Sicherheit und Datenschutz im Überblick

Diese Seite beschreibt, was Labtagon AI OS mit deinen Daten tut und was es schützt. Sie nennt die Standardwerte; was deine Organisation eingestellt hat, sehen ihre Administratoren unter Verwaltung → Einstellungen.

Was ein Modell zu sehen bekommt

Jeder Modellaufruf geht durch das LLM-Gateway von AI OS: aus dem Chat, von Agenten, von eingebauten Fähigkeiten und von eigenen Werkzeugen mit einem API-Schlüssel. Kein Teil von AI OS ruft einen Modellanbieter an diesem Gateway vorbei auf.

Wohin. Die Administratoren deiner Organisation legen unter Verwaltung → LLM-Anbieter fest, welche Anbieter AI OS aufruft, und unter Verwaltung → Modelle, welche Modelle ihr benutzen dürft. Eingerichtet sind OpenRouter, OpenAI und Anthropic; jeder Anbieter mit einer OpenAI-kompatiblen Adresse lässt sich hinzufügen.
Was. Ein Modell erhält, was zur Antwort gehört: deine Nachricht, den bisherigen Verlauf des Chats, Anweisungen und, wenn das Modell Tools aufruft, deren Ergebnisse.
Modelle in der eigenen Installation sind geplant (ADR 0079). Heute laufen die Modelle bei den eingerichteten Anbietern.

Was AI OS speichert

Was	Wo und wie lange
Deine Chats	In der Datenbank von AI OS, bis du sie löschst.
Modellaufrufe	Nur Kennzahlen: Modell, Tokens, Kosten, Dauer, Status und welche Arten personenbezogener Daten gefunden wurden – nicht der Text.
Vollständige Prompts	Nur, wenn die Organisation Prompts speichern in einer Pipeline einschaltet: alle oder ein Anteil der Aufrufe, höchstens 90 Tage, maskiert, wenn die Maskierung an ist. Lesen dürfen nur die Administratoren der Organisation, und jedes Lesen steht im Audit-Log.
Inhalte von Tool-Aufrufen	Argumente und Ergebnisse sieht nur, wer aufgerufen hat; Standard 7 Tage, höchstens 90 („Keep tool call contents (days)“).
Verlauf der Tool-Aufrufe	Wer was wann aufgerufen hat, ohne Inhalte; Standard 90 Tage („Keep the tool call history (days)“).
Dateien	Standard 7 Tage nach dem Eingang, außer du behältst sie („Keep files for (days)“); verschlüsselt gespeichert, siehe unten.
Audit-Log	Standard 90 Tage, mindestens 7 („Retention in days“).

Die Einstellungsnamen in Anführungszeichen zeigt die Verwaltung noch auf Englisch.

Personenbezogene Daten maskieren

Die Organisation kann festlegen, dass personenbezogene Daten AI OS nicht im Klartext in Richtung Modell verlassen (Einstellung „Personal data in prompts to models“, Standard aus):

Maskieren: Vor dem Aufruf liest ein Prüfer (Presidio) jede Nachricht. Jeder Fund wird durch einen Platzhalter wie [NAME_1] ersetzt; in der Antwort setzt AI OS die echten Werte wieder ein, auch in Tool-Aufrufen, die das Modell zurückgibt. Du liest also Klartext, das Modell nicht.
Ablehnen: Ein Prompt mit personenbezogenen Daten geht nicht hinaus.
Ist der Prüfer nicht erreichbar, wird der Aufruf abgelehnt, nicht ungeprüft gesendet.
Gespeichert werden nur die Arten der Funde und ihre Anzahl, nie die Werte.

Gut zu wissen:

Maskiert wird nur auf dem Weg zum Modell. In deinem Chat und in einem Export steht, was geschrieben wurde.
Der Prüfer muss in der Installation eingerichtet sein. Der Standardprüfer erkennt Englisch; eine Pipeline kann bis zu vier Sprachen prüfen lassen.
Standardmäßig übergeht der Prüfer Datumsangaben, Adressen von Webseiten, Orte und Angaben zu Herkunft, Religion oder politischer Haltung (NRP); die Organisation kann das ändern.
Für Tool-Aufrufe gibt es eine eigene Prüfung („Check tool calls for personal data“, Standard aus). Sie maskiert nicht, sondern notiert Funde oder hält den Aufruf zur Freigabe an.

Wann AI OS vorher fragt

Jeder Tool-Aufruf eines Clients oder Agenten geht durch das Gateway von AI OS. Manche Aufrufe hält es an, bis eine Person sie freigibt:

Was ein Profil erlaubt. In einem Profil legst du je Tool-Server fest, was ein Client damit darf: Nur lesen, Lesen & schreiben, Alles oder einzelne Tools (Benutzerdefiniert). Was das Profil nicht erlaubt, kann der Client gar nicht aufrufen.
Tools, die vorher fragen. Für einen Agenten legst du je Tool fest, ob er dich vorher fragt (Fragt dich vorher). Ein solcher Aufruf wird immer angehalten.
Prüfungen der Organisation. Die Administratoren können Aufrufe von einem Sicherheitsmodell oder nach Regeln prüfen lassen und festlegen, welche angehalten werden: geprüfte und markierte, dazu auf Wunsch alle, die etwas löschen oder Rechte ändern („Hold tool calls for approval“). Diese Prüfungen sind standardmäßig aus.

Ein angehaltener Aufruf erscheint in deinem Posteingang als Angehaltener Aufruf. Nur du entscheidest darüber; weder eine Regel noch ein Modell gibt ihn an deiner Stelle frei. Eine Freigabe gilt standardmäßig 60 Minuten; unbeantwortet läuft die Anfrage nach 24 Stunden ab. Mehr dazu unter Aufgaben und Freigaben.

Schlüssel und Anmeldungen

Tool-Server sehen ihre Schlüssel in der Regel nicht. Ihr Code arbeitet mit Platzhaltern. Erst auf dem Weg nach draußen setzt das Egress-Gateway den echten Schlüssel oder das Token ein, an der vorgesehenen Stelle und nur für die Hosts, die zu diesem Zugang gehören. Ausnahme: Ein Tool-Server kann einen Schlüssel ausdrücklich als Umgebungsvariable verlangen; dann erhält ihn sein Prozess beim Start.
Verschlüsselt gespeichert. Deine Anmeldungen bei anderen Diensten und deine Schlüssel liegen verschlüsselt in der Datenbank, an deinen Eintrag gebunden; öffnen kann sie nur das Egress-Gateway. Die Zugänge zu den Modellanbietern sind ebenfalls verschlüsselt, von deinen eigenen API-Schlüsseln speichert AI OS nur einen Hash. Dateien werden verschlüsselt, bevor sie in den Objektspeicher gehen.
Nur erlaubte Ziele. Tool-Server erreichen das Internet nur über das Egress-Gateway und nur die Hosts, die für sie freigegeben sind; ein Tool-Server kann dazu je Host festlegen, welche Anfragen er stellt.

Was protokolliert wird

AI OS führt ein Audit-Log. Darin stehen unter anderem Änderungen an Einstellungen, Anmeldungen und Schlüssel, Dateien und geteilte Seiten, Exporte, Freigaben, das Lesen gespeicherter Prompts, wenn Administratoren Tool-Aufrufe anderer ansehen, und abgewiesene Verbindungen nach draußen. Die Argumente von Tool-Aufrufen stehen nicht im Audit-Log.

Deine eigenen Tool-Aufrufe, Modellaufrufe, Ereignisse und Anhaltungen findest du unter Insights → Protokolle.

Wo AI OS läuft

AI OS wird mit einem Helm-Chart auf einem Kubernetes-Cluster installiert. Wer es betreibt, entscheidet, wo dieser Cluster steht.
Im Cluster ist jede Verbindung verboten, die nicht ausdrücklich erlaubt ist; der einzige Weg der Tool-Server nach draußen ist das Egress-Gateway.
Eine Installation kann mehrere Organisationen tragen. Modellanbieter und ihre Zugänge gehören jeweils einer Organisation; die geteilten Tool-Server einer Organisation laufen in einem eigenen Namespace, die persönlichen einer Person in ihrem.
Du meldest dich über den Anmeldedienst deiner Organisation an (OpenID Connect). Eine Sitzung in der Konsole dauert standardmäßig 10 Stunden. Clients wie Claude Code erhalten von AI OS Tokens, die 10 Minuten gelten und die sie selbst erneuern; nach 30 Tagen ohne Nutzung, spätestens nach 90 Tagen, melden sie sich neu an.
Code, den der Chat ausführt, läuft in einer abgeschotteten Sandbox (gVisor), wenn die Installation sie eingeschaltet hat.

Diktat bleibt auf dem Gerät

Diktierst du im Chat, erkennt dein Browser die Sprache auf deinem Gerät. AI OS bietet das Diktat nur an, wenn das möglich ist; die Aufnahme geht weder an AI OS noch an einen Anbieter. Einmalig lädt der Browser das Sprachpaket von seinem Hersteller.

Regelwerke

Unter Verwaltung → Regelwerke kann eine Organisation Regelsätze aus dem Recht übernehmen (DSGVO, EU AI Act für Betreiber, NIS2, BetrVG). Ein Regelsatz setzt Mindestwerte für Einstellungen, verlangt Nachweise und hält Modelle zurück, die die Anforderungen nicht erfüllen. Ein Regelsatz ersetzt keine rechtliche Prüfung.