Reicht es, Namen vor dem Einbetten zu entfernen?

Es hilft und genügt selten. Ein Personenbezug entsteht auch über Sachverhalt, Datum, Aktenzeichen, Ortsangabe und Formulierung – bei einer Beschwerde oder einem Personalvorgang ist die Person häufig auch ohne Namen bestimmbar. Wirksamer als das Schwärzen einzelner Wörter ist die Entscheidung, welche Dokumentklassen überhaupt in den Index gehen.

Gilt das auch, wenn wir die Vektoren verschlüsselt speichern?

Verschlüsselung im Ruhezustand schützt gegen den Diebstahl der Datenträger und ändert nichts an der Einordnung. Für die Suche müssen die Vektoren im Klartext vorliegen, und der Dienst, der sucht, sieht sie. Es ist eine sinnvolle Maßnahme nach Art. 32 DSGVO und kein Grund, den Bestand aus dem Verzeichnis zu nehmen.

Wie lösche ich einen Vektor überhaupt?

Über die Kennung, die beim Einlesen vergeben wurde – deshalb ist sie beim Aufbau des Index die wichtigste Entscheidung. Wer Abschnitte ohne Rückbezug auf das Ursprungsdokument speichert, kann später nicht gezielt löschen und muss den gesamten Index neu aufbauen. Das ist der häufigste Konstruktionsfehler und der teuerste.

Sind Einbettungen dann schlechter als das Original in der Cloud?

Nein, sie sind besser – nur nicht aus dem Grund, der meist genannt wird. Ein Index aus Abschnitten erlaubt es, dem Sprachmodell je Anfrage nur wenige Absätze vorzulegen statt des ganzen Bestands. Das ist Datenminimierung im Wortsinn. Die Aussage, es handele sich dabei um anonyme Daten, ist der Fehler, nicht das Verfahren.

Einbettungen sind keine Anonymisierung

Ein Einbettungsmodell verwandelt einen Absatz in eine Reihe von Zahlen. Der Absatz ist danach nicht mehr lesbar, und genau daraus wird regelmäßig ein Schluss gezogen, der nicht trägt: dass die Daten damit anonym seien.

Sie sind es nicht. Eine Einbettung ist eine andere Darstellung derselben Information, keine Entfernung von Information. Dieser Beitrag zeigt, woran das hängt, was daraus folgt und welche Maßnahmen tatsächlich helfen.

Was eine Einbettung ist

Ein Einbettungsmodell bildet Text auf einen Punkt in einem Raum mit vielen hundert Dimensionen ab. Inhaltlich ähnliche Texte landen dabei nah beieinander – das ist der ganze Trick, und es ist die Grundlage jeder semantischen Suche und jedes RAG-Aufbaus.

Die Abbildung ist nicht zufällig und nicht verlustfrei. Sie ist gerichtet: Sie bewahrt genau das, was für Ähnlichkeit gebraucht wird, und das ist der Inhalt. Ein Verfahren, das den Inhalt zuverlässig bewahrt, kann ihn nicht gleichzeitig zuverlässig verbergen.

Drei Gründe, warum das keine Anonymisierung ist

Der Text lässt sich teilweise zurückrechnen Verfahren, die aus einer Einbettung den Ausgangstext annähernd wiederherstellen, sind seit Jahren beschrieben und öffentlich verfügbar. Sie brauchen Zugriff auf dasselbe Einbettungsmodell – und das ist bei den verbreiteten Modellen gegeben, weil sie offen sind. Vollständig gelingt die Rekonstruktion selten; „vollständig“ ist datenschutzrechtlich aber auch nicht die Schwelle.
Zugehörigkeit lässt sich abfragen Wer einen Verdacht hat, kann ihn testen: Man bettet den vermuteten Text ein und sucht im Bestand nach dem nächsten Nachbarn. Kommt ein Treffer sehr nah heran, war der Text im Bestand. Für die Frage „ist die Beschwerde dieser Person hier verarbeitet worden“ genügt das vollkommen – dafür muss niemand etwas rekonstruieren.
Neben dem Vektor liegt fast immer der Text Das ist der Punkt, der am seltensten ausgesprochen wird und praktisch am schwersten wiegt. Eine Vektordatenbank speichert nicht nur den Vektor, sondern den zugehörigen Textabschnitt gleich mit – denn genau dieser Abschnitt wird später dem Sprachmodell vorgelegt. Ein Bestand, der „nur aus Zahlen“ besteht, wäre für RAG nutzlos.

Das Argument, das damit fällt

„Wir schicken keine Texte in die Cloud, nur Einbettungen.“ – Dieser Satz beschreibt eine Übermittlung personenbezogener Daten in anderer Darstellung. Er beschreibt keine Anonymisierung, und er ändert nichts an der Rechtsgrundlage, am Verarbeitungsverzeichnis und an der Frage des Drittlandtransfers.

Er ist trotzdem nicht wertlos: Eine Einbettung ist schwerer auszuwerten als Klartext, und für einen Angreifer ohne das passende Modell ist sie deutlich weniger nützlich. Das ist eine Maßnahme im Sinne von Art. 32 DSGVO – nur eben keine, die den Personenbezug beseitigt.

Was das Recht dazu verlangt

Der Unterschied hat eine scharfe Kante. Pseudonymisierung ist nach Art. 4 Nr. 5 DSGVO eine Verarbeitung, nach der eine Zuordnung ohne zusätzliche Informationen nicht mehr möglich ist – die Daten bleiben personenbezogen und die Verordnung bleibt anwendbar. Anonymisierung liegt erst vor, wenn eine Zuordnung nicht mehr hergestellt werden kann; Erwägungsgrund 26 stellt dabei auf alle Mittel ab, die nach allgemeinem Ermessen wahrscheinlich genutzt werden.

Für Einbettungen heißt das: Solange das Einbettungsmodell verfügbar ist – und bei offenen Modellen ist es das dauerhaft –, gehören Rückrechnung und Nachbarschaftssuche zu den Mitteln, die nach allgemeinem Ermessen genutzt werden können. Näheres im Lexikon unter Pseudonymisierung.

Was daraus praktisch folgt

Behandeln wie	Konkret
Der Vektorbestand ist ein personenbezogener Bestand	Er gehört ins Verarbeitungsverzeichnis – mit Zweck, Kategorien, Empfängern und Frist
Löschen heißt: an zwei Stellen löschen	Wird ein Dokument gelöscht, müssen seine Abschnitte und die zugehörigen Vektoren verschwinden. Ein Löschkonzept, das nur das Ablagesystem kennt, greift zu kurz
Zugriffe brauchen dieselbe Kontrolle wie das Original	Wer im Index suchen darf, sieht in der Praxis Inhalte. Rechte gehören an den Index, nicht nur an die Ablage
Auskunft nach Art. 15 erfasst ihn	Auf ein Auskunftsersuchen hin muss auffindbar sein, welche Abschnitte zu einer Person im Index liegen
Der Ort der Einbettung ist eine eigene Frage	Wer die Einbettung bei einem Dritten berechnen lässt, übermittelt den Klartext dorthin – vor der Umwandlung, nicht danach

Was tatsächlich hilft

Selbst einbetten. Ein offenes Einbettungsmodell auf eigener Hardware macht die ganze Diskussion gegenstandslos, weil nichts das Haus verlässt. Der Katalog führt dafür BGE-M3; es ist der unscheinbarste Baustein und für den Datenschutz der wichtigste.
Vor dem Zerlegen aussortieren, nicht danach. Was nicht in den Index soll, wird beim Einlesen ausgeschlossen – ganze Dokumentklassen, nicht einzelne Wörter. Nachträglich einzelne Namen aus Abschnitten zu entfernen, ist mühsam und geht unter Zeitdruck schief.
Getrennte Bestände statt Rechtefilter im Nachhinein. Ein Index je Mandant oder je Schutzstufe ist unbequemer und schließt Fehler aus, die eine Filterbedingung nicht ausschließt.
Die Frist an den Index hängen. Abschnitte altern wie Dokumente. Ein Index ohne Verfallsdatum wächst zu einem Bestand heran, den niemand mehr überblickt.
Beim Modellwechsel neu rechnen. Einbettungen verschiedener Modelle sind nicht vergleichbar. Das ist Aufwand – und zugleich der Grund, warum die Wahl des Einbettungsmodells eine Bindung erzeugt, siehe Vendor Lock-in.

Die Grenze dieses Beitrags

Nichts davon heißt, dass Einbettungen gefährlich wären oder dass man sie meiden sollte. Sie sind die Grundlage dafür, dass ein Sprachmodell mit den eigenen Unterlagen arbeiten kann, ohne sie auswendig zu lernen – und damit die datensparsamere von zwei Bauarten. Der Punkt ist ein anderer und schmaler: Sie sind kein rechtlicher Zustandswechsel. Wer sie als solchen behandelt, spart sich eine Prüfung, die er später doch führen muss.

Wie eine solche Verarbeitung ohne Auslagerung aussieht, steht auf der Seite Betrieb und Sicherheit. Warum wir Eingaben überhaupt nicht aufbewahren, im Beitrag Warum unser KI-Dienst kein Gedächtnis bekommt.