PII-Pseudonymisierung für Embeddings (Scrub before embed)

Der PII-Schild schützt Ihre Daten auf vier Wegen nach außen: Chat-Prompts, der abgerufene Wissenskontext (RAG) und die Ergebnisse lesender Werkzeuge sind geschützt, sobald die PII-Erkennung eingeschaltet ist. Der vierte Weg — die Embedding-Aufrufe beim Indexieren der Wissensbasis und bei der Vektor-Suche — ist ein Opt-in für Administratoren. Diese Seite beschreibt ihn.

Ist Scrub before embed aktiv, gehen erkannte personenbezogene Werte auch beim Embedding nur noch als Typ-Platzhalter ([PERSON], [IP_ADDRESS], …) an den Embedding-Provider — nie im Klartext.

Brauche ich das?

Die Frage ist dieselbe wie bei den vertrauenswürdigen Zielen: Verlässt der Embedding-Text meinen Verantwortungsbereich?

• Ja — untrusted Cloud-Embedding-Provider: Der Anbieter sieht sonst beim Indexieren und Suchen Klartext-PII. Hier ist das Feature dafür da.
• Nein — lokaler Provider (z. B. Ollama, LM Studio): Es findet kein Egress statt. Solche Provider markieren Sie typischerweise als vertrauenswürdig — das Feature ist dann bewusst inaktiv: Auch wenn Sie den Schalter setzen, greift es nicht, solange der Embedding-Provider vertrauenswürdig ist. → Daten lokal halten

Vertrauenswürdig ist nicht lokal. Das Häkchen macht aus einem Cloud-Provider keinen lokalen — es erlaubt ihm, Originaltext zu erhalten. Markieren Sie einen Cloud-Provider als vertrauenswürdig, geht Klartext hinaus, auch wenn dieser Schalter an ist.

Voraussetzungen zum Aktivieren

1. PII-Erkennung (Presidio) eingerichtet und aktiv. Ohne sie kann nichts pseudonymisiert werden. → Presidio einrichten
2. Embedding-Provider ist NICHT als PII-vertrauenswürdig markiert — weder über das Häkchen „Vertrauenswürdiger Embedding-Provider” an seiner Zeile unter Modelle noch, wenn das Embedding über die Konfiguration läuft, über „Embedding-Konfiguration (Embeddings:*) ist vertrauenswürdig” in den Systemeinstellungen. Ist er vertrauenswürdig, ist das Feature wirkungslos (siehe oben). → Vertrauenswürdige Ziele
3. Hybridsuche eingeschaltet lassen. Sie ist der Grund, warum die Suche nach konkreten Werten trotz Pseudonymisierung weiter funktioniert (siehe unten).

Den Schalter „Scrub before embed” finden Sie im Admin-Bereich PII-Erkennung.

Was beim Einschalten passiert

• Bestätigungsdialog mit Dauer-Hinweis — der nächste Schritt ist aufwendig.
• Automatischer Voll-Reindex der Wissensbasis. Alle Inhalte werden neu eingebettet, diesmal pseudonymisiert. Bei großen Wissensbasen kann das Stunden dauern; den Fortschritt zeigt eine x/y-Anzeige in der oberen Leiste.
• Auf dem Desktop läuft der Reindex nur bei geöffneter App. Wird die App beendet, pausiert er und setzt nach dem Neustart automatisch fort (bereits verarbeitete Inhalte werden übersprungen).

Das gilt in beide Richtungen: Ein Reindex läuft sowohl beim Einschalten (aus ⇒ an) als auch beim Ausschalten (an ⇒ aus), weil sich der eingebettete Text jeweils ändert.

Aus demselben Grund baut CompanyWizard den Vektorindex vollständig neu auf, wenn Sie bei aktivem Scrub before embed das Vertrauens-Häkchen des aktiven Embedding-Providers umschalten. → Vertrauenswürdige Ziele: Modell-Provider

Auswirkung auf die Suche

Der entscheidende Punkt — und der Grund für die Hybridsuche-Pflicht:

• Semantische Suche: unverändert. Typ-Platzhalter statt echter Werte kosten keinen semantischen Recall (in Messungen identisch). Fragen nach Bedeutung und Zusammenhang funktionieren genauso gut.
• Suche nach konkreten Werten (IP-Adressen, Namen, E-Mail-Adressen) wird von der lokalen Stichwortsuche (BM25) getragen statt von der Vektor-Suche. BM25 indexiert die Inhalte roh und lokal — ihm entgeht der echte Wert nicht. Deshalb die Hybridsuche nicht abschalten: Ohne sie fiele die Wertsuche aus.
• Gespeicherte Inhalte, Anzeige und Zitate bleiben unverändert. Ersetzt wird nur, was an die Embedding-API geht. Was Sie in der Wissensbasis lesen und was zitiert wird, bleibt der Originaltext.

Grenzen — ehrlich benannt

• Risikominderung, keine Garantie. Der Schutz beruht wie überall auf der PII-Erkennung; ungewöhnliche Formate kann sie übersehen. → Grenzen des PII-Schilds
• Fail-closed bei Ausfall des PII-Dienstes. Fällt Presidio aus, werden betroffene Dokumente nicht eingebettet und die Vektor-Suche liefert dafür ggf. weniger oder keine Treffer — es gehen aber nie Klardaten an den Provider. Die Stichwortsuche läuft weiter, ein betroffenes Dokument wird beim nächsten Lauf erneut versucht.
• Import bei „PII-Schutz Aus“. Übernimmt ein Nutzer einen Import, während er den Schutz ausgeschaltet hat, landen diese Dokumente ohne Pseudonymisierung im Index — und bleiben dort so, bis sich ihr Inhalt ändert oder ein vollständiger Reindex läuft. Automatische Synchronisationen sind davon nicht betroffen. Den Schalter sperren Sie in den Systemeinstellungen. → Der PII-Schild

Verwandt

• Der PII-Schild — das Gesamtbild der drei Egress-Pfade
• Vertrauenswürdige Ziele (PII-Abfluss) — der Trust-Flag, der dieses Feature deaktiviert
• RAG & Suche: sqlite-vec, Qdrant und BM25 — warum BM25 die Wertsuche trägt
• Presidio einrichten