Ein Claude Skill, der den KI-Tool-Bestand einer Organisation in eine Aufbewahrungs-Scope-Inventur überführt: für jedes Tool, wo Prompts und Ausgaben fortbestehen, was sie löscht und nach welcher Uhr, ob ein bestehender Legal Hold diese Daten bereits erfasst, und welche Formulierungen im Custodian-Fragebogen und in der Hold-Benachrichtigung sich daraufhin ändern müssen. Das Bundle liegt unter apps/web/public/artifacts/ai-data-source-inventory-skill/ und enthält SKILL.md sowie drei Referenzdateien, von denen Sie eine vor dem ersten Lauf ausfüllen.
Der Skill arbeitet ausschließlich lesend. Er verhängt keinen Hold und hebt keinen auf, denn beides sind juristische Entscheidungen, die einer namentlich benannten Person gehören.
Die Lücke, die er schließt
Datenlandkarten, die vor 2023 entstanden sind, führen E-Mail, Chat, Dateiablagen und Fachanwendungen auf. Die KI-Schicht kam zu genau diesen Systemen hinzu, ohne in die Landkarte aufgenommen zu werden, und die beiden üblichen Reaktionen darauf sind auf eine Weise falsch, die verantwortungsvoll aussieht.
Die erste besteht darin, KI-Tools als erledigtes Sicherheitsproblem zu behandeln. Eine Shadow-AI-Erhebung liefert eine Liste von Anwendungen und eine Reihe von Sperren, und die Liste wird abgelegt. Diese Liste beantwortet, wer was benutzt. Sie sagt nichts darüber, welchen Datensatz diese Nutzung hinterlässt, und das ist die einzige Frage, die für die Aufbewahrung zählt.
Die zweite besteht darin, Retention und Preservation für dieselbe Tatsache zu halten. Sie sind unabhängig voneinander, und interessant sind genau die Zeilen, in denen sie auseinanderlaufen. Der Chat von Microsoft 365 Copilot wird durch Kontrollen gesichert, die die meisten Organisationen ohnehin betreiben: Prompts und Antworten werden in einen versteckten Ordner im eigenen Exchange-Online-Postfach der Nutzerin oder des Nutzers kopiert, und Microsoft dokumentiert, dass die endgültige Löschung ausgesetzt wird, sobald dieses Postfach unter Litigation Hold, einem Delay Hold, einem eDiscovery-Hold oder einer weiteren Aufbewahrungsrichtlinie für denselben Speicherort steht. Ein Custodian mit Postfach-Hold hat seinen Copilot-Chat also bereits gesichert, ob das jemand entschieden hat oder nicht. Der Copilot Memory geht im selben Produkt in die Gegenrichtung: Microsoft erklärt, dass Purview-Aufbewahrungsrichtlinien und -bezeichnungen für Copilot Memory nicht gelten und dass keine Administratorkontrolle dort eine Aufbewahrung durchsetzt, während gespeicherte und abgeleitete Erinnerungen über eDiscovery und Graph Explorer weiterhin auffindbar bleiben. Auffindbar und ungeschützt ist das schlechteste Eigenschaftspaar, das eine Datenquelle haben kann.
Wann Sie ihn einsetzen
Wenn ein Hold hinausgeht und die Quellenliste je Custodian älter ist als die KI-Schicht. Wenn die Gegenseite einen ESI-Antrag oder einen Vorschlag nach Rule 26(f) stellt, der Chatbot-Logs oder Prompt-Verläufe benennt. Wenn ein Programm zur rechtssicheren Löschung kurz davor steht zu löschen und niemand geklärt hat, was die KI-Schicht kopiert oder zurücklässt. Wenn die Sicherheitsabteilung einen Shadow-AI-Sweep abgeschlossen hat und das Ergebnis eine Aufbewahrungslesart statt einer Sicherheitslesart braucht.
Wann NICHT
- Der Hold ist bereits überfällig. Verschicken Sie die Benachrichtigung zuerst im breitesten vertretbaren Umfang und inventarisieren Sie danach. Eine Inventur ist kein Grund, eine Benachrichtigung zu verzögern.
- Weniger als etwa acht KI-Tools, ein Identity Provider, alles hinter SSO. Lesen Sie die vier Admin-Konsolen direkt. Das Schema ist bei dieser Größe Overhead.
- Sie müssen die Daten erheben, nicht abgrenzen.
references/2-retention-behavior-profiles.mdhält fest, ob ein Exportweg existiert und wer ihn ausführen darf; ausgeführt wird er dort nicht. - Sie erreichen keine Admin-Konsole. Alle Phasen nach der Erhebung hängen von Tenant-Konfiguration ab, die Sie lesen können müssen. Ohne sie entsteht eine Liste von Marketingaussagen der Anbieter, die wie eine Inventur aussieht.
- Niemand füllt Teil D aus. Das Register bekannter Tools in
references/1-ai-tool-discovery-sources.mdsorgt dafür, dass ein nicht erfasstes Tool als nicht registriert gemeldet wird. Ohne dieses Register lesen sich alle Befunde gleich.
Was der Skill tatsächlich tut
Sechs Phasen in fester Reihenfolge, mit harten Abbrüchen in zweien davon.
Phase 1 sammelt aus vier Erhebungsebenen: OAuth-Berechtigungen des Identity Providers, Ausgaben, Endpoint- und Browser-Telemetrie sowie das Register bekannter Tools. Sie sind bewusst redundant, weil jede in eine andere Richtung blind ist: Der Identity Provider sieht kein Tool, das jemand privat bezahlt, die Ausgaben sehen keine kostenlosen Tarife, die Telemetrie sieht keine Tenant-Konfiguration, und das Register sieht nur das, was jemand aufgeschrieben hat. Ein Tool, das eine Ebene findet, gehört einer anderen Vertrauensklasse an als eines, das drei Ebenen finden, und die Einzelfunde tragen die Probleme, denn ein Tool, das niemand beschafft hat, ist ein Tool, das niemand konfiguriert hat.
Phase 2 verweigert die Ausführung bei weniger als drei Ebenen oder wenn eine Ebene null Datensätze liefert. Eine Ebene mit null Datensätzen erscheint als COLLECTION FAILED, nie als sauberes Ergebnis. Der typische Fehlschlag dieser Arbeit ist eine ordentliche Inventur der zwölf Tools, die leicht zu finden waren.
Phase 3 erstellt je Tool ein Retention-Profil, ausschließlich aus Anbieterdokumentation und Tenant-Konfiguration. Jedes Feld trägt eine source_url und ein checked_on-Datum; fehlt eines von beiden, erscheint das Feld als unknown statt auf einen Standardwert zurückzufallen, denn ein plausibler Standardwert ist der Weg, auf dem eine Inventur leise falsch wird. Profile werden nach Funktion getrennt, nicht nur nach Tool: Copilot-Chat und Copilot Memory sind zwei Zeilen mit gegensätzlichen Antworten.
Phase 4 klassifiziert die Erreichbarkeit in vier Zustände, und das ist die Entwurfsentscheidung, die das Ergebnis von einer Datenlandkarte unterscheidet. held heißt, eine bestehende Kontrolle greift bereits. retained-not-held heißt, die Daten existieren und sind auffindbar, aber kein Hold-Mechanismus greift, sodass Aufbewahrung eine aktive Erhebungsaufgabe mit Termin ist und nicht etwas, das man setzt und vergisst. not-retained heißt, die Interaktion hinterlässt keinen dauerhaften Datensatz: Google erklärt, dass die Vault-Unterstützung für die Gemini-App nicht für Gemini-Funktionen gilt, die in andere Google-Workspace-Anwendungen eingebettet sind, etwa “Help me write” in Gmail und Docs, weil diese Interaktionen nicht auf dieselbe Weise aufbewahrt werden. vendor-held-only heißt, der Datensatz existiert allein in Anbietersystemen, die Ihre Holds nicht erreichen, und das ist eine Frage von Besitz, Gewahrsam oder Kontrolle für die Rechtsabteilung und keine Konfigurationsaufgabe für die IT.
Anschließend läuft der Test rückwärts: Er listet auf, welche KI-Quellen jeder bestehende Hold stillschweigend miterfasst. Überaufbewahrung ist ein meldepflichtiger Befund — sie bläht das Review-Volumen auf und widerspricht jedem schriftlichen Aufbewahrungsplan, der behauptet, KI-Interaktionen würden nicht aufbewahrt.
Phase 5 und 6 leiten die Fragebogen- und Benachrichtigungs-Deltas aus references/3-custodian-questionnaire-deltas.md ab und berichten, angeführt von den Zeilen retained-not-held und vendor-held-only, weil diese noch in dieser Woche eine Entscheidung brauchen.
Kosten und Durchsatz
Compute ist nicht das Budget. Der Skill liest Exporte und Anbieterdokumentation; ein Profiltext kostet rund 600-900 Output-Token, ein Bestand von 40 Tools also deutlich weniger als einen Dollar an Modellkosten.
Der menschliche Aufwand ist die eigentliche Zahl, und sie ist eine Schätzung, keine Messung: Rechnen Sie mit 2-4 Stunden, um die vier Ebenen zu ziehen, sofern die Exporte existieren, danach 15-30 Minuten je Tool für Dokumentation und Prüfung im Tenant. Ein Bestand von 40 Tools ist ein erster Durchgang von 10-20 Stunden, überwiegend in Phase 3. Teil D der Erhebungsreferenz bleibt erhalten, sodass der zweite Lauf ein Diff ist und einen Bruchteil des ersten kostet. Wiederholen Sie ihn je Verfahren und quartalsweise als laufende Vorbereitung.
Fehlermodi
- “Wird aufbewahrt” mit “ein Hold erreicht es” verwechseln. Das Team meldet eine Abdeckung, die kein Hold tatsächlich herstellt. Guard:
reachable_by_existing_holdlässt sich nicht ableiten; das Schema verlangt, die konkrete Kontrolle zu benennen, die den Zugriff herstellt, und anbieterseitige Aufbewahrung zu eigenen Zwecken zählt nicht. - Aufbewahrung durch einen Blick in die App prüfen. Guard: Microsoft erklärt, dass in KI-Apps sichtbare Nachrichten nicht zuverlässig widerspiegeln, ob sie aufbewahrt oder endgültig gelöscht sind. Die Prüfung in Phase 4 ist eine eDiscovery-Suche, die eine Trefferzahl gegen einen bekannten Custodian zurückgibt, niemals ein Screenshot.
- Die konfigurierte Aufbewahrungsdauer für das Löschdatum halten. Microsofts eigenes durchgerechnetes Beispiel zeigt, dass eine Richtlinie “nach einem Tag löschen” bis zu 16 Tage braucht, bis Elemente in eDiscovery nicht mehr zurückgegeben werden, weil der Timer Job in einem Zyklus von 1-7 Tagen läuft und der SubstrateHolds-Ordner mindestens einen weiteren Tag hinzufügt. Guard: Das Schema trennt
policy_periodvonobserved_deletion_lag, und Löschbescheinigungen führen den zweiten Wert an. - Annehmen, eine Lizenz bedeute Erfassung. Die Aufbewahrungsorte von Purview erreichen ChatGPT, Google Gemini, das Consumer-Copilot und DeepSeek nur dann, wenn eine Collection Policy mit Inhaltserfassung konfiguriert ist, was die Bedingung Content contains classifiers auf All verlangt — und Microsoft erklärt, dass Inhalte in Dateien, die mit generativer KI geteilt werden, nicht enthalten sind. Guard: Der Zustand der Collection Policy ist ein Tenant-Konfigurationsfeld je Tool, keine Annahme auf Organisationsebene.
- Anbieterbedingungen für stabil halten. Die Aufbewahrungsanordnung im Verfahren der New York Times verpflichtete OpenAI, Output-Logdaten aufzubewahren, die sonst gelöscht worden wären; diese Pflicht endete am 2025-09-26, und die Anordnung wurde am 2025-10-09 durch Vergleich beendet. Google Vault erhielt Aufbewahrungsregeln und Litigation Holds für die Gemini-App erst am 2026-06-11. Eine Inventur, die auf der einen Seite dieser Daten geschrieben wurde, ist auf der anderen falsch. Guard: Jedes Profil trägt
checked_on, und alles jenseits des Prüfintervalls erscheint alsunverifiedund wird im Kopf des Berichts gezählt. - Die Inventur wird zum HR-Dokument, sobald sie Personen benennt, die etwas Nichtgenehmigtes tun, und die Zusammenarbeit bricht zusammen. Guard: Phase 1 aggregiert auf Tool und Anzahl; Detail je Custodian landet in
run_dir/custodians/und wird über den Pfad referenziert, nie in den Bericht eingebettet.
Gegenüber den Alternativen
Gegenüber dem KI-Quellen-Konnektor eines eDiscovery-Anbieters. Onna, Exterro und Reveal verkaufen die Erhebung aus Cloud-Quellen, und wenn Sie ein Verfahren haben und die Daten herausholen müssen, schlägt ein Konnektor die Handarbeit jedes Mal. Er löst das benachbarte Problem. Sie brauchen die Inventur trotzdem, um zu wissen, welche Konnektoren Sie kaufen, und für Quellen ganz ohne Exportweg gibt es keine Konnektoren — genau dort liegen die retained-not-held-Zeilen.
Gegenüber Purview DSPM for AI allein. Für einen Microsoft-zentrierten Bestand ist es die stärkste verfügbare Einzelebene, und das Bundle nutzt sie als eine davon. Zwei Grenzen verhindern, dass es die Antwort ist: Es meldet die Nutzung von KI-Anwendungen statt dessen, was diese Nutzung überdauert, und seine Reichweite in Nicht-Microsoft-Tools hängt von der Browser-Ebene plus einer Collection Policy ab, die die meisten Tenants nicht konfiguriert haben.
Gegenüber der Nachfrage bei der IT nach der App-Liste. Der schnellste Weg, und die Antwort ist die SSO-Liste, die Nutzung ohne SSO und mit privaten Konten strukturell ausschließt. Genau diese ausgeschlossene Gruppe hat die schlechteste Aufbewahrungslage, der schnellste Weg hat seinen blinden Fleck also exakt dort, wo die Befunde liegen.
Gegenüber einer Tabellenkalkulation. Der ehrliche Vergleich, denn das ist, was die meisten Teams tun. Bei zehn Tools reicht das. Was sich nicht neu zu schreiben lohnt, sind das Profilschema mit seiner verpflichtenden source_url, die Klassifikation in vier Zustände und der umgekehrte Hold-Test, denn diese drei sind genau das, was Teams falsch machen, wenn sie die Tabelle selbst bauen.
Verwandt: ediscovery-custodian-questionnaire-skill für das Interview, das diese Inventur speist, legal-hold-process für die Mechanik der Benachrichtigung, und microsoft-purview-ediscovery für das tenantseitige Werkzeug, durch das die meisten dieser Befunde laufen.