KI-Forschung: Datenschutz | audiotranskription

„Darf ich meine Interviews von einem KI-System verarbeiten lassen?” ist eine der häufigsten Fragen in unseren Webinaren. Eine pauschale Antwort darauf gibt es nicht. Entscheidend sind die Art der Daten, der Forschungszweck, die Rechtsgrundlage, institutionelle Vorgaben und der konkrete technische Verarbeitungsweg.

Gerade qualitative Interviewdaten bleiben häufig auch dann personenbezogen, wenn Namen und andere eindeutige Merkmale entfernt wurden. Deshalb betrachten wir nicht nur die Datenmaskierung, sondern den gesamten Verarbeitungsprozess: vom Einwilligungstext über den eingesetzten Dienst bis zu Speicherung, Zugriff und Löschung.

Die folgenden Beiträge bieten dafür eine Orientierung: vom Preprint zur Datenmaskierung über die immer zu klärenden Voraussetzungen bis zum Vergleich der Verarbeitungswege und einem Werkstattbericht zum lokalen Arbeiten. Sie ersetzen nicht die Prüfung des jeweiligen Forschungsprojekts durch die zuständigen Stellen.

Datenmaskierung mittels Pseudo- und Anonymisierung reicht nicht! [Preprint]

Das Ersetzen von Namen genügt bei qualitativen Interviewdaten häufig nicht, um einen Personenbezug zuverlässig auszuschließen. Biografische Merkmale, Fallkontext, seltene Ereignisse und die Kombination verschiedener Informationen können eine Re-Identifikation weiterhin ermöglichen.

Der Preprint von Dresing, Pehl und Krähnke entwickelt daraus methodische, ethische und datenschutzrechtliche Kriterien für die KI-gestützte Verarbeitung qualitativer Daten. Die zentrale Schlussfolgerung: Datenmaskierung ist ein wichtiger Schutzschritt, macht die Übermittlung an ein KI-System aber nicht automatisch zulässig.

Vor jeder KI-Verarbeitung klären: Einwilligung, Ethik und Zuständigkeiten

Vor dem Einsatz eines KI-Systems muss geklärt werden, auf welcher Grundlage personenbezogene Forschungsdaten verarbeitet werden. In vielen qualitativen Forschungsprojekten ist dafür eine informierte Einwilligung erforderlich, die den vorgesehenen KI-Einsatz konkret beschreibt.

Für die Teilnehmenden sollte nachvollziehbar sein, welche Daten zu welchem Zweck verarbeitet werden, ob ein externer Anbieter beteiligt ist, wo die Verarbeitung stattfindet und welche Speicher- oder Löschbedingungen gelten.

Je nach Fachgebiet, Projekt und Einrichtung sind außerdem eine Ethikkommission und die zuständigen Datenschutzbeauftragten einzubeziehen. Bei externen Diensten ist zu prüfen, welche Rolle der Anbieter übernimmt und ob ein Auftragsverarbeitungsvertrag erforderlich und möglich ist.

Diese Fragen gehören in die Planung des Forschungsprojekts, nicht erst in die Auswertung. Formulierungshilfen für Einwilligungen ergänzen wir im Leitfaden „KI zitieren & dokumentieren“.

Verarbeitungswege im Vergleich

Lokal: Daten verbleiben in der eigenen Infrastruktur

Bei einem entsprechend eingerichteten lokalen Betrieb werden Interviewtranskripte nicht an einen externen KI-Dienst übertragen. Modelle mit offenen Gewichten können direkt auf dem eigenen Rechner oder innerhalb einer kontrollierten institutionellen Infrastruktur ausgeführt werden.

Das erhöht die Kontrolle über Übertragung, Speicherung und Löschung der Daten. Die weiteren Anforderungen des Forschungsprojekts (etwa Einwilligung, Zugriffsschutz, sichere Backups und die Dokumentation der eingesetzten Modelle) bleiben dennoch bestehen.

Wie ein solcher Aufbau praktisch aussehen kann, zeigt unser Werkstattbericht zum lokalen hybriden Interpretieren.

Server in Deutschland mit geklärtem Vertragsrahmen

Die Verarbeitung auf Servern in Deutschland kann für manche Forschungsprojekte eine geeignete Lösung sein. Der Serverstandort allein reicht für diese Entscheidung jedoch nicht aus.

Zusätzlich zu prüfen sind unter anderem der konkrete Anbieter, mögliche Unterauftragnehmer, Zugriffsrechte, Speicher- und Löschfristen, eine mögliche Verwendung der Daten zur Modellentwicklung sowie der vertragliche Rahmen der Verarbeitung.

Beispiele für unterschiedlich organisierte Angebote sind die automatische Transkription von audiotranskription und die Academic Cloud der GWDG. Ob ein Dienst für ein konkretes Forschungsprojekt geeignet ist, sollte vor der Nutzung mit den zuständigen Datenschutzbeauftragten geklärt werden.

Internationale Cloud-LLMs: nicht für personenbezogene Forschungsdaten

Für Interviews mit Personenbezug sind allgemein zugängliche Cloud-Angebote wie ChatGPT, Claude oder Gemini keine Lösung. Die Datenflüsse, Speicherungen, Unterauftragnehmer und Übermittlungen in Drittländer sind kaum überschaubar, und auch eine vorherige Maskierung schließt den Personenbezug qualitativer Daten nicht zuverlässig aus.

Nutzbar bleiben solche Dienste für Material ohne Personenbezug, etwa öffentlich zugängliche Texte, simulierte Interviews oder eigens erstelltes Übungsmaterial.
Vor jeder Nutzung bleibt zu prüfen, ob das konkrete Material und die Bedingungen des gewählten Dienstes zum Datenschutzkonzept des Forschungsprojekts passen.

Hybrides Interpretieren mit lokal betriebenen LLMs [Werkstattbericht]

Der Werkstattbericht dokumentiert einen konkreten lokalen Versuchsaufbau mit vier LLMs auf einem MacBook Pro und LM Studio.

Beschrieben werden die technischen Voraussetzungen, die Auswahl der Modelle, relevante Einstellungen sowie Erfahrungen aus vierzehn Interpretationsläufen. Im Mittelpunkt steht nicht nur die technische Machbarkeit, sondern die Frage, welche Beiträge lokale Modelle bei der fokussierten Interpretation kurzer Textpassagen leisten und wo ihre Grenzen liegen.

Der Bericht bietet damit eine nachvollziehbare Grundlage für Forschende, die generative KI nutzen möchten, ohne ihr qualitatives Datenmaterial an externe Cloud-Dienste zu übertragen.