KI-Halluzinationen bei sensiblen Dokumenten: Risiken und Schutz durch Anonymisierung

KI-Halluzinationen bei sensiblen Daten sind eines der unterschätzten Risiken im professionellen Alltag: Sprachmodelle wie ChatGPT, Claude oder Gemini erfinden mit überzeugender Sprache Fakten, die nie existiert haben. Bei einem Gedicht ist das harmlos. Bei einem Arztbrief, einem Vertrag oder einer Behördenakte mit echten Personenbezügen wird daraus ein handfestes Datenschutz- und Haftungsproblem — denn falsche Aussagen werden plötzlich konkreten, identifizierbaren Menschen zugeschrieben. Dieser Beitrag erklärt, was Halluzinationen sind, warum sie bei schützenswerten Dokumenten besonders gefährlich werden und wie Anonymisierung das Risiko spürbar senkt — durchgängig für die Schweiz, Deutschland und Österreich.

Eine Halluzination liegt vor, wenn ein KI-Sprachmodell Informationen ausgibt, die sachlich falsch, frei erfunden oder nicht durch die Eingabe gedeckt sind — dabei aber sprachlich völlig korrekt und selbstsicher klingen. Das ist kein gelegentlicher Aussetzer, sondern eine systembedingte Eigenschaft: Diese Modelle berechnen die wahrscheinlichste Wortfolge, sie verfügen über kein Verständnis von Wahrheit und keinen Faktencheck. Ein flüssiger, plausibler Satz ist für das Modell ein Erfolg — unabhängig davon, ob er stimmt.

Im harmlosen Fall erfindet die KI eine Literaturangabe oder ein Datum. Im kritischen Fall ergänzt sie eine Diagnose, die im Arztbrief gar nicht steht, erfindet eine Vertragsklausel, die niemand vereinbart hat, oder schreibt einer Person in einer Akte ein Verhalten zu, das nie dokumentiert wurde. Weil die Ausgabe so überzeugend formuliert ist, fällt der Fehler beim schnellen Überfliegen oft nicht auf — und genau das macht KI-Halluzinationen bei sensiblen Daten so tückisch.

Der entscheidende Unterschied liegt im Bezug zu einer echten, identifizierbaren Person. Wenn eine KI in einem allgemeinen Text etwas erfindet, entsteht eine sachlich falsche Aussage. Wenn dieselbe KI in einem Arztbrief, einem Anstellungsvertrag oder einer Sozialakte halluziniert, entsteht eine falsche Aussage über einen realen Menschen — mit Namen, Adresse, Geburtsdatum oder Gesundheitsangaben. Aus einem inhaltlichen Fehler wird damit ein Eingriff in die Rechte einer betroffenen Person.

Gerade die heikelsten Dokumententypen sind besonders anfällig, weil sie dicht mit Personenbezügen und sensiblen Inhalten gefüllt sind:

• Arztbriefe und Therapieberichte: Eine erfundene Diagnose, ein vertauschtes Medikament oder eine halluzinierte Vorgeschichte kann eine Behandlungsentscheidung verfälschen — und betrifft besonders schützenswerte Gesundheitsdaten.
• Verträge und juristische Schriftsätze: Eine von der KI ergänzte Klausel, eine falsche Frist oder ein erfundener Haftungsausschluss wirkt rechtsverbindlich, obwohl ihn niemand vereinbart hat.
• Behörden- und Sozialakten: Eine erfundene Vorgeschichte oder ein zugeschriebenes Fehlverhalten kann über Leistungen, Massnahmen oder den Ruf einer Person entscheiden.
• HR- und Personaldossiers: Eine halluzinierte Bewertung oder ein erfundener Vorfall kann eine Karriere beschädigen — und ist nachweislich nicht durch die Eingabe gedeckt.

Hinzu kommt ein zweites Risiko: Wer das Originaldokument mit echten Personendaten unverändert in eine Cloud-KI eingibt, verarbeitet diese Daten auf fremden Servern — oft ausserhalb der Schweiz und der EU. Halluzination und unkontrollierte Datenweitergabe treffen hier zusammen. Wo der Unterschied zwischen echtem und entferntem Personenbezug genau liegt, erklärt der Beitrag Was sind personenbezogene Daten? ausführlich.

Das Datenschutzrecht in allen drei Ländern verlangt ausdrücklich, dass Personendaten sachlich richtig sind. Dieser Richtigkeitsgrundsatz ist kein Detail, sondern ein zentrales Prinzip — und er wird durch halluzinierte KI-Ausgaben direkt verletzt. Wer eine erfundene Aussage über eine Person übernimmt, speichert oder weiterverwendet, verarbeitet unrichtige Personendaten und haftet dafür.

Neben dem Datenschutz greift die allgemeine Haftung: Eine Ärztin, eine Anwältin oder eine Sachbearbeiterin trägt die fachliche Verantwortung für jedes Dokument, das aus ihrer Hand stammt. "Die KI hat das so geschrieben" ist keine Entlastung. Übernimmt jemand ungeprüft eine halluzinierte Diagnose, eine erfundene Vertragsklausel oder eine falsche Aktenpassage, haftet die Fachperson — berufsrechtlich, zivilrechtlich und gegebenenfalls datenschutzrechtlich zugleich.

Die Stossrichtung ist überall dieselbe — Personendaten müssen korrekt sein, und der Einsatz von Cloud-KI entbindet niemanden von dieser Pflicht. Die Rahmen unterscheiden sich aber in Aufsicht und Sanktionshöhe:

Für die Praxis bedeutet das: Egal ob eine Kanzlei in Zürich, eine Klinik in München oder eine Behörde in Wien — die Pflicht zur Richtigkeit und der Schutz der betroffenen Person gelten gleichermassen. Wer Cloud-KI nutzt, muss beide Risiken zugleich beherrschen: die Halluzination und die Datenweitergabe.

Anonymisierung beseitigt Halluzinationen nicht — kein Verfahren der Welt kann ein Sprachmodell daran hindern, plausible Sätze zu erfinden. Aber sie entschärft die gefährlichste Folge: den falschen Bezug zu einer echten Person. Werden Namen, Adressen, Geburtsdaten, Fallnummern und weitere Personenbezüge vor dem Upload durch neutrale Platzhalter ersetzt, kann die KI eine erfundene Aussage gar nicht erst einem realen Menschen zuordnen. Halluziniert das Modell dann etwas, betrifft es einen Platzhalter wie "[PERSON 1]" oder "[ADRESSE]" — nicht Frau Müller aus der Bahnhofstrasse.

Genau hier setzt der Ansatz von Incognify an: Eine KI-gestützte Anonymisierung erkennt sensible Daten kontextbasiert und automatisch, ersetzt sie durch konsistente Platzhalter und gibt erst diesen bereinigten Text an die Cloud-KI weiter. So wird der rechtskonforme Einsatz von ChatGPT, Claude oder Gemini überhaupt erst möglich. Nach der Verarbeitung lässt sich das Ergebnis kontrolliert zurückübersetzen — die Fachperson prüft den Inhalt, bevor echte Personenbezüge wieder eingesetzt werden.

• Kein echter Personenbezug in der Cloud: Halluziniert die KI, trifft die erfundene Aussage einen Platzhalter, nicht eine identifizierbare Person.
• Mensch prüft, nicht die Maschine: Die Rückübersetzung ist der natürliche Kontrollpunkt — die Fachperson liest gegen, bevor das Dokument fertig ist.
• Richtigkeitsgrundsatz gestützt: Da keine echten Daten ungeprüft die Cloud durchlaufen, sinkt das Risiko, unrichtige Personendaten zu speichern oder weiterzugeben.
• Datenschutz von Anfang an: Sensible Daten verlassen das Haus gar nicht erst im Klartext — Anonymisierung wirkt vor dem Upload, nicht erst danach.

Wichtig ist dabei die Unterscheidung zwischen echter Anonymisierung und blosser Pseudonymisierung — nur erstere entzieht die Daten dem direkten Personenbezug dauerhaft. Warum dieser Unterschied über die Anwendbarkeit des gesamten Datenschutzrechts entscheidet, lesen Sie im Beitrag Anonymisierung vs. Pseudonymisierung im Detail.

Wer Cloud-KI mit sensiblen Dokumenten einsetzen will, sollte einen festen Ablauf etablieren. Die folgenden Punkte verbinden Datenschutz und Faktensicherheit:

• Vor dem Upload anonymisieren: Niemals Originaldokumente mit echten Personenbezügen direkt in ChatGPT, Claude oder Gemini eingeben.
• Ausgabe immer gegenlesen: Jede KI-Antwort gegen das Quelldokument prüfen — besonders Zahlen, Daten, Diagnosen, Fristen und Klauseln.
• Quellenbindung verlangen: Die KI anweisen, nur das wiederzugeben, was im Text steht, und nichts zu ergänzen.
• Vier-Augen-Prinzip bei kritischen Dokumenten: Bei Arztbriefen, Verträgen und Akten eine zweite fachliche Kontrolle vorsehen.
• Prozess dokumentieren: Festhalten, dass anonymisiert, geprüft und freigegeben wurde — das stützt die Rechenschaftspflicht.

Quellen: fedlex.admin.ch — DSG (revDSG) Art. 6, gesetze-im-internet.de — BDSG, eur-lex.europa.eu — DSGVO Art. 5, ris.bka.gv.at — DSG AT.