Sicherheitsrichtlinien

Diese Seite dokumentiert die Sicherheitsrichtlinien, die von ISMS Copilot 2.0 als Teil unseres Informationssicherheits-Managementsystems (ISMS) formal verabschiedet wurden. Diese Richtlinien unterstützen unsere Konformität mit den Standards ISO 27001, SOC 2 und ISO 42001 und spiegeln unser Engagement für verantwortungsvolle KI-Entwicklung und Datenschutz wider.

Zugriffskontrollrichtlinie

Wir schützen den Zugriff auf unsere Systeme und Daten durch strenge Authentifizierungs- und Autorisierungskontrollen.

Authentifizierung & Autorisierung

• Mehrfaktor-Authentifizierung (MFA) ist für alle Benutzer, die auf kritische Dienste zugreifen, verpflichtend
• Zugriffsrechte werden nach dem Prinzip der geringsten Privilegien vergeben
• Eindeutig identifizierte Konten sind für alle Produktionszugriffe erforderlich, keine geteilten Anmeldedaten
• Mitarbeiterzugriffsrechte werden vierteljährlich überprüft, um die Übereinstimmung mit aktuellen Rollen sicherzustellen
• Passwortmanager werden von allen Teammitgliedern genutzt, um Anmeldedaten und API-Schlüssel zu sichern

Sitzungsverwaltung

• Sitzungsdauerbegrenzungen und erneute Authentifizierungsanforderungen werden durchgesetzt
• Sichere Verbindungen über TLS sind für alle Produktionszugriffe erforderlich
• Datenbankzugriff ist auf interne Netzwerke beschränkt

Zugriffslebenszyklus

• Zugriffsbereitstellung wird auf Rollenpassung überprüft, bevor Berechtigungen erteilt werden
• Mitarbeiter-Offboarding folgt dokumentierten Verfahren mit Deaktivierung des Kontos innerhalb von 24 Stunden
• Notfallzugriff wird über Break-Glass-Konten mit obligatorischer Protokollierung und Nachbereitung nach dem Ereignis bereitgestellt

Richtlinie für das Asset-Management

Wir führen ein umfassendes Inventar und Schutz aller Unternehmenswerte, von Mitarbeitergeräten bis zu proprietären Wissensdatenbanken.

Gerätesicherheit

• Automatische Bildschirmsperre ist auf allen Mitarbeitergeräten konfiguriert
• Verschlüsselung im Ruhezustand schützt sensible Daten auf Teamgeräten
• Software-Updates werden automatisch durchgeführt, um die Anfälligkeit für Schwachstellen zu verringern
• Antiviren-Software und konfigurierte Firewalls schützen vor Bedrohungen
• Mobile Device Management (MDM) setzt Sicherheitsrichtlinien auf allen Geräten durch
• Nur unterstützte Betriebssysteme: Geräte müssen mit OS/Software mit aktiver Herstellerunterstützung betrieben werden

Datenhandhabung

• Wechseldatenträger sind für Unternehmensdaten verboten
• Sicheres Löschen ist erforderlich, bevor ein Gerät verkauft, übertragen oder entsorgt wird
• Nur genehmigte Aufgaben: Mitarbeitergeräte sind auf autorisierte geschäftliche Nutzung beschränkt
• Sichere physische Standorte sind erforderlich, wenn auf Unternehmensdaten remote zugegriffen wird

Asset-Inventar

• Asset-Tracking führt ein systematisches Inventar aller Unternehmenswerte, einschließlich proprietärer Wissensdatenbanken und Quellcodes
• Jährliche Überprüfungen gewährleisten die Genauigkeit und Relevanz des Inventars
• Sichere Entsorgungsprozesse schützen außer Dienst gestellte Assets vor Datenlecks

Ressourcen für KI-Systeme

• Ressourcen des KI-Lebenszyklus werden identifiziert und dokumentiert (LLM-Anbieter, RAG-Architekturkomponenten)
• Datenressourcen für KI-Systeme werden dokumentiert (proprietäre Wissensdatenbank)
• Tooling-Ressourcen werden dokumentiert (Semgrep, Sentry)
• Rechenressourcen werden dokumentiert (Vercel, Supabase-Infrastruktur)

Richtlinie für Geschäftskontinuität, Backup & Wiederherstellung

Wir gewährleisten Resilienz durch dokumentierte Notfallwiederherstellungsverfahren und automatisierte Backup-Systeme.

Notfallwiederherstellung

• Notfallwiederherstellungsplan (DRP) wird gepflegt, von der Geschäftsführung genehmigt und jährlich aktualisiert
• Wiederherstellungsziele definieren RTO (Recovery Time Objectives) und RPO (Recovery Point Objectives) für alle kritischen Systeme
• Jährliche Tests validieren die Notfallwiederherstellungsverfahren
• Jährliche Überprüfungen bewerten Strategien zur Geschäftskontinuität und Redundanz, insbesondere nach größeren Änderungen wie der Hinzufügung von KI-Anbietern

Backup-Anforderungen

• Kontinuierliche Backups von Produktionsdatenbanken schützen Kunden-Chatverläufe und hochgeladene Dateien, Point-in-Time-Recovery ist aktiviert
• Mindestaufbewahrungsdauer von 7 Tagen für Backups
• Verschlüsselung für alle Backups im Ruhezustand und während der Übertragung via Supabase-Verschlüsselung
• Eingeschränkter Zugriff auf Backup-Systeme mit umfassender Protokollierung und Überwachung
• Halbjährliche Wiederherstellungstests validieren die Integrität der Backups und Wiederherstellungsverfahren
• Jährliche Failover-Validierung für Redundanz und Multi-Region-Wiederherstellungsmechanismen

Resilienz der KI-Anbieter

• Circuit-Breaker-Überwachung verfolgt den Zustand des primären KI-Anbieters (Anthropic) durch Fehlerratenanalyse in einem gleitenden Fenster
• Automatisches Failover zum Backup-Anbieter (OpenAI), wenn der primäre Anbieter Ausfälle oder Leistungsverschlechterungen aufweist
• Automatische Wiederherstellungsproben testen den Zustand des primären Anbieters und stellen die normale Weiterleitung wieder her, sobald dieser wiederhergestellt ist
• Benachrichtigung der Nutzer während des Failovers über persistente Banner-Warnungen bei gleichzeitiger Aufrechterhaltung der Dienstkontinuität
• Einschränkung für EU-only-Modus: Nutzer mit erweitertem Datenschutz (ausschließlich Mistral AI) haben kein Failover aufgrund der Verfügbarkeit nur eines EU-Anbieters; wir arbeiten an der Hinzufügung eines zweiten EU-Anbieters
• Protokollierung von Failover-Ereignissen und Nachbereitung nach Vorfällen zur kontinuierlichen Verbesserung

Richtlinie für das Datenmanagement

Wir verwalten Daten mit strengen Kontrollen, die auf die DSGVO und bewährte Praktiken zum Datenschutz abgestimmt sind.

Datenlebenszyklus

• Dateninventar-Klassifizierungssystem kategorisiert alle Daten (Öffentlich, Intern, Vertraulich, Geheim)
• Sicheres Löschen auf formelle Anfrage oder nach Ablauf der Aufbewahrungsfrist, Unterstützung der GDPR-Rechte
• Datenminimierung—nur Daten, die für definierte Zwecke notwendig sind, werden erhoben und aufbewahrt
• Rechtmäßige Verarbeitungsgrundlagen dokumentiert (Einwilligung, Vertrag, rechtliche Verpflichtung, berechtigte Interessen)
• Verzeichnis von Verarbeitungstätigkeiten dokumentiert Zwecke, Datenkategorien, Empfänger, Aufbewahrungsfristen und Sicherheitsmaßnahmen

Verschlüsselung & Transport

• TLS 1.2 Minimum (ideal 1.3) für alle externen HTTP-Dienste über Vercel
• HSTS-Header in Produktions-Webanwendungen verhindern Protokoll-Downgrade-Angriffe
• AES-256-Verschlüsselung im Ruhezustand für alle Produktionsdatenbanken über Supabase

KI-Datenmanagement

• Protokollierung der Datenerfassung verfolgt Quelldetails für Inhalte der proprietären Wissensdatenbank
• Datenherkunftsnachverfolgung im gesamten KI-Lebenszyklus gewährleistet Rückverfolgbarkeit in unserer RAG-Architektur
• Versionskontrolle und Zugriffsprotokolle verwalten Daten für die Entwicklung von KI-Systemen
• Datenqualitätsprüfungen anhand festgelegter Kriterien vor der Nutzung in KI-Systemen
• Genehmigte Aufbereitungsmethoden standardisieren die RAG-Verarbeitung für konsistente Compliance-Leitlinien

Datenschutzrechte

• Betroffenenrechte (Zugriff, Löschung, Berichtigung) werden innerhalb der gesetzlich vorgeschriebenen GDPR-Fristen erfüllt
• Sichere Entsorgung für außer Betrieb genommene Assets, die sensible Daten speichern
• Backup-Schutz—Backups folgen denselben Verschlüsselungs-, Aufbewahrungs- und Zugriffsregeln wie Produktionsdaten

Weitere umfassende Details zu unseren Datenverarbeitungspraktiken finden Sie in unserer Dokumentation zu Datenschutz & GDPR-Compliance.

Richtlinie für sichere Entwicklung

Wir integrieren Sicherheit in unseren Entwicklungslebenszyklus von der Code-Commit bis zur Produktionsbereitstellung.

Quellcode-Schutz

• Erstellen Sie einen dedizierten Branch für jede neue Entwicklung
• Geschützte Standard-Branches verhindern Force-Pushes in Produktions-Code-Repositories
• Pull-Request-Anforderungen—keine direkten Commits in geschützte Branches
• Verpflichtende Code-Review und Freigabe vor dem Merge
• Standardisierte Commit-Nachrichten verbessern die Rückverfolgbarkeit und Prüfbarkeit

Sicherheitstests

• Automatisierte Tests werden bei jedem Commit und Pull-Request vor dem Merge ausgeführt
• Secret-Scanning erkennt automatisch offengelegte Anmeldedaten via Semgrep
• Abhängigkeits-Schwachstellen-Scanning für alle Drittbibliotheken via Semgrep SCA
• Container-Image-Scanning vor der Bereitstellung (falls zutreffend)
• DAST (Dynamic Application Security Testing) in Staging-Umgebungen
• SAST (Static Application Security Testing) via Semgrep für alle Code-Änderungen
• Bereitstellungsblockierung bei Erkennung kritischer oder hochriskanter Schwachstellen
• Jährliche Penetrationstests auf Produktionssystemen

Entwicklungsworkflow

• Arbeiten Sie nicht an neuen Funktionen, solange wichtige Bugs noch Nutzer beeinträchtigen
• Funktionsspezifische Branches für isolierte Entwicklung und Tests
• Staging-Umgebung spiegelt die Produktion für Vorproduktions-Tests wider
• Lokale Tests sind erforderlich, bevor Code in gemeinsame Branches committet wird
• Dokumentierter SDLC (Software Development Lifecycle) leitet Entwicklungsprozesse an
• Issue-Tracking-System zur Meldung und Verfolgung von Produktfehlern
• Sicherheitsscanning führt Code-Review durch und identifiziert Sicherheitsprobleme
• Unit- und Integrationstests sind für alle kritischen Geschäftslogiken erforderlich

Sicherheitskontrollen

• Sicherheits-Linter (ESLint) verhindern unsichere Codierungsmuster in TypeScript
• Automatisierte Bereitstellungen folgen wiederholbaren, sicheren Verfahren via Vercel
• Kontinuierliche Bereitstellungspipelines für genehmigte Code-Änderungen
• VCS-Zugriff folgt dem Prinzip der geringsten Privilegien mit verpflichtender MFA
• Anmeldedaten-Rotationsverfahren werden sofort nach Erkennung geleakter Anmeldedaten ausgeführt
• Sichere Tresore verwalten Secrets in CI/CD- und Entwicklungsumgebungen
• Aktivitätsprotokollierung in Versionskontrollsystemen (GitHub-Audit-Logs)

Anwendungssicherheit

• CORS-Richtlinien korrekt konfiguriert, um unbefugten Zugriff einzuschränken
• CSP-Header (Content Security Policy) verhindern XSS- und Injektionsangriffe
• Cookie-Sicherheit—HttpOnly- und Secure-Flags via Supabase Auth
• CSRF-Schutz für alle zustandsändernden Operationen
• Zertifikat-Pinning für kritische API-Verbindungen
• Fehlermeldungssicherheit—interne Fehler werden von Sentry behandelt, nicht an Nutzer weitergegeben
• SQL-Injection-Schutz durch parametrisierte Abfragen und ORMs in Supabase PostgreSQL
• XSS-Schutz durch Eingabebereinigung und Ausgabekodierung
• Eingabevalidierung für Typ, Format, Länge und Bereich vor der Verarbeitung
• Ratenbegrenzung für kritische Endpunkte (Authentifizierung, KI-Abfragen)
• Webhook-Sicherheit durch Signaturprüfung und Authentifizierung

Datenschutz im Code

• Keine Klartext-Passwörter—Verschlüsselung auf Datenbankebene
• Nur unterstützte Abhängigkeiten—keine veralteten oder nicht unterstützten Bibliotheken in der Produktion
• Externe Konfiguration—keine hartcodierten Secrets im Anwendungscode
• Versionskontrollierte Migrationen für Datenbankschema-Änderungen
• Keine sensiblen Protokollierungen—Anmeldedaten und personenbezogene Daten werden niemals protokolliert
• Speichersichere Sprachen (TypeScript) bevorzugt für neue Entwicklungen

Lizenzierung & Compliance

• Nur lizenzierte Software—erforderlich sind ordnungsgemäß lizenzierte, genehmigte und bezahlte Tools
• Keine Copyleft-Lizenzen (GPL v3), um proprietären Code zu schützen
• Automatisierte Lizenzprüfung in CI/CD-Pipelines via Semgrep
• Kommunikation von Änderungen an interne Stakeholder und externe Nutzer bei größeren Updates
• Qualitätssicherungsprozesse für alle Produktions-Releases

Richtlinie für sichere Infrastruktur

Unsere cloud-native Infrastruktur implementiert Defense-in-Depth mit automatisierten Sicherheitskontrollen.

Netzwerksicherheit

• Web Application Firewall (WAF)-Schutz über Vercel für alle internetseitigen Anwendungen
• Nur verschlüsselte Protokolle (TLS, SSH) für alle externen Verbindungen
• Netzwerksegmentierung isoliert Produktions-, Staging- und Entwicklungsumgebungen in serverloser Architektur
• Firewall-Regeln nach dem Prinzip der geringsten Privilegien (Standard: Ablehnen) über Vercel konfiguriert
• DDoS-Schutz für internetseitige Ressourcen über Vercel aktiviert
• TLS 1.2 als Mindeststandard für alle verschlüsselten Kommunikationen
• Direktes TLS bevorzugt gegenüber STARTTLS für verschlüsselte Verbindungen
• DNSSEC aktiviert für verwaltete DNS-Zonen zur Verhinderung von DNS-Spoofing
• E-Mail-Authentifizierung (DKIM, SPF, DMARC) für ausgehende E-Mail-Domains konfiguriert

Infrastrukturmanagement

• Infrastructure as Code (IaC) verwaltet Vercel-Konfigurationen für Wiederholbarkeit
• Zentrale Protokollierung über Sentry für alle Infrastrukturkomponenten, einschließlich der Erfassung von Benutzer-IDs (nur UUID) in der Produktion zur Fehlerkorrelation und schnelleren Fehlerbehebung
• Automatische Skalierung über Vercel konfiguriert, um die Verfügbarkeit bei Verkehrsspitzen aufrechtzuerhalten
• Automatisierte Alarmierung bei Sicherheitsvorfällen und anomalem Verhalten über Semgrep und Sentry
• Datenbankreplikation und automatisches Failover für kritische Datenbanken über Supabase Enterprise
• Einschränkungen für Root-Konten – IAM nach dem Prinzip der geringsten Privilegien, Root wird nicht für tägliche Operationen verwendet
• Prüfprotokolle aktiviert (Supabase-Logs) und für Compliance überwacht
• Architekturdokumentation wird gepflegt und jährlich überprüft

Systemhärtung

• Festplattenverschlüsselung auf allen Speichervolumes im Ruhezustand über Supabase aktiviert
• Rootlose Container, wo anwendbar, um Risiken der Rechteausweitung zu reduzieren
• Automatisierte Sicherheits-Patches in serverloser Umgebung
• Kritische Patches innerhalb von 7 Tagen, Standard-Patches innerhalb von 30 Tagen angewendet
• Nur unterstützte Betriebssysteme, die aktive Sicherheitsupdates erhalten (sichergestellt durch Vercel Serverless)
• LTS-Versionen für Produktionsstabilität
• NTP-Synchronisation für genaue Protokollzeitstempel
• Vierteljährliche Rotation der Infrastruktur-Anmeldedaten (API-Schlüssel, Tokens)

Zugriff & Authentifizierung

• Sichere Tresore (Cloud KMS) für die Speicherung kryptografischer Schlüssel
• Bastion-Hosts für administrativen Zugriff auf die Produktionsinfrastruktur
• Zugriff nach dem Prinzip der geringsten Privilegien über IAM-Steuerungen
• VPN/SSH/cloud-native sicherer Zugriff für die Produktionsinfrastruktur erforderlich
• Dienstkonten mit eingeschränkten Berechtigungen für automatisierte Prozesse
• Automatisiertes Zertifikatsmanagement über Vercel (Let's Encrypt)
• Überwachung des Zertifikatsablaufs mit Warnungen 30, 14 und 7 Tage vor Ablauf

Compliance

• Datenresidenz-Kontrollen für EU-Kunden (AWS Frankfurt) zur Einhaltung der DSGVO

Richtlinie zur Sicherheit personeller Ressourcen

Wir gewährleisten Sicherheitsbewusstsein und Verantwortlichkeit im gesamten Team während des gesamten Mitarbeiterlebenszyklus.

Organisationsstruktur

• Organigramm visualisiert die Unternehmensstruktur, vierteljährlich aktualisiert
• Dokumentierte Rollen und Verantwortlichkeiten klar definiert (RACI-Modell für kleine Teams)
• Stellenbeschreibungen dokumentieren sicherheitsrelevante Anforderungen für die Rekrutierung

Einstellung & Einarbeitung

• Dokumentierte Rekrutierungsverfahren gewährleisten geprüfte Einstellungen und reduzieren Insider-Risiken
• Arbeitsverträge enthalten NDAs und Vertraulichkeitsklauseln zum Schutz des geistigen Eigentums
• Sicherheitseinführung umfasst MFA-Einrichtung und Schulung zur Sicherheitspolitik
• Sicherheitsschulung wird von allen Mitarbeitern absolviert

Laufende Verwaltung

• Jährliche Leistungsbeurteilungen unterstützen die Kompetenzentwicklung und das Sicherheitsbewusstsein
• Richtliniendurchsetzung – Mitarbeiter, die gegen Sicherheitsrichtlinien verstoßen, erhalten dokumentierte Sanktionen
• Meldeverfahren für Vorfälle über Ticket-System oder Support-E-Mail für Sicherheitsbedenken

Offboarding

• Dokumentierte Offboarding-Verfahren gewährleisten die Deaktivierung von Konten und den Entzug von Zugriffsrechten (kritisch für Super-Admin-Rollen)

KI-spezifische Kompetenzen

• KI-Personalkompetenzen werden durch Schulungen oder Einstellungen sichergestellt
• Dokumentation der KI-Ressourcen verfolgt Teamfähigkeiten und Beiträge
• KI-Richtlinienbewusstsein – Mitarbeiter verstehen ihre Rolle bei der verantwortungsvollen KI-Entwicklung

Richtlinie zur Betriebssicherheit

Wir gewährleisten Betriebssicherheit durch Überwachung, Incident Response und kontinuierliche Verbesserung.

Infrastruktur-Betrieb

• Netzwerkarchitekturdiagramm wird gepflegt und jährlich aktualisiert
• Protokollierung von Infrastrukturänderungen für Prüfprotokolle und Change Management
• Tägliche NTP-Synchronisation für genaue Protokollzeitstempel
• Vierteljährliche Server-Betriebssystem-Updates über serverlose Automatisierung
• Zentrale Protokollaggregation über Sentry, Erfassung von Benutzer-IDs (nur UUID) in der Produktion zur Fehlerkorrelation
• 30-tägige Protokollaufbewahrung für Produktionsanwendungsprotokolle

Bedrohungsmanagement

• WAF-Schutz für Produktionsanwendungen (Vercel-Äquivalent)
• Jährliche Penetrationstests der Produktionsumgebung
• Aktive Bedrohungsüberwachung für Cloud-Infrastruktur über Semgrep und Sentry
• Echtzeitüberwachung über Sentry für proaktive Reaktionen
• Automatisierte Alarmierung bei Sicherheitsvorfällen

Incident Response

• Formeller Incident-Response-Plan für kritische und sicherheitsrelevante Vorfälle
• Slack-Alarme für sofortige Benachrichtigung bei Produktionsausfällen
• Incident-Review-Verlauf wird in zentralem Repository für Lessons Learned gepflegt
• Teilung von Sicherheitsereignissen mit relevanten Parteien für Transparenz
• NIS2-Compliance: Erhebliche Cybersicherheitsvorfälle werden den Behörden gemeldet (Frühwarnung innerhalb von 24 Stunden, Incident-Meldung ohne unangemessene Verzögerung, Abschlussbericht innerhalb eines Monats)

E-Mail-Sicherheit

• SPF-, DKIM-, DMARC-Protokolle sichern E-Mail-Server ab
• Sicherheitsfilter für Spam- und Malware-Schutz

Kommunikation & Transparenz

• Self-Service-Portal stellt Nutzern Produktdokumentation bereit
• Öffentliche Website beschreibt klar Funktionen und Vorteile
• E-Mail für Sicherheitsmeldungen zur koordinierten Offenlegung von Schwachstellen
• Trust Center enthält Details zu Sicherheitspraktiken und Compliance-Zertifizierungen
• Öffentliche Statusseite kommuniziert Service-Status und Vorfälle (geplant)

Risikominderung

• Cyber-Versicherungsschutz schützt Geschäftsabläufe vor finanziellen Auswirkungen von Sicherheitsvorfällen

KI-Betrieb

• Überwachung von KI-Systemen hinsichtlich Leistung und Fehlern, mit Behebung durch Nachschulung, Code-Korrekturen oder Updates
• Protokollierung von KI-Ereignissen in wichtigen Lebenszyklusphasen mit umfassender Aufzeichnung

Richtlinie zur physischen Sicherheit

Wir schützen physische Vermögenswerte und Infrastruktur durch angemessene Sicherheitskontrollen.

• Sicherheit von Rechenzentren basiert auf zertifizierten Anbietern (Supabase/Vercel mit ISO 27001, SOC 2 Typ II-Zertifizierungen)
• Bedrohungsminderung für physische Standorte (Feuerlöscher usw.) als Teil der Risikobewertung
• Physische Sicherheitsmaßnahmen für alle physischen Vermögenswerte umgesetzt
• Zugangskontrolle für Büros über Ausweis- oder Schlüsselsystem (falls zutreffend)
• Besucherregistrierung im digitalen System zur Nachverfolgung von Bürozugängen

Richtlinie zum Risikomanagement

Wir identifizieren, bewerten und behandeln systematisch Risiken für unsere Informationssicherheit und KI-Systeme.

Allgemeines Risikomanagement

• Jährliche Risikobewertungen oder nach Bedarf identifizieren und bewerten Sicherheitsbedrohungen
• DSFA (Datenschutz-Folgenabschätzungen) für Verarbeitungsaktivitäten mit hohem Risiko personenbezogener Daten

KI-Risikomanagement

• Jährliche Identifizierung von KI-Risiken für das KI-Managementsystem
• Risikobewertung von KI-Systemen anhand von Eintrittswahrscheinlichkeit und Auswirkungsbewertung
• Risikobehandlung durch Anwendung von Kontrollen, Akzeptanz, Übertragung oder Vermeidung von Risiken
• Auswirkungsbewertungen auf Einzelpersonen und Gesellschaften mit dokumentierten Ergebnissen für Risikoüberprüfungen
• Bewertungen in geplanten Intervallen oder bei Änderungen mit dokumentierten Ergebnissen
• Risikobehandlungspläne umgesetzt, überprüft und aktualisiert mit Dokumentation

Richtlinie für Drittanbieter

Wir bewerten und verwalten Sicherheitsrisiken von Drittanbietern und Dienstleistern.

• Jährliche Bewertung von Lieferanten für Drittanbieter wie OpenAI und ConvertAPI
• Verantwortlichkeiten im KI-Lebenszyklus auf Organisation, Partner, Lieferanten, Kunden und Dritte aufgeteilt
• Überprüfung von Lieferanten auf KI-Ausrichtung vor Nutzung von Diensten, Produkten oder Materialien
• Integration von Kundenbedürfnissen in den verantwortungsvollen KI-Ansatz
• Bewertung von Cybersicherheitsrisiken in der Lieferkette, einschließlich Sicherheitsabhängigkeiten und Minderungsmaßnahmen

Richtlinie für KI-Management

Wir steuern unsere KI-Systeme durch ein umfassendes Management-Framework, das an ISO 42001 ausgerichtet ist.

KI-Managementsystem

• Externe und interne Themen, die für KI-Systeme relevant sind, werden ermittelt und dokumentiert
• Interessierte Parteien identifiziert sowie deren Anforderungen
• Grenzen und Anwendungsbereich des KI-Managementsystems definiert
• Kontinuierliche Verbesserung des KI-Managementsystems
• Engagement der obersten Leitung demonstriert (CEO-geführter Ansatz „Practice what we preach“)

KI-Richtlinienrahmen

• Dokumentierte KI-Richtlinie, die den Rahmen für Ziele und Verbesserungen bietet
• Ausrichtung der Richtlinie an anderen Unternehmensrichtlinien
• Überprüfungen der KI-Richtlinie in geplanten Intervallen
• Messbare KI-Ziele, die mit der Richtlinie übereinstimmen, überwacht und aktualisiert werden (z. B. Metriken zur Reduzierung von Halluzinationen)

Änderungen an KI-Systemen

• Geplante Änderungen am KI-Managementsystem werden systematisch durchgeführt (z. B. Hinzufügen neuer KI-Anbieter)
• Ressourcenzuweisung für das KI-Managementsystem ermittelt und bereitgestellt
• Kommunikationsrahmen für interne und externe Kommunikation zu KI-Systemen (einschließlich Trust Center)
• Schutz von Dokumenten für Informationen des KI-Managementsystems

KI-Prozessmanagement

• Anforderungsbasierte Prozesse geplant, umgesetzt und gesteuert
• Leistungsüberwachung und -bewertung mit Aufbewahrung von Nachweisen
• Interne Audits in geplanten Intervallen
• Managementbewertungen zur Eignung des KI-Managementsystems
• Korrekturmaßnahmen bei Nichtkonformitäten mit Dokumentation

Richtlinie zur Bewertung von KI-Auswirkungen

Wir bewerten die möglichen Folgen unserer KI-Systeme für Einzelpersonen und die Gesellschaft.

• Jährliche Bewertungen der Auswirkungen von KI-Systemen auf Einzelpersonen und Gesellschaften
• Dokumentierte Ergebnisse für Compliance- und Audit-Zwecke aufbewahrt
• Bewertung der Auswirkungen auf Einzelpersonen/Gruppen unter Berücksichtigung von Nutzerdatenschutz und möglichen Verzerrungen
• Bewertung der gesellschaftlichen Auswirkungen im Einklang mit dem EU-KI-Gesetz und breiteren ethischen Überlegungen

Richtlinie zum Lebenszyklus von KI-Systemen

Wir verwalten KI-Systeme verantwortungsvoll von der Planung über die Bereitstellung bis zum Betrieb.

Entwicklungsziele

• Ziele für verantwortungsvolle KI identifiziert, dokumentiert und in die RAG-Entwicklung integriert
• Verantwortungsrichtlinien in Design und Entwicklung befolgt, um Halluzinationen zu reduzieren

Design & Entwicklung

• Anforderungsspezifikation für KI-Systeme dokumentiert
• Designdokumentation basierend auf Zielen und Anforderungen
• Verifizierung und Validierung durch Regressionstests vor der Bereitstellung
• Bereitstellung basierend auf Anforderungen – Systeme werden erst nach Erfüllung der Anforderungen bereitgestellt
• Technische Dokumentation für relevante Parteien (Team und Nutzer) bereitgestellt

Nutzung & Informationen

• Nutzerinformationen ermittelt und bereitgestellt (Nutzerhandbücher mit Erläuterungen zu Einschränkungen)
• Meldung negativer Auswirkungen ermöglicht für Nutzerfeedback
• E-Mail-Benachrichtigungen zu KI-Vorfällen zur Vertrauensbildung
• Berichtspflichten gegenüber interessierten Parteien ermittelt und dokumentiert
• Richtlinien für verantwortungsvolle Nutzung für KI-Systeme befolgt
• Nutzungsziele für verantwortungsvolle KI identifiziert und dokumentiert
• Überwachung des vorgesehenen Zwecks gewährleistet eine complianceorientierte Nutzung

Richtlinienaktualisierungen & Überprüfungen

Diese Richtlinien werden regelmäßig überprüft und aktualisiert, um die Ausrichtung auf unsere sich weiterentwickelnde Sicherheitslage, Compliance-Anforderungen und betrieblichen Praktiken beizubehalten. Wesentliche Änderungen werden den Stakeholdern über geeignete Kanäle mitgeteilt.

Verwandte Ressourcen

• Sicherheits- & Datenschutzübersicht – Implementierungsdetails unserer Sicherheitskontrollen
• Datenschutz & DSGVO-Compliance – Umgang mit personenbezogenen Daten und DSGVO-Rechten
• Datenschutzrichtlinie – Unsere rechtlichen Datenschutzverpflichtungen