Vertrauliche Verarbeitung (TEE)

Wer vertrauliche Daten an einen KI-Dienst gibt, muss wissen, wer sie unterwegs und während der Verarbeitung lesen kann. Bei den meisten KI-Diensten sind das mehrere Beteiligte. Bei SOFI rechnet das Modell von Haus aus in einer vertraulichen Ausführungsumgebung, englisch Trusted Execution Environment, kurz TEE. Diese Seite erklärt, was das ist, wovor es schützt, wo die Grenzen liegen und wie Sie es prüfen. Wer die Technik dahinter im Einzelnen wissen will, von der Hardware über die Attestierung bis zur Verankerung der Nachweise in der Blockchain, findet sie in der technischen Referenz.

Ausgangslage bei herkömmlichen KI-Diensten

Hinter einem KI-Dienst stehen in der Regel vier Rollen. Bei einem herkömmlichen Dienst hat jede von ihnen Zugriff auf das, was Sie eingeben.

Rolle	Aufgabe	Zugriff auf Ihre Daten
Betreiber der Rechenzentren	stellt Rechner, Grafikkarten und Systemsoftware	kann alles lesen, was auf seinen Rechnern verarbeitet wird
Betreiber der Plattform	betreibt die Software, die das Modell ausführt	sieht Eingaben und Antworten im Klartext und kann sie protokollieren
Anbieter des Modells	liefert das Modell	ohne mitgelieferte Software kein Zugriff, mit ihr derselbe wie die Plattform
Anbieter des Dienstes	fügt alles zusammen und stellt die Oberfläche	sieht alles und entscheidet, ob Eingaben zum Training verwendet werden

Oft übernimmt ein Unternehmen mehrere dieser Rollen. Für die berufliche Verschwiegenheit ist das der Kern des Problems: Verträge verpflichten diese Beteiligten, sie hindern sie aber nicht. Wer technisch mitlesen kann, kann es auch bei einem Fehler, bei einem Angriff oder auf Anordnung.

Trusted Execution Environment

Eine vertrauliche Ausführungsumgebung ist ein abgeschirmter Bereich im Prozessor und in der Grafikkarte, auf der das Modell rechnet. Die Abschirmung leistet die Hardware selbst: Der Arbeitsspeicher dieses Bereichs ist verschlüsselt, mit Schlüsseln, die nur der Prozessor kennt und nie herausgibt. Betriebssystem, Verwaltungssoftware und die Administratoren des Rechenzentrums sehen von außen nur verschlüsselte Daten, auch mit vollem Zugriff auf die Maschine.

Ein Vergleich: Ein Tresorraum steht im Gebäude des Vermieters. Der Vermieter besitzt das Gebäude, liefert Strom und Kühlung und kann jeden Flur betreten. Den Tresorraum öffnet er nicht. Was darin geschieht, sieht er nicht.

Eine solche Umgebung gibt drei Zusicherungen:

• Vertraulichkeit. Niemand außerhalb der Umgebung kann die Daten lesen, die darin verarbeitet werden.
• Integrität. Niemand außerhalb kann die Software verändern, die darin läuft, ohne dass es auffällt.
• Nachweisbarkeit. Die Hardware kann bestätigen, welche Software in der Umgebung läuft und dass die Abschirmung aktiv ist. Das ist die Attestierung.

Attestierung

Verschlüsselung allein genügt nicht. Man müsste sicher sein, dass am anderen Ende wirklich eine abgeschirmte Umgebung mit der erwarteten Software steht und nicht ein gewöhnlicher Rechner, der nur so tut. Genau das leistet die Attestierung.

Bevor Daten in die Umgebung gehen, stellt die Hardware einen signierten Nachweis aus: welche Software darin läuft, in welchem Zustand sie ist und dass die Abschirmung aktiv ist. Dieser Nachweis wird gegen die erwarteten Werte geprüft. Stimmt er nicht, fließt nichts. Erst danach wird der Schlüssel ausgetauscht, mit dem Ihre Daten für die Umgebung verschlüsselt werden.

Bei SOFI wird dieser Nachweis für jede Interaktion mit einem Modell in der vertraulichen Umgebung gesichert. Je nach Modell gilt er für die einzelne Interaktion oder für die Sitzung, in der sie stattfand. Welche Art vorliegt, steht am Nachweis in der Anwendung.

Datenweg

Auf dem Weg vom Browser zu SOFI und von SOFI in die vertrauliche Umgebung sind die Daten verschlüsselt. Im Klartext liegen sie nur innerhalb der abgeschirmten Umgebung, solange das Modell rechnet. Danach werden Eingaben und Antworten dort weder aufbewahrt noch für das Training verwendet.

Nachweise in der Anwendung

Im Menü hinter Ihrem Profilbild steht der Eintrag Attestierungen. Dort führt SOFI die Nachweise zu Ihren Interaktionen, mit Modell, Zeitpunkt, Art des Nachweises und Prüfsumme. Jedes Mitglied sieht seine eigenen.

Die Art sagt, was ein Nachweis belegt:

• TEE, pro Interaktion. Die Hardware hat die Umgebung für genau diese Nachricht bestätigt. Der Nachweis ist an Anfrage und Antwort gebunden.
• TEE, pro Sitzung. Die Umgebung wurde für die Sitzung bestätigt, nicht für jede Nachricht einzeln. Einen an diese eine Nachricht gebundenen Nachweis gibt es nicht.
• Vertraglich. Das Modell läuft außerhalb der abgeschirmten Umgebung. Nachgewiesen ist die Verarbeitung selbst: welches Modell über welchen Endpunkt in der EU angefragt wurde und in welchem Umfang, gebunden an Anfrage und Antwort über deren Prüfsummen. Die Vertraulichkeit beim Anbieter beruht dann auf Vertrag und Zweckbindung.

Ein Nachweis lässt sich in der Anwendung erneut prüfen. Die Prüfung rechnet den gesicherten Nachweis nach und zeigt Schritt für Schritt, was geprüft wurde. Die Prüfsummen der Nachweise werden zusätzlich in einem öffentlichen Register festgeschrieben; der Nachweis zeigt, ob das schon geschehen ist. Eine nachträgliche Änderung fiele auf.

Jeder Nachweis lässt sich als PDF herunterladen. Das Dokument nennt das Ergebnis auf der ersten Seite und sagt dort auch, was es nicht belegt. Ein Anhang führt alle Werte auf und erklärt, wie ein Prüfer den Nachweis ohne SOFI nachrechnet. Es ist auf Englisch gehalten, damit es auch bei internationalen Prüfungen ohne Übersetzung vorgelegt werden kann.

Grenzen

Eine vertrauliche Ausführungsumgebung schützt die Verarbeitung. Sie ersetzt weder den Vertrag noch das fachliche Urteil.

• Modelle außerhalb der Umgebung. Es gibt Modelle, die nicht in der abgeschirmten Umgebung laufen. Sie sind von vornherein aus; Ihre Organisation muss sie ausdrücklich freischalten. Die Nachweise zu diesen Interaktionen sind vertraglicher Art, siehe oben. Mehr dazu unter Sicherheit und Datenschutz.
• Web-Suche. Eine Suchanfrage verlässt die Umgebung und geht an eine Suchmaschine. Die Vorgabe ist, dass SOFI sie vorher anonymisiert. Details unter Sicherheit und Datenschutz.
• Sprachausgabe. Die SOFI-Stimme der iPhone-App entsteht bei einem Dienstleister mit Verarbeitung in Frankfurt; der gesprochene Antworttext verlässt dafür die Umgebung. Die Stimme ist von vornherein aus, Ihre Organisation gibt sie ausdrücklich frei. Details unter Sicherheit und Datenschutz.
• Fachliche Richtigkeit. Die Attestierung belegt, wo und womit gerechnet wurde. Ob die Antwort fachlich stimmt, belegt sie nicht. Das bleibt die Aufgabe Ihrer Berufsträger, anhand der Primärquellen.

• TaxGraph. Eine Rechercheanfrage an TaxGraph verlässt die Umgebung samt den Angaben zum Sachverhalt. TaxGraph verarbeitet sie in der EU als Unterauftragnehmer. Details unter Fachdatenbanken.

Berufsrecht

Für Berufsgeheimnisträger ergänzen sich zwei Ebenen. Die vertrauliche Verarbeitung sorgt dafür, dass Dritte technisch nicht mitlesen können. Die Verträge im Trust Center (Auftragsverarbeitungsvertrag, Verschwiegenheitsvereinbarung, Liste der Unterauftragnehmer) sorgen dafür, dass die Beteiligten verpflichtet sind und sich das belegen lässt. Was das im Einzelnen bedeutet, steht unter Sicherheit und Datenschutz.