KI-Automation mit lokalem Harness: wie Firmendaten unter Kontrolle des Betriebs bleiben

Was der Harness bei einer Automation entscheidet

Der Harness ist der Teil einer KI-Automation, der handelt. Das Sprachmodell erzeugt Text; erst der Harness macht daraus einen Vorgang. Er liest in der Ausgabe des Modells, welche Funktion aufgerufen werden soll, führt diese Funktion mit den Rechten des Betriebs aus und legt dem Modell das Ergebnis für den folgenden Schritt vor. Ein Belegdurchlauf sieht dann so aus: Das Modell fordert die Kostenstellenliste an, der Harness liefert sie, das Modell schlägt eine Zuordnung vor, der Harness trägt den Vorschlag in das Prüffeld ein. Zwei Ereignisse setzen dem ein Ende: die Rückmeldung des Modells, dass für diesen Beleg nichts mehr zu tun ist, und eine Obergrenze des Harness, etwa eine Höchstzahl an Schritten.

Aus dieser Rolle folgen vier Aufgaben, und jede davon hat eine Seite, die die Datensicherheit betrifft:

1. Zusammenstellen der Eingabe. Der Harness entscheidet, welche Angaben aus Dokumenten, Datenbanken und früheren Schritten das Modell bekommt. Was er nicht übergibt, kann das Modell weder lesen noch weitergeben.
2. Anbindung der Werkzeuge. Ein Werkzeug ist in diesem Zusammenhang eine Funktion, die der Harness dem Modell zur Verfügung stellt: eine Kundenakte lesen, einen Datensatz anlegen, eine Nachricht versenden. Die Liste dieser Funktionen und die Rechte dahinter legt der Harness fest, nicht das Modell.
3. Steuerung des Ablaufs. Der Harness zählt die Schritte, begrenzt die Laufzeit und beendet den Durchlauf, wenn ein Ergebnis vorliegt oder ein Fehler auftritt. Ohne diese Steuerung arbeitet eine Automation weiter, obwohl niemand mehr hinsieht.
4. Durchsetzen der Grenzen. Der Harness prüft jeden Werkzeugaufruf gegen die Regeln des Betriebs, hält verbindliche Schritte an, bis eine Person freigibt, und schreibt jeden Schritt in ein Protokoll.

Daraus folgt der Satz, der für den Rest dieses Beitrags gilt: Über die Datensicherheit einer KI-Automation entscheidet der Harness. Das Modell arbeitet nur mit den Angaben, die es erhält, und ruft nur die Werkzeuge auf, die ihm angeboten werden. Wer die Sicherheit einer Automation beurteilen will, sieht sich deshalb den Harness an: wo er läuft, was er übergibt, was er erlaubt und was er festhält.

Lokal heißt: die Steuerung läuft im Betrieb

Ein lokaler Harness ist ein Harness, der auf Rechnern läuft, die der Betrieb kontrolliert: auf einem Server im eigenen Netz, auf einem angemieteten Server, der ausschließlich dem Betrieb zur Verfügung steht und über einen Vertrag mit ihm betrieben wird, oder auf dem Arbeitsplatzrechner eines Mitarbeiters. Entscheidend ist der Zugriff: Wer den Rechner verwaltet, kann lesen, was der Harness zusammenstellt, aufruft und protokolliert.

Das Gegenstück ist eine Automatisierungsplattform im Internet. Dort wird der Ablauf in der Oberfläche des Anbieters zusammengesetzt und auf dessen Rechnern ausgeführt. Jeder Beleg, jede Adresse und jede Tabellenzeile, die der Ablauf verarbeitet, liegt während der Verarbeitung auf diesen Rechnern, und zur Fehlersuche speichern solche Plattformen den Verlauf jedes Durchlaufs samt der verarbeiteten Inhalte, für eine Frist, die der Anbieter bestimmt. Für den Betrieb heißt das: Die Daten haben das Haus verlassen, bevor die erste eigene Regel greift. Was ein Serverstandort innerhalb der Europäischen Union daran ändert und was nicht, behandelt der Beitrag zum Hosting-Standort Deutschland.

Vom Ort des Harness ist der Ort des Modells zu unterscheiden. Daraus ergeben sich drei Anordnungen:

1. Lokaler Harness mit lokalem Modell. Das Sprachmodell läuft auf eigener Hardware. Kein Zeichen verlässt den Betrieb. Diese Anordnung verlangt einen Rechner mit ausreichend Grafikspeicher und ein Modell, dessen Fähigkeiten für die Aufgabe reichen.
2. Lokaler Harness mit Modell beim Vertragspartner. Der Harness bereitet die Eingabe im Haus auf und übergibt nur den aufbereiteten Ausschnitt an ein Modell, das ein Anbieter über eine Schnittstelle bereitstellt. Grundlage ist ein Vertrag zur Auftragsverarbeitung, der dem Anbieter die Verarbeitung nur nach Weisung erlaubt und die Speicherdauer sowie den Ausschluss einer Nutzung für eigene Zwecke regelt.
3. Plattform mit Modell des Plattformanbieters. Steuerung und Modell laufen beim Anbieter. Der Betrieb legt in der Oberfläche fest, was der Ablauf tun soll, und hat auf die Verarbeitung dazwischen keinen Einblick, der über die Angaben des Anbieters hinausgeht.

Die zweite Anordnung verbindet die Fähigkeiten großer Modelle mit der Kontrolle über die Eingabe. Der Unterschied zur dritten liegt in dem, was den Betrieb verlässt: der aufbereitete Ausschnitt eines Vorgangs statt des ganzen Vorgangs samt aller Angaben, die der Ablauf nebenbei berührt.

Vier Grenzen, die der Betrieb festlegt

Eine Grenze ist in diesem Zusammenhang eine Regel, die der Harness technisch durchsetzt. Sie unterscheidet sich von einer Anweisung an das Modell: Eine Anweisung im Eingabetext („gib keine Kundendaten weiter") kann das Modell missverstehen oder durch eine spätere Anweisung überschrieben bekommen. Eine Grenze im Harness greift, bevor das Modell etwas zu sehen bekommt oder etwas auslösen kann.

1. Die Eingabegrenze: was das Modell zu sehen bekommt

Die Eingabegrenze legt fest, welche Angaben aus einem Vorgang an das Modell übergeben werden. Sie wird pro Aufgabe gezogen: Für die Zuordnung eines Belegs zu einer Kostenstelle braucht das Modell Lieferant, Positionen und Betrag, aber weder die Bankverbindung noch die Kundennummer des Empfängers. Der Harness übergibt die Felder, die auf der Liste stehen, und hält alle anderen zurück.

Dazu kommt die Ersetzung. Namen, Kundennummern, Adressen und Aktenzeichen werden vor der Übergabe durch Platzhalter ersetzt und nach der Rückkehr des Ergebnisses wieder eingesetzt; die Zuordnungstabelle bleibt im Harness. Dieser Vorgang heißt Pseudonymisierung, und er hat eine Eigenschaft, die ihn für Automationen geeignet macht: Er läuft vollständig maschinell, ohne dass ein Mitarbeiter bei jedem Vorgang entscheiden muss.

Zugangsdaten gehören nie in die Eingabe. Passwörter, Schlüssel für Schnittstellen und Zugangstoken verwaltet der Harness selbst und setzt sie beim Werkzeugaufruf ein, ohne dass das Modell sie zu sehen bekommt. Ein Modell, das Zugangsdaten kennt, kann sie in eine Ausgabe schreiben, und eine Ausgabe kann an einer Stelle landen, die dafür nie vorgesehen war.

2. Die Werkzeuggrenze: was die Automation tun darf

Die Werkzeuggrenze legt fest, welche Funktionen der Harness dem Modell anbietet und mit welchen Rechten sie ausgeführt werden. Der Maßstab ist das Prinzip der geringsten Rechte: Die Automation bekommt genau die Zugriffe, die die Aufgabe braucht, und keinen darüber hinaus. Eine Automation, die Belege zuordnet, liest die Kostenstellenliste und schreibt einen Vorschlag in ein Prüffeld; sie ändert keine Stammdaten, versendet keine Nachrichten und löscht nichts.

Zwei Unterscheidungen tragen diese Grenze. Lesende Zugriffe sind von schreibenden getrennt, und schreibende Zugriffe sind auf einen benannten Bereich beschränkt, etwa auf einen Entwurfsordner oder eine Tabelle für Vorschläge. Und jede Verbindung nach außen, ob zu einem Modell, einer Schnittstelle oder einem Postfach, steht auf einer Liste erlaubter Ziele; alles, was nicht auf der Liste steht, ist gesperrt.

3. Die Freigabegrenze: wo eine Person entscheidet

Die Freigabegrenze legt fest, an welchen Schritten der Harness anhält und auf die Bestätigung einer Person wartet. Sie liegt vor jedem Schritt, der nach außen wirkt oder sich schwer zurücknehmen lässt: eine Nachricht an einen Kunden, eine Buchung, eine Änderung an Stammdaten, eine Bestellung. Vorbereitende Schritte, die im Entwurfsbereich bleiben, laufen ohne Halt durch.

Wie diese Freigabe gestaltet wird, damit sie bei hundert Vorgängen am Tag noch geprüft und nicht nur bestätigt wird, ist eine eigene Frage der Gestaltung; der eingangs verlinkte Beitrag zum Human-in-the-Loop-Design behandelt sie. Für die Datensicherheit zählt, dass die Grenze im Harness liegt: Der Schritt wird technisch nicht ausgeführt, solange die Bestätigung fehlt.

4. Die Ablagegrenze: wo Ergebnisse und Protokolle liegen

Die Ablagegrenze legt fest, wo der Harness Zwischenergebnisse, Endergebnisse und das Protokoll jedes Durchlaufs speichert, wie lange sie dort bleiben und wer sie lesen darf. Bei einem lokalen Harness liegen diese Daten auf Systemen des Betriebs, unterliegen seiner Datensicherung und seinen Löschfristen und tauchen in keinem Verlauf bei einem Anbieter auf.

Das Protokoll verdient eine eigene Festlegung, weil es die vollständigste Sammlung von Angaben im ganzen Ablauf ist: jede Eingabe, jeder Werkzeugaufruf, jedes Ergebnis. Es ist für die Nachvollziehbarkeit unverzichtbar und zugleich der Ort, an dem sich alle verarbeiteten Angaben ein zweites Mal ansammeln. Ein benannter Lesekreis, eine Aufbewahrungsfrist und die Ersetzung personenbezogener Angaben auch im Protokoll gehören deshalb zur Ablagegrenze.

Die abgeschottete Ausführungsumgebung

Die Ausführungsumgebung ist der abgegrenzte Bereich auf dem Rechner, in dem der Harness läuft. Abgeschottet heißt: Der Harness sieht nur die Verzeichnisse, die ihm zugewiesen sind, erreicht nur die Netzwerkziele auf seiner Liste und hat keinen Zugriff auf andere Programme desselben Rechners. Fachlich heißt eine solche Umgebung Sandbox: Was darin geschieht, bleibt darin, und was außerhalb liegt, ist von innen nicht erreichbar.

Begrenzt heißt: Jeder Durchlauf hat eine Obergrenze an Schritten, an Laufzeit und an Kosten für Modellaufrufe. Erreicht ein Durchlauf eine dieser Grenzen, wird er beendet und als unvollständig gekennzeichnet. Diese Abbruchbedingungen schützen vor einer Automation, die sich im Kreis dreht und dabei bei jedem Durchlauf dieselben Angaben erneut übergibt.

Nachvollziehbar heißt: Jeder Schritt steht mit Zeitstempel, Eingabe, aufgerufenem Werkzeug und Ergebnis im Protokoll, und zwar so, dass sich ein Durchlauf im Nachhinein Schritt für Schritt lesen lässt. Bei einer Störung ist das Protokoll die einzige Grundlage, um festzustellen, welche Angaben betroffen waren; ohne Protokoll bleibt nur die Annahme, dass alles betroffen sein kann.

Die Abschottung wirkt gegen einen Angriff, der Automationen besonders trifft: Ein Modell liest die Inhalte, die es verarbeitet, und kann eine darin versteckte Anweisung als Auftrag verstehen. Eine eingehende E-Mail kann einen Satz enthalten, der das Modell auffordert, alle Kundendaten an eine fremde Adresse zu senden. Ein Harness, der dem Modell kein Werkzeug zum Versand an beliebige Adressen anbietet und jede Verbindung nach außen gegen die Liste erlaubter Ziele prüft, macht die Anweisung wirkungslos, gleich ob das Modell sie als Angriff erkennt oder nicht. Wie derselbe Angriff bei einem Chatbot auf der Website aussieht, beschreibt der Beitrag zu versteckten Anweisungen im Website-Chatbot.

Verantwortung, Vertrag, Geheimnisschutz

Verantwortlich für die Verarbeitung personenbezogener Daten in einer Automation bleibt der Betrieb, gleich wo der Harness läuft. Die Datenschutz-Grundverordnung verlangt von ihm in Artikel 32 technische und organisatorische Maßnahmen, die dem Risiko der Verarbeitung angemessen sind. Die vier Grenzen aus dem vorigen Abschnitt sind solche Maßnahmen, und sie lassen sich als solche dokumentieren: Die Eingabegrenze begrenzt die Verarbeitung auf das Erforderliche, die Ersetzung pseudonymisiert, die Werkzeuggrenze beschränkt den Zugriff, das Protokoll belegt, was geschehen ist.

Wird ein Modell bei einem Anbieter genutzt, also die zweite Anordnung gewählt, verarbeitet dieser Anbieter Daten im Auftrag des Betriebs. Dafür verlangt Artikel 28 der Verordnung einen Vertrag, der die Verarbeitung an Weisungen bindet, die Löschung regelt und dem Betrieb Kontrollrechte gibt. Ohne diesen Vertrag fehlt der Übergabe personenbezogener Angaben an das Modell die vertragliche Grundlage, unabhängig davon, wie sorgfältig der Harness die Eingabe aufbereitet. Sitzt der Anbieter außerhalb der Europäischen Union, kommt die Übermittlung in ein Drittland mit ihren eigenen Voraussetzungen hinzu. Ein lokales Modell erübrigt beide Fragen, weil kein Anbieter beteiligt ist.

Neben personenbezogenen Daten verarbeitet eine Automation Geschäftsgeheimnisse: Kalkulationen, Lieferantenkonditionen, Konstruktionsunterlagen. Das Geschäftsgeheimnisgesetz knüpft den rechtlichen Schutz solcher Angaben daran, dass der Inhaber angemessene Maßnahmen zu ihrer Geheimhaltung trifft. Ein Betrieb, der Kalkulationen ungefiltert an eine Plattform übergibt, deren Bedingungen eine Speicherung erlauben, wird sich schwer darauf berufen können, sie geheim gehalten zu haben. Ein Harness mit dokumentierter Eingabegrenze ist eine solche Maßnahme.

Für Steuerberater, Rechtsanwälte, Ärzte und andere Berufsgeheimnisträger kommt das Strafrecht hinzu: Was ein Mandant oder Patient ihnen anvertraut, dürfen sie ohne dessen Einwilligung keinem Außenstehenden zugänglich machen, und ein Dienstleister, der ein Modell betreibt, ist ein solcher Außenstehender, solange er nicht ausdrücklich zur Verschwiegenheit verpflichtet wurde. In diesen Berufen ist die erste Anordnung, der lokale Harness mit lokalem Modell, die Anordnung mit den wenigsten offenen Fragen, weil niemand außerhalb der Kanzlei oder Praxis beteiligt ist. Die Kompetenzpflicht aus Artikel 4 der KI-Verordnung gilt daneben: Wer den Harness betreut und die Freigaben erteilt, muss wissen, was die Automation tut und wo ihre Grenzen liegen.

Wo der Aufwand liegt

Ein lokaler Harness verlagert Verantwortung in den Betrieb. Vier Aufgaben entstehen dadurch, die bei einer Plattform der Anbieter übernimmt:

• Betrieb und Aktualisierung. Der Harness, die Werkzeuganbindungen und gegebenenfalls das lokale Modell brauchen Aktualisierungen, eine Überwachung und einen Ansprechpartner, der bei einem Ausfall eingreift.
• Hardware für ein lokales Modell. Ein Modell, das Belege liest und zuordnet, läuft auf einem Rechner mit einer Grafikkarte der oberen Leistungsklasse; ein Modell, das lange Verträge zusammenfasst, verlangt deutlich mehr. Vor der Entscheidung für die erste Anordnung steht deshalb ein Test mit echten Vorgängen auf der vorgesehenen Hardware.
• Fähigkeiten lokaler Modelle. Modelle, die auf eigener Hardware laufen, sind kleiner als die Modelle der großen Anbieter. Für abgegrenzte Aufgaben mit klarem Ergebnis, etwa das Auslesen von Belegfeldern, die Zuordnung zu Kategorien oder die Zusammenfassung eines Schreibens, reichen sie; für Aufgaben, die mehrere Unterlagen gegeneinander abwägen, seltener. Wo sie nicht reichen, ist die zweite Anordnung mit aufbereiteter Eingabe der Weg.
• Eine benannte Zuständigkeit. Jemand im Betrieb entscheidet über die vier Grenzen, sieht regelmäßig in das Protokoll und passt die Grenzen an, wenn sich die Aufgabe ändert. Ohne diese Person veralten die Grenzen, während die Automation weiterläuft.

Diesen Aufgaben steht gegenüber, was der Betrieb behält: die Angaben aus jedem Vorgang, das Wissen darüber, was die Automation tut, und die Möglichkeit, den Anbieter des Modells zu wechseln, ohne den Ablauf neu zu bauen. Der Harness bleibt derselbe, nur die Adresse des Modells ändert sich.

Prüfliste vor dem ersten Durchlauf

Sechs Festlegungen liegen vor, bevor ein lokaler Harness den ersten echten Vorgang bearbeitet.

Die sechste Prüfung liefert die klarste Auskunft: Ein Beleg mit einem eingefügten Satz, der das Modell zum Versand an eine fremde Adresse auffordert, zeigt in einem einzigen Durchlauf, ob Werkzeuggrenze und Liste erlaubter Ziele greifen.