Personenbezogene Daten und Geheimnisse (PII)

Was es ist

PII — Personally Identifiable Information (personenbezogene Daten) — sind alle Daten, die eine Person identifizieren: eine E-Mail-Adresse, eine Telefonnummer, eine Personalausweisnummer, ein Bankkonto. Chatprotokolle sind voll davon, da Personen ihre Daten einfügen, wenn sie um Hilfe bitten. Geheimnisse wie API-Schlüssel und Passwörter landen aus demselben Grund dort. Dieser Schritt findet sie in den Trainingsdaten und entscheidet, was mit ihnen geschieht, bevor die Daten in das Training einfließen.

Warum ein Modell Trainingsdaten preisgeben kann

Das Training bringt das Modell dazu, jede Zielantwort wahrscheinlicher zu machen. Für den Großteil des Textes bedeutet dies das Erlernen von Mustern. Bei seltenen, exakten Zeichenfolgen — einer IBAN, einer E-Mail-Adresse, einem Schlüssel — ist die einzige Möglichkeit der Vorhersage jedoch, sie zu memorieren. Dieser gespeicherte Text kann dann wieder zum Vorschein kommen, wenn ein späterer Prompt dem ursprünglichen Kontext ähnelt.

Dies ist nicht hypothetisch. Carlini et al. (2020) extrahierten Hunderte von wortwörtlichen Sequenzen aus den Trainingsdaten von GPT-2, darunter Namen, Telefonnummern und E-Mail-Adressen, indem sie das Modell mit Prompts ansteuerten und dessen Ausgaben filterten. Spätere Studien ergaben, dass die Memorierung mit der Modellgröße und der Wiederholungshäufigkeit eines Beispiels zunimmt. Lukas et al. (2023) zeigten zudem, dass gängige Bereinigungsmethoden das Durchsickern von PII zwar reduzieren, aber nicht vollständig verhindern. Fine-Tuning-Daten stellen einen wesentlich kleineren Datensatz dar, der mehrfach durchlaufen wird (jede Epoche ist ein weiterer Durchgang), was das Memorieren eher erleichtert als erschwert.

Wie es funktioniert

Die Erkennung durchsucht den Konversationstext nach Identifikatoren mit einer erkennbaren Struktur: E-Mail-Adressen, Telefonnummern, Kreditkartennummern, IBANs, nationale Identifikationsnummern und API-Schlüssel. Jeder Treffer wird anschließend gemäß dem von Ihnen gewählten Modus behandelt. Bei Schwärzen wird der Wert durch einen Platzhalter desselben Typs ersetzt:

Email        dana.k@example.com              →  [EMAIL]
Phone        +44 20 7946 0958                →  [PHONE]
Card number  4111 1111 1111 1111             →  [CARD]
IBAN         GB33 BUKB 2020 1555 5555 55     →  [IBAN]
API key      sk_live_…                       →  [API_KEY]

Platzhalter lassen das Trainingssignal intakt. Das Modell lernt weiterhin, dass eine Rückerstattungsanfrage ein Konto erwähnt und eine gute Antwort um Bestätigung per E-Mail bittet; es sieht lediglich niemals ein echtes Konto. Im Einsatz wird es gelegentlich [EMAIL] anstelle eines echten Wertes ausgeben, was ein weitaus besserer Fehler ist, als die Adresse eines echten Kunden preiszugeben.

Was die Erkennung nicht erfassen kann

Die Mustererkennung ist bei Identifikatoren mit fester Struktur zuverlässig. Bei Freitext ist sie deutlich schwächer: der Name einer Person, eine im Fließtext geschriebene Adresse, eine Diagnose oder ein Detail, das jemanden nur in Kombination identifiziert („der CFO unseres Büros in Lyon“). Betrachten Sie die Schwärzung als Sicherheitsnetz, nicht als Garantie, und prüfen Sie eine Stichprobe des Datensatzes unter diesem Gesichtspunkt — insbesondere wenn Chats Themen aus den Bereichen Gesundheit, Finanzwesen, Personal oder Recht behandeln.

Häufige Fehler

• Nur Nutzernachrichten schwärzen: Die Antworten des Assistenten sind die Zieltexte, auf deren Reproduktion das Modell trainiert wird, daher sind sie am wichtigsten.
• Automatische Schwärzung als vollständig betrachten. Namen, Adressen und sensible Fakten in Fließtexten sind keine strukturierten Identifikatoren.
• Markieren „nur für den Moment“ verwenden und trotzdem mit der markierten Datei trainieren.
• Geheimnisse vergessen: In einen Support-Chat eingefügte API-Schlüssel sind in der Ausgabe eines Modells genauso gefährlich wie personenbezogene Daten.
• Den Schwärzungsmodus zwischen zwei Aufbereitungen ändern und dann die resultierenden Modelle vergleichen, als ob sich nur die Trainingseinstellungen unterschieden hätten.

Quellen und weiterführende Literatur

Externe Quellen werden in einem neuen Tab geöffnet.

1. 01Extracting Training Data from Large Language Models↗Carlini et al., 2020 · arXiv · arxiv.orgDie Studie, die zeigte, dass Sprachmodelle durch Prompts dazu gebracht werden können, personenbezogene Daten aus ihrem Trainingsdatensatz preiszugeben.
2. 02Quantifying Memorization Across Neural Language Models↗Carlini et al., 2022 · arXiv · arxiv.orgWie die Memorierung mit der Modellgröße, Duplizierung und Prompt-Länge zunimmt.
3. 03Analyzing Leakage of Personally Identifiable Information in Language Models↗Lukas et al., 2023 · arXiv · arxiv.orgMisst, wie gut Bereinigung und andere Schutzmaßnahmen das Durchsickern von PII tatsächlich reduzieren.
4. 04Personal data↗Wikipedia · en.wikipedia.orgDefinitionen von personenbezogenen Daten und PII in rechtlichen Rahmenbedingungen wie der DSGVO.

Verwandte Konzepte