Ein Datenschutzvorfall beim KI-Recruiting-Startup Mercor zwingt Meta zur Notbremse – und offenbart ein strukturelles Sicherheitsproblem, das die gesamte KI-Branche betrifft.
Meta pausiert Kooperation mit Mercor nach Datenpanne
Meta hat die Zusammenarbeit mit dem KI-Recruiting-Startup Mercor vorübergehend ausgesetzt, nachdem ein Datenschutzvorfall vertrauliche Informationen aus der KI-Entwicklung des Konzerns gefährdet hat. Der Vorfall wirft grundlegende Fragen zur Datensicherheit beim Einsatz externer Dienstleister in sensiblen KI-Projekten auf.
Was bekannt ist
Mercor ist ein auf künstliche Intelligenz spezialisiertes Recruiting-Unternehmen, das Fachkräfte für das Training und die Evaluation von KI-Modellen vermittelt. Meta hatte das Startup eingesetzt, um sogenannte Red-Teaming-Experten und Annotatorinnen zu gewinnen – Personen, die KI-Systeme auf Schwachstellen testen oder Trainingsdaten bewerten. Im Zuge dieser Zusammenarbeit erhielten externe Auftragnehmer Zugang zu internen Informationen über Metas KI-Entwicklungsprozesse.
Nach Informationen von Wired kam es bei Mercor zu einem Datenschutzvorfall, durch den potenziell sensible Inhalte aus dem Umfeld von Metas KI-Projekten nach außen gelangten. Meta reagierte darauf mit einer Aussetzung der Kooperation. Mercor hat den Vorfall bestätigt und angekündigt, die Sicherheitsmaßnahmen zu überprüfen.
Strukturelles Problem: Externe Dienstleister in sensiblen Prozessketten
Der Fall verdeutlicht ein strukturelles Risiko, das in der gesamten KI-Branche besteht. Große Technologieunternehmen lagern erhebliche Teile ihrer KI-Entwicklung an spezialisierte Dienstleister aus – von der Datenbeschaffung über die Modellevaluation bis hin zu sicherheitsrelevanten Tests. Diese Dienstleister wiederum arbeiten häufig mit Freiberuflern und Subunternehmern zusammen, was die Kontrollkette verlängert und potenzielle Angriffsflächen vergrößert.
Proprietäre Informationen über Modellarchitekturen, Trainingsverfahren oder interne Benchmarks gelten in der KI-Industrie als hochsensibles Wettbewerbsgut.
Gelangen solche Informationen unkontrolliert nach außen, kann dies nicht nur wettbewerbsrelevante Schäden verursachen, sondern auch Sicherheitslücken in noch nicht veröffentlichten Systemen offenbaren.
Branchenweite Relevanz
Meta ist kein Einzelfall. Die gesamte KI-Industrie – von OpenAI über Google bis hin zu zahlreichen europäischen Anbietern – setzt auf externe Dienstleister für arbeitsintensive Prozesse im Bereich Human Feedback und Modellbewertung. Die Qualität der Sicherheitsstandards dieser Anbieter variiert dabei erheblich.
Regulatorische Anforderungen, wie sie etwa die EU-KI-Verordnung perspektivisch vorsieht, adressieren diese Lücke in der Dienstleisterkette bislang nur unvollständig. Sicherheitsexperten weisen darauf hin, dass der Zugang externer Auftragnehmer zu vertraulichen Entwicklungsumgebungen oft mit unzureichenden technischen Schutzmaßnahmen kombiniert wird:
Fehlende Datenisolierung, mangelhafte Zugriffsbeschränkungen und ungenügende Protokollierung von Datenbewegungen sind typische Schwachstellen in der externen KI-Dienstleisterkette.
Einordnung für deutsche Unternehmen
Für deutsche Unternehmen, die KI-Entwicklung oder -Evaluation an externe Dienstleister vergeben, ist dieser Vorfall ein konkreter Anlass zur Überprüfung eigener Sicherheitskonzepte. Vertragliche Regelungen zu Datenschutz und Geheimhaltung reichen allein nicht aus. Zum Standard sollten gehören:
- Datenisolierung zwischen internen und externen Systemen
- Granulare Zugriffskontrollen für externe Auftragnehmer
- Regelmäßige Sicherheitsaudits bei Drittanbietern
Angesichts der wachsenden Bedeutung von KI-Systemen für Wettbewerbsvorteile ist die Absicherung der gesamten Dienstleisterkette eine unternehmerische Kernaufgabe – nicht nur eine IT-Formalität.
Quelle: Wired AI
