Confidential AI Regelwerke reichen nicht: Wie geht sichere KI-Nutzung in der Verwaltung?

Anbieter zum Thema

Edgeless Systems GmbH

PDV GmbH

secunet Security Networks AG

SysEleven GmbH

Digitale Souveränität beginnt da, wo Daten technisch – und nicht nur regulatorisch, vertraglich oder per Serverstandort abgesichert sind, schreibt unser Gastautor Dr. Felix Schuster. Confidential Computing, in der ePA oder der Office Suite OpenDesk bereits im Einsatz, bietet hier die Lösung – auch für den Einsatz von KI in der Verwaltung.

Die öffentliche Verwaltung ist schnell bei der KI-Implementierung. Schneller, als ihr viele zugetraut haben. Und auch wenn wir hier vor allem von Pilotprojekten sprechen, ist das absolut begrüßenswert. Während also in zahlreichen Projekten wie Bär GPT in Berlin, NRW.Genius oder F13 in Baden-Württemberg KI getestet, weiterentwickelt und eingesetzt wird, stellt sich wie immer die leidige Frage nach der Datensicherheit. Wie können teils hochsensible Daten geschützt werden, ohne dabei die Potenziale von KI so zu beschneiden, dass sie am Ende nicht mehr sinnvoll einsetzbar ist?

Es ist natürlich nicht so, als hätte sich diese Frage noch niemand gestellt. Sie wurde bloß noch nicht zufriedenstellend beantwortet. Es gibt zwar immer mehr Leitlinien und Regelwerke, die für Sicherheit sorgen sollen: So macht nicht nur der EU AI Act Vorgaben zur IT-Sicherheit. Die Leitlinien des BMI für den KI-Einsatz in der Bundesverwaltung definieren Anforderungen an Datenschutz, IT-Sicherheit und Governance, ebenso der Kriterienkatalog des BSI. Keines dieser Regelwerke aber macht Vorgaben zu konkreten technischen Maßnahmen, um Daten zu jedem Zeitpunkt der Speicherung, Übertragung und Verarbeitung zuverlässig zu schützen, wenn für den KI-Einsatz Cloud-Infrastrukturen genutzt werden. Und wenn man KI in der Verwaltung skalierbar und bezahlbar einsetzen will, wird es ohne Cloud-basierte Lösungen schwer.

Vorsicht bei der „souveränen Cloud”

Wie geht die Verwaltung mit diesen offenen Sicherheitsfragen um? Ganz unterschiedlich. Die einen möchten am liebsten auf Lösungen setzen, die zwar in einer Cloud und mit amerikanischen KI-Modellen betrieben werden, aber bei denen europäische oder deutsche Serverstandorte und Datenschutzverträge vermeintliche digitale Souveränität gewährleisten sollen. Das kürzlich angekündigte „OpenAI für Deutschland” – eine Partnerschaft zwischen OpenAI und SAP mit dem Ziel, ChatGPT auch in deutschen Behörden sicher einzusetzen – ist ein Paradebeispiel für eine solche versprochene Souveränität, die keine ist.

Die anderen wollen vollständige Souveränität um jeden Preis. Sie setzen so stark wie möglich auf europäische oder sogar deutsche Anbieter und betrachten echte Sicherheit erst als gegeben, wenn auch die KI-Systeme selbst, samt Datenverarbeitung und Modellbetrieb, in eigenen Rechenzentren laufen.

Schwächen haben beide Herangehensweisen: Die Cloud-basierten Lösungen haben in ihrer aktuellen Form strukturelle Sicherheitsrisiken, weil die Daten im Betrieb entschlüsselt werden müssen. Die Cloud-Betreiber und die KI-Unternehmen, die im Fall von beispielsweise OpenAI oder Anthropic ja dem US Cloud Act unterliegen, haben damit potenziell Zugriff auf die Daten. Datenabfluss ist somit jederzeit möglich und muss nicht einmal offengelegt werden. Dazu kommt: Jede Sicherheitslücke in der Cloud-Software ist ein Einfallstor für Hacker. Ob es solche Lücken gibt, lässt sich aber von außen nicht hinreichend prüfen. Damit basiert die komplette „Sicherheit” auf vertraglichen Regelungen und Vertrauen, während sie auf technischer Ebene nicht gegeben ist. Daher gilt: Keine Cloud ist wirklich sicher, egal, ob sie als souveräne Cloud verkauft wird oder nicht.

On-premise-Ansätze dagegen sind teuer, die Umsetzung dauert lange, im Betrieb sind sie aufwändig und technisch schnell veraltet. Für Anwendungsfälle mit Daten der Schutzstufe „Verschlusssache – Nur für den Dienstgebrauch“ (VS-NfD) sind sie zwar nach wie der Standard und gerechtfertigt, für viele andere Fälle wie Bürgerkommunikation, Fallbearbeitung, Dokumentenauswertung oder Wissensmanagement sind sie es dagegen nicht. In Zukunft sollen Zehntausende Behördenmitarbeiter gleichzeitig KI-Tools nutzen können. Mit On-premise-Lösungen steht man dann vor einem Skalierungsproblem, und auch die sehr unterschiedliche Auslastung zu verschiedenen Tageszeiten ist eine Herausforderung.

Was ist die Alternative?

Es gibt ihn, den goldenen Mittelweg: Und zwar mit Confidential Computing und darin ausgeführter KI, die wir der Einfachheit halber Confidential AI nennen.

Die Idee dahinter: Digitale Souveränität beginnt da, wo Daten technisch und nicht nur regulatorisch, vertraglich oder per Serverstandort abgesichert sind. Beim Confidential Computing bleiben Daten nicht nur bei der Speicherung und Übertragung, sondern auch bei der Verarbeitung verschlüsselt. So hat niemand, weder Cloud-Betreiber noch KI-Unternehmen noch Administratoren oder Hacker, zu irgendeinem Zeitpunkt Zugriff auf Daten im Klartext. Das funktioniert, weil die Daten nur für den Moment der Berechnung in einem geschützten Bereich der Hardware entschlüsselt und anschließend sofort wieder verschlüsselt werden. Über das kryptografische Verfahren der Remote Attestation wird dabei nachgewiesen, dass die gesamte verschlüsselte Verarbeitungskette bis in die Hardware intakt ist und in der vorgesehenen, vertrauenswürdigen Umgebung stattfindet. So lassen sich auch Clouds sicher nutzen. Confidential Computing wird schon erfolgreich im Verwaltungs-Kontext eingesetzt, zum Beispiel in der ePA und der Office Suite OpenDesk. Im Rahmen von KI-Anwendungen wird es dagegen noch wenig genutzt, dabei kann es hier seine Stärken ausspielen.

Confidential AI überträgt das Prinzip des Confidential Computing auf KI-Systeme: Sensible Daten werden dann nur innerhalb der abgesicherten Hardware-Umgebung (Trusted Execution Environment) entschlüsselt und verarbeitet und bleiben währenddessen vor Zugriffen von außen geschützt. Damit steht dem KI-Betrieb in Cloud-Umgebungen nichts im Wege. Das funktioniert zwar nicht mit allen gängigen LLM-Modellen, da viele von ihnen nicht quelloffen sind; moderne Open-Source-Modelle wie Llama aber lassen sich gut mit Confidential AI nutzen.

Will man Confidential AI in der Verwaltung einsetzen, ist das übrigens keine Frage von „ganz oder gar nicht”. Es kann auch in hybride Architekturen integriert werden: Zum Beispiel in Form eines LLM-Hubs, bei dem je nach Datenklassifikation verschiedene LLMs zum Einsatz kommen. In Anwendungsfällen ohne sensible Daten können dann durchaus öffentliche Clouds und Tools wie ChatGPT zum Einsatz kommen; Fälle mit sensiblen Daten werden in der Cloud, aber über Confidential Computing verschlüsselt, verarbeitet. Und Fälle der höchsten Datensicherheitskategorien können nach wie vor on-premise in eigenen Rechenzentren verarbeitet werden.

Technische Datensicherheit als neuer Standard

Eines muss dabei klar sein: Confidential AI ist ein Baustein für den sicheren KI-Betrieb, kein Allheilmittel. Die eine perfekte Lösung für alle Sicherheitsfragen gibt es nicht. So ist beim Einsatz von Confidential AI gute Data Governance nach wie vor ein Muss. Auch Sicherheitsrisiken wie Prompt Injections kann Confidential AI nicht lösen, da diese auf der Anwendungsebene entstehen. Hier wiederum bieten die oben erwähnten Regelwerke von BMI und Co. eine sehr gute Hilfestellung.

Auf technischer Sicherheitsebene aber hat Confidential AI das Potenzial, zum Verwaltungs-Standard zu werden. Dafür braucht es vor allem ein größeres Bewusstsein für das Thema Datensicherheit, mehr Pragmatismus in der Diskussion um digitale Souveränität, aber auch konkrete Vorgaben von Bund und Ländern für technische Sicherheitsstandards.

Digitale Souveränität in der Verwaltung

Baden-Württemberg zweifelt an Souveränität der Delos Cloud

openDesk

Sicher in der Cloud: Confidential Computing

(ID:50622970)