Guardrails

Was Guardrails sind

Guardrails sind feste Regeln um ein KI-System, die seine Ausgabe begrenzen. Der Begriff stammt aus dem Bau von Leitplanken, und die Metapher passt: Es geht nicht darum, Fahrtrichtung und Ziel zu bestimmen, sondern darum, einen Fehler abzufangen, bevor er Schaden anrichtet. Ein Sprachmodell kann keine Regel garantieren, weil es Wahrscheinlichkeiten bildet. Die Garantie muss deshalb außerhalb des Modells liegen.

Wo die Regeln ansetzen

• Eingangsprüfung: Wird die Anfrage überhaupt beantwortet. Themen, die nicht zum Zweck gehören, werden abgewiesen, statt eine Antwort zu erzwingen.
• Datenfilter: Welche Inhalte dürfen in den Kontext gelangen. Vertrauliche Daten gehören nicht in eine Anfrage an einen externen Dienst.
• Antwortprüfung: Nach der Antwort wird geprüft, ob sie Regeln verletzt, etwa verbotene Zusagen, Preisangaben aus unsicheren Quellen oder Angaben, die einer Rechtsberatung gleichkommen.
• Handlungsgrenze: Was darf das System selbsttun. Der wichtigste Punkt, weil hier echte Schäden entstehen können.

Die Handlungsgrenze ist entscheidend

Der Unterschied zwischen einem System, das antwortet, und einem System, das handelt, ist größer als jeder Unterschied in der Qualität der Antwort. Ein Chatbot, der eine Bestellung ankündigt, statt sie auszuführen, verursacht Verwirrung. Ein System, das auf Zuruf Preise ändert, Bestellungen storniert oder Erstattungen auslöst, kann in Minuten Schaden erzeugen, der Wochen zum Aufräumen kostet.

Die übliche Abstufung ist deshalb: Lesen immer erlaubt, Vorschläge immer erlaubt, Ausführung nur nach Bestätigung durch einen Menschen, und automatische Ausführung nur bei Aktionen, die rückgängig zu machen sind. Wer diese vier Stufen sauber trennt, hat das größte Risiko bereits beherrscht.

Wie Regeln wirksam werden

Der häufigste Fehler ist ein Regelwerk auf Papier. Eine Regel, die nicht im System erzwungen wird, ist eine Empfehlung. Der zweite Fehler ist eine Regel, die nur am Ende greift, also nach der Ausgabe. Wer die Eingabe nicht begrenzt, erhält Antworten zu Themen, die außerhalb des Zwecks liegen, und muss sie nachträglich abfangen.

Der dritte Fehler ist die fehlende Protokollierung. Zu jeder abgefangenen Ausgabe sollte erkennbar sein, welche Anfrage gestellt wurde und welche Regel gewirkt hat. Ohne dieses Protokoll lässt sich nicht feststellen, ob die Regeln das Richtige verhindern oder nur zufällig etwas. Ein Blick auf die häufigsten Auslöser zeigt außerdem, wo der Prompt oder die Datenquelle nachgebessert werden muss.

Ergänzend gehört eine Rückfallebene dazu. Fällt der Dienst aus oder antwortet nicht in angemessener Zeit, muss das System in einen sicheren Zustand wechseln, also eine allgemeine Antwort geben oder an den Kundenservice verweisen, statt zu warten. Nutzerfreundlichkeit und Sicherheit sind hier kein Widerspruch, weil eine ehrliche Ausweichantwort besser ist als eine erfundene.