Copilot: Menschen können Ihre Anfragen und die Fotos sehen, die Sie senden

Wenn Sie einem Assistenten mit künstlicher Intelligenz einen Satz oder ein Foto schicken, vermittelt die Oberfläche den Eindruck eines geschlossenen Austauschs zwischen einem Menschen und einer Maschine. In manchen Fällen kann jedoch eine dritte Instanz in das Gespräch eintreten: ein menschlicher Prüfer.

Interne Dokumente und Aussagen von Auftragnehmern deuten darauf hin, dass Hunderte Personen, die zur Verbesserung des Verbraucher-Copilot von Microsoft angeworben wurden, echte Anfragen, von Nutzern hochgeladene Bilder und die vom System erzeugten Ergebnisse erhalten können. Zu ihren Aufgaben gehört es, zu beurteilen, ob die Antwort der KI tatsächlich der Anfrage entspricht.

Microsoft verschweigt das Prinzip nicht völlig. Die Dokumentation zum Datenschutz bei Copilot erläutert, dass geschulte Fachleute Gespräche prüfen können, um die Genauigkeit und Sicherheit der Modelle zu entwickeln, zu bewerten und zu verbessern. Der Fall zeigt jedoch, was diese abstrakte Formulierung hinter einem Bildschirm bedeuten kann: echte Fotos, echte Menschen und mitunter Inhalte, auf die die Prüfer nicht vorbereitet waren.

Qualitätsprüfer, nicht nur Moderatoren

Der wichtigste Punkt ist die Art der verlangten Arbeit. Die Auftragnehmer sollen nicht nur verbotene Inhalte aufspüren oder eine Meldung bearbeiten. Sie müssen auch beurteilen, ob Copilot die erhaltene Anweisung korrekt ausgeführt hat.

Das mag harmlos erscheinen, wenn es darum geht, die Farbe eines Himmels zu korrigieren oder einen Gegenstand zu verschieben. Die Aufgabe ändert jedoch ihren Charakter, wenn die Anfrage den Körper eines realen Menschen betrifft, eine sexualisierte Veränderung, ein Bild ohne erkennbare Einwilligung oder Inhalte, die auf Ausbeutung hindeuten könnten. Die befragten Prüfer berichten von expliziten Bildern, Anfragen im Zusammenhang mit Essstörungen und möglicherweise illegalem Material.

Nach Unterlagen, die 404 Media einsehen konnte, wurden die Beschäftigten in Anweisungen mitunter aufgefordert, sich auf ihre Intuition zu verlassen, um zu entscheiden, ob das Ergebnis dem Wunsch des Nutzers entsprach. Mehrere von ihnen geben an, nicht im Voraus gewarnt worden zu sein, wie häufig belastende Inhalte auftreten würden.

Microsoft antwortete, Kundendaten würden gemäß den eigenen Bedingungen verwendet, insbesondere um Produkte zu verbessern und den Verhaltenskodex durchzusetzen. Das in den Unterlagen zu den Prüfern genannte Rekrutierungsunternehmen Prolific hatte zum Zeitpunkt der ersten Enthüllungen keine öffentliche Stellungnahme abgegeben.

Diese Organisation wirft zwei unterschiedliche Sicherheitsfragen auf. Die erste betrifft den Nutzer, dessen Daten geprüft werden. Die zweite betrifft die Beschäftigten, die mitunter ohne ausreichenden Kontext ein gewalttätiges, sexuelles oder psychisch belastendes Bild erhalten. Den einen zu schützen, garantiert nicht automatisch den Schutz des anderen.

„Anonymisiert“ heißt nicht immer unkenntlich

Microsoft erklärt, Maßnahmen zu ergreifen, um personenbezogene Informationen zu entfernen, bevor Gespräche zum Training der Modelle verwendet werden: Namen, Kontaktdaten, Kennungen, Adressen und bestimmte Metadaten. Laut Dokumentation können zudem Gesichter in Dateien, die für das Training bestimmt sind, unkenntlich gemacht werden.

Die Berichte über die Bewertungsarbeit beschreiben jedoch Fotos, auf denen Gesichter sichtbar bleiben. Es handelt sich dabei nicht unbedingt um dieselbe Verarbeitungskette. Daten für das Training eines Modells, Stichproben zur Bewertung einer Antwort und Inhalte, die nach einer Warnung geprüft werden, können unterschiedliche Wege nehmen.

Genau das ist das Problem für Nutzer: Das Wort „Anonymisierung“ fasst mehrere technische Vorgänge zusammen, die nicht denselben Schutz bieten. Den Namen eines Kontos zu entfernen, macht ein scharfes Porträt nicht anonym. Die Metadaten eines Fotos zu löschen, entfernt kein Gesicht, keine Uniform, keine Wohnung und kein lesbares Dokument im Bild.

Eine Datenschutzerklärung kann daher in ihrem Rahmen zutreffend und dennoch unzureichend sein, um eine konkrete Situation zu verstehen. Um zu wissen, was ein Prüfer tatsächlich sieht, muss man die jeweilige Verarbeitungskette kennen: Auswahl, automatische Erkennung, Bildbearbeitung, Darstellung für den Menschen und Speicherung seiner Entscheidung.

Das Training abzuschalten verhindert nicht jede menschliche Prüfung

Die Verwirrung entsteht oft aus drei verschiedenen Verwendungen derselben Daten:

1. ein Modell trainieren, um sein künftiges Verhalten zu ändern;
2. die Qualität einer bereits erzeugten Antwort bewerten;
3. einen möglichen Missbrauch oder Regelverstoß untersuchen.

Beim Copilot für Privatpersonen kann ein angemeldeter Nutzer festlegen, dass seine künftigen Gespräche nicht zum Training der Modelle verwendet werden. Er kann auch Gespräche aus seinem Verlauf löschen. Microsoft gibt an, Gesprächsaktivitäten standardmäßig 18 Monate aufzubewahren; eine hochgeladene Datei kann bis zu 18 Monate gespeichert werden, sofern der Nutzer sie nicht vorher löscht.

Die Trainingsoption ist jedoch kein universeller Schalter. Microsoft stellt klar, dass manche Gespräche automatisiert und von Menschen analysiert werden können, um das Produkt oder die digitale Sicherheit zu verbessern. Besteht der Verdacht, dass ein Gespräch gegen den Verhaltenskodex verstößt, kann eine begrenzte menschliche Prüfung weiterhin erforderlich sein – ein Widerspruch ist für diesen Schritt nicht vorgesehen.

Mit anderen Worten: „Meine Gespräche nicht zum Trainieren der KI verwenden“ und „meine Inhalte niemals einem Menschen zeigen“ sind zwei verschiedene Anliegen.

Der Verbraucher-Copilot ist nicht Microsoft 365 Copilot

Die Marke Copilot umfasst mehrere Produkte, deren Regeln nicht identisch sind. Die Enthüllungen betreffen den Verbraucherdienst und seine Chat- und Bildfunktionen. Daraus lässt sich nicht schließen, dass jeder Austausch in Word, Excel, Teams oder einer beruflichen Umgebung denselben Weg nimmt.

Für Microsoft 365 Copilot mit einem Geschäfts- oder Schulkonto erklärt Microsoft, dass Anfragen, Antworten und Daten aus Microsoft Graph nicht zum Training der großen Basismodelle verwendet werden. Das Unternehmen gibt zudem an, dass bei diesen Diensten der Missbrauchsüberwachungsmechanismus von Azure OpenAI, der eine menschliche Prüfung von Inhalten umfasst, deaktiviert ist.

Dieser Schutz entbindet eine Organisation nicht davon, ihre eigenen Einstellungen, Drittanbieter-Agenten, Aufbewahrungsregeln und die in SharePoint oder Teams vergebenen Berechtigungen zu prüfen. Er bedeutet lediglich, dass ein persönliches Konto in der Copilot-App und ein verwaltetes Konto in einer Microsoft-365-Umgebung nicht als ein und dasselbe Produkt behandelt werden dürfen.

Was man einem Verbraucher-Assistenten besser nicht schickt

Die nützlichste Regel ist nicht, jeden Chatbot als öffentlich zu betrachten. Sie besteht darin, ihn als Cloud-Dienst eines Dritten zu sehen – mit Protokollen, Sicherheitskontrollen und der Möglichkeit menschlichen Eingreifens.

Bevor Sie auf „Senden“ drücken, verringern einige Vorsichtsmaßnahmen das Risiko erheblich:

• laden Sie keinen Personalausweis, keine Krankenakte, keinen unveröffentlichten Vertrag und kein Dokument mit Zugangsdaten hoch;
• schneiden Sie Fotos zu und verdecken Sie selbst Gesichter, Kennzeichen, Ausweise, Adressen und unnötige Hintergrunddetails;
• senden Sie kein Foto einer anderen Person ohne deren Einwilligung, vor allem nicht, um ihren Körper oder ihr Aussehen zu verändern;
• ersetzen Sie Namen, Aktenzeichen und Kontaktdaten durch fiktive Werte, bevor Sie um eine Umformulierung bitten;
• prüfen Sie die Einstellungen für Training, Personalisierung und Verlauf getrennt: Sie steuern nicht dasselbe;
• verwenden Sie für berufliche Zwecke nur das Werkzeug und das Konto, die Ihre Organisation freigegeben hat.

Ein Gespräch nachträglich zu löschen, bleibt sinnvoll, doch der beste Schutz greift vor der Übermittlung. Daten, die nicht gesendet wurden, müssen weder gefiltert noch anonymisiert noch der Sorgfalt eines Auftragnehmers anvertraut werden.

Der eigentliche „Mensch in der Schleife“

Die Branche stellt menschliche Präsenz oft als Garantie dar: Ein Mensch überwacht die Maschine, korrigiert ihre Fehler und verhindert Missbrauch. Das stimmt, ist aber unvollständig. Dieser Mensch wird zugleich zu einem neuen möglichen Empfänger der Daten.

Eine ernsthafte Aufsicht sollte daher beide Seiten des Bildschirms schützen. Nutzer müssen wissen, unter welchen Umständen ihre Inhalte eingesehen werden können, in welcher Form und wie lange. Prüfer müssen eine Schulung erhalten, einen Hinweis auf die Art des Materials, Möglichkeiten, eine Aufgabe abzulehnen, und angemessene Unterstützung bei belastenden Inhalten.

Dass es eine menschliche Prüfung gibt, ist an sich kein Skandal. Sie kann die Sicherheit eines Dienstes verbessern. Unklarheit entsteht, wenn die Oberfläche wie ein privates Gespräch wirkt, während die tatsächliche Organisation einem industriellen Bewertungsfließband gleicht.