In diesem Dokument wird beschrieben, wie Sie Sensitive Data Protection-Inhaltsrichtlinien auf Gemini Enterprise-Connectors und -Apps sowie auf Gemini Notebook Enterprise-Notebooks anwenden.
Sensitive Data Protection in Gemini Enterprise
Sensitive Data Protection-Inhaltsrichtlinien sind darauf ausgelegt, Daten auf Datenverstöße oder unerwünschte Inhalte zu prüfen und festzulegen, wann diese Inhalte zugelassen oder blockiert werden sollen. Dazu gehört das Blockieren von vertraulichen oder unangemessenen Quellenmaterialien, z. B. das Verhindern, dass Nutzern vertrauliche Daten angezeigt werden, und das Blockieren von Datei-Uploads in den Assistenten oder Gemini Notebook Enterprise, wenn sie gegen die Richtlinien verstoßen. Diese Funktion verbessert die Sicherheit Ihrer Gemini Enterprise-Apps, indem sie vor verschiedenen Risiken schützt und für verantwortungsbewusste Anwendung von KI sorgt.
Zusammenwirken von Sensitive Data Protection und Model Armor
Sensitive Data Protection und Model Armor arbeiten in Gemini Enterprise zusammen, um Ihre Daten mehrstufig zu schützen. Sie schützen verschiedene Aspekte Ihrer KI-Interaktionen.
Schutz sensibler Daten schützt eingehende Daten
Bei Daten-Connectors verhindert Sensitive Data Protection, dass sensible Daten aufgenommen oder indexiert werden. Inhaltsrichtlinien können verschiedene Inhaltstypen prüfen, darunter Textinhalte (mit OCR für Bilder), die Objekterkennung in Bildern, die Bildsicherheit, Rich-Dokumente (wie PDF, DOCx, PPTx und XLSx) mit eingebetteten Bildern und Metadatenlabels (Microsoft-Vertraulichkeitslabels und Google Workspace-Labels). Bei Sensitive Data Protection geht es darum, dass nur konforme Informationen als Quelle in das System gelangen.
Wenn hochgeladene Quellen für den Assistenten und Gemini Notebook Enterprise gegen die Inhaltsrichtlinie verstoßen, wird die Quelle nicht hochgeladen.
Model Armor schützt den Bereitstellungspfad
Model Armor schützt die Nutzerinteraktion in Gemini Enterprise, indem Prompts vor der LLM-Verarbeitung und Modellantworten vor der Bereitstellung für den Nutzer geprüft werden. Durch die Überprüfung von Prompts schützt Model Armor vor Prompt Injections und schädlichen URLs. Wenn gegen eine Richtlinie verstoßen wird, blockiert Gemini Enterprise die Anfrage und zeigt eine Fehlermeldung an.
Weitere Informationen zur Verwendung von Model Armor mit Gemini Enterprise finden Sie unter Model Armor aktivieren.
Unterstützte Quellen
Mit Sensitive Data Protection-Inhaltsrichtlinien lassen sich Daten in Connectors, Metadatenlabels und Datei-Uploads prüfen.
Connectors
Sie können Inhaltsrichtlinien auf die folgenden Connectors anwenden:
Drittanbieter-Connectors:Sensitive Data Protection unterstützt sowohl Ingestion- als auch föderierte Drittanbieter-Connectors. Eine Liste dieser Connectors finden Sie unter Drittanbieter-Datenquelle verbinden.
Benutzerdefinierte MCP-Server:Sensitive Data Protection unterstützt Inhalte auf benutzerdefinierten MCP-Servern (Model Context Protocol). Allgemeine Informationen zu benutzerdefinierten MCP-Servern finden Sie unter Benutzerdefinierten MCP-Server-Datenspeicher einrichten.
Google Workspace-Connectors:
Metadatenlabel
Sensitive Data Protection unterstützt zwei Arten von Metadatenlabels für bestimmte Connectors und Uploads:
Microsoft-Vertraulichkeitslabels:Diese Vertraulichkeitslabels, auch bekannt als Purview Information Protection-Labels (MSIP), Azure Information Protection-Labels (AIP) und Microsoft Information Protection-Labels (MIP), werden auf Microsoft 365-Assets (z. B. Word, Excel und Outlook) angewendet. Sie betten Metadaten direkt in die Datei oder den E‑Mail-Header ein, um die Vertraulichkeit anzugeben (z. B. „Streng vertraulich“ oder „Nur für interne Zwecke“). Sensitive Data Protection unterstützt Microsoft-Vertraulichkeitslabels in Connectors so:
Microsoft SharePoint:Labels für Office 365-Dateien und PDFs. Microsoft-Vertraulichkeitslabels für andere Dateitypen wie SharePoint-Websites und -Seiten werden nicht unterstützt.
Microsoft OneDrive:Labels für Office 365-Dateien und PDFs.
Microsoft Outlook:Labels für E‑Mail-Nachrichten und Kalendertermine.
Microsoft Teams:Labels für Chatnachrichten.
Direkte Uploads und Nicht-Microsoft-Connectors:Labels für Office 365-Dateien und PDFs, wenn die Dateien eingebettete Labels enthalten.
Google Workspace-Labels:Diese Labels dienen zur Datenklassifizierung in Google Workspace. Administratoren definieren benutzerdefinierte Schemas, die Nutzer oder automatisierte Systeme auf Google Workspace-Elemente anwenden können, um sie zu klassifizieren (z. B. „Vertraulich“ oder „Intern“). Der Schutz vertraulicher Daten unterstützt Google Workspace-Labels für Dateien in Google Workspace-Connectors und für Dateien, die aus Google Drive in den Gemini Enterprise-Assistenten hochgeladen werden.
Datei-Uploads
Wenn Sie Dateien von einer lokalen Festplatte, Google Drive oder Microsoft OneDrive in den Assistenten oder Gemini Notebook Enterprise hochladen, werden die Dateien von Sensitive Data Protection gescannt und Uploads, die gegen die Inhaltsrichtlinie verstoßen, werden blockiert.
In der folgenden Tabelle sind die unterstützten Dateitypen für das Scannen aufgeführt:
| MIME type (MIME-Typ) | Beschreibung |
|---|---|
application/pdf |
|
text/html |
HTML |
text/plain |
Nur-Text |
application/json |
JSON |
application/vnd.openxmlformats-officedocument.wordprocessingml.document |
Microsoft Word (DOCX) |
application/vnd.openxmlformats-officedocument.presentationml.presentation |
Microsoft PowerPoint (PPTX) |
application/vnd.openxmlformats-officedocument.spreadsheetml.sheet |
Microsoft Excel (XLSX) |
application/vnd.ms-excel.sheet.macroenabled.12 |
Microsoft Excel-Arbeitsblatt mit Makros (XLSM) |
application/xml |
XML |
image/bmp |
BMP-Bild |
image/gif |
GIF-Bild |
image/jpeg |
JPEG-Bild |
image/png |
PNG-Bild |
image/tiff |
TIFF-Bild |
image/svg+xml |
SVG-Bild |
text/csv |
CSV (kommagetrennte Werte) |
text/tab-separated-values |
TSV (tabulatorgetrennte Werte) |
Unterstützte Versionen von Gemini Enterprise
Sie können Sensitive Data Protection mit allen Gemini Enterprise-Versionen außer der Gemini Enterprise Business-Version verwenden.
Für die Verwendung des Schutzes sensibler Daten fallen keine zusätzlichen Kosten an.
Unterstützte Regionen
Sensitive Data Protection unterstützt die globalen, EU- und US-Multiregionen.
Beschränkungen
Für Inhaltsrichtlinien zum Schutz vertraulicher Daten in Gemini Enterprise gelten die folgenden Einschränkungen:
Die Inhaltsrichtlinien gelten nicht für den älteren Datenspeichertyp, z. B. Daten aus Cloud Storage oder BigQuery oder von Websites. Nur die Connectors, die Entitätsdaten enthalten, können durch Inhaltsrichtlinien geschützt werden.
Sie können zwar eine Inhaltsrichtlinie aus einem Projekt auf Gemini Enterprise in einem anderen Projekt anwenden, die beiden Projekte müssen sich jedoch im selben VPC Service Controls-Perimeter befinden. Allgemeine Informationen zu VPC Service Controls für Gemini Enterprise finden Sie unter App mit VPC Service Controls schützen.
Google Workspace-Labels und das Scannen von Inhalten werden für Uploads in Gemini Notebook Enterprise-Notebooks nicht unterstützt.
Sensitive Data Protection hat Einschränkungen hinsichtlich der unterstützten Dateigröße, die sich von Gemini Enterprise unterscheiden können. Informationen zur maximalen Größe von PDFs, Office 365-Dateien, Textdateien und Bilddateien finden Sie unter Grenzwerte der Inhaltsrichtlinie. Standardmäßig sind Inhalte in großen Dateien in Inhaltsrichtlinien zulässig. Sie können jedoch Richtlinien konfigurieren, um Inhalte in großen Dateien zu blockieren.
Bei Microsoft-Connectors, die verschlüsselte Dateien enthalten, können die Dateien weder von Gemini Enterprise noch von Sensitive Data Protection entschlüsselt werden. Daher werden die Dateien nicht auf Inhaltsverstöße gescannt. Wenn Nutzer Fragen zu den Inhalten stellen, kann Gemini Enterprise diese nicht beantworten, da die Inhalte verschlüsselt sind. Wenn Nutzer jedoch Fragen stellen, die anhand von unverschlüsselten Snippets und Metadaten beantwortet werden können, liefert Gemini Enterprise diese Antworten.
Hinweis
Bevor Sie beginnen, sollten Sie prüfen, ob die folgenden Voraussetzungen erfüllt sind:
Ihnen und dem Gemini Enterprise-Dienstkonto sind die erforderlichen Rollen zugewiesen:
Sie benötigen die Rolle Gemini Enterprise-Administrator.
Das Gemini Enterprise-Dienstkonto benötigt die Rolle „DLP-Nutzer“ (
roles/dlp.user).
Weitere Informationen finden Sie in der Dokumentation zu Sensitive Data Protection unter Inhaltsrichtlinien erstellen und verwalten im Abschnitt Erforderliche Rollen.
Sie haben eine Gemini Enterprise-App erstellt oder Gemini Notebook Enterprise konfiguriert. Weitere Informationen finden Sie unter App erstellen oder Gemini Notebook Enterprise einrichten.
Richtlinie für Inhalte erstellen
So bereiten Sie eine Inhaltsrichtlinie zum Schutz sensibler Daten vor, die auf einen Gemini Enterprise-Connector oder eine Gemini Enterprise-App oder auf Gemini Notebook Enterprise angewendet werden soll:
Erstellen Sie eine Inhaltsrichtlinie gemäß der Anleitung unter Inhaltsrichtlinien erstellen und verwalten in der Dokumentation zu Sensitive Data Protection.
Erstellen Sie die Richtlinie in derselben Region wie die Apps, auf die Sie sie anwenden möchten.
Notieren Sie sich den Namen der Richtlinie. Wenn Sie einem Connector eine Richtlinie hinzufügen möchten, benötigen Sie den vollständigen Pfad im Format
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_ID.
Sensible Daten in Connectors mit Inhaltsrichtlinien schützen
Wenn Sie verhindern möchten, dass Nutzern Informationen zu Entitäten angezeigt werden, die sensible Daten enthalten, wenden Sie eine Sensitive Data Protection-Inhaltsrichtlinie auf den Connector an. Folgen Sie dazu der Anleitung unter Inhaltsrichtlinie auf einen Gemini Enterprise-Connector anwenden.
Wenn Sie die Inhaltsrichtlinie später aus dem Connector entfernen müssen, lesen Sie den Abschnitt Inhaltsrichtlinie aus einem Connector entfernen.
Inhaltsrichtlinie auf einen Gemini Enterprise-Connector anwenden
Wenn Sie eine Sensitive Data Protection-Inhaltsrichtlinie auf einen Connector anwenden, wird verhindert, dass Gemini Enterprise Entitätsdaten zurückgibt, die sensible Inhalte aus dem Connector enthalten.
Bei bestimmten Arten von Connectors kann die Anwendung der Inhaltsrichtlinie auch die Rückgabe von Entitätsdaten auf Grundlage von Metadaten-Labels verhindern.
So wenden Sie eine Inhaltsrichtlinie auf einen Connector an:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf und klicken Sie dann auf Datenspeicher.
Rufen Sie die Seite Datenspeicher auf.
Klicken Sie auf den Namen des Connectors, auf den Sie die Richtlinie anwenden möchten.
Geben Sie im Feld Inhaltsrichtlinie den vollständigen Namen der Inhaltsrichtlinienressource ein.
Nachdem Sie die Richtlinie in das Feld eingegeben haben, wird sie sofort angewendet.
Optional: Inhaltsrichtlinie testen Wenn der Connector Daten enthält, die gegen die Richtlinien verstoßen, bitten Sie den Assistenten, Ihnen mehr dazu zu erzählen.
Inhaltsrichtlinie aus einem Connector entfernen
So entfernen Sie eine Richtlinie aus einem Connector:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf und klicken Sie dann auf Datenspeicher.
Rufen Sie die Seite Datenspeicher auf.
Klicken Sie auf den Namen des Connectors, aus dem Sie die Richtlinie entfernen möchten.
Löschen Sie den Text im Feld Inhaltsrichtlinie und geben Sie ein leeres Feld ein.
Die Richtlinie wird sofort entfernt.
Uploads in den Assistenten mit Inhaltsrichtlinien schützen
Wenn Sie Uploads in den Assistenten für eine Gemini Enterprise-App schützen möchten, folgen Sie der Anleitung unter Inhaltsrichtlinie auf Uploads in den Gemini Enterprise-Assistenten anwenden.
Wenn Sie eine Sensitive Data Protection-Inhaltsrichtlinie später aus dem Assistenten entfernen müssen, lesen Sie den Abschnitt Inhaltsrichtlinie aus dem Assistenten entfernen.
Inhaltsrichtlinie auf Assistenten-Uploads anwenden
Wenn Sie eine Sensitive Data Protection-Inhaltsrichtlinie auf den Assistenten anwenden, werden Dateien, die in die App hochgeladen werden (von einem lokalen Gerät, Google Drive oder Microsoft OneDrive), von Gemini Enterprise gescannt und blockiert, wenn sie Inhalts- oder Metadatenlabels enthalten, die gegen die Richtlinie verstoßen. Wenn ein Nutzer versucht, eine Datei hochzuladen, die gegen die Richtlinie verstößt, schlägt der Upload fehl und die Datei wird der Sitzung nicht hinzugefügt.
So wenden Sie eine Inhaltsrichtlinie auf Assistenten-Uploads an:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.
Klicken Sie auf den Namen der App, auf die Sie die Richtlinie anwenden möchten.
Klicken Sie auf Sicherheit.
Wählen Sie in der Sensitive Data Protection-Konfiguration unter der Assistant-Einstellung eine Inhaltsrichtlinie aus dem Menü aus.
Wenn die Inhaltsrichtlinie nicht im Menü angezeigt wird, haben Sie folgende Möglichkeiten:
Klicken Sie auf Projekt wechseln, um eine Richtlinie aus einem anderen Projekt auszuwählen.
Klicken Sie auf Manuell eingeben, um den Pfad zur Richtlinie einzugeben:
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_ID.Klicken Sie auf Neu erstellen, um die Seite Inhaltsrichtlinie erstellen aufzurufen.
Wählen Sie eine Richtlinie in derselben Region wie die App aus.
Klicken Sie auf Speichern.
Optional: Richtlinie testen:
Erstellen Sie eine Datei, die einen harmlosen Verstoß gegen die Richtlinie enthält. Wenn die Inhaltsrichtlinie beispielsweise US-amerikanische Sozialversicherungsnummern blockiert, erstellen Sie eine Datei mit „999-00-0000“.
Versuchen Sie, die Datei in den Chat der App hochzuladen. Der Upload sollte fehlschlagen und die Datei sollte blockiert werden.
Inhaltsrichtlinie aus dem Assistenten entfernen
So entfernen Sie die Inhaltsrichtlinie aus Assistant-Uploads für eine App:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.
Klicken Sie auf den Namen der App.
Klicken Sie auf Sicherheit.
Klicken Sie in der Sensitive Data Protection-Konfiguration unter der Assistenteneinstellung auf den Drop-down-Pfeil und wählen Sie Manuell eingeben aus.
Löschen Sie den Text im Feld Ressourcenname, sodass das Feld leer ist, und klicken Sie dann auf Bestätigen.
Klicken Sie auf Speichern.
Uploads in Gemini Notebook Enterprise mit einer Inhaltsrichtlinie schützen
Wenn Sie eine Inhaltsrichtlinie auf Gemini Notebook Enterprise anwenden, können Nutzer kein Quellmaterial hochladen, das gegen die Richtlinie verstößt.
Gemini Notebook Enterprise-Notebooks sind keiner bestimmten App zugeordnet. Wenn Sie die Inhaltsrichtlinie auf alle Notebooks in einem Projekt anwenden möchten, wenden Sie sie auf eine beliebige App im Projekt an. Wenn Sie eine Inhaltsrichtlinie aus einer App im Projekt entfernen, sind auch keine der mit dem Projekt verknüpften Notebooks durch die Richtlinie geschützt.
So fügen Sie in Gemini Notebook Enterprise eine Inhaltsrichtlinie zum Schutz sensibler Daten hinzu oder entfernen sie:
Inhaltsrichtlinie auf Gemini Notebook Enterprise anwenden
Wenn Sie eine Inhaltsrichtlinie auf Gemini Notebook Enterprise anwenden, können Nutzer kein Quellmaterial hochladen, das gegen die Richtlinie verstößt. Gemini Notebook Enterprise-Notebooks sind keiner bestimmten App zugeordnet. Wenn Sie die Inhaltsrichtlinie auf alle Notebooks anwenden möchten, müssen Sie sie auf eine beliebige App im Projekt anwenden.
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.
Klicken Sie auf den Namen einer beliebigen App in der Region, für die Sie Notebooks schützen möchten.
Klicken Sie auf Sicherheit.
Wählen Sie in der Sensitive Data Protection-Konfiguration unter der NotebookLM-Einstellung eine Inhaltsrichtlinie aus dem Menü aus.
Wenn die Inhaltsrichtlinie nicht im Menü angezeigt wird, haben Sie folgende Möglichkeiten:
Klicken Sie auf Projekt wechseln, um eine Richtlinie aus einem anderen Projekt auszuwählen.
Klicken Sie auf Manuell eingeben, um den Pfad zur Richtlinie
projects/PROJECT_ID/locations/LOCATION/contentPolicies/POLICY_NAMEeinzugeben.Klicken Sie auf Neu erstellen, um zur Seite Inhaltsrichtlinie erstellen zu gelangen, und folgen Sie der Anleitung oben.
Unabhängig davon, wie Sie die Richtlinie angeben, müssen Sie eine Richtlinie in derselben Region wie die App auswählen.
Klicken Sie auf Speichern.
Es kann etwa 10 Minuten dauern, bis die Inhaltsrichtlinie übernommen wird. Gemini Notebook Enterprise verwendet dann die angegebene Richtlinie, um hochgeladene Quelldokumente zu scannen.
Optional: Inhaltsrichtlinie testen:
Erstellen Sie ein Quelldokument, das einen harmlosen Verstoß gegen die Richtlinie enthält. Wenn die Inhaltsrichtlinie beispielsweise US-Sozialversicherungsnummern blockiert, erstellen Sie eine Quelldatei mit dem Text „Die Sozialversicherungsnummer von Mickey Mouse ist 999-00-0000“.
Laden Sie das Quelldokument in ein Notebook hoch. Wenn die Richtlinie in Kraft ist, wird das Dokument in der Quellliste als blockiert angezeigt.
Inhaltsrichtlinie aus Gemini Notebook Enterprise entfernen
So entfernen Sie die Inhaltsrichtlinie aus Gemini Notebook Enterprise, damit hochgeladene Quelldateien nicht aufgrund von Inhalten blockiert werden:
Rufen Sie in der Google Cloud Console die Seite Gemini Enterprise auf.
Klicken Sie auf den Namen einer beliebigen App in der Region.
Klicken Sie auf Sicherheit.
Klicken Sie in der Konfiguration für Sensitive Data Protection unter der NotebookLM-Einstellung auf den Drop-down-Pfeil und wählen Sie Manuell eingeben aus.
Markieren Sie den Text im Feld und drücken Sie die Entf-Taste, damit das Feld Ressourcenname leer ist. Klicken Sie dann auf Bestätigen.
Klicken Sie auf Speichern.
Warten Sie etwa 10 Minuten, bis die Entfernung der Inhaltsrichtlinie wirksam wird. Gemini Notebook Enterprise scannt dann keine Quelldateien mehr für alle Notebooks in dieser Region und diesem Projekt.