KI-Forschung: Anonymisierung & Datenschutz

„Darf ich meine Interviews von einem KI-System verarbeiten lassen?” ist eine der häufigsten Fragen in unseren Webinaren. Vermutlich eher nein, wobei es keine pauschale Antwort gibt. Selbst wenn ich anonymisiere sind gerade qualitative Interviewdaten häufig auch dann noch personenbezogen, wenn Namen und andere eindeutige Merkmale entfernt wurden. Dies erläutern wir in unserem Artikel zur Datenmaskierung (siehe unten). Daran schliessen sich Fragen zur Einwilligungserklärung an und ein Vergleich der Verarbeitungswege. Schließlich zeigen wir in einem Werkstattbericht, wie es komplett lokal geht mit KI zu arbeiten.

Datenmaskierung mittels Pseudo- und Anonymisierung reicht nicht!

Das Ersetzen von Namen genügt bei qualitativen Interviewdaten häufig nicht, um einen Personenbezug zuverlässig auszuschließen. Biografische Merkmale, Fallkontext, seltene Ereignisse und die Kombination verschiedener Informationen können eine Re-Identifikation weiterhin ermöglichen. In diesem Preprint (2025; Dresing, Pehl & Krähnke) zeigen wir methodische, ethische und datenschutzrechtliche Kriterien für die KI-gestützte Verarbeitung qualitativer Daten. Die zentrale Schlussfolgerung: Datenmaskierung ist ein wichtiger Schutzschritt, macht die Übermittlung an ein KI-System aber nicht automatisch zulässig und zerstört in der Regel gerade die Detailinformationen, die für qualitative Analysearbeit notwendig sind.

Die Druckfassung ist seit Oktober 2026 hier erhältlich: Dresing, T., Krähnke, U., Hense, J. & Pehl T. (2026). Pseudo- und Anonymisierung reichen nicht!: Methodische, ethische und datenschutzrechtliche Herausforderungen bei der KI-gestützten Verarbeitung personenbezogener qualitativer Daten. Zeitschrift für Evaluation, 25(2), 394-407. https://doi.org/10.31244/zfe.2026.02.10

Vor jeder KI-Verarbeitung klären: Einwilligung, Ethik und Zuständigkeiten

Vor dem Einsatz eines KI-Systems muss geklärt werden, auf welcher Grundlage personenbezogene Forschungsdaten verarbeitet werden. In vielen qualitativen Forschungsprojekten ist dafür eine informierte Einwilligung erforderlich, die den vorgesehenen KI-Einsatz konkret beschreibt. Für die Teilnehmenden sollte nachvollziehbar sein, welche Daten zu welchem Zweck verarbeitet werden, ob ein externer Anbieter beteiligt ist, wo die Verarbeitung stattfindet und welche Speicher- oder Löschbedingungen gelten. Je nach Fachgebiet, Projekt und Einrichtung sind außerdem eine Ethikkommission und die zuständigen Datenschutzbeauftragten einzubeziehen. Bei externen Diensten ist zu prüfen, welche Rolle der Anbieter übernimmt und ob ein Auftragsverarbeitungsvertrag erforderlich und möglich ist. Diese Fragen gehören in die Planung des Forschungsprojekts, nicht erst in die Auswertung. Formulierungshilfen für Einwilligungen ergänzen wir im Leitfaden „KI zitieren & dokumentieren“.

Verarbeitungswege im Vergleich

Lokal: Daten verbleiben in der eigenen Infrastruktur

Bei einem entsprechend eingerichteten lokalen Betrieb werden Interviewtranskripte nicht an einen externen KI-Dienst übertragen. Modelle mit offenen Gewichten können direkt auf dem eigenen Rechner oder innerhalb einer kontrollierten institutionellen Infrastruktur ausgeführt werden. Das erhöht die Kontrolle über Übertragung, Speicherung und Löschung der Daten. Die weiteren Anforderungen des Forschungsprojekts (etwa Einwilligung, Zugriffsschutz, sichere Backups und die Dokumentation der eingesetzten Modelle) bleiben dennoch bestehen. Wie ein solcher Aufbau praktisch aussehen kann, zeigt unser Werkstattbericht zum lokalen hybriden Interpretieren.

Server in Deutschland mit geklärtem Vertragsrahmen

Die Verarbeitung auf Servern in Deutschland kann für manche Forschungsprojekte eine geeignete Lösung sein. Der Serverstandort allein reicht für diese Entscheidung jedoch nicht aus. Zusätzlich zu prüfen sind unter anderem der konkrete Anbieter, mögliche Unterauftragnehmer, Zugriffsrechte, Speicher- und Löschfristen, eine mögliche Verwendung der Daten zur Modellentwicklung sowie der vertragliche Rahmen der Verarbeitung. Beispiele für unterschiedlich organisierte Angebote sind die automatische Transkription von audiotranskription und die Academic Cloud der GWDG. Ob ein Dienst für ein konkretes Forschungsprojekt geeignet ist, sollte vor der Nutzung mit den zuständigen Datenschutzbeauftragten geklärt werden.

Internationale Cloud-LLMs: nicht für personenbezogene Forschungsdaten

Für Interviews mit Personenbezug sind allgemein zugängliche Cloud-Angebote wie ChatGPT, Claude oder Gemini keine Lösung. Die Datenflüsse, Speicherungen, Unterauftragnehmer und Übermittlungen in Drittländer sind kaum überschaubar, und auch eine vorherige Maskierung schließt den Personenbezug qualitativer Daten nicht zuverlässig aus. Nutzbar bleiben solche Dienste für Material ohne Personenbezug, etwa öffentlich zugängliche Texte, simulierte Interviews oder eigens erstelltes Übungsmaterial. Vor jeder Nutzung bleibt zu prüfen, ob das konkrete Material und die Bedingungen des gewählten Dienstes zum Datenschutzkonzept des Forschungsprojekts passen.