Der Einsatz von künstlicher Intelligenz gehört in vielen Unternehmen bereits zum festen Bestandteil der Arbeitsprozesse. Ob zur automatisierten Texterstellung, Analyse von Kundendaten oder Unterstützung im Kundenservice – generative Sprachmodelle versprechen enorme Effizienzsteigerungen. Doch mit der Integration dieser Systeme im Betrieb entsteht eine völlig neue Klasse von Sicherheitsrisiken, die von traditionellen Schutzmechanismen kaum erfasst wird: die sogenannte Prompt Injection. Dabei schleusen Angreifer manipulierte Befehle in die Dateneingabe ein, um die internen Schutzfilter der Anwendung gezielt zu umgehen.
Bei dieser Angriffsmethode unterscheiden Experten zwischen direkten und indirekten Manipulationen. Während bei der direkten Variante der Nutzer selbst versucht, das System zu unerlaubten Handlungen zu bewegen, ist die indirekte Variante für Unternehmen besonders gefährlich. Hierbei befinden sich die schädlichen Befehle versteckt in externen Dokumenten, E-Mails oder Webseiten. Verarbeitet das Sprachmodell diese externen Quellen automatisch, liest es die versteckten Anweisungen mit und führt sie unbemerkt aus. Dies kann zur Folge haben, dass vertrauliche Geschäftsgeheimnisse oder sensible personenbezogene Daten an unbefugte Dritte weitergeleitet werden.
Aus datenschutzrechtlicher Sicht tragen Unternehmen die volle Verantwortung für alle Verarbeitungsschritte ihrer IT-Infrastruktur. Wenn ein KI-System durch eine unzureichende Absicherung personenbezogene Daten ohne Rechtsgrundlage preisgibt, liegt ein schwerwiegender Verstoß gegen Artikel 32 DSGVO vor. Den Aufsichtsbehörden reicht das Argument der Neuartigkeit dieser Technologie als Ausrede nicht aus. Betriebe müssen nachweisen, dass sie angemessene technische und organisatorische Maßnahmen ergriffen haben, um solche Datenabflüsse wirksam zu verhindern.
Ein rechtssicherer Einsatz verlangt daher eine kontinuierliche Überwachung der Systemarchitektur und eine strikte Kontrolle aller Datenquellen, die durch automatisierte Modelle verarbeitet werden.
Näheres können Sie dem verlinkten Bericht entnehmen:
https://www.dr-datenschutz.de/prompt-injection-das-unterschaetzte-risiko-fuer-unternehmen/
Unsere Empfehlung
Prüfen Sie die Sicherheitskonzepte Ihrer eingesetzten Sprachmodelle auf Anfälligkeiten gegenüber Manipulationen. Isolieren Sie Anwendungen, die externe Daten verarbeiten, von internen Datenbanken mit vertraulichen Inhalten. Führen Sie zwingend eine Datenschutz-Folgenabschätzung durch und beschränken Sie die Zugriffsrechte der Systeme auf das absolute Minimum.
👉Kontaktieren Sie uns jetzt – Wir bewerten die IT-Sicherheit Ihrer KI-Anwendungen und helfen Ihnen, automatisierte Systeme DSGVO-konform zu betreiben.
Vereinbaren Sie ein unverbindliches Beratungsgespräch und bringen Sie die Transparenz Ihres Unternehmens auf den neuesten Stand.
