In diesem Dokument wird beschrieben, wie Sie Inhaltsrichtlinien für Sensitive Data Protection auf Gemini Enterprise-Connectors und ‑Anwendungen sowie auf Gemini Notebook Enterprise-Notebooks anwenden.
Sensitive Data Protection in Gemini Enterprise
Sensitive Data Protection-Inhaltsrichtlinien sind so konzipiert, dass Daten auf Datenverstöße oder unerwünschte Inhalte geprüft werden und Sie entscheiden können, wann diese Inhalte zugelassen oder blockiert werden sollen. Dazu gehört das Blockieren vertraulicher oder unangemessener Quellen, z. B. das Verhindern, dass Nutzern sensible Daten angezeigt werden, und das Blockieren von Datei-Uploads in den Assistenten oder Gemini Notebook Enterprise, wenn sie gegen Richtlinien verstoßen. Diese Funktion verbessert die Sicherheit Ihrer Gemini Enterprise-Apps, indem sie vor verschiedenen Risiken schützt und für Best Practices für eine verantwortungsbewusste Anwendung von KI sorgt.
Zusammenwirken von Sensitive Data Protection und Model Armor
Sensitive Data Protection und Model Armor arbeiten in Gemini Enterprise zusammen, um Ihre Daten mehrstufig zu schützen. Sie schützen verschiedene Aspekte Ihrer KI-Interaktionen.
Sensitive Data Protection schützt eingehende Daten
Bei Daten-Connectors verhindert Sensitive Data Protection, dass sensible Daten aufgenommen oder indexiert werden. Inhaltsrichtlinien können verschiedene Inhaltstypen prüfen, darunter Textinhalte (mit OCR für Bilder), Objekterkennung in Bildern, Bildsicherheit, Rich-Dokumente (wie PDF, DOCx, PPTx und XLSx) mit eingebetteten Bildern und Metadatenlabels (Microsoft-Vertraulichkeitslabels und Google Workspace-Labels). Sensitive Data Protection konzentriert sich darauf, dass nur konforme Informationen als Quelle in das System gelangen.
Wenn Inhalte gegen die Inhaltsrichtlinie verstoßen, werden sie nicht als Quellen in den Assistenten und Gemini Notebook Enterprise hochgeladen.
Model Armor schützt den Bereitstellungspfad
Model Armor schützt die Nutzerinteraktion in Gemini Enterprise, indem Prompts vor der LLM-Verarbeitung und Modellantworten vor der Bereitstellung für den Nutzer überprüft werden. Durch die Überprüfung von Prompts schützt Model Armor vor Prompt Injections und schädlichen URLs. Wenn gegen eine Richtlinie verstoßen wird, blockiert Gemini Enterprise die Anfrage und zeigt eine Fehlermeldung an.
Weitere Informationen zur Verwendung von Model Armor mit Gemini Enterprise finden Sie unter Model Armor aktivieren.
Unterstützte Quellen
Mit Inhaltsrichtlinien für Sensitive Data Protection können Daten in Connectors, Metadatenlabels und Dateiuploads geprüft werden.
Connectors
Sie können Inhaltsrichtlinien auf die folgenden Connectors anwenden:
Drittanbieter-Connectors: Sensitive Data Protection unterstützt sowohl Drittanbieter-Connectors für die Datenaufnahme als auch föderierte Drittanbieter-Connectors. Eine Liste dieser Connectors finden Sie unter Datenquelle eines Drittanbieters verbinden.
Benutzerdefinierte MCP-Server:Sensitive Data Protection unterstützt Inhalte auf benutzerdefinierten MCP-Servern (Model Context Protocol). Allgemeine Informationen zu benutzerdefinierten MCP-Servern finden Sie unter Benutzerdefinierten MCP-Server-Datenspeicher einrichten.
Google Workspace-Connectors:
Metadatenlabel
Sensitive Data Protection unterstützt zwei Arten von Metadatenlabels für bestimmte Connectors und Uploads:
Microsoft-Vertraulichkeitslabels: Diese Labels werden auch als Purview Information Protection-Labels (MSIP), Azure Information Protection-Labels (AIP) und Microsoft Information Protection-Labels (MIP) bezeichnet. Es handelt sich um Vertraulichkeitslabels, die auf Microsoft 365-Assets wie Word, Excel und Outlook angewendet werden. Sie betten Metadaten direkt in die Datei oder den E‑Mail-Header ein, um die Vertraulichkeit anzugeben (z. B. „Streng vertraulich“ oder „Nur für interne Zwecke“). Sensitive Data Protection unterstützt Microsoft-Vertraulichkeitslabels in Connectors so:
Microsoft SharePoint: Labels für Office 365-Dateien und PDFs. Microsoft-Vertraulichkeitslabels für andere Dateitypen wie SharePoint-Websites und -Seiten werden nicht unterstützt.
Microsoft OneDrive: Labels für Office 365-Dateien und PDFs.
Microsoft Outlook: Labels für E‑Mail-Nachrichten und Kalendertermine.
Microsoft Teams: Labels für Office 365-Dateien und PDFs.
Direkte Uploads und Connectors, die nicht von Microsoft stammen:Labels für Office 365-Dateien und PDFs, wenn die Dateien eingebettete Labels enthalten.
Google Workspace-Labels:Diese Labels dienen zur Datenklassifizierung in Google Workspace. Administratoren definieren benutzerdefinierte Schemas, die Nutzer oder automatisierte Systeme auf Google Workspace-Elemente anwenden können, um sie zu klassifizieren (z. B. „Vertraulich“ oder „Intern“). Sensitive Data Protection unterstützt Google Workspace-Labels für Dateien in Google Workspace-Connectors und Dateien, die aus Google Drive in den Gemini Enterprise-Assistenten hochgeladen wurden.
Datei-Uploads
Wenn Sie Dateien von einem lokalen Laufwerk, Google Drive oder Microsoft OneDrive in den Assistenten oder Gemini Notebook Enterprise hochladen, scannt Sensitive Data Protection die Dateien und blockiert Uploads, die gegen die Inhaltsrichtlinie verstoßen.
In der folgenden Tabelle sind die unterstützten Dateitypen für das Scannen aufgeführt:
| MIME type (MIME-Typ) | Beschreibung |
|---|---|
application/pdf |
|
text/html |
HTML |
text/plain |
Nur-Text |
application/json |
JSON |
application/vnd.openxmlformats-officedocument.wordprocessingml.document |
Microsoft Word (DOCX) |
application/vnd.openxmlformats-officedocument.presentationml.presentation |
Microsoft PowerPoint (PPTX) |
application/vnd.openxmlformats-officedocument.spreadsheetml.sheet |
Microsoft Excel (XLSX) |
application/vnd.ms-excel.sheet.macroenabled.12 |
Microsoft Excel-Arbeitsblatt mit aktivierten Makros (XLSM) |
application/xml |
XML |
image/bmp |
BMP-Bild |
image/gif |
GIF-Bild |
image/jpeg |
JPEG-Bild |
image/png |
PNG-Bild |
image/tiff |
TIFF-Bild |
image/svg+xml |
SVG-Bild |
text/csv |
CSV (kommagetrennte Werte) |
text/tab-separated-values |
TSV (tabulatorgetrennte Werte) |
Unterstützte Versionen von Gemini Enterprise
Sie können Sensitive Data Protection mit allen Gemini Enterprise-Versionen außer der Gemini Enterprise Business-Version verwenden.
Für die Nutzung von Sensitive Data Protection fallen keine zusätzlichen Kosten an.
Unterstützte Regionen
Sensitive Data Protection unterstützt die globalen, EU- und US-Multiregionen.
Beschränkungen
Für Inhaltsrichtlinien zum Schutz sensibler Daten in Gemini Enterprise gelten die folgenden Einschränkungen:
Inhaltsrichtlinien gelten nicht für ältere Datenspeichertypen, z. B. Daten aus Cloud Storage, BigQuery oder Websites. Nur die Connectors, die Entitätsdaten enthalten, können durch Inhaltsrichtlinien geschützt werden.
Sie können zwar eine Inhaltsrichtlinie aus einem Projekt auf Gemini Enterprise in einem anderen Projekt anwenden, die beiden Projekte müssen sich jedoch im selben VPC Service Controls-Perimeter befinden. Allgemeine Informationen zu VPC Service Controls für Gemini Enterprise finden Sie unter App mit VPC Service Controls schützen.
Google Workspace-Labels und das Scannen von Inhalten werden für Uploads in Gemini Notebook Enterprise-Notebooks nicht unterstützt.
Für Sensitive Data Protection gelten Einschränkungen hinsichtlich der unterstützten Dateigröße, die sich von Gemini Enterprise unterscheiden können. Informationen zur maximalen Größe von PDFs, Office 365-Dateien, Textdateien und Bilddateien finden Sie unter Grenzwerte für die Inhaltsrichtlinie. Standardmäßig sind Inhalte in großen Dateien in Inhaltsrichtlinien zulässig. Sie können jedoch Richtlinien konfigurieren, um Inhalte in großen Dateien zu blockieren.
Bei Microsoft-Connectors, die verschlüsselte Dateien enthalten, können die Dateien weder von Gemini Enterprise noch von Sensitive Data Protection entschlüsselt werden. Daher werden sie nicht auf Inhaltsverstöße gescannt. Wenn Nutzer Fragen zu den Inhalten stellen, kann Gemini Enterprise diese nicht beantworten, da die Inhalte verschlüsselt sind. Wenn Nutzer jedoch Fragen stellen, die anhand von unverschlüsselten Snippets und Metadaten beantwortet werden können, liefert Gemini Enterprise diese Antworten.
Hinweis
Bevor Sie beginnen, sollten Sie prüfen, ob die folgenden Voraussetzungen erfüllt sind:
Ihnen und dem Gemini Enterprise-Dienstkonto sind die erforderlichen Rollen zugewiesen:
Sie benötigen die Rolle Gemini Enterprise Admin.
Das Gemini Enterprise-Dienstkonto benötigt die Rolle „DLP-Nutzer“ (
roles/dlp.user).
Weitere Informationen finden Sie unter Erforderliche Rollen im Abschnitt Inhaltsrichtlinien erstellen und verwalten in der Dokumentation zu Sensitive Data Protection.
Sie haben eine Gemini Enterprise-App erstellt oder Gemini Notebook Enterprise konfiguriert. Weitere Informationen finden Sie unter App erstellen oder Gemini Notebook Enterprise einrichten.
Inhaltsrichtlinie erstellen
So bereiten Sie eine Inhaltsrichtlinie für den Schutz sensibler Daten vor, die auf einen Gemini Enterprise-Connector oder eine Gemini Enterprise-App oder auf Gemini Notebook Enterprise angewendet werden soll:
Erstellen Sie eine Inhaltsrichtlinie gemäß der Anleitung unter Inhaltsrichtlinien erstellen und verwalten in der Sensitive Data Protection-Dokumentation.
Erstellen Sie die Richtlinie in derselben Region wie die Anwendungen, auf die Sie sie anwenden möchten.
Notieren Sie sich den Namen der Richtlinie. Wenn Sie einem Connector eine Richtlinie hinzufügen möchten, benötigen Sie den vollständigen Pfad im Format
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_ID.
Sensible Daten in Connectors mit Inhaltsrichtlinien schützen
Wenn Sie verhindern möchten, dass Nutzern Informationen zu einer Einheit angezeigt werden, wenn die Einheit vertrauliche Daten enthält, wenden Sie eine Sensitive Data Protection-Inhaltsrichtlinie auf den Connector an. Folgen Sie dazu der Anleitung unter Inhaltsrichtlinie auf einen Gemini Enterprise-Connector anwenden.
Wenn Sie die Inhaltsrichtlinie später aus dem Connector entfernen müssen, lesen Sie den Abschnitt Inhaltsrichtlinie aus einem Connector entfernen.
Inhaltsrichtlinie auf einen Gemini Enterprise-Connector anwenden
Wenn Sie eine Sensitive Data Protection-Inhaltsrichtlinie auf einen Connector anwenden, wird verhindert, dass Gemini Enterprise Entitätsdaten zurückgibt, die sensible Inhalte aus dem Connector enthalten.
Bei bestimmten Arten von Connectors kann die Anwendung der Inhaltsrichtlinie auch die Rückgabe von Entitätsdaten basierend auf Metadatenlabels blockieren.
So wenden Sie eine Inhaltsrichtlinie auf einen Connector an:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf und klicken Sie dann auf Datenspeicher.
Rufen Sie die Seite Datenspeicher auf.
Klicken Sie auf den Namen des Connectors, auf den Sie die Richtlinie anwenden möchten.
Geben Sie im Feld Inhaltsrichtlinie den vollständigen Namen der Inhaltsrichtlinienressource ein.
Nachdem Sie die Richtlinie in das Feld eingegeben haben, wird sie sofort angewendet.
Optional: Inhaltsrichtlinie testen Wenn Sie Daten im Connector haben, die gegen die Richtlinie verstoßen, bitten Sie den Assistenten, Sie darüber zu informieren.
Inhaltsrichtlinie aus einem Connector entfernen
So entfernen Sie eine Richtlinie von einem Connector:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf und klicken Sie dann auf Datenspeicher.
Rufen Sie die Seite Datenspeicher auf.
Klicken Sie auf den Namen des Connectors, aus dem Sie die Richtlinie entfernen möchten.
Löschen Sie den Text im Feld Inhaltsrichtlinie und geben Sie ein leeres Feld ein.
Die Richtlinie wird sofort entfernt.
Uploads in den Assistenten mit Inhaltsrichtlinien schützen
Wenn Sie Uploads in den Assistenten für eine Gemini Enterprise-App schützen möchten, folgen Sie der Anleitung unter Inhaltsrichtlinie auf Uploads in den Gemini Enterprise-Assistenten anwenden.
Wenn Sie später eine Sensitive Data Protection-Inhaltsrichtlinie aus dem Assistenten entfernen müssen, finden Sie weitere Informationen unter Inhaltsrichtlinie aus dem Assistenten entfernen.
Inhaltsrichtlinie auf die Uploads des Assistenten anwenden
Wenn Sie eine Inhaltsrichtlinie für Sensitive Data Protection auf den Assistenten anwenden, scannt und blockiert Gemini Enterprise Dateien, die in die App hochgeladen werden (von einem lokalen Gerät, Google Drive oder Microsoft OneDrive), wenn sie Inhalte oder Metadatenlabels enthalten, die gegen die Richtlinie verstoßen. Wenn ein Nutzer versucht, eine Datei hochzuladen, die gegen die Richtlinie verstößt, schlägt der Upload fehl und die Datei wird der Sitzung nicht hinzugefügt.
So wenden Sie eine Inhaltsrichtlinie auf Assistenten-Uploads an:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.
Klicken Sie auf den Namen der App, auf die Sie die Richtlinie anwenden möchten.
Klicken Sie auf Sicherheit.
Wählen Sie in der Sensitive Data Protection-Konfiguration unter Assistenteneinstellung eine Inhaltsrichtlinie aus dem Menü aus.
Wenn die Inhaltsrichtlinie nicht im Menü angezeigt wird, führen Sie einen der folgenden Schritte aus:
Klicken Sie auf Projekt wechseln, um eine Richtlinie aus einem anderen Projekt auszuwählen.
Klicken Sie auf Manuell eingeben, um den Pfad zur Richtlinie einzugeben:
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_ID.Klicken Sie auf Neu erstellen, um die Seite Inhaltsrichtlinie erstellen aufzurufen.
Wählen Sie eine Richtlinie in derselben Region wie die App aus.
Klicken Sie auf Speichern.
Optional: Testen Sie die Richtlinie:
Erstellen Sie eine Datei, die einen harmlosen Verstoß gegen die Richtlinie enthält. Wenn die Inhaltsrichtlinie beispielsweise US-amerikanische Sozialversicherungsnummern blockiert, erstellen Sie eine Datei, die „999-00-0000“ enthält.
Versuchen Sie, die Datei in den Chat der App hochzuladen. Der Upload sollte fehlschlagen und die Datei sollte blockiert werden.
Inhaltsrichtlinie aus dem Assistenten entfernen
So entfernen Sie die Inhaltsrichtlinie für Assistenten-Uploads für eine App:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.
Klicken Sie auf den Namen der App.
Klicken Sie auf Sicherheit.
Klicken Sie in der Sensitive Data Protection-Konfiguration unter der Assistenteneinstellung auf den Drop-down-Pfeil und wählen Sie Manuell eingeben aus.
Löschen Sie den Text im Feld Ressourcenname, sodass das Feld leer ist, und klicken Sie dann auf Bestätigen.
Klicken Sie auf Speichern.
Uploads in Gemini Notebook Enterprise mit einer Inhaltsrichtlinie schützen
Wenn Sie eine Inhaltsrichtlinie auf Gemini Notebook Enterprise anwenden, können Nutzer kein Quellmaterial hochladen, das gegen die Richtlinie verstößt.
Gemini Notebook Enterprise-Notebooks sind keiner bestimmten App zugeordnet. Wenn Sie die Inhaltsrichtlinie auf alle Notebooks in einem Projekt anwenden möchten, wenden Sie sie auf eine beliebige App im Projekt an. Wenn Sie eine Inhaltsrichtlinie aus einer App im Projekt entfernen, sind die mit dem Projekt verknüpften Notebooks nicht mehr durch die Richtlinie geschützt.
So fügen Sie eine Sensitive Data Protection-Inhaltsrichtlinie in Gemini Notebook Enterprise hinzu oder entfernen sie:
Inhaltsrichtlinie auf Gemini Notebook Enterprise anwenden
Wenn Sie eine Inhaltsrichtlinie auf Gemini Notebook Enterprise anwenden, können Nutzer kein Quellmaterial hochladen, das gegen die Richtlinie verstößt. Gemini Notebook Enterprise-Notebooks sind keiner bestimmten App zugeordnet. Wenn Sie die Inhaltsrichtlinie auf alle Notebooks anwenden möchten, müssen Sie sie auf eine beliebige App im Projekt anwenden.
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.
Klicken Sie auf den Namen einer beliebigen Anwendung in der Region, für die Sie Notebooks schützen möchten.
Klicken Sie auf Sicherheit.
Wählen Sie in der Sensitive Data Protection-Konfiguration unter NotebookLM-Einstellung eine Inhaltsrichtlinie aus dem Menü aus.
Wenn die Inhaltsrichtlinie nicht im Menü angezeigt wird, führen Sie einen der folgenden Schritte aus:
Klicken Sie auf Projekt wechseln, um eine Richtlinie aus einem anderen Projekt auszuwählen.
Klicken Sie auf Manuell eingeben, um den Pfad zur Richtlinie
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_NAMEeinzugeben.Klicken Sie auf Neu erstellen, um die Seite Inhaltsrichtlinie erstellen aufzurufen, und folgen Sie der Anleitung oben.
Unabhängig davon, wie Sie die Richtlinie angeben, müssen Sie eine Richtlinie in derselben Region wie die App auswählen.
Klicken Sie auf Speichern.
Warten Sie etwa 10 Minuten, bis die Inhaltsrichtlinie übernommen wurde. Gemini Notebook Enterprise verwendet dann die angegebene Richtlinie, um hochgeladene Quelldokumente zu scannen.
Optional: Testen Sie die Inhaltsrichtlinie:
Erstellen Sie ein Quelldokument, das einen harmlosen Verstoß gegen die Richtlinie enthält. Wenn die Inhaltsrichtlinie beispielsweise US-Sozialversicherungsnummern blockiert, erstellen Sie eine Quelldatei mit dem Inhalt „Mickey Mouses Sozialversicherungsnummer ist 999-00-0000“.
Laden Sie das Quelldokument in ein Notebook hoch. Wenn die Richtlinie in Kraft ist, wird das Dokument in der Quellliste als blockiert angezeigt.
Inhaltsrichtlinie aus Gemini Notebook Enterprise entfernen
So entfernen Sie die Inhaltsrichtlinie aus Gemini Notebook Enterprise, damit hochgeladene Quelldateien nicht aufgrund ihres Inhalts blockiert werden:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.
Klicken Sie auf den Namen einer beliebigen App in der Region.
Klicken Sie auf Sicherheit.
Klicken Sie in der Sensitive Data Protection-Konfiguration unter der NotebookLM-Einstellung auf den Drop-down-Pfeil und wählen Sie Manuell eingeben aus.
Wählen Sie den Text im Feld aus und drücken Sie die Entf-Taste, sodass das Feld Ressourcenname leer ist. Klicken Sie dann auf Bestätigen.
Klicken Sie auf Speichern.
Warten Sie etwa 10 Minuten, bis die Entfernung der Inhaltsrichtlinie wirksam wird. Gemini Notebook Enterprise scannt dann keine Quelldateien mehr für alle Notebooks in dieser Region und diesem Projekt.