<img height="1" width="1" style="display:none;" alt="" src="https://px.ads.linkedin.com/collect/?pid=454193&amp;fmt=gif">
Zu Content springen
Deutsch
Kontakt
  • Es gibt keine Vorschläge, da das Suchfeld leer ist.

Sicherheitskontrollen für Scompler AI

Scompler AI basiert auf denselben Sicherheitsgrundlagen wie die übrige Scompler-Plattform, ergänzt um spezifische Kontrollen für den Betrieb der KI-Funktionen. Die KI-Verarbeitung erfolgt ausschließlich innerhalb der Europäischen Union auf AWS Bedrock, Kundendaten werden nie zum Training von Modellen verwendet, und alle Ausgaben bleiben unter menschlicher redaktioneller Kontrolle.

 

Architektur und Datenstandort

Scompler AI läuft auf AWS unter Verwendung von Amazon Bedrock mit EU-only Inference Profiles. Anfragen werden ausschließlich innerhalb der Europäischen Union geleitet, und Kundeninhalte werden in der für die Inferenz genutzten AWS-Region verarbeitet. Während der KI-Verarbeitung verlassen keine Daten die EU.

Scompler nutzt Standard-Foundation-Modelle, die über AWS Bedrock bereitgestellt werden (Amazon Nova und Anthropic Claude). Wir trainieren oder feintunen keine eigenen Modelle. Daten werden bei der Übertragung mit TLS 1.3 und im Ruhezustand mit AES-256 verschlüsselt.

Die obigen Aussagen beziehen sich auf die Kern-Inferenz von Scompler AI, die vollständig innerhalb der EU auf AWS Bedrock erfolgt. Eine optionale Funktion, die Websuche, sendet eine Suchanfrage an einen externen Suchanbieter, damit der Assistent aktuelle Informationen aus dem öffentlichen Internet abrufen kann. Die Websuche ist standardmäßig deaktiviert und wird pro Projekt von einem Administrator aktiviert. Der Standardanbieter ist Linkup, bei dem Suchanfragen innerhalb der EU verarbeitet werden. Administratoren können stattdessen auch den Anbieter Brave Search auswählen, der Suchanfragen in den Vereinigten Staaten verarbeitet (siehe Websuche-Anbieter).

 

Unterauftragsverarbeiter/Subprozessoren

Kern-KI-Inferenz: AWS ist der einzige Unterauftragsverarbeiter bzw. Subprozessor, der an der Verarbeitung von KI-Anfragen beteiligt ist. AWS Bedrock speichert, protokolliert oder teilt weder Kundeneingaben noch -ausgaben, und keine Drittanbieter von Modellen erhalten oder verarbeiten diese Daten.

Optionale Websuche: Wenn ein Projektadministrator die optionale Websuche-Funktion aktiviert, wirkt ein zusätzlicher Suchanbieter als Unterauftragsverarbeiter für dieses Projekt, und zwar ausschließlich für die an ihn gesendeten Suchanfragen. Die Websuche ist standardmäßig deaktiviert und wird pro Projekt aktiviert. Die verfügbaren Anbieter, ihre Standorte und ihre Bedingungen zur Datenverarbeitung sind im Abschnitt Anbieter der Websuche weiter unten aufgeführt.

 

An die KI übermittelte Daten

Je nach aktiver Funktion können folgende Inhalte zur KI-Inferenz an AWS Bedrock übermittelt werden: Themen, Stories und Beiträge samt deren Eigenschaften, Content-Strategie, Personas und Content-Modelle, Anhänge und hochgeladene Dokumente sowie freier Text, den Nutzer im KI-Assistenten eingeben.

Das System schränkt nicht ein, was Nutzer in den KI-Assistenten eingeben. Personenbezogene Daten können technisch in Prompts enthalten sein, wenn Nutzer sie manuell eingeben. Wir empfehlen, personenbezogene Daten in KI-Prompts zu vermeiden. Die Verantwortung für die Rechtmäßigkeit aller in die KI eingegebenen Daten verbleibt beim Kunden.

Wenn die optionale Websuche-Funktion aktiv ist, wird zusätzlich eine aus der Anfrage des Nutzers abgeleitete Suchanfrage an den ausgewählten externen Suchanbieter gesendet (siehe Websuche-Anbieter). Der vollständige Prompt, die Projektinhalte und der Konversationsverlauf werden nicht an den Suchanbieter gesendet.

 

 

Websuche-Anbieter

Die Websuche ist eine optionale Funktion, mit der Scompler AI aktuelle Informationen im öffentlichen Internet nachschlagen kann. Sie ist standardmäßig deaktiviert und muss pro Projekt von einem Administrator aktiviert werden, der vor der Freischaltung der Funktion zusätzliche Bedingungen akzeptiert. Wenn die Websuche ausgeführt wird, sendet Scompler eine aus der Anfrage des Nutzers abgeleitete Suchanfrage an den ausgewählten Anbieter und erhält im Gegenzug öffentliche Suchergebnisse. Es wird ausschließlich die Suchanfrage übermittelt. Projektinhalte, Strategiedaten, der Konversationsverlauf und hochgeladene Dokumente werden nicht gesendet. Wie bei allen KI-Eingaben empfehlen wir, personenbezogene Daten in Suchanfragen zu vermeiden, da eine Anfrage an den Anbieter weitergeleitet werden kann.

Administratoren wählen einen Anbieter pro Projekt. Standard ist Linkup (EU). Der Unterschied zwischen den Anbietern liegt darin, wo die Suchanfragen verarbeitet werden.

Linkup (Standard, EU)

  • Datenstandort: Suchanfragen werden innerhalb der Europäischen Union verarbeitet.
  • Rolle: Auftragsverarbeiter nach der DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Artikel 28.
  • Standard-Speicherdauer: Suchanfragen und Ergebnisse unterliegen der Standard-Speicherdauer von Linkup von bis zu 3 Jahren nach der letzten Interaktion.

Brave Search (USA)

  • Datenstandort: Suchanfragen werden in den Vereinigten Staaten verarbeitet. Da es sich um eine Übermittlung außerhalb der EU handelt, erfolgt sie auf Grundlage der in Braves Auftragsverarbeitungsvertrag einbezogenen EU-Standardvertragsklauseln. Der an anderer Stelle beschriebene ausschließliche EU-Datenstandort gilt nicht für an Brave Search gesendete Suchanfragen.
  • Rolle: Braves Auftragsverarbeitungsvertrag deckt Konto- und Betriebsdaten ab. Brave vertritt den Standpunkt, dass über die API übermittelte Suchanfragedaten keine personenbezogenen Daten sind, und schließt sie vom Geltungsbereich des Vertrags aus. Die Verantwortung für die Rechtmäßigkeit der gesendeten Suchanfragen verbleibt beim Kunden.
  • Standard-Speicherdauer: Suchanfrage-Protokolle werden bis zu 90 Tage für Abrechnung und Fehlerbehebung gespeichert.

 

Anbieter-Auswahl

Kunden, die eine Verarbeitung ausschließlich innerhalb der EU benötigen, sollten beim Standard Linkup bleiben. Brave Search wird als US-basierte Alternative für Kunden angeboten, deren Datenschutzrichtlinien Übermittlungen in die Vereinigten Staaten auf Grundlage von Standardvertragsklauseln zulassen. Durch die Aktivierung eines der Anbieter wird dieser als Unterauftragsverarbeiter für das jeweilige Projekt hinzugefügt. Ist die Websuche nicht aktiviert, arbeitet Scompler AI wie zuvor, mit AWS als einzigem Unterauftragsverarbeiter.

Der Auftragsverarbeitungsvertrag, die Standardvertragsklauseln (sofern einschlägig) und die Liste der Unterauftragsverarbeiter des jeweiligen Anbieters sind im Trust Center des Anbieters dokumentiert. Weitere Informationen finden Sie in den folgenden Ressourcen der Anbieter: Linkup, unter https://trust.linkup.so/; und Brave Search, unter https://trust.brave.app/.

 

 

Modelltraining und Mandantentrennung

AWS Bedrock speichert und protokolliert keine Prompts und Antworten, verwendet sie nicht zum Training von Modellen und teilt sie nicht mit Dritten. AWS dokumentiert diese Zusicherung im Bedrock Data Protection Guide.

Innerhalb der Scompler-Plattform gilt der produktweite Ansatz der Row-Level Security auch für KI-Funktionen. Jeder Nutzer kann nur auf die Datensätze zugreifen, für die er berechtigt ist, und KI-Anfragen sind auf denselben Berechtigungsumfang beschränkt. Ein kundenübergreifender Datenzugriff ist architektonisch ausgeschlossen.

 

 

Speicherung von Prompts, Antworten und Protokollen

An AWS Bedrock übermittelte KI-Prompts und -Antworten werden von AWS nicht gespeichert oder protokolliert. Die Speicherdauer auf Ebene des Modellanbieters beträgt effektiv null Tage.

Innerhalb der Scompler-Plattform wird der KI-Konversationsverlauf gespeichert, um Produktfunktionen wie das Fortsetzen einer bestehenden Konversation zu unterstützen. Diese Daten werden in der EU (Frankfurt, Deutschland) gespeichert und bleiben verfügbar, bis die zugehörige Entität (z. B. Thema, Story, Beitrag) gelöscht wird. Sobald diese Entität entfernt wird, werden auch die zugehörigen KI-Konversationsdaten gelöscht.

Wenn die optionale Websuche-Funktion aktiviert ist, speichert der ausgewählte Suchanbieter Daten nach seiner eigenen Richtlinie. Standardmäßig wendet Linkup eine Speicherdauer von bis zu 3 Jahren nach der letzten Interaktion an, und Brave Search speichert Suchanfrage-Protokolle bis zu 90 Tage für Abrechnung und Fehlerbehebung. Diese Protokolle werden vom Anbieter gespeichert, nicht von Scompler.

 

Audit-Protokolle für die KI-Nutzung

AWS Bedrock speichert oder protokolliert keine Prompts oder Antworten, sodass auf AWS-Ebene keine Modell-Audit-Protokolle erzeugt werden.

Innerhalb der Scompler-Plattform wird die KI-Nutzung als Teil des Standard-Audit-Trails des Produkts erfasst. Diese Ereignisse enthalten, wer eine Aktion durchgeführt hat, wann sie stattgefunden hat und welche Art von KI-Funktion genutzt wurde. Prompts und Antworten sind nicht Teil der Audit-Protokolle. Konversationsinhalte verbleiben in der jeweiligen Konversation und folgen deren Speicherregeln.

 

 

Datenbehandlung bei Vertragsende

Alle in der Scompler-Plattform gespeicherten Kundendaten werden innerhalb von 30 Tagen nach Vertragsende oder nach einer vereinbarten Datenübergabe gelöscht, je nachdem, was zuerst eintritt. Kunden können ihre Daten jederzeit vor Vertragsende exportieren, und wir empfehlen, dies rechtzeitig zu tun.

Auf Ebene von AWS Bedrock ist kein zusätzlicher Löschvorgang erforderlich, da Prompts und Antworten zu keinem Zeitpunkt gespeichert werden.

 

Schutz vor Prompt Injection und adversariellen Angriffen

Der Schutz ist auf mehreren Ebenen implementiert.

Auf Modellebene verfügen Amazon Nova und Anthropic Claude über integrierte Alignment- und Sicherheitsmechanismen, die darauf ausgelegt sind, adversarielle Eingaben und Versuche zur Überschreibung von Anweisungen abzuwehren. Diese Schutzmechanismen sind immer aktiv.

Auf Infrastrukturebene erfolgt der Zugriff auf Modelle ausschließlich per API über AWS Bedrock. Es gibt keinen direkten Modellzugriff und keine Offenlegung von Modelldateien, was die Angriffsfläche deutlich reduziert.

Auf Anwendungsebene kann Scompler AI nur auf Daten zugreifen, für die der anfragende Nutzer bereits berechtigt ist. Alle Ausgaben werden als Entwürfe präsentiert, die einer menschlichen Überprüfung unterliegen, und es werden keine autonomen Aktionen ausgeführt.

Model- und Data-Poisoning sind nicht anwendbar, da Scompler keine eigenen Modelle trainiert oder feintunt.

 

Schutz vor toxischen oder unangemessenen Ausgaben

Amazon Nova und Anthropic Claude verfügen über integrierte Content-Safety-Systeme, die unter anderem Hassrede, sexuelle Inhalte, Gewalt und Selbstverletzung abdecken. Diese sind immer aktiv. Scompler prüft im Rahmen seines kontinuierlichen Sicherheitsmanagements zusätzliche konfigurierbare Schutzmaßnahmen.

 

EU AI Act Artikel 50(2)

Artikel 50(2) des EU AI Act verlangt, dass Ausgaben generativer KI-Systeme in maschinenlesbarer Form gekennzeichnet und als künstlich erzeugt erkennbar sind.

Scompler nutzt Foundation-Modelle von AWS und Anthropic über AWS Bedrock und entwickelt oder feintunt keine eigenen KI-Modelle. Wir verlassen uns daher auf diese Anbieter, die nach Artikel 50(2) erforderlichen technischen Mechanismen umzusetzen, etwa metadatenbasierte Tags, unsichtbare Wasserzeichen und C2PA-Spezifikationen für visuelle Medien. Für die Textgenerierung, die derzeit den Fokus von Scompler AI bildet, setzen sowohl AWS als auch Anthropic auf Transparenz, unter anderem durch AI Service Cards und freiwillige Sicherheitsverpflichtungen.

Artikel 50(2) enthält außerdem eine Ausnahme für KI-Systeme, die eine unterstützende Funktion für übliche Bearbeitungsschritte erfüllen oder die Eingabedaten nicht wesentlich verändern. Scompler AI arbeitet ausschließlich als unterstützendes Werkzeug, alle Ausgaben unterliegen der menschlichen Überprüfung und redaktionellen Kontrolle, sodass die Nutzung unter diese Ausnahme fällt.

 

Ausrichtung an Responsible-AI-Prinzipien

Scompler ist nicht formell nach einem spezifischen KI-Standard zertifiziert. Wir richten unsere Entwicklungs- und Betriebspraktiken an weithin anerkannten Responsible-AI-Prinzipien und dem aktuellen Stand der Technik aus:

  • Human in the Loop von Grund auf: Scompler AI wirkt ausschließlich unterstützend, Aktionen werden von Nutzern initiiert, und die volle Kontrolle verbleibt bei ihnen.
  • Berechtigungsgebundene Funktionsweise: Scompler AI kann nur auf Daten zugreifen oder Daten erzeugen, für die der anfragende Nutzer bereits berechtigt ist.
  • Transparenz: Wir kommunizieren offen, wie Scompler AI funktioniert, und streben vorhersehbare, nachvollziehbare Interaktionen an.
  • Nutzung etablierter Anbieter von Foundation-Modellen (AWS und Anthropic), die sich ihrerseits an wesentlichen Frameworks orientieren.
  • Kontinuierliche Bewertung: Wir beobachten das Verhalten des Systems und passen unsere Praktiken an, wenn sich Technologie und Standards weiterentwickeln.

 

Service-Level und Resilienz

Für Scompler AI gilt dasselbe SLA wie für die Scompler-Hauptplattform: 99,5 % Verfügbarkeit pro Kalendermonat, Multi-AZ-Deployment auf AWS für Redundanz, verschlüsselte Backups und geplante Wartungsfenster, die mindestens 48 Stunden im Voraus angekündigt werden. Die vollständigen SLA-Dokumente in deutscher und englischer Sprache finden Sie unter https://scompler.com/agb/.

 

Vorfall-Management

Sicherheitsvorfälle, die KI-Funktionen betreffen, folgen demselben strukturierten Prozess wie die übrige Scompler-Plattform und werden durch unser nach ISO 27001 zertifiziertes ISMS gesteuert. Vorfälle können über den Support-Chat oder per E-Mail an support@scompler.com gemeldet werden. Datenschutzverletzungen werden im Einklang mit den DSGVO-Meldepflichten behandelt.