Data lineage, IP und Vertraulichkeitsfallen

# Data lineageData lineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen →, IP und Vertraulichkeitsfallen

Ein Discovery-Team eines mittelgroßen Biotech-Unternehmens gibt einem generativen Chemie-Modell einen Prompt, der nach neuen Kinase-Inhibitor-Scaffolds fragt. Das Modell, teilweise auf abgegriffenen Preprint-Servern und Patenttexten trainiert, für die es nie eine Lizenz gab, liefert ein Molekül. Sechs Monate und 2 Millionen Dollar Lead-Optimierung später zeigt eine Freedom-to-operate-Recherche, dass das Kern-Scaffold unter ein Stoffpatent eines Wettbewerbers fällt, das drei Jahre früher angemeldet wurde. Das Modell „wusste“ nicht, dass dies geschützt war. Es hatte einfach Muster aus Daten gelernt, zu denen das Patent selbst gehörte. Niemand hatte nachvollzogen, woher diese Trainingsdaten kamen, also fiel es niemandem auf, bis die Rechtsabteilung eine manuelle Recherche durchführte, zu spät, um die Sunk Costs zu vermeiden.

Das ist die Falle: Fehler bei Data lineageData lineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen → sehen aus wie juristische Unfälle, sind aber Governance-Fehler. Sie passieren upstream, lange bevor ein Jurist das Output überhaupt sieht.

Was „Data lineageData lineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen →“ bedeutet und warum Pharma exponiert ist

Data lineageData lineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen → ist die dokumentierte Spur, woher ein Datensatz kommt, wie ererDas Verhältnis von Interaktionen (Likes, Kommentare, Shares) zur Reichweite eines Inhalts. Zeigt, wie stark die Zielgruppe reagiert, gemessen an der Zahl der Personen, die den Inhalt gesehen haben.Vollständige Definition ansehen → transformiert wurde und wer in jedem Schritt Nutzungsrechte hatte. Bei einem KI-Modell umfasst lineage die Trainingsdaten, die Fine-tuningFine-tuningFine-Tuning passt ein vortrainiertes Modell an eine bestimmte Aufgabe oder Domäne an, indem das Training auf einem kleineren, gezielten Datensatz fortgesetzt wird. Das verbessert Genauigkeit und Stil für den jeweiligen Anwendungsfall.Vollständige Definition ansehen →-Daten und alle Retrieval-Quellen, die das Modell zum Zeitpunkt der Inferenz abfragt.

Pharma ist aus drei Gründen ungewöhnlich exponiert:

• Patentdichte Daten: Die Literatur zu Chemie und Biologika ist voll von IP. Anders als etwa Kundenservice-Transkripte *sind* wissenschaftliche Publikationen häufig selbst der geschützte Vermögenswert (Ansprüche, Sequenzen, Formulierungen).
• Vermischung öffentlicher und privater Daten: Modelle, die auf abgegriffenen PubMed-Abstracts, Preprint-Servern (bioRxiv, medRxiv) und Patentdatenbanken (etwa der öffentlichen Patent-Volltextdatenbank des USPTO) trainiert wurden, mischen offen lizenzierte, fair-use- und beschränkte Inhalte ohne klare Trennung.
• Lange Kommerzialisierungszeiträume: Eine Governance-Lücke, die in Phase 1 entdeckt wird, kostet einige Hunderttausend Dollar. Dieselbe Lücke in Phase 3 oder nach dem Launch kostet Hunderte Millionen und kann eine Patentverletzungsklage nach Regelwerken wie dem US Hatch-Waxman Act oder, in Europa, eine einheitliche Patentstreitigkeit vor dem Einheitlichen Patentgericht auslösen.

Drei konkrete Failure Modes

1. Verletzung durch Output. Ein generatives Modell, das auf Patenttexten trainiert wurde (einschließlich abgelaufener oder Wettbewerber-Patente), kann patentierte Strukturen oder Anspruchsformulierungen nahezu wortgleich reproduzieren. Das ist nicht hypothetisch: Es wurde gezeigt, dass große Sprachmodelle bei passenden Prompts memorierten Trainingstext wiedergeben, ein Phänomen, das Forscher „training data extraction“ nennen.

2. Vertraulichkeitsleck. Eine Forscherin fügt eine unveröffentlichte interne Verbindungsstruktur in ein öffentliches KI-Chat-Tool ein, um eine „zweite Meinung“ zu einer Syntheseroute zu bekommen. Wenn dieses Tool Eingaben für weiteres Training speichert (viele Consumer-Tools tun das, sofern Enterprise-Bedingungen nichts anderes vorsehen), hat das Unternehmen möglicherweise gerade Geschäftsgeheimnisse an einen Dritten verschenkt. Das allein kann den Status als Geschäftsgeheimnis aufheben, da das US-Recht zum Schutz von Geschäftsgeheimnissen (Defend Trade Secrets Act) „reasonable measures“ zur Geheimhaltung verlangt.

3. Provenienz-Blindheit gegenüber Regulatoren. Nach dem EU AI Act (in Kraft seit 2024, gestaffelte Pflichten bis 2026-2027) müssen Anbieter von Hochrisiko-KI-Systemen Quellen und Qualität der Trainingsdaten dokumentieren. Ein Pharmaunternehmen, das ein KI-Tool für einen regulierten Zweck einsetzt (etwa Studiendesign oder Signaldetektion in der Pharmakovigilanz) und die Datenprovenienz nicht nachweisen kann, riskiert Non-Compliance, unabhängig von jeder IP-Frage.

Warum eine juristische Prüfung allein das nicht auffängt

Die juristische Prüfung findet auf der *Output*-Stufe statt: Verletzt dieses konkrete Molekül oder dieser Anspruch ein Recht? Das ist notwendig, aber zu spät. Wenn die Rechtsabteilung die Verbindung sieht, hat das F&E-Team bereits Zeit und Laborressourcen investiert und möglicherweise interne Erfindungsmeldungen eingereicht.

Governance muss *upstream* sitzen, an dem Punkt, an dem das Modell oder der Datensatz ausgewählt wird, bevor eine einzige Abfrage für ein reales Programm läuft. Das heißt:

• Vendor due diligence zu den Trainingsdatenquellen, bevor ein Chemie- oder Biologie-KI-Tool lizenziert wird.
• Vertragliche Zusicherungen von KI-Anbietern zu IP-Freistellung und Datenherkunft.
• Interne Richtlinie dazu, welche Daten Mitarbeitende in KI-Tools von Dritten eingeben dürfen.

Ein einfacher lineage-Check, vor dem Deployment durchgeführt, sieht in der Praxis so aus:

Dataset lineage checklist (run before any model touch molecule design):
1. Source list: which corpora trained/fine-tuned this model?
   (e.g., PubChem, ChEMBL, scraped patents, proprietary internal data)
2. License terms: is each source open, fair-use, or restricted?
3. Patent overlap flag: does any source include active, unexpired patents
   from competitors? Cross-check against USPTO/EPO databases.
4. Output monitoring: does vendor log/retain prompts and outputs?
   Where, and for how long?
5. Contractual indemnity: does vendor contract cover IP infringement
   arising from model output?

Das ist kein einmaliges Audit. Anbieter aktualisieren Trainingsdaten mit neuen Modellversionen, deshalb müssen lineage-Checks bei jedem größeren Modell-Update wiederholt werden, nicht nur bei der ersten Beschaffung.

Regulatorischer Hintergrund, den man benennen sollte

• EU AI Act: klassifiziert viele KI-Anwendungen in Pharma-F&E und Pharmakovigilanz als „hochriskant“ und verlangt technische Dokumentation einschließlich MaMaEinsatz von Software, um wiederkehrende Marketingaufgaben und Kampagnen zu automatisieren und Personalisierung in großem Maßstab über Kanäle wie E-Mail, Web und Social zu ermöglichen.Vollständige Definition ansehen →ßnahmen zur Data GovernanceData GovernanceData Governance umfasst die Regeln, Rollen und Prozesse, die sicherstellen, dass Daten in einer Organisation korrekt, sicher, klar definiert und verantwortungsvoll genutzt werden.Vollständige Definition ansehen → (Artikel 10 regelt Anforderungen an Daten und Data GovernanceData GovernanceData Governance umfasst die Regeln, Rollen und Prozesse, die sicherstellen, dass Daten in einer Organisation korrekt, sicher, klar definiert und verantwortungsvoll genutzt werden.Vollständige Definition ansehen →). Die vollen Hochrisiko-Pflichten greifen gestaffelt bis 2026-2027.
• FDA: hat 2025 einen Guidance-Entwurf zum Einsatz von KI in der Entwicklung von Arzneimitteln und biologischen Produkten veröffentlicht, der ein risikobasiertes „credibility assessment“ von KI-Modellen betont, was implizit voraussetzt, zu wissen, mit welchen Daten das Modell trainiert wurde.
• EMA (Europäische Arzneimittel-Agentur): hat ein Reflection Paper zu KI im Lebenszyklus von Arzneimitteln veröffentlicht und nennt Datenprovenienz und Transparenz als zentrale Bewertungskriterien.

Keines dieser Regime gibt Ihnen eine Compliance-Checkliste speziell für IP-Kontamination an die Hand. Sie laufen auf eine gemeinsame Erwartung zu: Sie müssen erklären kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, welche Daten in ein Modell eingegangen sind, das eine regulierte Entscheidung berührt. Wenn Sie diese Frage nicht beantworten kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen, kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen Sie die IP-Frage auch nicht beantworten.

Für eine Einführung in die technische Funktionsweise von „training data extraction“-Angriffen ist dies eine solide, laienverständliche Erklärung: Google DeepMinds Überblick zu Memorisierung in Sprachmodellen (im Blog nach Zusammenfassungen zur Memorization-Forschung suchen).

🎬 [VIDEO: "How AI Models Memorize Training Data" - youtube.com/results?search_query=ai+model+memorization+training+data+extraction - ein technischer, aber zugänglicher Durchgang, warum generative Modelle manchmal Trainingsinhalte wortgleich reproduzieren, direkt relevant für das Risiko von IP-Lecks]

Das Guardrail bauen, nicht nur das Audit

Die Lösung ist nicht „generative KI in der Discovery verbieten“. Sie besteht darin, Data lineageData lineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen → als dauerhafte Governance-Kontrolle zu behandeln, gemeinsam verantwortet von IT, Legal und der F&E-Leitung, nicht nachträglich angeschraubt, wenn ein Modell schon im Einsatz ist.

Praktische Guardrails, die anspruchsvolle Pharma-Governance-Teams 2026 einführen:

• Gestufter Tool-Zugang: KI-Chat-Tools auf Consumer-Niveau werden für jede Eingabe mit unveröffentlichten Verbindungsdaten, Sequenzen oder Studienergebnissen gesperrt oder in einer Sandbox isoliert. Enterprise-Tools mit vertraglichen No-Retention-Klauseln sind der einzige freigegebene Kanal für sensible Eingaben.
• Model Cards für den internen Einsatz: Jedes in der F&E genutzte KI-Tool erhält eine interne „Model Card“, eine einseitige Zusammenfassung der Trainingsdatenquellen, bekannten Limitationen und des Datums der letzten lineage-Prüfung. Das spiegelt die Transparenzerwartungen, die Regulatoren extern zunehmend verlangen.
• Human-in-the-loop-Patentscreening: Jede KI-generierte Struktur, die zur Lead-Nominierung vorgesehen ist, löst automatisch eine Freedom-to-operate-Recherche aus, vor und nicht nach der Ressourcenbindung.
• Eskalationsauslöser: Wenn ein Anbieter die Zusammensetzung der Trainingsdaten nicht offenlegen kann (viele wollen das nicht und verweisen auf ihre eigenen Geschäftsgeheimnisse), ist das selbst ein Risikosignal, das eine Freigabe auf Führungsebene erfordert, keine stillschweigende Akzeptanz.

Die Ironie ist symmetrisch: KI-Anbieter schützen ihre eigenen Trainingsdaten oft als Geschäftsgeheimnis, während Pharma-Kunden Transparenz über genau diese Daten brauchen, um ihr eigenes IP zu schützen. Gelöst wird das meist über Verträge, nicht über Technologie, durch Auditrechte, Freistellungsklauseln und Zusicherungen zur Datenherkunft, die vor dem Deployment verhandelt werden.

Key Takeaways

• Data lineageData lineageData Lineage zeigt, wie Daten sich durch Systeme bewegen und dabei transformiert werden, von der Quelle bis zur Nutzung: woher sie kommen, was sie verändert hat und wohin sie gehen.Vollständige Definition ansehen →, also genau zu wissen, womit ein KI-Modell trainiert wurde, ist eine Governance-Kontrolle, kein juristischer Nachgedanke. Wenn Legal ein Output prüft, sind die Kosten eines lineage-Fehlers oft schon versunken.
• Die IP-dichte Literatur in Pharma (Patente, Sequenzen, Ansprüche) macht die Branche struktureller anfälliger für Verletzungen durch Output und Memorisierungsrisiken als die meisten anderen Sektoren, die generative KI nutzen.
• Vertraulichkeitslecks über KI-Tools auf Consumer-Niveau kkDie durchschnittliche Zahl neuer Nutzer, die jeder bestehende Nutzer über Empfehlungen generiert. Über 1,0 verstärkt sich das Wachstum selbst und wird exponentiell.Vollständige Definition ansehen →önnen den Schutz von Geschäftsgeheimnissen eigenständig zerstören, unabhängig von jeder Patentfrage.
• Regulatoren (EU AI Act, FDA, EMA) verlangen zunehmend dokumentierte Data GovernanceData GovernanceData Governance umfasst die Regeln, Rollen und Prozesse, die sicherstellen, dass Daten in einer Organisation korrekt, sicher, klar definiert und verantwortungsvoll genutzt werden.Vollständige Definition ansehen → für Hochrisiko-KI-Anwendungen, womit lineage-Dokumentation gleichzeitig Compliance und IP-Schutz dient.
• Das funktionierende Guardrail sitzt upstream: Vendor due diligence, gestufter Tool-Zugang, Model Cards und verpflichtende Freedom-to-operate-Checks vor der Ressourcenbindung, nicht nur juristische Prüfung auf der Ziellinie.