Microsoft Purview: KI-Prompts trotz Anonymisierung einsehbar

Microsofts Purview erlaubt IT-Teams mit dem Insider Risk Management die Überwachung von KI-Prompts und -Antworten. Standardmäßig bleiben Nutzer pseudonymisiert, doch nun können Analysten diese Anonymisierung unter bestimmten Bedingungen aufheben. Das Unternehmen verspricht dabei die Wahrung des Privatsphärenschutzes – ein Widerspruch, der an einen quadratischen Kreis erinnert.

Die Neuerung konkretisiert Microsoft im Beitrag MC1304292 des Microsoft-365-Admin-Centers. Purview Insider Risk Management erhält die Funktion, dass Analysten KI-Prompts und -Antworten einsehen können – selbst wenn die Anonymisierung aktiviert ist. Ziel sei es, die Sichtbarkeit KI-bezogener Risiken zu erhöhen und gleichzeitig rollenbasierte Zugriffskontrollen sicherzustellen.

Insider Risk Management in Purview soll Risiken wie Datenlecks, Diebstahl geistigen Eigentums oder Verstöße gegen Sicherheitsrichtlinien aufspüren. Standardmäßig pseudonymisiert das Tool die Nutzer, und Analysten dürfen nur entsprechend ihrer Rollen zugreifen. Damit will Microsoft die Privatsphäre schützen – ein Versprechen, das durch die neue Deanonymisierungsoption infrage gestellt wird.

Ab Anfang Mai verteilt Microsoft die öffentliche Vorschau. Bis zur Monatsmitte soll die Ausrollphase abgeschlossen sein, bevor Mitte Juni die allgemeine Verfügbarkeit folgt. Laut Microsoft sind nur Admins und Analysten betroffen, die Purview Insider Risk Management nutzen sowie Organisationen, die KI-bezogene Insider-Risiken untersuchen. Die Nutzer selbst sieht der Konzern nicht als von der Änderung betroffen an.

Die konkreten Änderungen umfassen, dass Analysten künftig KI-Interaktionsnachrichten einsehen können – also sowohl Prompts als auch die KI-generierten Antworten – sofern diese mit Insider-Risiko-Indikatoren in Verbindung stehen. Diese Interaktionen bleiben auch bei aktivierter Anonymisierung sichtbar. Die User-Identitäten bleiben pseudonymisiert, bis autorisierte Analysten eine Deanonymisierung vornehmen.

Bestehende rollenbasierte Zugriffskontrollen, das Audit-Logging und die Privatsphärensicherheitsvorkehrungen bleiben laut Microsoft weiterhin in Kraft. Die neue Funktion aktiviert der Konzern standardmäßig. Admins müssen daher nichts unternehmen, betont Microsoft in seiner Ankündigung.

Das Verhältnis von Microsoft zur Privatsphäre scheint ein eher loses zu sein. Erst vergangene Woche kündigte das Unternehmen an, dass es bei der automatisierten Analyse von Dateien künftig stärker auf vergebene Vertraulichkeitslabels achten wolle. Die Deanonymisierungsoption in Purview wirft jedoch erneut Fragen auf.

Kritiker befürchten, dass die neue Funktion die ohnehin fragile Privatsphäre der Nutzer weiter untergräbt. Microsoft verspricht zwar Sicherheitsvorkehrungen, doch die Möglichkeit, KI-Interaktionen auch ohne Zustimmung der betroffenen Personen einzusehen, bleibt ein heikler Punkt. Die Ankündigung zeigt einmal mehr den Spagat zwischen Sicherheitsbedürfnissen und Datenschutz.