Confidential AI

Vertrauliche KI bezeichnet den Betrieb von Training und Inferenz für Machine Learning in hardwarebasierten vertrauenswürdigen Ausführungsumgebungen (TEEs). So bleiben Daten, Prompts und Modellgewichte sogar vor Cloud-Anbietern, Systemadministratoren und dem Host-Betriebssystem geschützt. Verschlüsselung schützt Daten schon lange im Ruhezustand auf Datenträgern und bei der Übertragung über Netzwerke. Vertrauliche KI schließt die verbleibende Lücke beim Schutz von Daten während der Verarbeitung. Herkömmliche Systeme entschlüsseln diese Daten im CPU- und GPU-Speicher, während ein Modell sie verarbeitet. Vertrauliche KI überträgt Confidential Computing, ein Bereich, den das Confidential Computing Consortium der Linux Foundation seit 2019 fördert, auf KI-Workloads.

So funktioniert vertrauliche KI#

Drei Hardwaremechanismen ermöglichen diese Garantie:

• Isolierte Ausführung: CPU-Technologien wie Intel TDX und AMD SEV-SNP führen eine gesamte virtuelle Maschine in einem mit Schlüsseln verschlüsselten Arbeitsspeicher aus, auf die der Hypervisor keinen Zugriff hat. Intel SGX isoliert kleinere Enklaven innerhalb einer einzelnen Anwendung. NVIDIA hat mit der Hopper-Generation einen Modus für vertrauliches Rechnen in seinen Rechenzentrums-GPUs eingeführt. Dieser verschlüsselt die zwischen CPU und GPU übertragenen Daten und verhindert, dass der Host den GPU-Speicher ausliest.
• Remote-Attestierung: Bevor eine TEE Geheimnisse erhält, erstellt sie einen signierten Bericht, der auf im Chip verankerten Schlüsseln beruht und die genaue verwendete Hardware, Firmware und Software auflistet. Eine Dateneigentümerin, ein Dateneigentümer oder ein Schlüsselverwaltungsdienst vergleicht den Bericht mit den erwarteten Werten.
• Freigabe von Schlüsseln nach erfolgreicher Attestierung: Entschlüsselungsschlüssel für Datensätze oder Modellgewichte werden nur für Umgebungen freigegeben, deren Attestierung erfolgreich ist. Geschützte Ressourcen sind daher nur innerhalb der verifizierten Arbeitsumgebung lesbar.

Die Leistungseinbußen entstehen vor allem durch die Datenbewegung. Die Verschlüsselung des Speichers und der Übertragungen zwischen CPU und GPU verursacht zusätzlichen Aufwand. Berechnungen auf der GPU laufen dagegen mit voller Geschwindigkeit. Bei rechenintensiven Aufgaben wie der Inferenz mit einem großen Sprachmodell steigt die Inferenzlatenz daher nur moderat.

Wogegen es schützt#

Das Bedrohungsmodell umfasst kompromittierte oder neugierige Infrastrukturebenen: einen böswilligen Insider beim Cloud-Computing-Anbieter, einen gehackten Hypervisor oder einen anderen Mandanten auf demselben physischen Server. Der Schutz gilt in beide Richtungen. Dateneigentümer können vertrauliche Datensätze an ein Modell senden, das sie nicht kontrollieren. Modelleigentümer können geschützte Modellgewichte in einem Rechenzentrum eines Partners oder an einem Randstandort einsetzen, ohne sie dort offenzulegen. Da Kunden dank Attestierung prüfen können, wer ihre Daten lesen kann, ist Confidential Computing auch eine Grundlage für Angebote zur souveränen KI, die auf Hardware ausländischer Eigentümer laufen.

Vertrauliche KI schützt die Ausführungsumgebung und lässt sich mit Schutzmaßnahmen kombinieren, die den Rest der Verarbeitungskette abdecken. Modellausgaben können Trainingsdaten weiterhin durch Mitgliedschaftsinferenzangriffe offenlegen. Training mit Differential Privacy begrenzt dieses Risiko. Außerdem benötigt der Anwendungscode innerhalb der Enklave weiterhin übliche Maßnahmen zur Datensicherheit, etwa Zugriffskontrollen und Sicherheitsaktualisierungen.

Verwandte Datenschutzverfahren#

• Föderiertes Lernen belässt Rohdaten auf dem Gerät oder Server der jeweiligen Teilnehmenden und gibt nur Modellaktualisierungen weiter. Wird der Aggregationsserver in einer TEE ausgeführt, sind auch diese Aktualisierungen besser geschützt.
• Homomorphe Verschlüsselung ermöglicht Berechnungen direkt mit verschlüsselten Daten, ganz ohne vertrauenswürdige Hardware. Beim Deep Learning ist sie jedoch um Größenordnungen langsamer als TEEs und daher auf kleine Modelle und einfache Operationen beschränkt.
• Edge-KI umgeht die Frage, indem Daten auf dem Gerät verarbeitet werden, das sie aufgenommen hat. Das funktioniert, wenn das Modell klein genug ist, um dort ausgeführt zu werden.

Einsatzgebiete vertraulicher KI#

Private Cloud-Assistenten sind die sichtbarsten Anwendungen. Apples Private Cloud Compute, 2024 eingeführt, verarbeitet Anfragen von Apple Intelligence, die für das Gerät zu umfangreich sind. Die Anfragen laufen auf Apple-Silicon-Servern, die nach einer Anfrage keine Nutzerdaten speichern, Mitarbeitern keinen privilegierten Zugriff gewähren und ihre Softwareabbilder veröffentlichen, damit unabhängige Forschende überprüfen können, was ausgeführt wird. Googles Private AI Compute, im November 2025 angekündigt, setzt dasselbe Konzept für Gemini-Modelle auf eigenen TPUs um. Die Geräte überprüfen die Attestierung, bevor sie Daten senden.

Eine weitere Anwendung ist die Zusammenarbeit im Gesundheitswesen. Krankenhäuser, die keine Patientenakten weitergeben dürfen, können externen Entwicklern erlauben, auf ihren Daten innerhalb einer TEE ein Modell für die Analyse medizinischer Bilder zu validieren oder zu trainieren. Das Krankenhaus sieht die Modellgewichte nicht, und der Entwickler erhält keinen Einblick in die Aufnahmen der Patienten. Cloud-Anbieter unterstützen dieses Modell mit Diensten für vertrauliche KI auf Azure und anderen Plattformen.

Bildverarbeitungssysteme verarbeiten ebenfalls personenbezogene Daten: Kameras in Geschäften, Kliniken und am Arbeitsplatz erfassen Gesichter und weitere Informationen, die unter das Datenschutz recht fallen. Da vertrauliche virtuelle Maschinen Anwendungen unverändert ausführen, lässt sich ein Ultralytics YOLO26-Modell, das nach ONNX oder TensorRT exportiert wurde, darin genauso wie auf jedem GPU-Server einsetzen. So bleibt jedes Bild für den Cloud-Betreiber verschlüsselt, während es analysiert wird.