FOIA: KI senkt die Schwärzung von Wochen auf Stunden
Aktualisiert für 2026.
Die US-Bundesregierung gab 2024 geschätzt 500 Mio. US-Dollar für die Bearbeitung von FOIA-Anfragen aus. Der größte Teil dieser Kosten entfiel auf manuelle Schwärzung. Der Rückstau des DOJ überstieg 100.000 offene Anfragen.
ARPA-H schrieb 2025 die Beschaffung einer KI-Software zur Schwärzung aus. HHS stellte fest, dass seine Abteilung CMS KI-gestützte Werkzeuge benötigte. Manuelle Arbeit hatte Rückstaus erzeugt, die das Personal nicht abbauen konnte.
Die Frage hat sich verschoben. Es geht nicht mehr darum, ob automatisiert wird. Es geht darum, wie das so geschieht, dass es vor Gericht Bestand hat.
Das Problem des Rückstaus auf Bundesebene
Nach 5 U.S.C. §552 müssen Behörden innerhalb von 20 Werktagen antworten. In der Praxis brauchen viele Monate. Manche brauchen Jahre.
Der Rückstau des DOJ von 100.000+ Anfragen entspricht grob 2 Milliarden Minuten manueller Prüfung. Das setzt nur 20 Minuten pro Anfrage voraus. Bei den Stundensätzen der Verwaltung gehen die Arbeitskosten in die Milliarden.
Der größte Teil dieser Zeit entfällt auf eine einzige Aufgabe. Mitarbeitende durchsuchen Seiten nach Namen, Adressen und Telefonnummern. Das erfordert kein juristisches Urteil. Es erfordert Mustererkennung. Ein Algorithmus erledigt das in Sekunden.
Was ARPA-H und HHS verlangten
ARPA-H suchte eine KI-Software zur Schwärzung für die Verarbeitung von FOIA-Dokumenten. Die genannten Anforderungen waren:
- Automatische Erkennung personenbezogener Daten nach Exemption 6 und 7(C).
- Stapelverarbeitung großer Dokumentensätze.
- Unterstützung gemischter Formate: PDF, Word und E-Mail.
- Dokumentation des Prüfpfads.
- Belastbare Ausgabe für die FOIA-Antwort.
HHS/CMS kam zum selben Schluss. Wachsende Mengen bei gleichbleibendem Personal machten manuelle Prüfung untragbar. Diese Behörden jagten keiner neuen Technik hinterher. Sie lösten eine Compliance-Krise.
Bundesstaaten und Kommunen: weniger Mittel, dieselben Regeln
Bundesbehörden haben eigene FOIA-Stellen und Rechtsbudgets. Bundesstaaten und Kommunen haben dieselben rechtlichen Pflichten bei weit weniger Ressourcen.
Der CPRA in Kalifornien verlangt Antworten innerhalb von 10 Kalendertagen. Ein Landkreis mit einem dreiköpfigen Rechtsteam kann in diesem Zeitraum nicht 2.000 Dokumente abarbeiten. Die Möglichkeiten sind begrenzt:
- Ablehnen oder verzögern – was ein rechtliches Risiko schafft.
- Aushilfskräfte einstellen – teuer und langsam.
- Die mechanische Schwärzungsphase automatisieren.
Option 3 ist jetzt erreichbar. Dieselbe Stapelverarbeitung, die Bundesbehörden nutzen, steht auch den Rechtsabteilungen von Landkreisen zur Verfügung. Lange Beschaffungsfristen sind nicht nötig. In unserer Compliance-Übersicht sehen Sie, wie die Regeln für öffentliche Akten in den verschiedenen Rechtsordnungen gelten.
EU-DSARs: dasselbe Problem
Auskunftsersuchen betroffener Personen (Data Subject Access Requests, DSARs) nach Art. 15 DSGVO schaffen für Organisationen in der EU eine parallele Herausforderung. Anders als bei FOIA gelten die DSAR-Pflichten für alle Organisationen, die personenbezogene Daten verarbeiten. Ein kleines SaaS-Unternehmen kann dieselbe Menge an DSARs erhalten wie eine Großbank.
Die praktische Herausforderung gleicht der bei FOIA. Eine Organisation muss alle zu einer bestimmten Person gespeicherten Daten herausgeben. Personenbezogene Daten Dritter müssen in der Antwort geschwärzt werden. Die Frist beträgt 30 Tage.
Jeder DSAR, der E-Mail-Archive, Support-Tickets und Bestelldaten berührt, kann Hunderte zu prüfende Dokumente bedeuten. Bei Organisationen mit 20–50 DSARs pro Monat erfordert die manuelle Prüfung eine oder mehrere Vollzeitkräfte. Stapelautomatisierung senkt das auf Teilzeitarbeit.
Desktop-Verarbeitung für sensible Akten
Manche Behörden können keine webbasierten Werkzeuge nutzen. Daten, die in den Systemen der Behörde bleiben müssen, erfordern lokale Verarbeitung.
Die Desktop-App von anonym.legal ist für diesen Einsatz gebaut:
- Die Desktop-App liest Dateien auf der eigenen Hardware der Behörde; die Erkennung läuft über die in der EU gehostete API, den einen erlaubten Round-Trip.
- Die Verbindung ist internetbasiert und ausschließlich auf anonym.legal freigegeben – eine aktive Verbindung ist erforderlich.
- Stapelläufe verarbeiten 1–5.000 Dateien auf einmal.
- Unterstützte Formate: PDF, DOCX, XLSX, TXT, CSV, JSON, XML.
- Verarbeitete Dateien werden als ZIP-Archiv verpackt.
- CSV- und JSON-Export mit Metadaten je Datei sind enthalten.
Für Behörden mit strengen Regeln zur Datenresidenz, aber einer erlaubten Verbindung nach außen, passt das so: Die Desktop-App verwendet dasselbe Erkennungsmodell – XLM-RoBERTa mit 273 Entitätstypen – wie die Webplattform. Für Behörden mit einem echten Air-Gap-Netzwerk ganz ohne Verbindung nach außen kommt die Desktop-App nicht in Frage; unser Schwesterprodukt anonym.plus führt die Erkennung stattdessen vollständig auf dem Gerät aus.
Details zur Einrichtung finden Sie in unserer Dokumentation zur Desktop-App.
Hinweise zur Umsetzung
Prüfpfade. Verwaltungsabläufe verlangen Aufzeichnungen darüber, was geschwärzt wurde, auf welcher Grundlage und von wem. Die Stapel-Metadaten decken die ersten beiden Punkte ab. Die Weiterleitung von Ausnahmedokumenten an die Prüfung durch Mitarbeitende deckt den Rest ab.
Konsistenz. Eine FOIA-Antwort, die einen Namen in einem Dokument schwärzt und in einem anderen übersieht, schafft rechtliche Angriffsfläche. Eine feste automatische Konfiguration beseitigt diese Uneinheitlichkeit.
SBU-Unterlagen. Viele Regierungsdokumente sind sensibel, aber nicht geheim eingestuft. Lokale Verarbeitung bearbeitet SBU-Dateien ganz ohne Netzwerknutzung. Webbasierte Verarbeitung mit geeigneten DPA-Vereinbarungen deckt Dateien ab, die nicht SBU sind.
Ausgabeformat. Die Methode Redact ersetzt Text durch schwarze Balken. Das entspricht dem Erscheinungsbild üblicher FOIA-Schwärzungen und eignet sich für die Vorlage vor Gericht. Der Token-Ansatz – etwa [REDACTED - Exemption 6] – fügt für ausführlichere Akten die ausdrückliche Angabe der Ausnahme hinzu.
Das Fazit
FOIA ist eine gesetzliche Pflicht. Die Frist von 20 Werktagen ist kein Richtwert. Wenn die Anfragemengen das übersteigen, was das Personal bewältigen kann, folgen Verstöße.
KI-gestützte Stapelschwärzung ersetzt kein juristisches Urteil. Sie nimmt die mechanische Phase ab – das Finden und Markieren üblicher personenbezogener Daten in Tausenden von Dokumenten. Diese Phase verbraucht 70–80 % der Prüfzeit. Das Personal kann sich dann auf die 10–20 % der Dokumente konzentrieren, bei denen der Kontext zählt.
ARPA-H und HHS/CMS haben beide das erkannt. Bundesstaaten, Kommunen und EU-Organisationen mit DSAR-Pflichten stehen vor derselben Herausforderung. In unserer Sicherheits- und Compliance-Übersicht sehen Sie, wie belastbare Schwärzungsabläufe aufgebaut sind.
Wo dieser Ansatz an Grenzen stößt
Die mechanische Schwärzungsphase zu automatisieren ist die richtige Arbeitsteilung – die Zeit des Personals gehört den Ermessensentscheidungen, nicht dem Durchsuchen von Seiten nach Namen. Aber es gelten drei Grenzen.
Lokale Verarbeitung steuert den Verbleib der Daten, nicht die Erkennungsqualität. Bei Behörden mit erlaubter Verbindung nach außen hält die Desktop-App die Dateien auf der Hardware der Behörde, während die Erkennung auf den Servern von anonym.legal läuft – das löst die Frage der Datenresidenz, macht die Schwärzung aber nicht genauer. Bei Behörden ganz ohne Verbindung führt anonym.plus dieselbe Klasse von Modell stattdessen vollständig auf dem Gerät aus. So oder so bleibt ein übersehener Name übersehen, ob die Datei das Gebäude je verlassen hat oder nicht. Kontrolle über den Speicherort und Erkennungsqualität sind getrennte Zusicherungen, und lokale Verarbeitung so zu behandeln, als bescheinige sie Vollständigkeit, ist ein Kategorienfehler, den man klar benennen sollte.
Ein mitgeliefertes Offline-Modell veraltet ohne gezielte Aktualisierungen. anonym.plus friert sein Erkennungsmodell auf dem Gerät auf der installierten Version ein; neue Identifikatorformate, behördenspezifische Aktenzeichen und sich wandelnde Dokumentlayouts werden nicht erkannt, bis jemand das Paket bewusst aktualisiert, und in einem isolierten Netzwerk gibt es keine automatische Aktualisierung. Die gehostete Erkennung von anonym.legal – genutzt von der Desktop-App und der Webplattform, wo eine aktive Verbindung besteht – wird stattdessen automatisch aktualisiert. Planen und testen Sie Modellaktualisierungen im Offline-Fall als betriebliche Aufgabe und validieren Sie nach jeder erneut anhand aktueller Dokumentmuster, sonst lässt die Genauigkeit unbemerkt nach, während die Pipeline scheinbar genau wie zuvor weiterläuft.
Der Maßstab der Belastbarkeit verlangt menschliches Urteil, nicht das Ergebnis eines Werkzeugs. Ein sauberer Stapelbericht und ein Prüfprotokoll stützen eine FOIA- oder DSAR-Antwort, sie sind aber keine. Die Abwägung zwischen Exemption 6 und 7(C), die Unterscheidung zwischen Amtsträgern und Privatpersonen sowie Fragen des Privilegs sind rechtliche Entscheidungen. Über Tausende von Dokumenten wird ein systematischer Fehler in der Konfiguration tausendfach wiederholt, sodass der Stapelmaßstab einen einzelnen Fehler vergrößert, statt ihn auszugleichen. Die mechanische Phase lässt sich automatisieren; die Pflicht zur gebotenen Sorgfalt bleibt bei der prüfenden Juristin oder dem prüfenden Juristen, und die Warteschlange für Ausnahmefälle muss entsprechend besetzt sein.