Sicherheit
KI-Entwicklertools und die Grenze für sensible Daten
Bei einem Entwicklungswerkzeug wird die Datenschutzfrage schnell auf eine einzige Entscheidung verkürzt: Darf das Team KI verwenden? Für eine belastbare Antwort ist diese Kategorie zu grob. Ein Werkzeug kann vollständig lokal suchen, nur ausgewählte Änderungen an ein Modell senden oder vertrauliche Gesprächsverläufe dauerhaft auf dem eigenen Rechner speichern. Diese Abläufe haben verschiedene Risiken. Wer sie unter einem Etikett zusammenfasst, kann weder die passende Freigabe noch die passende Einschränkung formulieren.
Den konkreten Vorgang betrachten
In meinem Open-Source-Projekt commitell werden Git-Änderungen in Commits mit modellgeschriebenen oder deterministisch lokal erzeugten Nachrichten überführt. Der Offline-Modus erstellt eine konservative Nachricht aus dem lokalen Dateistatus, ohne eine Modellanfrage zu senden. Ein Probelauf zeigt den Plan, ohne Git zu verändern oder etwas zu veröffentlichen. Damit sind unterschiedliche Datenentscheidungen innerhalb eines einzigen Werkzeugs sichtbar.
Das Wort „offline“ muss trotzdem an den jeweiligen Schritt gebunden bleiben. Eine lokal erzeugte Commit-Nachricht verhindert nicht, dass ein späteres Veröffentlichen den Commit an ein entferntes Repository überträgt. Auch die ausgewählten Dateien gehören zu dieser Entscheidung. Fragen Sie deshalb nicht nur, ob ein Werkzeug einen Offline-Modus hat, sondern welche nachfolgenden Aktionen weiterhin Daten an andere Systeme weitergeben können.
Ein Scanner ist eine Hilfe, keine Garantie
commitell prüft lokal auf wahrscheinliche Geheimnisse, bevor markierte Inhalte an einen Modellanbieter gehen. Bei nicht interaktiver Nutzung wird im Verdachtsfall ohne ausdrückliche Ausnahme abgebrochen. Das ist eine konkrete Kontrolle an einem konkreten Übergang. Sie ist aber kein vollständiges Geheimnismanagement und kann nicht erkennen, welche fachliche Information Ihr Unternehmen unabhängig von typischen Zugangsdaten vertraulich behandeln muss.
Ein Vertragstext, ein noch nicht veröffentlichtes Produktmerkmal oder eine interne Begründung kann sensibel sein, ohne wie ein Passwort auszusehen. Deshalb darf ein unauffälliger Scan nicht als automatische Freigabe für den gesamten Inhalt verstanden werden. Der verantwortliche Prozess muss bestimmen, welche Daten überhaupt übertragen werden dürfen. Die technische Erkennung unterstützt diese Entscheidung, übernimmt aber nicht deren organisatorische und rechtliche Verantwortung.
Lokal gespeichert bleibt schützenswert
In meinem Open-Source-Projekt ichnora werden Entscheidungen und Arbeitskontext lokal und projektbezogen für Coding-Agenten gespeichert. Die Suche benötigt keine Modellaufrufe und keinen ausweichenden Netzwerkdienst. Sammlung und automatischer Abruf sind standardmäßig ausgeschaltet; ein historischer Import verlangt Vorschau und Bestätigung. Das macht Speicherung zu einer ausdrücklichen Entscheidung statt zu einer unbemerkten Nebenwirkung jeder Arbeitssitzung.
Trotzdem kann ein Gesprächsverlauf auch nach dem Schwärzen erkannter Zugangsdaten vertrauliche Inhalte enthalten. Lokale Speicherung bedeutet nicht, dass andere Prozesse unter demselben Benutzer technisch ausgeschlossen sind. Die Anwendungspolitik für einen lokalen Kommunikationskanal ist keine Isolation zwischen diesen Prozessen. Für den Einkauf gehören daher auch lokale Zugriffsrechte, Aufbewahrung und Löschung in die Bewertung, nicht nur die Frage nach einem externen Cloudanbieter.
Recherche und Modellzugriff sind verschiedene Grenzen
Mein experimentelles Open-Source-Projekt tentaflake-research stellt einen getrennten Dienst für öffentliche Webrecherche und gespeicherte Belege bereit. Anbieterschlüssel liegen nicht beim Client. Aufträge, Budgets und Herkunftsinformationen werden im Dienst behandelt. Kostenpflichtige Anbieter und optionale Fähigkeiten benötigen eine Konfiguration durch den Betreiber. Daraus folgt weder eine vollständige Isolation noch ein umfassender Schutz vor manipulativen Inhalten aus externen Quellen.
Die Trennung hilft, präzisere Fragen zu stellen. Welche Suchanfrage geht an welchen Anbieter? Was wird abgerufen und lokal gespeichert? Welche Teile eines Belegs werden anschließend einem Modell gegeben? Öffentliche Quellen machen die eigene Suchabsicht nicht automatisch unkritisch. Eine Anfrage kann vertrauliche Vorhaben verraten, obwohl die gesuchte Information öffentlich zugänglich ist. Der Datenfluss verdient deshalb auch bei Recherche eine ausdrückliche Prüfung.
Richtlinien müssen zum tatsächlichen Anbieter passen
Bei commitell werden für OpenRouter-Anfragen bestimmte Datenschutzanforderungen angegeben; andere Anbieter haben eigene Bedingungen. Eine regionale Weiterleitung ist dabei keine Datenschutz-Zertifizierung. Auch eine Einstellung zur Aufbewahrung beantwortet nicht automatisch jede Frage zu Metadaten oder kontoweiten Regeln. Eine technische Option sollte deshalb nur die Zusage tragen, die der tatsächlich verwendete Anbieter und die konkrete Konfiguration nachvollziehbar hergeben.
Ich würde die Beschaffung an einer einfachen Datenflussbeschreibung festmachen: Ausgangsdaten, Empfänger, Zeitpunkt, gespeicherte Kopien und verantwortliche Stelle. Dazu gehört eine lokale Alternative, falls die Übertragung nicht freigegeben werden kann, und eine ehrliche Beschreibung ihrer Einschränkungen. Nicht jedes Werkzeug muss für jeden Datentyp geeignet sein. Eine engere, verständliche Grenze ist oft verantwortlicher als ein umfassendes Versprechen, dessen Voraussetzungen niemand benennen kann.
Fragen an Ihr Team oder Ihren Anbieter
- Welche Quelldaten, Änderungen oder Gesprächsverläufe verlassen bei welcher konkreten Aktion den lokalen Rechner?
- Welche späteren Schritte können Daten veröffentlichen, obwohl die vorherige Verarbeitung offline stattgefunden hat?
- Welche vertraulichen Inhalte erkennt die Geheimnissuche nicht, und wer entscheidet über deren Freigabe?
- Was wird lokal gespeichert, wie lange bleibt es erhalten, und wer kann unter demselben Benutzer darauf zugreifen?
- Welche Anbieterbedingungen gelten tatsächlich für Inhalt, Metadaten, Aufbewahrung und regionale Verarbeitung?
- Welche lokale Alternative gibt es, wenn eine Modell- oder Rechercheanfrage nicht genehmigt werden kann?