Vertrauliche Dokumente mit KI zu verarbeiten kann sinnvoll sein – zum Beispiel für Zusammenfassungen, Recherche im Dokument oder Textanalyse. Vorher solltest du aber mehr prüfen als nur den Namen des AI-Modells. Entscheidend sind Datenweg, Zugriff, Speicherung und organisatorische Regeln.
1. Ist das Dokument überhaupt für AI freigegeben?
In Unternehmen können interne Richtlinien, Kundenverträge oder gesetzliche Vorgaben festlegen, welche Daten mit welchen Diensten verarbeitet werden dürfen. Technische Möglichkeit ist nicht automatisch organisatorische Erlaubnis.
2. Wo findet die Verarbeitung statt?
Unterscheide klar zwischen lokalem Modell und externem Provider. Beim lokalen Modell kann der Inhalt auf dem Gerät bleiben. Bei Cloud-Verarbeitung muss der relevante Kontext an den ausgewählten Dienst übertragen werden.
3. Welche Teile des Dokuments werden verwendet?
Für eine einzelne Frage ist möglicherweise nur ein Abschnitt nötig. Je weniger unnötiger Kontext verarbeitet wird, desto kleiner sind Datenmenge und Angriffsfläche.
4. Enthält die Datei versteckte Informationen?
PDFs und Office-Dateien können Metadaten, Kommentare, Änderungsverläufe, Anhänge oder ausgeblendete Inhalte enthalten. Prüfe, was die AI-Funktion tatsächlich ausliest.
5. Werden Eingaben gespeichert?
Bei externen Providern unterscheiden sich Aufbewahrung und Logging. Auch lokale Anwendungen können Verläufe oder Caches speichern. Prüfe beide Ebenen.
6. Wird der Inhalt für Training verwendet?
Cloud-Anbieter haben unterschiedliche Regeln für API-, Business- und Consumer-Dienste. Verlasse dich nicht auf allgemeine Aussagen. Relevant ist das konkrete Produkt und der verwendete Tarif oder API-Modus.
7. Wer hat Zugriff auf das Ergebnis?
Eine lokal erzeugte Zusammenfassung kann später synchronisiert, geteilt oder exportiert werden. Datenschutz endet deshalb nicht mit der Modellantwort.
8. Ist das Gerät ausreichend geschützt?
Gerätesperre, aktuelle Updates, verschlüsselte Laufwerke und sinnvolle Benutzerrechte bleiben wichtig. Ein lokales Modell schützt nicht vor Zugriff auf einen bereits kompromittierten Rechner.
9. Muss die Ausgabe fachlich kontrolliert werden?
Bei juristischen, medizinischen, finanziellen oder sicherheitsrelevanten Dokumenten darf eine AI-Ausgabe nicht ungeprüft als korrekt übernommen werden. Prüfe relevante Aussagen am Original.
10. Kannst du den Datenweg später nachvollziehen?
Bei sensiblen Workflows sollte dokumentiert sein, welches Modell oder welcher Provider verwendet wurde. Ein transparenter Pfad ist wichtiger als ein allgemeines „AI aktiviert“.
Fazit
Die zentrale Frage lautet nicht nur „Kann die AI dieses Dokument verarbeiten?“, sondern „Darf und sollte dieser konkrete Datenweg verwendet werden?“. Wer Quelle, Verarbeitung, Speicherung und Ergebnisprüfung getrennt betrachtet, reduziert unnötige Risiken.