PII-Bereinigung für den sicheren Umgang mit Gesprächsaufzeichnungen
Einführung und Überblick
Outdoo AI betreibt eine sichere Pipeline zur PII-Bereinigung, die personenbezogene Daten (PII, personally identifiable information) in Audioaufzeichnungen und Transkripten von Gesprächen automatisch erkennt und schwärzt, bevor eine Analyse stattfindet. Dieser Workflow bereinigt alle Kundendaten, schützt so die Privatsphäre der Kunden und unterstützt die Einhaltung von Vorschriften wie HIPAA, Anforderungen im Zusammenhang mit dem CFPB, PCI-DSS für Zahlungsdaten sowie Standards der Versicherungsbranche.
Die Pipeline besteht aus mehreren Phasen, in denen Gesprächsdaten sicher und regelkonform aufgenommen, geprüft, geschwärzt, gespeichert und genutzt werden. Fortschrittliche Machine-Learning-Modelle erkennen sensible Informationen in Transkripten und Audiodaten und gehen dabei über einen einfachen Abgleich von Schlüsselwörtern hinaus. Die KI erkennt PII im Kontext, zum Beispiel ob eine Zahlenfolge eine Kreditkartennummer oder eine Adresse ist, und arbeitet dabei genauer als regelbasierte Verfahren.
Phasen des Workflows
1. Aufnahme: Alle Gesprächsaufzeichnungen von Kunden werden sofort nach ihrer Erstellung über sichere, verschlüsselte Kanäle aufgenommen. Wird eine Aufzeichnung über die App hochgeladen, erzwingt Outdoo AI während des Uploads eine Transportverschlüsselung per SSL/TLS, damit sensible Daten nicht abgefangen werden können. Sobald eine neue Aufzeichnung eingeht, startet die Bereinigungs-Pipeline und verarbeitet sie sofort.
2. Erkennung und Transkription: Liegt noch kein Transkript vor, wird die Audioaufzeichnung mit einer Speech-to-Text-Engine in Text umgewandelt. Das Transkript erleichtert die Suche nach PII. Die Pipeline von Outdoo AI durchsucht das Transkript und die zugehörige Audiodatei mit ML- und NLP-Modellen nach Hinweisen auf PII. Die Modelle sind darauf trainiert, eine Vielzahl von PII-Typen zu erkennen, darunter:
- Persönliche Kennungen: Namen, Sozialversicherungsnummern, Geburtsdaten, Telefonnummern, E-Mail-Adressen, Postanschriften
- Finanzdaten: Kredit- oder Debitkartennummern, Bankverbindungen, Bankleitzahlen (Routing Numbers), CVV-Codes, Ablaufdaten, PINs
- Gesundheitsbezogene Kennungen: Versicherungsnummern, Patientenaktennummern oder andere personenbezogene Gesundheitsdaten (zur Einhaltung von HIPAA)
- Sonstige PII: eindeutige Kennungen oder sensible Daten wie Konto-IDs oder biometrische Merkmale
Abbildung 1: Workflow zur PII-Bereinigung
Jedes Mal, wenn im Transkript ein PII-Element erkannt wird, vermerkt das System den Zeitpunkt in der Audiodatei, an dem diese Information ausgesprochen wurde. Da Start- und Endzeit jedes sensiblen Abschnitts bekannt sind, kann Outdoo AI die Daten in Text und Audio präzise entfernen.
3. Schwärzung und Maskierung: Sobald PII-Elemente erkannt sind, schwärzt die Pipeline sie sowohl im Transkript als auch in der Audiodatei:
- Schwärzung im Transkript: Im Texttranskript werden sensible Angaben durch einheitliche Platzhalter ersetzt (zum Beispiel
****). Die tatsächlichen Werte werden entfernt, die Struktur des Gesprächs bleibt erhalten.
- Schwärzung im Audio: In der Audioaufzeichnung werden die entsprechenden Abschnitte mit PII stummgeschaltet oder durch einen neutralen Ton ersetzt. Anhand der Zeitstempel weiß das System genau, welcher Teil der Wellenform unterdrückt werden muss. Der Audioabschnitt wird nicht gelöscht, da dies das Timing verändern würde. Stattdessen wird er an Ort und Stelle stummgeschaltet, sodass die geschwärzte Audiodatei dieselbe Länge und denselben Gesprächsverlauf behält. Transkript und Audio bleiben synchron: Wer zuhört und gleichzeitig das Transkript liest, sieht die Platzhalter genau an den Stellen, an denen das Audio stummgeschaltet ist.
4. Speicherung der bereinigten Daten: Nach der Schwärzung werden nur die bereinigten Versionen der Daten aufbewahrt. Die ursprünglichen Rohaufzeichnungen mit PII werden nie gespeichert. Sie werden verworfen, sobald die Bereinigung und Überprüfung abgeschlossen sind. Die bereinigten Transkripte und geschwärzten Audiodateien werden im Ruhezustand stark verschlüsselt gespeichert. Selbst wenn sich jemand unbefugt Zugriff auf den Speicher verschaffen würde, fände er nur anonymisierte Gesprächsdaten ohne sensible personenbezogene Informationen.
5. Audit-Trails: Jeder Zugriff auf Gesprächsdaten und jede Aktion daran wird protokolliert, einschließlich der Angabe, wer wann auf eine Datei oder ein Transkript zugegriffen und was diese Person getan hat (angesehen, Audio abgespielt, geteilt usw.). Diese Audit-Protokolle werden im Rahmen der Sicherheitsprotokolle von Outdoo AI regelmäßig geprüft und dienen bei Compliance-Audits als Nachweis.
Analyse und Nutzung (nach der Bereinigung): Sobald die Daten bereinigt sind, lassen sie sich sicher für Coaching und Schulungen, Qualitätssicherung und Compliance-Prüfungen sowie Analysen und Reporting nutzen. Bereinigte Transkripte können in Analysetools eingespeist werden, um geschäftliche Erkenntnisse zu gewinnen, etwa Stimmungsanalysen, häufige Probleme von Kunden, Kennzahlen zur Gesprächsdauer und Ergebnisse, ohne ein Risiko für Datenschutzverletzungen einzugehen.
Einhaltung von Vorschriften
Der Workflow zur PII-Bereinigung von Outdoo AI wurde von Grund auf mit Blick auf Compliance entwickelt. Er erfüllt oder übertrifft die Anforderungen wichtiger Datenschutz- und Sicherheitsvorschriften:
- HIPAA: Gesundheitsbezogene Kennungen und patientenbezogene Informationen in Gesprächen werden erkannt und geschwärzt. Durch das Entfernen von Patientennamen und Gesundheitsangaben aus Aufzeichnungen unterstützt Outdoo AI Gesundheitsdienstleister dabei, HIPAA einzuhalten und die Vertraulichkeit von Patientendaten zu wahren.
- PCI-DSS: Kreditkartennummern, Ablaufdaten, CVV-Codes und andere Zahlungsdaten werden aus den Gesprächsdaten entfernt. Liest ein Kunde im Gespräch seine Kreditkartennummer vor, wird diese Nummer aus dem Transkript entfernt und im Audio stummgeschaltet. Das verringert den PCI-Geltungsbereich erheblich.
- Standards der Versicherungsbranche: Policennummern, Angaben zu Schadenfällen, Adressen, Geburtsdaten, Führerscheinnummern und andere im Gespräch genannte PII werden geschwärzt. Dieser Ansatz entspricht den Grundsätzen der Datenminimierung und des Datenschutzes, die in Versicherungsvorschriften üblich sind.
- GDPR/CCPA: Outdoo AI wendet den Grundsatz der Datenminimierung an und bewahrt nur de-identifizierte Daten auf. Macht eine Person von ihrem Recht auf Löschung Gebrauch, enthalten ihre Gesprächsdaten keine rohen PII, sondern nur anonymisierte Daten.
Die Prozesse von Outdoo AI werden regelmäßig in Compliance-Audits geprüft, um sicherzustellen, dass die Bereinigung wie vorgesehen funktioniert und keine sensiblen Daten unerkannt bleiben.
Sicherheitsmaßnahmen und Kontrollen zum Datenschutz
- Verschlüsselung bei der Übertragung und im Ruhezustand: Alle Daten werden bei der Übertragung zwischen Diensten (SSL/TLS) und bei der Speicherung auf Servern (starke Verschlüsselung wie AES-256) verschlüsselt. Nur autorisierte Benutzer können gespeicherte Daten entschlüsseln.
- Audit-Protokollierung und Überwachung: Jede Interaktion mit dem System wird protokolliert. Zugriffsmuster werden überwacht, und ungewöhnliches Verhalten löst eine Untersuchung aus. Die Protokolle dienen sowohl der Sicherheitsüberwachung als auch als Nachweis für die Compliance.
- Regelmäßige Compliance-Audits und Überprüfungen: Outdoo AI führt interne Audits zur Genauigkeit der Bereinigung, Prüfungen der Zugriffsprotokolle und regelmäßige Überprüfungen der Zugriffsrechte durch. Outdoo AI verfolgt Änderungen der Vorschriften und aktualisiert die Erkennungsmodelle, sobald neue Kategorien sensibler Informationen definiert werden.
- Sichere Architektur und Skalierbarkeit: Die Pipeline basiert auf einer sicheren Architektur mit bewährten Cloud-Diensten. Netzwerksicherheitskontrollen wie VPC-Isolierung und Firewalls schützen alle Komponenten. Die Pipeline skaliert auch für große Gesprächsvolumen und hält dabei dieselbe Qualität der Bereinigung.
Fazit
Die Pipeline zur PII-Bereinigung von Outdoo AI schützt Gesprächsaufzeichnungen von Kunden durchgängig. Jede Aufzeichnung wird von einer automatisierten Engine verarbeitet, die sensible personenbezogene Daten in Audio und Transkript erkennt und schwärzt. So verbleiben keine ungeschützten PII in den Systemen von Outdoo AI. Die bereinigten Daten sind verschlüsselt, zugriffsgeschützt und entsprechen HIPAA, PCI-DSS sowie den relevanten Versicherungs- und Datenschutzstandards. Lückenlose Audit-Trails und regelmäßige Compliance-Audits belegen die Wirksamkeit dieser Prozesse.
Wir hoffen, dieser Artikel war hilfreich. Bei Fragen schreiben Sie uns bitte an support@outdoo.ai