KI erkennt persönliche Daten. Doch wie zuverlässig schützt sie diese?

Eine Behörde bereitet Hunderte Dokumente für die Veröffentlichung vor. Ein KI-System durchsucht die Unterlagen und markiert Namen, Adressen und Identifikationsnummern zur Schwärzung. Das Ergebnis wirkt überzeugend. Doch was geschieht, wenn auch nur eine identifizierende Angabe unerkannt bleibt?

Forschende der Technischen Hochschule Würzburg-Schweinfurt (THWS) zeigen, wie groß diese Herausforderung ist. In einer neuen Untersuchung übersah selbst die leistungsfähigste getestete KI-Konfiguration auf 96,8 Prozent der relevanten Dokumentseiten mindestens eine kritische personenbezogene Angabe. Das Ergebnis verdeutlicht die Lücke zwischen üblichen Kennzahlen zur KI-Erkennung und dem Schutz, den sensible Dokumente vor ihrer Weitergabe benötigen.

Warum fast richtig nicht ausreicht
Eine KI kann nahezu alle sensiblen Informationen auf einer Seite finden und dennoch Angaben zurücklassen, die eine Person identifizierbar machen. Besonders schwierig sind eingescannte Briefe, Tabellen, komplexe Seitenlayouts und Bildstörungen. Sie erschweren sowohl die Texterkennung als auch die genaue Positionierung der Schwärzung.

Um diese Fehler zu untersuchen, entwickelte THWS-Forscher Vishnu Prasad Vijaya Kumar LeakageBench im Rahmen seiner Forschungsarbeit unter der Betreuung von Prof. Dr. Ivan P. Yamshchikov am Center für Künstliche Intelligenz (CAIRO), in Zusammenarbeit mit dem Mitautor Santhosh Venkatesh von DataX.

LeakageBench umfasst 500 Dokumentseiten mit 11.954 markierten potenziell identifizierenden Angaben. Neben Namen und Kontaktdaten erfasst der Benchmark auch Verknüpfungskennungen — etwa Referenznummern, die in Kombination mit anderen Datensätzen Rückschlüsse auf Personen erlauben.

Datenschutzrisiken anders messen
Das Team untersuchte klassische Verfahren zur optischen Texterkennung, spezialisierte Detektoren und moderne Bild-Sprach-Modelle, die Dokumente direkt auswerten.

Die Systeme scheiterten aus unterschiedlichen Gründen. Manche unterstützten nicht alle relevanten Arten von Kennungen. Andere übersahen Text oder bestimmten dessen Position ungenau. Zusätzliche Werkzeuge verbesserten die Lokalisierung durch GPT-5.5 deutlich. Dennoch blieb nach den Kriterien des Benchmarks auf 96,8 Prozent der relevanten Seiten mindestens eine kritische Angabe unerkannt.

Während herkömmliche Tests vor allem zählen, wie viele einzelne Informationen korrekt erkannt werden, fragt LeakageBench, ob auf einer Seite weiterhin kritische Angaben sichtbar bleiben könnten. Damit rückt die Frage in den Mittelpunkt, ob ein Dokument tatsächlich zur Weitergabe geeignet ist.

Warum das Behörden und Unternehmen betrifft
Verwaltungen bearbeiten Bürgerakten und Auskunftsanfragen, Unternehmen verarbeiten Verträge, Kunden- und Personaldaten. Automatisierte Schwärzung kann Arbeit sparen. Vor ihrem Einsatz in sensiblen Prozessen müssen Organisationen jedoch wissen, welche Informationen die Systeme übersehen.

„Eine Organisation könnte ihre Dokumente für geschützt halten, weil ein KI-System Tausende sensible Angaben erfolgreich erkannt hat. Für den Datenschutz entscheidend sind jedoch die Informationen, die das System übersieht — nicht diejenigen, die es findet“, sagt Vijaya Kumar.

Der Benchmark unterstützt Entwickler dabei, Schwachstellen zu untersuchen. Behörden und Unternehmen können damit gezielter fragen: Welche Kennungen deckt ein System ab? Welche Fehler bleiben? Wann ist eine menschliche Kontrolle nötig?

Die Verbindung zur europäischen KI-Souveränität
Europa strebt mehr Kontrolle über KI-Infrastruktur, Daten und Technologieentscheidungen an. Für einen verantwortungsvollen Einsatz ist auch die unabhängige Bewertung wichtig: Behörden und Unternehmen sollten KI-Systeme anhand überprüfbarer Ergebnisse beurteilen können, statt sich allein auf Leistungsversprechen zu verlassen.

LeakageBench misst weder europäische Eigentumsverhältnisse noch den Hostingstandort oder die rechtliche Konformität eines KI-Systems. Der konkrete Beitrag liegt in der Untersuchung verbleibender Datenschutzrisiken bei der automatischen Dokumentenschwärzung. Damit berührt die Studie einen praktischen Aspekt von KI-Souveränität: die Fähigkeit, sensible KI-Anwendungen zu verstehen und ihren Einsatz zu steuern.

Die Forschenden betonen, dass die 500 Seiten eine bewusst anspruchsvolle Testsammlung bilden und nicht alle Dokumentarten oder Sprachen repräsentieren. Die ermittelte Fehlerquote lässt sich daher nicht auf sämtliche Einsatzbereiche übertragen.

Die Arbeit wurde für Findings of EMNLP 2026 angenommen, eine internationale Konferenzpublikation zur automatischen Sprachverarbeitung.

Zur Studie
Die Studie „LeakageBench: Document-Level Leakage Risk for Redacting Personally Identifiable Information in Document Images“ stammt von Vishnu Prasad Vijaya Kumar (THWS und DataX), Santhosh Venkatesh (DataX) und Prof. Dr. Ivan P. Yamshchikov (THWS). Die Arbeit wurde für Findings of EMNLP 2026 angenommen.

Das ganze Paper: https://aclanthology.org/2026.findings-emnlp.2350.pdf 

Wissenschaftlicher Kontakt
Vishnu Prasad Vijaya Kumar

Center for Artificial Intelligence (CAIRO)

Technische Hochschule Würzburg-Schweinfurt
vishnuprasad.vijayakumar[at]thws.de