KI-Sicherheit im öffentlichen Sektor: ENS und DSGVO

Die Einführung künstlicher Intelligenz im öffentlichen Sektor hat sich von einer Kuriosität zu einer strategischen Notwendigkeit entwickelt. Für jeden Chief Information Officer (CIO), Datenschutzbeauftragten (DPO) oder Sicherheitsverantwortlichen (CISO) darf die operative Effizienz jedoch niemals über der Sicherheit stehen.

Die Angst vor "Shadow AI" (der unbefugten Nutzung von KI-Tools durch Mitarbeiter) ist real. Wir haben Fälle von Code-Lecks oder anderen Arten sensibler Informationen im privaten Sektor gesehen. In der öffentlichen Verwaltung ist ein ähnlicher Fehler kein finanzieller Verlust; es ist eine Verletzung der nationalen Sicherheit oder der Privatsphäre der Bürger.

Wenn eine öffentliche Einrichtung ein Lastenheft in die Cloud hochlädt, ist die kritische Frage nicht "was kann die KI damit machen?", sondern "wohin gehen meine Daten, wer sieht sie und werden sie zum Trainieren des Modells verwendet?".

In diesem technischen Artikel schlüsseln wir die Sicherheitsarchitektur von Tendios auf und wie wir die Einhaltung des Nationalen Sicherheitsschemas (ENS) und der DSGVO in GovTech-Umgebungen garantieren.

Die Architektur der Isolation: Ihr digitaler "Tresor"

Der größte Mythos – und das größte Risiko – von Großen Sprachmodellen (LLM) ist die Privatsphäre des "Prompts". Kostenlose Tools verwenden Ihre Daten oft, um ihre zukünftigen Modelle neu zu trainieren. Bei Tendios ist die Politik eindeutig: Ihre Daten gehören Ihnen. Wir trainieren niemals Modelle mit Kundendaten.

Um dies zu gewährleisten, verwenden wir eine Architektur der strikten logischen Isolation (Single-Tenant Logic). Auch wenn die Verarbeitungs-Engine leistungsstark ist, vermischen sich Ihre Daten niemals.

Technisches Glossar: Wie schützen wir Informationen?

Für technische Profile übersetzen wir unsere Architektur und Sicherheit so:

• RAG (Vektordatenbank) mit Rückverfolgbarkeit: Wir verwenden RAG-Technologie über eine Vektordatenbank, die eine dokumentarische Überprüfung ermöglicht. Dies garantiert, dass die KI nicht "halluziniert" oder Daten erfindet, und bietet im Gegensatz zu generischen Modellen immer fundierte und rückverfolgbare Antworten.
• Einhaltung und Sicherheit europäischer Daten: Die Plattform ist so konzipiert, dass die Einhaltung von Vorschriften, Schutz und Datensicherheit gemäß europäischen Standards Vorrang haben.
• Spezialisierte und zentralisierte KI: Wir verwenden kein generalistisches Modell; wir arbeiten mit einer KI, die auf die normative und dokumentarische Komplexität des öffentlichen Auftragswesens spezialisiert ist, und zentralisieren den gesamten Betrieb auf einer All-in-One-Plattform, um die Fragmentierung von Informationen zu vermeiden.

Einhaltung von Vorschriften und Zertifizierungen

Im öffentlichen Auftragswesen wird Sicherheit nicht versprochen; sie wird zertifiziert. Unsere Infrastruktur ist auf die strengsten Anforderungen des spanischen und europäischen öffentlichen Sektors ausgerichtet.

Nationales Sicherheitsschema (ENS)

Wir arbeiten auf einer im Nationalen Sicherheitsschema (Kategorie Hoch) zertifizierten Infrastruktur. Tendios implementiert die geforderten organisatorischen, operativen und Schutzmaßnahmen, um die Vertraulichkeit, Integrität, Rückverfolgbarkeit, Authentizität und Verfügbarkeit öffentlicher Informationen zu gewährleisten.

ISO 27001 und 27018

Unsere Prozesse und Cloud-Anbieter erfüllen die Norm ISO/IEC 27001 (Informationssicherheit) und ISO/IEC 27018 (Schutz personenbezogener Daten in der Cloud), richten sich nach den Anforderungen der DSGVO und stellen sicher, dass auditierbare Kontrollen darüber bestehen, wer wann auf welche Daten zugreift.

Datenresidenz (DSGVO)

Im Gegensatz zu Tools, die Daten über Server in den USA leiten, garantieren wir die Datensouveränität. Alle von Tendios verarbeiteten Informationen befinden und werden ausschließlich innerhalb des Europäischen Wirtschaftsraums (EWR) verarbeitet, wodurch Risiken nicht konformer internationaler Übermittlungen beseitigt werden.

Um die DSGVO zu erfüllen, verwendet Tendios Ihre strategischen Daten nicht zum Trainieren öffentlicher Modelle. Dieser auf RAG-Technologie basierende Ansatz der geschlossenen Architektur macht den Sicherheitsunterschied zu generalistischen Tools aus, indem er sicherstellt, dass die KI in einer wahrheitsgetreuen Umgebung operiert, frei von den für Modelle wie RAG vs. ChatGPT im öffentlichen Auftragswesen typischen Halluzinationen.

Vergleich: Öffentliche KI vs. Generische Cloud vs. Tendios

Nicht alle privaten KIs sind gleich. Was ist der wirkliche Unterschied zwischen der Anmietung einer Azure OpenAI API "roh" und der Nutzung von Tendios?

Häufig gestellte Fragen zur KI-Sicherheit (FAQ)

Ist es sicher, Vergabeunterlagen mit personenbezogenen Daten auf Tendios hochzuladen?

Ja. Neben der Verschlüsselung wenden wir, wo möglich, Verschleierungs- oder Pseudonymisierungstechniken an. Darüber hinaus übernehmen wir mit der Unterzeichnung des Auftragsverarbeitungsvertrags (Art. 28 DSGVO) die gesetzlichen Verpflichtungen zum Schutz dieser Daten.

Was passiert, wenn ich ChatGPT verwende, um ein Lastenheft zu verfassen?

Sie setzen öffentliche (und potenziell vertrauliche) Informationen Servern außerhalb Ihrer Kontrolle aus, die diese zum Lernen verwenden können. Dies könnte einen Verstoß gegen die Pflicht zur Aufbewahrung administrativer Informationen darstellen.

Haben Sie Zugriff auf meine Daten?

Wir wenden das Prinzip des Least Privilege an. Unser technisches Team hat keinen Zugriff auf Ihre Akten, außer bei ausdrücklicher und vorübergehender Genehmigung für Support, und alle Zugriffe werden in den Audit-Logs aufgezeichnet.

Fazit: Innovieren ohne sich auszusetzen

Die Modernisierung der Verwaltung erfordert nicht die Übernahme unkontrollierter Risiken. Es ist möglich, die Kraft der generativen künstlichen Intelligenz zu nutzen und gleichzeitig die höchsten Standards an Sicherheit und digitaler Souveränität aufrechtzuerhalten.

Die Wahl einer spezialisierten Plattform ist nicht nur eine Frage der Funktionalitäten ("dass sie gut antwortet"); es ist der einzige Weg zu garantieren, dass öffentliche Daten jederzeit unter Kontrolle bleiben.