Grundlage
Vertrauen und Compliance von Anfang an
Die Compliance-Arbeit beginnt in Phase 01, solange sich das Design noch ändern lässt. Bis zum Go-live halten Sie die Nachweise in der Hand: die Datenschutz-Folgenabschätzung (DSFA), das Design der menschlichen Aufsicht, die Protokolle und die Testergebnisse.
Was jedes Projekt enthält
- Eine Datenschutz-Folgenabschätzung. Jedes Projekt, das Personendaten berührt, erhält eine DSFA, eingeplant in Phase 01. Art. 22 revDSG verlangt eine, wenn die Bearbeitung voraussichtlich ein hohes Risiko für die betroffenen Personen mit sich bringt.
- Eine dokumentierte Hosting-Entscheidung. Schweizer oder EU-Cloud, Ihre eigene Infrastruktur, vor Ort oder auf dem Gerät. Modellanbieter und Region werden pro Projekt vereinbart, und Kundendaten werden nie zum Trainieren von Modellen verwendet.
- Personendaten aus den Modellen herausgehalten. Namen und Kennungen werden vor einem Modellaufruf durch Aliase ersetzt, wo immer das Design es zulässt, und eine unabhängige Prüfung bricht den Lauf ab, wenn einer durchsickert.
- Menschliche Aufsicht von Anfang an. Jeder Agent hat eine Stufe auf der Autonomieleiter, gewählt von Ihrer verantwortlichen Führungskraft, eine Freigabewarteschlange für alles Unumkehrbare und einen Stopp-Schalter, den eine benannte Person bedienen kann. Wo eine Entscheidung über eine Person ausschliesslich automatisiert fällt, ist der Überprüfungsweg nach Art. 21 revDSG vor dem Go-live gebaut.
- Protokolle, die eine Entscheidung rekonstruieren. Jeder Schritt wird mit den verwendeten Dokumenten und der angewandten Regel protokolliert.
- Nachweise, die eine Revision lesen kann. Das Evaluationsset, die Ergebnisse pro Release, das Änderungsprotokoll, Traces, unterzeichnete Persona-Karten und Vorfallberichte, pro Release aufbewahrt. KI-Leitplanken beschreibt das Paket.
In den sechs Phasen
| Phase | Was Sie erhalten |
|---|---|
| 01 · Fall begründen | Eine Notiz zur regulatorischen Anwendbarkeit für den Anwendungsfall; die DSFA eingeplant; die Hosting-Option gewählt |
| 02 · Nutzen belegen | Ein Evaluationsset, das zugleich als Nachweis dient; Personendaten im Prototyp durch Aliase ersetzt, wo das Design es zulässt |
| 03 · System entwickeln | Ein Governance-Paket: Modelldokumentation, Zugriffs- und Datenbehandlungskontrollen, Monitoring-Schwellen, Design der menschlichen Aufsicht, Prüfpfad; der Überprüfungsweg nach Art. 21 gebaut |
| 04 · An einem Ort pilotieren | Eine Red-Team-Sitzung, bevor Nutzende damit arbeiten; jede Übergabe und jede Übersteuerung protokolliert; Reaktion auf Vorfälle mit Ihrem Team getestet |
| 06 · Betreiben und weiterentwickeln | Eine regulatorische Beobachtung: Wenn sich eine Regel ändert, die das System berührt, erfahren Sie, was sich ändern muss und bis wann |
Die Regeln selbst
Das revDSG, die Wirkung der EU-KI-Verordnung (AI Act) über die EU hinaus auf die Schweiz, GxP und Branchenregeln, mit Daten und Primärquellen, stehen in der Regulatorischen Referenz.
Im Lab gebaut
| Build | Bezeichnung | Was es zeigt |
|---|---|---|
| kredis | Beta | Eine nur ergänzbare Fallhistorie und versionierte Regelpakete, sodass sich jede Bewertung für ein früheres Datum rekonstruieren lässt; keine Freigabe ohne dokumentierte Zustimmung eines Menschen |
| Wellsura | Beta | Begründungscodes aus einer festen Liste; Versicherungsstatus aus dem Ranking herausgehalten und durch einen Test erzwungen; Personendaten physisch gelöscht |
| Anonymisieren vor der Inferenz | Interner Build | Personendaten vor jedem Modellaufruf durch Aliase ersetzt, mit einer unabhängigen Prüfung, die den Lauf abbricht |
| Adversariales Evaluationsset für Allergensicherheit | Interner Build | 117 adversariale Fälle und eine Bestehensquote von 100 % als Bedingung für jeden Merge, für die Fragen, die nach Lebensmittelrecht zwingend richtig beantwortet werden müssen |
Genutzt von
Fragen
Ist Ihre regulatorische Notiz ein Rechtsgutachten?
Nein. Sie ist eine Einschätzung von Leuten, die mit dem revDSG, der EU-KI-Verordnung (AI Act) und Branchenregeln arbeiten, so geschrieben, dass Ihre Rechtsberatung die Lage für Ihr System rasch bestätigen kann.
Wie gehen Sie in einem Projekt mit Sicherheit um?
Wir können das System in Ihrer eigenen Infrastruktur und unter Ihren Kontrollen betreiben. Unsere eigenen Websites werden mit eng begrenzten Tokens ausgeliefert, lassen den Build bei jedem Laden von Ressourcen Dritter scheitern und halten interne Werkzeuge hinter einem Login. Die Seite «Grundsätze» listet die Praktiken auf.
Trainieren Sie Modelle mit unseren Daten?
Nein. Modellanbieter und Hosting-Region werden für jedes Projekt vereinbart, und wir nutzen Kundendaten weder zum Trainieren noch zum Feintuning von Modellen.
Weiterführend
Mit der Anwendbarkeitsnotiz beginnen
Jedes AI Opportunity Assessment enthält eine Notiz zur regulatorischen Anwendbarkeit für Ihren Anwendungsfall, so geschrieben, dass Ihre Rechtsberatung sie rasch bestätigen kann.
AI Opportunity Assessment ansehen