LLM-Datenschutzrisiken

Definition

KI-spezifische Datenschutzprobleme, die bei Large Language Models (LLMs) auftreten und über die klassischen IT-Datenschutzrisiken hinausgehen. Offiziell anerkannt durch den BfDI (Dez. 2025).

Die 6 Kernrisiken

1. Memorisierung

LLMs "lernen" Trainingsdaten in abstrakten Gewichten (Parametern). Unter bestimmten Bedingungen (z.B. gezielte Prompts) können personenbezogene Daten aus dem Training re-produziert werden.

Größere Modelle memorisieren mehr
Duplikate im Trainingsdatensatz erhöhen Memorisierung ~1000-fach
BfDI-Definition: auch sinngemäße Reproduktion = Memorisierung
Löschung ist technisch ungelöst — Filter ≠ Löschung (DSK)

2. Halluzinationen

LLMs generieren statistische, nicht faktische Outputs. Personenbezogene "Fakten" können erfunden sein.

DSGVO-Bezug: Art. 5 Abs. 1 lit. d (Datenrichtigkeit)
Gegenmaßnahme: Hinweis auf Wahrscheinlichkeitscharakter der Ausgabe; RAG erhöht Richtigkeit

3. Inferenz

LLMs leiten personenbezogene Informationen aus vermeintlich harmlosen Eingaben ab.

Beispiel: "Kiez" → Berlin-Bezug → Standort ableitbar
Betrifft: Geschlecht, Einkommen, Herkunft, Gesundheit u.v.m.
Wächst mit Modellgröße und Kontextwissen

4. Bias/Fairness

Verzerrungen in Trainingsdaten propagieren in Outputs → mögliche Diskriminierung.

DSGVO-Bezug: Art. 5 Abs. 1 lit. a (Treu und Glauben)
Mitigierung: Data Provenance, kuratierte Datensätze, Bias-Testing

5. Black-Box-Charakter

Entscheidungswege tiefer neuronaler Netze sind nicht direkt menschlich nachvollziehbar.

Herausforderung für Auskunftsrecht (Art. 15 DSGVO) und Erläuterungsrecht (Art. 22 DSGVO)
Gegenmaßnahme: Explainable AI (XAI), Chain-of-Thought-Prompting

6. Drittländer-Transfer

LLMs werden oft in US-/Nicht-EU-Rechenzentren gehostet.

Risiko: staatliche Zugriffe, US-Gerichtsurteile zur Löschungsuntersagung (vgl. NYT vs. OpenAI)
DSGVO-Bezug: Art. 44 ff. (Drittlandübermittlung)
Präferenz: europäische Rechenzentren

DSGVO-Konsequenzen

DSFA ist immer Pflicht (Stand 2025/2026): "Innovative Nutzung neuer technologischer Lösungen" ist bei LLMs stets erfüllt → DSFA-Trigger. Keine Größenausnahme.

AIaaS-Vertragspflicht: Vertraglich ausschließen, dass Anbieter Nutzer-Eingaben/Ausgaben für Training verwendet. Shadow AI (Schatten-KI) macht das faktisch unwirksam.

Löschrecht: Bei Löschanspruch (Art. 17 DSGVO):

Neues Modell ohne betreffende Trainingsdaten (aufwendig)
Machine Unlearning (noch unreif)
Filter als Übergangsmaßnahme (kein vollwertiger Ersatz)

Mitigierungsmaßnahmen (Kurzübersicht)

Maßnahme	Wirkung	Phase
Deduplikation	Reduziert Memorisierung stark	Training
Differential Privacy	Verhindert Personenidentifikation	Training
Anonymisierung	Entfernt PD aus Trainingsdaten	Preprocessing
RAG + kleineres Modell	Datenschutzfreundlichste Architektur	Design
System-Prompt	Verhindert PD-Ausgabe	Betrieb
Output-Filter	Erkennt/entfernt PD in Ausgaben	Betrieb
Guardrails	Verhindert unerwünschte Generierung	Betrieb
Zugriffskonzepte	Differenzierte Rechte auf Datenbanken	Betrieb
Red Teaming + MIA	Findet Schwachstellen	Sicherheit
Schulungen	Mitarbeitende erkennen Risiken	Governance

Wichtig: Model Inversion Attacks (MIA) können aus trainierten Modellen Trainingsdaten rekonstruieren. Konsequenz: Das Modell selbst kann als pseudonymisierte (personenbezogene) Daten eingestuft werden. Anonymisierung ist daher eine Daueraufgabe — was heute anonym ist, kann durch neue De-Anonymisierungsverfahren morgen re-identifizierbar werden (EG 26 S. 4 DSGVO). → KI-Trainingsdaten & DSGVO

Privacy Filter / PII-Stripping (Eingabe-Ebene)

Neben Output-Filtern existieren Eingabe-Filter (Privacy Filter), die personenbezogene Daten vor der Übermittlung an ein LLM entfernen und nach der Antwort wieder einsetzen:

Workflow: Nutzereingabe → PII automatisch erkennen → durch Platzhalter ersetzen → Prompt an LLM (ohne Personenbezug) → Antwort empfangen → Platzhalter durch Originaldaten re-substituieren → Ausgabe an Nutzer

Datenschutzrechtliche Einordnung: Wenn kein personenbezogenes Datum das EU-Hoheitsgebiet verlässt bzw. den KI-Anbieter erreicht, entfällt der DSGVO-Bezug für die LLM-Verarbeitung selbst. Die PII-Erkennung und Platzhalter-Verwaltung verbleibt beim Verantwortlichen. Achtung: Privacy Filter sind nur so gut wie ihre Erkennungsrate — indirekte Personenbezüge (Inferenz aus Kontext) können durchrutschen.

KMU-Relevanz: Ermöglicht Nutzung leistungsstarker US-LLMs (GPT-4, Claude) ohne Drittland-Transfer-Problematik für personenbezogene Daten. Sinnvoll als Übergangslösung, bis europäische Modelle gleichwertige Leistung bieten.

LLM-Datenschutzrisiken