Google Gemini leitet persönliche Dateien nun an menschliche Prüfer weiter

Google hat stillschweigend eine wichtige Datenschutz-Zusage aus dem Jahr 2023 in Bezug auf seinen KI-Assistenten Gemini zurückgenommen. Das Unternehmen bestätigt nun ausdrücklich, dass persönliche Inhalte aus Gmail, Google Docs und Google Drive, wenn sie mit den Consumer-Apps von Gemini verbunden sind, an Pipelines für die menschliche Überprüfung weitergeleitet werden können. Diese Änderung wurde in einem Update des Google-Hilfe-Artikels 16836988 sowie einer Bearbeitung des ursprünglichen Launch-Blogposts am 16. Oktober dokumentiert.

Was passiert ist

Als Google 2023 die Gemini Workspace-Erweiterungen einführte, versprach das Unternehmen, dass persönliche Inhalte aus verbundenen Diensten nicht von menschlichen Prüfern eingesehen würden. Diese Garantie wurde entfernt. Die aktualisierte Dokumentation warnt Nutzer davor, Apps zu verbinden, die vertrauliche Informationen enthalten, die kein Prüfer sehen sollte. Dabei wird darauf hingewiesen, dass das, worauf Prüfer zugreifen, "möglicherweise nur die E-Mail oder Datei" ist.

Tests zeigen, dass diese Datenaufnahme autonom während Hintergrundkonversationen stattfindet. Nutzer müssen ihre Daten nicht explizit mit @Drive oder @Gmail markieren, damit sie abgerufen werden. Stattdessen können beiläufige Erwähnungen persönlicher Themen wie Reisen, Rechnungen, Namen oder Reservierungen Hintergrund-Lookups im Workspace auslösen. Da das Tool-Calling und die Kontext-Injektion des großen Sprachmodells probabilistisch sind, verhält sich das System bei identischen Abfragen nicht konsistent.

Forscher haben vier verschiedene Szenarien identifiziert, die auftreten, wenn Gemini mit aktivierten Connected Apps abgefragt wird. In einigen Fällen ruft das Modell keine Daten ab und verlässt sich auf seine Trainingsgewichte oder den Gesprächsverlauf. In anderen Fällen zieht es Metadaten oder generische Zusammenfassungen. Besorgniserregendere Ergebnisse umfassen die teilweise unredigierte Extraktion sensibler personenbezogener Daten (PII) oder die vollständige Aufnahme von Dateien, bei denen der gesamte Text eines Dokuments oder einer E-Mail in den Sitzungskontext geladen wird. Da der Prozess nichtdeterministisch ist, beweist die Beobachtung einer sicheren Antwort einmalig nicht, dass die Pipeline inaktiv ist.

Wie es funktioniert

Die Aufnahmepipeline basiert auf probabilistischem Tool-Calling, das durch semantische Relevanz ausgelöst wird, nicht durch explizite Benutzerbefehle. Wenn ein Nutzer ein Thema erwähnt, das in seinem Drive oder Gmail enthalten ist, wie z. B. einen Reiseplan oder eine Kontoverlängerung, kann Gemini autonom verbundene Apps durchsuchen. Entscheidet sich das Modell, das Connected-Apps-Tool zu nutzen, ruft es Daten ab und injiziert sie in den Prompt-Kontext.

Um dieses Verhalten zu überprüfen, können Tester Gemini bitten, den exakten Text und den Metadatenblock auszugeben, die vom Abruf-Tool zurückgegeben wurden. Durch Löschen des Gesprächsverlaufs und Wiederholen des Tests können Nutzer die unterschiedlichen Grade der Datenexposition beobachten. Tests mit lässigen Anfragen zu Internetrechnungen führten beispielsweise zu Ergebnissen, die von generischen Ratschlägen bis hin zum vollständigen Text-Dump einer E-Mail inklusive Header, Kontonummern und Bestätigungscodes reichten.

Google setzt automatische Scrubber ein, die reguläre Ausdrücke und Named-Entity Recognition (NER) verwenden, um Daten zu anonymisieren. Diese Tools können jedoch narrative Daten nicht ausreichend schützen. Komplexe Identifikatoren wie Kombinationen aus Vornamen, Städten und spezifischen Ereignissen oder strukturierte Daten wie Kontonummern, die in Sätze eingebettet sind, umgehen diese Filter oft. Folglich bleiben vollständig aufgenommene Dateien, die probabilistisch während lockerer Konversationen erfasst werden, der Überprüfung durch menschliche Vertragspartner unterworfen.

Wichtige Details

• Google hat seine Datenschutzposition im Google-Hilfe-Artikel 16836988 und einer Blogpost-Bearbeitung vom 16. Oktober aktualisiert.
• Persönliche Inhalte aus Gmail, Docs und Drive sind nun potenziell für menschliche Prüfer sichtbar.
• Die Datenaufnahme erfolgt autonom ohne explizite @Drive- oder @Gmail-Tags.
• Der Abrufprozess ist probabilistisch und führt zu vier möglichen Zuständen, von null Abrufen bis zur vollständigen Dateiaufnahme.
• Automatische Scrubber scheitern daran, narrative Daten und kombinierte PII ausreichend zu anonymisieren.
• Nutzern wird empfohlen, keine Apps mit vertraulichen Informationen mit der Consumer-Version von Gemini zu verbinden.

Warum das wichtig ist

Für Software-Ingenieure und technische Leads untergräbt dieser Wandel die Annahme automatisierter Privatsphäre in KI-integrierten Workflows. Viele Organisationen verlassen sich auf die Prämisse, dass KI-Assistenten Daten algorithmisch ohne menschliche Aufsicht verarbeiten. Die Einführung menschlicher Überprüfungen in die Schleife für KI-Tools im Consumer-Bereich bedeutet, dass sensible Geschäftslogik, Kundendaten oder interne Dokumentationen, die über verbundene Apps geteilt werden, nicht mehr standardmäßig privat sind.

Diese Änderung hebt auch die Grenzen aktueller automatisierter Redaktionsverfahren hervor. Das Verlassen auf Regex und NER für die Datenschutz-Compliance ist unzureichend, wenn es um komplexe, unstrukturierte narrative Daten geht. Ingenieure, die Produkte entwickeln, die mit LLMs integriert werden, müssen erkennen, dass "private" Modi in Consumer-Tools weiterhin menschliche Qualitätskontrollen oder Sicherheitsüberprüfungen beinhalten können, wodurch proprietäre oder persönliche Informationen Dritten ausgesetzt werden.

Was Sie tun können

• Überprüfen Sie Ihre Gemini-Einstellungen und deaktivieren Sie Connected Apps, wenn Sie mit vertraulichen Daten arbeiten.
• Vermeiden Sie die Erwähnung sensibler Themen wie Rechnungen, Reservierungen oder Kontodetails in lockeren Chats.
• Gehen Sie davon aus, dass alle von der KI abgerufenen Daten von einem menschlichen Prüfer gesehen werden könnten.
• Verlassen Sie sich nicht auf automatische Scrubber, um komplexe PII oder narrativen Kontext zu schützen.
• Testen Sie Ihre eigenen Instanzen, indem Sie das Modell bitten, abgerufene Metadatenblöcke offenzulegen.
• Nutzen Sie selbst gehostete oder Enterprise-Lösungen mit strengen Garantien für Datenisolierung für sensible Arbeiten.