Ein Sprachmodell ist probabilistisch. Es liefert meist, was man erwartet, aber nicht immer. Guardrails sind die Schichten, die zwischen Nutzer, Modell und Systemen liegen und dafür sorgen, dass das Unerwartete nicht ungefiltert durchgeht.
Eingabekontrollen
Vor dem Modell: Erkennen, ob eine Anfrage im vorgesehenen Anwendungsbereich liegt, Personendaten erkennen und gegebenenfalls maskieren, Längen und Formate begrenzen, offensichtliche Missbrauchsmuster abfangen. Eingabekontrollen reduzieren Kosten und Risiko, verhindern aber Prompt Injection nicht zuverlässig.
Ausgabekontrollen
Nach dem Modell: Strukturierte Ausgaben gegen ein Schema validieren, statt freien Text zu parsen. Bei Antworten auf Basis von Dokumenten prüfen, ob Aussagen durch die abgerufenen Quellen gedeckt sind, und Quellen anzeigen — das ist die wirksamste Massnahme gegen Halluzinationen in RAG-Systemen. Inhalte auf verbotene Kategorien, vertrauliche Daten oder verdächtige Links prüfen. Bei Fehlschlag nicht still eine schlechte Antwort ausliefern, sondern sauber auf einen Fallback gehen.
Aktionskontrollen
Sobald ein Modell über Tool-Calling handelt, werden Guardrails zu Berechtigungsfragen: Welche Werkzeuge stehen zur Verfügung, mit welchen Parametern, für welchen Nutzer und Mandanten? Folgenreiche Aktionen brauchen eine Bestätigung. Diese Kontrollen gehören in den serverseitigen Code, nicht in den Prompt, weil ein Prompt überredet werden kann und Code nicht.
Was Guardrails kosten
Jede zusätzliche Prüfung kostet Latenz und oft zusätzliche Modellaufrufe. Zu viele Filter machen ein Produkt langsam und frustrierend, weil legitime Anfragen abgelehnt werden. Gute Guardrails sind deshalb gezielt: Sie sitzen dort, wo ein Fehler teuer wäre, und sind mit echten Beispielen gegen Falschablehnungen getestet. Eine laufende Evaluation misst beides: verhinderte Fehler und unnötige Blockaden.
Typische Fehlannahmen
Erstens, dass ein strenger Systemprompt ein Guardrail sei — er ist eine Bitte, keine Kontrolle. Zweitens, dass ein zweites Modell als Prüfer alle Probleme löst; es hat dieselben Schwächen. Drittens, dass Guardrails einmal gebaut werden; sie müssen mit Modellwechseln und neuen Missbrauchsmustern mitwachsen. Für regulierte Umgebungen kommt hinzu, dass Guardrails dokumentiert sein sollten, weil sie Teil der menschlichen Aufsicht und der Transparenz sind.