um einen Prompt (die Anweisungen, denen das Modell folgt) zu testen.

Verlassen unsere Daten schon das Haus, wenn ein Entwickler die Dokumente nur liest?

Nach dem Datenschutzrecht der EU gilt schon das Lesen personenbezogener Daten als Verarbeitung. Art. 4 Nr. 2 DSGVO definiert Verarbeitung als jeden Vorgang im Zusammenhang mit personenbezogenen Daten, und die Aufzählung dort nennt auch „das Abfragen“, also das Ansehen der Daten. Eine Firma, deren Entwickler diesen Zugriff für ihre Arbeit brauchen, ist in der Regel Ihr Auftragsverarbeiter. So nennt die DSGVO ein Unternehmen, das personenbezogene Daten in Ihrem Auftrag verarbeitet. Nach Art. 28 braucht es mit einem Auftragsverarbeiter einen Vertrag oder ein anderes verbindliches Rechtsinstrument.

Sitzt die Firma außerhalb des Europäischen Wirtschaftsraums, ist ihr Fernzugriff eine Übermittlung der Daten in ein Drittland, auch wenn die Daten nur auf einem Bildschirm erscheinen. Das stellt der Europäische Datenschutzausschuss, in dem die Datenschutzbehörden der EU zusammenarbeiten, in seinen Leitlinien 05/2021 fest.

Eine Übermittlung braucht eine Rechtsgrundlage nach Kapitel V DSGVO. Eine davon ist ein Angemessenheitsbeschluss, mit dem die Europäische Kommission feststellt, dass das Land der Firma personenbezogene Daten ausreichend schützt. Eine andere sind die Standardvertragsklauseln, vorformulierte Vertragsbedingungen, die die Kommission am 4. Juni 2021 erlassen hat. Bevor sich die Parteien darauf stützen, prüfen sie die Gesetze im Land der Firma, wie es die Empfehlungen 01/2020 des Ausschusses beschreiben.

In den USA gilt die Safeguards Rule der Federal Trade Commission (FTC) für Finanzinstitute unter Aufsicht der FTC, etwa Hypothekenkreditgeber und Anbieter von Payday-Krediten. Diese Institute müssen in angemessener Weise Dienstleister auswählen, die Kundendaten schützen können, diese Schutzmaßnahmen im Vertrag festschreiben und die Dienstleister regelmäßig überprüfen. Außerdem müssen sie Multi-Faktor-Authentifizierung für „jede Person, die auf irgendein Informationssystem zugreift“, einsetzen, es sei denn, ihr Sicherheitsverantwortlicher genehmigt schriftlich im Wesentlichen gleichwertige oder sicherere Kontrollen. Fragen Sie Ihre Rechtsberatung, welche dieser Regeln für Sie gelten, bevor jemand von außen Zugriff bekommt.

Wie bekommen externe Entwickler Zugriff, ohne Daten mitzunehmen?

Geben Sie ihnen Zugriff wie Ihren eigenen Mitarbeitern, nur mit engeren Grenzen:

• Ein eigenes Konto auf den Namen jeder Person, angelegt in Ihren eigenen Systemen, mit Multi-Faktor-Authentifizierung. Bei gemeinsam genutzten Zugangsdaten können die Logs nicht zeigen, welche Person welches Dokument geöffnet hat
• Ein einziger Arbeitsort: ein virtueller Desktop, also ein Rechner auf Ihren Servern, den der Entwickler nur als Bildschirm sieht. Ein von Ihrem Unternehmen verwalteter Laptop geht auch, wenn er Dokumente nur über diesen Desktop öffnet. Sperren Sie das Kopieren von Dateien und Text auf andere Geräte
• Zugriff nach Rolle, echte Dokumente nur mit einer gesonderten, befristeten Freigabe
• Internetzugang von den Arbeitsrechnern nur für das, was die Arbeit erfordert, damit sich kein Dokument in eine öffentliche Website oder ein Online-Chat-Tool einfügen lässt
• Anmelde- und Dateizugriffslogs, die Ihr Sicherheitsteam verwahrt und die die Firma nicht bearbeiten kann

Bevor der erste Entwickler anfängt, lassen Sie jemanden auf Ihrer Seite versuchen, ein Dokument auf jedem denkbaren Weg vom Arbeitsrechner zu holen. Schließen Sie jeden Weg, der funktioniert, und wiederholen Sie den Test nach jeder Änderung am Setup.

Womit arbeiten externe Entwickler, bevor sie echte Dokumente sehen?

Ein großer Teil der Arbeit kommt ohne echte Dokumente aus. Der meiste Code, vom Einlesen eingehender Dateien bis zur Oberfläche, auf der Prüfer die Antworten kontrollieren, lässt sich mit freigegebenen Beispielen bauen. Gute Beispiele sind veröffentlichte Dokumente desselben Typs und fiktive, die auf Ihren Servern aus Ihren eigenen Vorlagen erzeugt werden.

Echte Dokumente braucht es für zwei Aufgaben. Die eine ist das Abnahmeset: echte Dokumente, versehen mit den richtigen Antworten, an denen das System vor jedem Release bewertet wird. Die andere ist das Nachjustieren des Systems bei den Fällen, die die Beispiele nicht abdecken. Beides geschieht auf Ihren Servern, durch Personen, die für echte Dokumente freigegeben sind.

Namen zu entfernen macht ein Dokument nicht immer anonym, denn eine Kontonummer oder ein Datum mit einem Betrag kann trotzdem auf eine einzelne Person verweisen. Nach Erwägungsgrund 26 DSGVO gelten pseudonymisierte Daten, bei denen Namen ersetzt sind, zusätzliche Informationen die Daten aber noch einer Person zuordnen könnten, als personenbezogene Daten. Behalten Sie solche Beispiele deshalb auf Ihren Servern, bis Ihr Datenschutzbeauftragter bestätigt, dass sie anonym sind.

Wo landen Kopien unserer Dokumente während eines Projekts?

Ein laufendes System legt eigene Kopien an, in Logs und im Suchindex; der oben verlinkte Artikel über KI-Piloten zählt sie auf. Kopien, die Menschen während der Entwicklung anlegen, übersieht man leichter:

• Ein Beispieldokument, das auf dem Laptop eines Entwicklers gespeichert wird, um einen Prompt offline zu testen
• Screenshots und eingefügte Textstellen im Task-Tracker, im Chat oder in E-Mails der Firma, die in deren Systemen und Backups bleiben
• Text, der in einen KI-Programmierassistenten oder ein Chat-Tool eingefügt wird; das Tool schickt ihn womöglich an seinen Anbieter
• Eine Testkopie des Systems im eigenen Cloud-Konto der Firma, befüllt mit Ihren Daten, um Zeit zu sparen
• Ein Export, der für eine Demo vor Ihren Führungskräften erstellt und dann weitergeleitet wurde

Behandeln Sie den Suchindex wie die Dokumente selbst. Er speichert jede Textpassage als Embedding, also als Liste von Zahlen, die ihre Bedeutung erfasst, und viele Systeme legen den Text der Passage gleich daneben ab. Die Forschung zeigt, dass sich Text allein aus den Zahlen rekonstruieren lässt.

Auf der Konferenz EMNLP 2023 rekonstruierten Morris und Kollegen 92% der Textpassagen mit 32 Tokens exakt (ein Token ist ein Wort oder ein Wortteil). Sie gingen von Embeddings eines offenen Modells aus und konnten dieses Modell wiederholt abfragen. Bei einem kommerziellen Modell und bei längeren Passagen gelang die exakte Rekonstruktion seltener. Dieselbe Methode stellte aus einer Sammlung klinischer Notizen 89% der vollständigen Namen wieder her.

Halten Sie schriftlich fest, dass Ihre Dokumente und alles, was daraus entsteht, etwa der Suchindex oder das Abnahmeset, auf Ihren Systemen bleiben.

Welche Tools dürfen die externen Entwickler nutzen?

Auf Rechnern, die an Ihre Dokumente herankommen, nur die Tools einer kurzen Liste, die Sie mit der Firma vereinbaren. Um die Liste aufzustellen, fragen Sie, welche KI-Programmierassistenten und Online-Tools ihre Entwickler täglich nutzen. Fragen Sie bei jedem Tool, ob es den Code, den es sieht, oder hineinkopierten Text an einen externen Anbieter schickt.

Will das Team einen KI-Programmierassistenten, schließen Sie ihn an ein Modell innerhalb Ihres Perimeters an, also innerhalb des Netzwerks und der Systeme, die Ihr Unternehmen kontrolliert. Andernfalls installieren Sie ihn nur auf Rechnern, die nie Dokumente sehen. Die Liste kommt in den Vertrag, und jedes neue Tool braucht Ihre Freigabe.

Was sollte im Vertrag mit der Firma stehen?

Für personenbezogene Daten aus der EU zählt Art. 28 DSGVO auf, was der Vertrag enthalten muss. Unter anderem handelt die Firma nur auf Ihre dokumentierte Weisung, und alle, die Zugriff haben, müssen die Daten vertraulich behandeln. Die Firma trifft die Sicherheitsmaßnahmen, die Art. 32 verlangt, lässt Ihre Audits zu und zieht ohne Ihre vorherige schriftliche Genehmigung keinen weiteren Auftragsverarbeiter hinzu. Endet die Leistung, löscht die Firma die Daten oder gibt sie zurück, ganz nach Ihrer Wahl, und löscht vorhandene Kopien, sofern das Recht der EU oder eines Mitgliedstaats keine Aufbewahrung vorschreibt.

Bei Projekten wie diesem kommen einige Klauseln hinzu:

• Name und Rolle jeder Person mit Zugriff und das Land, aus dem sie jeweils arbeitet
• Eine Mitteilung innerhalb einer von Ihnen festgelegten Frist, sobald jemand ins Projekt kommt oder es verlässt
• Keine Subunternehmer ohne Ihre schriftliche Zustimmung, auch nicht für Dokumente ohne personenbezogene Daten
• Eine unterschriebene Bestätigung am Ende, dass keine Kopien mehr existieren, auch nicht auf Laptops, in Konten oder in Backups

Dies ist keine Rechtsberatung; die Klauseln für Ihre Rechtsordnung entwirft Ihr Anwalt.

Was passiert, wenn jemand das Projekt verlässt oder das Projekt endet?

Der Zugriff sollte am selben Tag enden wie die Arbeit. Die US-Standardisierungsbehörde NIST behandelt externes Personal, einschließlich Firmen, die Systeme entwickeln, in der Kontrolle PS-7 ihres Sicherheitskatalogs SP 800-53. Die Kontrolle verlangt, dass Sie die Firma verpflichten, innerhalb einer von Ihnen gesetzten Frist zu melden, wenn jemand mit Ihren Zugangsdaten oder Zugriffsrechten in eine andere Aufgabe wechselt oder ausscheidet.

Am letzten Tag sperrt Ihr Team die Konten und virtuellen Desktops und sammelt alle verwalteten Laptops ein. Ändern Sie am selben Tag alle Passwörter und Schlüssel, die die externen Entwickler kannten, und lassen Sie sich von der Firma schriftlich bestätigen, welche Kopien sie gelöscht hat und dass keine mehr existieren. Gehen Sie genauso vor, wenn ein einzelner Entwickler ein Projekt verlässt, das weiterläuft.

Wie prüfen wir eine Firma, bevor sie Zugriff bekommt?

Bitten Sie jede Firma auf Ihrer Shortlist um schriftliche Antworten und vergleichen Sie diese nebeneinander:

• Beschreiben Sie, wie Ihre Entwickler in einem früheren Projekt mit ähnlichen Regeln auf die Dokumente eines Kunden zugegriffen haben, ohne den Kunden zu nennen
• Nennen Sie, wer in unserem Projekt Zugriff hätte, wo diese Personen arbeiten und ob es Angestellte oder Subunternehmer sind
• Sagen Sie, womit Sie arbeiten werden, bevor Sie echte Dokumente sehen, und wer die Beispieldokumente freigibt
• Zeigen Sie uns eine Löschbestätigung, die Sie am Ende eines früheren Projekts unterschrieben haben, bereinigt um die Angaben zum Kunden

Was sind Warnsignale im Plan oder Vertrag einer Firma?

• Die Firma bittet um einen Export Ihrer Daten in ihre eigene Cloud, „um schneller loszulegen“
• Mehrere Entwickler würden sich dieselben Zugangsdaten teilen, oder die Firma kann nicht sagen, wer Zugriff haben wird
• Der Plan sieht vor, dass Entwickler Prompts mit echten Dokumenten auf den eigenen Laptops der Firma testen
• Der Vertrag schweigt zu Subunternehmern oder zu den Kopien am Ende

Wo passt amBrain ins Bild?

Das einzige Sprachmodell-Projekt, das amBrain öffentlich beschreibt, ist dieses: „Wir haben eine LLM-Integration innerhalb des FinTech-Perimeters eines Kunden in Produktion gebracht: die Extraktion und Normalisierung unstrukturierter Mitteilungen von Brokern und Handelsplätzen – Kapitalmaßnahmen, Instrumenten- und Margin-Änderungen – zu strukturierten Datensätzen, die das Handelssystem verarbeitet.“

Dieser Artikel ist keine Case Study. Der Kunde wird nicht genannt. Der Artikel behauptet nicht, dass die Entwickler von amBrain in den Systemen dieses Kunden gearbeitet haben oder dass das Projekt eines der oben beschriebenen Setups genutzt hat. Er nennt weder Preise noch Zeitpläne.

amBrain entwickelt seit 2019 Software. Zum Eigentum lautet sein Satz: „Der Kunde behält das volle Eigentum an Produkt und Code, ausgenommen unsere wiederverwendbaren Komponenten.“ Verlangen Sie von amBrain vor der Unterschrift die namentliche Liste dieser Komponenten, so wie Sie es bei jeder anderen Firma tun würden.

Bevor Sie ein externes Team für ein KI-System mit geschützten Dokumenten holen, stellen Sie die Fragen von oben jeder Firma auf Ihrer Liste.

Häufige Fragen

• Können die externen Entwickler aus ihrem eigenen Büro arbeiten? Ja, wenn sie Ihre Systeme nur über den virtuellen Desktop oder den verwalteten Laptop erreichen und nichts auf ihren eigenen Rechnern speichern. Sitzt die Firma außerhalb des Europäischen Wirtschaftsraums, ist dieser Zugriff eine Übermittlung im Sinne des EU-Rechts, wie oben beschrieben
• Macht dieses Setup schon vor Projektbeginn Arbeit? Ja. Konten, Arbeitsrechner und Freigaben müssen bereitstehen, bevor der erste Entwickler anfängt, also fragen Sie die Firma früh, was sie von Ihrem IT-Team braucht
• Reicht eine Geheimhaltungsvereinbarung (NDA)? Nein. Eine typische NDA regelt die Geheimhaltung, und viele verlangen außerdem, dass Dokumente am Ende zurückgegeben oder vernichtet werden, manche erlauben der Firma aber, Kopien in ihren Backups zu behalten. Konten auf den Namen einzelner Personen, Arbeitsrechner oder Regeln für Subunternehmer regelt sie nicht. Für personenbezogene Daten aus der EU verlangt Art. 28 außerdem Klauseln, die einer NDA meist fehlen