KI-Transparenz bei Eleveo

Wie wir KI bei der Produktentwicklung einsetzen – Agentic Development

1. Was das für Ingenieure bedeutet
   1. KI-Unterstützung ist ein fester Bestandteil unseres Arbeitsablaufs. Sie wird unter festgelegten Rahmenbedingungen eingesetzt und von einem internen KI-Lenkungsausschuss mit einem Verzeichnis zugelassener Tools überwacht. Nichts wird verwendet, bevor es nicht freigegeben wurde.
2. Unverhandelbare Grundsätze
   1. Entwickler sind für jede Zeile verantwortlich, die sie ausliefern, unabhängig davon, ob KI dabei geholfen hat oder nicht. Von KI generierter Code wird niemals akzeptiert, ohne dass er verstanden wurde.
   2. Die Code-Prüfung bleibt in menschlicher Hand – der Prüfer muss verstehen, was er genehmigt, und dafür einstehen. Kein Code gelangt in einen gemeinsamen Zweig, ohne dass ein Prüfer ihn versteht und für dessen Sicherheit, Korrektheit und Lizenzierung verantwortlich ist – nach denselben Maßstäben wie bei handgeschriebenem Code. Keine automatisierten Merge-Pfade, keine Ausnahmen.
   3. Generierter Code muss dieselben Anforderungen an Sicherheit, Qualität und Wartbarkeit erfüllen wie jeder andere Code.
   4. Kundendaten, Anmeldedaten und internes geistiges Eigentum dürfen nicht an externe KI-Tools übermittelt werden.

a. Die Sicherheits-, Datenschutz- und Governance-Maßnahmen, die wir zur Förderung einer verantwortungsvollen KI umgesetzt haben

• Eine dokumentierte Richtlinie, keine bloße Absichtserklärung. Eleveo orientiert sich an (ist jedoch nicht zertifiziert nach) dem NIST AI RMF, den OWASP LLM Top 10, den Normen ISO/IEC 27001 und 42001, dem EU-KI-Gesetz, den CIS Controls und dem NIST SP 800-53. Verantwortlich sind die Sicherheitsabteilung und der KI-Lenkungsausschuss; die Richtlinien werden mindestens zweimal jährlich überprüft.
• Ausschließlich zugelassene Tools. Die Zulassung erfordert eine Sicherheitsbewertung des Anbieters, bestätigte Datenverarbeitung und -aufbewahrung, SOC 2 Typ II oder ein gleichwertiges Zertifikat des Anbieters sowie die Freigabe durch die Rechts- und Sicherheitsabteilungen. Ausschließlich Unternehmenslizenzen – private und Verbraucher-Konten sind für die Arbeit im Unternehmen untersagt.
• Bestimmte Kategorien dürfen niemals in ein KI-Tool gelangen: Anmeldedaten, personenbezogene Daten und Gesundheitsdaten, Finanzdaten, Geschäftsgeheimnisse und geistiges Eigentum, Infrastrukturgeheimnisse sowie vertrauliche Kundendaten. Vorab sind ein Scannen auf vertrauliche Inhalte und die Ersetzung durch synthetische Daten zwingend erforderlich.
• Jeder Anbieter, der unsere Daten verarbeitet, benötigt eine unterzeichnete Datenschutzvereinbarung (DPA), die die Aufbewahrung, Unterauftragsvergabe, den Speicherort, die Benachrichtigung bei Datenschutzverletzungen sowie das Verbot des Modelltrainings mit unseren Daten ohne ausdrückliche Einwilligung regelt. Eine Opt-out-Möglichkeit wird, soweit verfügbar, gewährt und jährlich von der Rechtsabteilung überprüft.
• KI-Agenten agieren nicht unbeaufsichtigt. Die Genehmigung erfolgt risikogestaffelt; bei Bereitstellungen, Infrastruktur- und Produktionsdaten ist ein zweiter Prüfer erforderlich; irreversible Aktionen sind grundsätzlich verboten. Agenten laufen in Sandboxen, die von der Produktion getrennt sind.
• Von KI generierter Code muss ausnahmslos alle statischen Analysen, Kompositionsanalysen und Linting-Prüfungen bestehen und wird vor der kommerziellen Veröffentlichung auf Lizenzen geprüft. Von der KI vorgeschlagene Abhängigkeiten werden auf ihre Echtheit überprüft und mit Integritäts-Hashes fixiert.

b. Wie Kundendaten von der KI verarbeitet werden –

• Der Speech-Generative-Server wird in der privaten Eleveo-Cloud oder auf der Hardware des Kunden installiert.
• Das generative KI-Modell ist ein „vortrainiertes“ Datenmodell.
• Aufnahmen, Transkriptionen von Aufnahmen und andere zugehörige Daten werden NICHT verwendet, um die Genauigkeit der Ergebnisse zu verbessern oder das Modell weiter zu trainieren.
• Es werden keine Kundendaten zur weiteren Verarbeitung an einen externen Server oder Dienst weitergegeben oder gesendet.