Wann erkennt KI unsere sensiblen Daten von selbst? Ein Blick auf Microsoft Purview

Datenklassifizierung war noch nie ein Thema, bei dem die Augen zu leuchten beginnen. Durch KI hat es massiv an Relevanz gewonnen – und das Marketing von Microsoft tut sein Übriges, sodass man glauben könnte, jetzt müsse man sich um dieses Thema endlich nicht mehr kümmern, da die Daten bald automatisch klassifiziert werden würden.

In einem Kundentenant bin ich neulich über einen Button gestolpert, den ich sonst nirgends sehe: „Classify and extract", oben in der SharePoint-Bibliothek. Und dachte mir kurz: Klasse, jetzt geht das einfach so. Ist das der Moment, in dem die Maschine endlich selbst versteht, was schützenswert ist?

SharePoint-Button "Classify and extract"

Damit sind wir bei Station 2 dieser Reihe: Classify and protect – erkennen und schützen, was sensibel ist. Und wir schauen sie durch eine bestimmte Brille an: KI als Werkzeug in unserer Hand, als Instrument, das klassifiziert. (Die andere Brille – KI als Akteur, die selbst Inhalte erzeugt – kommt im nächsten Artikel.)

Station 1 fragte, ob wir überhaupt sehen, welche Daten durch KI nach draußen wandern. Station 2 fragt das Nächste: ob wir das, was wir sehen, auch verstehen – ob ein System erkennen kann, was sensibel ist. Und da wird die Antwort schnell unbequemer, als der Button verspricht.

Bisher: Datenklassifizierung ohne KI

Klassifizierung hieß bisher: Labels auf Dateien. Manuell gesetzt oder per Auto-Labeling, das über Sensitive Information Types nach Mustern sucht – eine Kreditkartennummer, eine definierte Personalnummer. Die Datei ruht, wird gescannt, bekommt ein Etikett. Das funktioniert, und es hat sich zuletzt real weiterentwickelt: Auto-Labeling ist im April 2026 in die volle Verfügbarkeit gegangen.

Nur: Zu Ende gedacht ist diese Welt nicht. Trainierbare Classifier, die über reine Muster hinausgehen sollen, hängen stark an der Sprache – und wer eigene trainiert, tut das derzeit sinnvoll nur auf Englisch. Für ein Unternehmen, das seine Verträge, Angebote und Protokolle auf Deutsch schreibt, ist das keine halbe Lösung, sondern schlicht noch keine gangbare. Und auch jenseits der starren Muster wird es nicht besser: Was nicht auf klarem Regex beruht, sondern erkennen soll, taugt in der Praxis bis heute wenig.

Und dann kam KI. Sie hat vor allem eine Hoffnung geweckt: dass man sich die ganze mühsame Vorarbeit jetzt sparen kann – die Maschine erkennt schon selbst, was sensibel ist. Der Button in der SharePoint-Bibliothek nährt genau diese Hoffnung. Werfen wir also einen Blick darauf, was hinter dem Wort „KI-Klassifizierung" wirklich steckt.

Die Leiter, die alle in einen Topf werfen

Wenn man „KI erkennt sensible Daten" auseinandernimmt, stehen da mehrere Werkzeuge auf verschiedenen Höhen – und die meisten verwechseln sie, weil das Wort „KI" über allen klebt.

• Ganz unten der SIT: Reine Mustererkennung. Er erkennt die Form, nicht den Sinn. Doch genau hier setzt das KI-Versprechen an: Microsofts Ein-Klick-Policy heißt „Detect sensitive info shared in AI prompts" und klingt, als erkenne die KI, was vertraulich ist. Im Kleingedruckten steht, womit sie das tut – mit Sensitive Information Types und trainierbaren Classifiern. Denselben wie immer. Erkannt wird also nicht sensibler Inhalt, sondern ein SIT, der zufällig in einer Prompt steckt. Schreibe ich etwas streng Vertrauliches, das keinem Muster entspricht, passiert nichts. Der SIT im Prompt ist ein neuer Ort für eine alte Technik, keine neue Fähigkeit.

• Eine Stufe höher der trainierbare Classifier: ein Modell, dem man rund fünfzig Beispiele füttert, das daraus lernt und Ähnlichkeit zu Gelerntem erkennt. Näher an dem, was man sich unter „KI" vorstellt – aber trainiert, nicht verstehend, und eben sprachgebunden. Ob du ihn selbst trainierst oder Microsofts vortrainierte Variante nimmst, ändert nur, wer die Beispiele ausgewählt hat. Bei der vortrainierten vertraust du blind darauf, was drinsteckt.

• Und der Button aus dem Kundentenant, „Classify and extract", gehört zu SharePoint Premium – früher Syntex, und streng genommen gar kein Purview. Trainierte Modelle, die Dokumente klassifizieren, Inhalte extrahieren und Labels anwenden können. Der weiteste Zeh im Wasser Richtung Inhaltsverständnis. Aber auch er läuft auf ruhenden Dateien, braucht ein trainiertes Modell und eine eigene Lizenz.

Alle diese Werkzeuge eint eines: Sie erkennen nur, was man ihnen vorher beigebracht hat – per Definition oder per Training.

Alter Wein in neuen Schläuchen, jetzt mit dem Wort „KI" auf dem Etikett.

Was fehlt, ist die Stufe, die das Marketing andeutet: eine KI, die im Moment des Schreibens versteht, dass hier etwas streng Vertrauliches entsteht – ohne SIT, ohne Beispielset, allein aus dem Sinn. Microsoft hat auf der Build 2026 GPT-basierte Klassifizierung als Vorschau gezeigt. Gezeigt. Nicht ausgeliefert.

Was heute „KI-Klassifizierung" heißt, erkennt nur, was du ihm beigebracht hast. Die KI, die im Fluss versteht, was vertraulich ist, gibt es nicht – sie wäre ein Sprachmodell, das dir pausenlos über die Schulter liest. Und das bezahlt jemand.

Der bequeme Weg ist eine Frage von Monaten – dachte man

An dieser Stelle greift der verständliche Reflex: Dann warte ich eben. Wenn die Maschine bald selbst erkennt, was sensibel ist, kann ich mir die mühsame Vorarbeit – Labels, Taxonomie, SITs, Training – vielleicht sparen. Das kann doch nur eine Frage von Monaten sein.

Nur streicht Microsoft gerade sogar die kleinen Schritte in diese Richtung: Die geplante Funktion, trainierbare Classifier gezielt pro Sprache zu steuern, wurde am 29. Juni nach über einem Jahr ohne Vorschau kurzerhand gestrichen. Multilinguale Organisationen bleiben auf Umwegen sitzen.

Und selbst wenn die verstehende KI käme: Eine Frage von Monaten ist sie nicht. Sie ist eine Frage des Geldbeutels. Und der ist meist geschlossen.

Warum es die erkennende KI nicht gibt: die Rechnung

Alles auf der Leiter läuft punktuell. Ein SIT prüft beim Speichern. Ein Classifier scannt bei einem Durchlauf. Ein Ereignis, eine Prüfung, fertig.

Eine KI, die im Fluss versteht, müsste durchgehend laufen. Jeder getippte Absatz, jeder Prompt müsste in Echtzeit durch ein Sprachmodell fließen. Das ist kein Scan mehr. Das ist Inferenz – die Denkarbeit, die ein Sprachmodell bei jeder einzelnen Anfrage neu leistet. Und Inferenz, nicht das einmalige Training, ist der teure Teil der KI.

Die Zahlen sind öffentlich. Inferenz macht inzwischen den Großteil der KI-Rechenlast aus, weil sie kontinuierlich läuft, während Training ein einmaliger Kraftakt ist. Der Rechenzentrums-Stromverbrauch soll sich laut Internationaler Energieagentur bis 2030 auf rund 945 Terawattstunden verdoppeln – ungefähr der Jahresverbrauch Japans. Und der Strompreis entscheidet mit: Dieselbe Hardware kostet bei deutschen Preisen rund das Dreifache eines günstigen US-Standorts. Dauerhaftes Mitdenken einer KI trifft uns hier härter als anderswo.

Punktuell oder pausenlos – die Rechnung dahinter Es ist dasselbe verbrauchsbasierte Modell, das schon in Station 1 die Erfassung von Prompt-Inhalten teuer machte – nur um Größenordnungen darüber, weil es nicht mehr punktuell prüft, sondern Token für Token ohne Pause. Nicht die Technik fehlt. Die Verhältnismäßigkeit fehlt.

Deshalb gibt es die erkennende KI im Fluss nicht – nicht, weil niemand sie bauen könnte, sondern weil dauerhaftes Verstehen ökonomisch und energetisch heute unvernünftig ist.

Der einzig zuverlässige Weg liegt also dort, wo er schon immer lag: in der Vergangenheit. Know your data, and protect what's worth to be protected. Das ist Handarbeit, sie gelingt mal besser, mal schlechter, und auf Deutsch holpert sie mehr als auf Englisch. Aber sie ist real – und was heute an Vorarbeit liegt, ist genau das Fundament, auf dem eine KI später aufsetzen kann. Der bequeme Weg dagegen bleibt vorerst Zukunftsmusik.

Zum Schluss

Die KI, die im Fluss erkennt, was vertraulich ist, kommt vielleicht. Aber sie wird nur so gut sein wie das, worauf sie aufsetzt. Wer heute nicht weiß, welche Daten er hat, wird es auch mit der klügsten KI nicht wissen – sie erbt nur seine Unordnung.

Ein digitalisierter Scheißprozess bleibt ein Scheißprozess. Daran ändert auch KI nichts. Die Hausaufgabe von gestern ist die Startbedingung von morgen – und die nimmt Dir niemand ab.