EDN-System
Schutzschicht im EDN-SystemHinter jedem Werkzeug steht Maria.
Die Datenschutz-Architektur zwischen Praxis und Modell. Bekannte Klarnamen verlassen die EDN-Plattform nicht. Identifizierende Begleitdetails wie Orte, Institutionen, Diagnosen oder Medikamente werden vor dem Modellaufruf erkannt, klassifiziert und je nach Aufgabe generalisiert oder blockiert.
Eckdaten in einem Blick.
Maria ist Architektur, kein eigenes Produkt. Sie wird nicht verkauft. Sie schützt das, was in SAJA und in der Manufaktur entsteht.
Pseudonymisierung, Tool-Kontrolle, Output-Prüfung und Logging-Härtung zwischen SAJA und externen Sprachmodellen.
Maria ist Architektur, kein eigenes Produkt. Sie wird nicht verkauft, sie schützt.
Ausgerichtet auf die einschlägigen Rahmen. Maria reduziert Risiken und macht sie auditierbar, statt absolute Versprechen zu geben.
Lauffähig im Kern. Rechtliche Prüfung und Zertifizierung in Vorbereitung.
Das Modell ist kein vertrauenswürdiger Teil des Systems.
Deshalb behandelt Maria es wie eine Außengrenze: alles wird vor dem Kontakt geprüft, alles nach dem Kontakt erneut.
Wenn eine Fachkraft mit SAJA dokumentiert, fließen Klientendaten durch die Plattform. Diese Daten dürfen ein externes Sprachmodell nicht unkontrolliert erreichen, auch nicht über Umwege wie Tool-Aufrufe, Antworttexte oder Logs.
Maria sitzt deshalb zwischen SAJA und dem Modell wie eine Schleuse. Vor jedem Kontakt prüft sie, welche Aufgabe vorliegt, welche Daten sie wirklich braucht und welche Klassen sensibel sind. Nach jedem Kontakt prüft sie, was zurückkommt. Daneben härtet sie Logs und Zwischenspeicher, damit Klartext nicht über Umwege liegen bleibt.
Maria reduziert das Re-Identifikations-Risiko durch das externe Modell auf ein technisch kontrolliertes Niveau. Sie leistet keine vollständige Anonymisierung und keinen DSGVO-Freifahrtschein. Sie ist Architektur statt Versprechen.
Übliche Pseudonymisierung. Und wo sie nicht reicht.
Verbreitete Ansätze ersetzen nur Namen. Für die sozialpädagogische Praxis reicht das nicht: der Fall bleibt erkennbar. Eine Fachkraft notiert nach einem Hortvormittag:
Technisch ist Spalte B pseudonymisiert. Praktisch bleibt der Fall erkennbar: 8 Jahre, Wernerschule, Misburg, ADHS, Ritalin. Wer den Träger kennt, weiß sehr wahrscheinlich, wer gemeint ist. Maria entfernt nicht nur Namen, sondern auch die identifizierende Kombination der Begleitdetails, und hält dabei genug fachlichen Sinn für die Aufgabe.
Wie Maria das entscheidet.
Maria liest den Text nicht frei wie ein Sprachmodell. Sie zerlegt ihn in Datenklassen, prüft Quellen und bewertet Risiken. Drei Schichten greifen ineinander.
Fall-Stammdaten aus EDN.
Klienten, Sorgeberechtigte, Mitarbeitende und Bezugspersonen kennt Maria aus dem EDN-Datenbestand des Trägers. Die Zuordnung bleibt innerhalb von EDN. Das Modell sieht nur Referenzen.
Sensible Klassen.
Für Begriffe wie Medikamente, Diagnosen, Orte und Institutionen nutzt Maria Klassifikatoren und Listen. Sie braucht keine Welt-Datenbank, sie kombiniert Sensoren.
Risiko-Kombinationen.
Einzelne Datenelemente sind oft harmlos. Die Kombination trägt das Risiko. Maria bewertet Dichte über fünf Dimensionen: Identität, Ort, Institution, Medizin und Konstellation.
Bei kritischer Dichte generalisiert Maria stärker oder stoppt vor dem Modellaufruf mit einem Hinweis an die Fachkraft. Bei bekannten Stammdaten entscheidet Maria nicht aus Sprachgefühl, sondern aus dem Fallkontext des EDN-Systems. Bei unbekannten Angaben, sensiblen Klassen und Risiko-Kombinationen erkennt, klassifiziert und bewertet Maria nach Schutzregeln.
Je dichter die Kombination, desto höher das Risiko.
Acht Jahre allein sind harmlos. Acht Jahre plus Schule plus Stadtteil plus Diagnose plus Medikament kippen. Maria misst diese Dichte über fünf Achsen. Wo die Dichte die innere Schwelle überschreitet, generalisiert sie stärker oder stoppt.
Max-Fall
Identität, Ort, Medizin und Konstellation gleichzeitig hoch. Die Kombination kippt.
Geburtstags-Fall
Nur Identität niedrig, der Rest leer. Unkritisch.
Maria ist kontextsensitiv. Nicht blind.
Maria ersetzt nicht alles immer. Sie generalisiert, was die Aufgabe nicht braucht. Eine Geburtstags-Doku braucht das genaue Alter nicht. Eine medizinische Stellungnahme schon.
Das genaue Alter braucht das Modell für diese Doku nicht. Die Verlaufsdoku wird nicht besser, wenn das Modell den achten Geburtstag kennt. Die Fachkraft ergänzt das Alter im Entwurf lokal. Maria reduziert, was nicht gebraucht wird. Nicht weniger und nicht mehr.
Sechs Schutzstufen, die hintereinander laufen.
Jede Stufe ist getrennt geprüft und auditierbar. Eine Anfrage berührt jede Stufe, in derselben Reihenfolge, jedes Mal.
Pseudonymisierung
Bekannte Entitäten aus EDN-Stammdaten werden zu kontextlokalen Refs. Eine Identität pro Aufgabe.
Vor dem ModellKlassen-Erkennung
Diagnose, Medikament, Ort, Institution. Erkannt über Klassifikatoren und Listen.
Vor dem ModellRisiko-Kombination
Bewertung über fünf Dimensionen. Wo die Dichte kippt, wird generalisiert oder gestoppt.
Vor dem ModellWerkzeug-Schleuse
Werkzeuge des Modells laufen nur mit Refs, nicht mit Klardaten.
Im ModellAntwort-Prüfung
Prüfung vor Rückgabe. Klar-Namen, erfundene Diagnosen und modellseitig erzeugte Handlungsanweisungen werden blockiert.
Nach dem ModellAufräumen
Refs werden für die Fachkraft rehydriert. Logs und Zwischenspeicher werden bereinigt, TTL läuft automatisch.
Nach dem ModellWas Maria nicht leistet.
Wir benennen die Grenzen so klar wie die Funktion. Das gehört für Leitung und Datenschutz zur Entscheidungsgrundlage.
Keine vollständige Anonymisierung
Vollständige Anonymisierung wird nicht behauptet. Re-Identifikation bleibt theoretisch möglich, wenn ein extrem seltenes Detail nicht erkannt wird.
Keine juristische Garantie
Maria ist eine risikoreduzierende Schutzschicht, kein Versprechen absoluter Sicherheit. Sie macht Risiken kontrolliert und auditierbar, nicht null.
Kein Ersatz für Provider-Prüfung
AVV, Datentransferregeln und die Auseinandersetzung mit dem Modellanbieter bleiben Aufgabe des Trägers. Maria reduziert die Angriffsfläche, sie ersetzt sie nicht.
Kein Ersatz für die Fachkraft
Natürliche Sprache bleibt technisch nicht vollständig kontrollierbar. Modelle können erfinden und falsch zuordnen. Die finale fachliche Kontrolle bleibt beim Menschen.
Noch nicht abschließend juristisch validiert
Die technische Architektur ist sauber gebaut. Was fehlt, ist die externe juristische Prüfung und Zertifizierungsfähigkeit. Genau deshalb ist die nächste Phase die rechtliche Bewertung.
Wo Maria heute steht.
Der Kern läuft. Die rechtliche Prüfung und das Zertifizierungs-Audit sind die nächsten beiden Schritte, bewusst nach dem Pilot.
Die Pipeline an einem Beispiel aus Ihrem Bestand.
Wenn Sie für einen Träger oder ein Jugendamt prüfen, ob Maria verantwortbar ist, schreiben Sie mir. Wir nehmen einen anonymisierten Fall aus Ihrem Bestand, schicken ihn durch die sechs Stufen und zeigen, was am Modell ankommt. Architektur, Code-Stellen und Test-Belege liegen auf dem Tisch.
Erzieher, Gründer