Eddy-KI-Vertrauensseite

Zweck: Die Richtlinie zielt darauf ab, den ordnungsgemäßen und effektiven Einsatz von Kryptographie sicherzustellen, um die Vertraulichkeit, Authentizität und Integrität von Informationen zu schützen.

Anwendungsbereich: Die Richtlinie gilt für alle von Document360 entwickelten und/oder kontrollierten Informationssysteme, die vertrauliche Daten speichern oder übertragen.

Versicherungsnehmer: Der CEO ist für die Police verantwortlich.

Wirksamkeitsdatum: Die Police tritt am 1. März 2024 in Kraft.

Risikobewertung: Document360 bewertet Risiken und implementiert kryptografische Kontrollen, um sie gegebenenfalls zu mindern.

Verschlüsselungsstandards: Starke Kryptographie mit zugehörigen Schlüsselverwaltungsprozessen und -verfahren muss gemäß Industriestandards, einschließlich NIST SP 800-57, implementiert und dokumentiert werden.

Schlüsselverwaltung: Der Zugriff auf Schlüssel und Geheimnisse ist streng kontrolliert, und es gibt spezifische Empfehlungen für die Verwendung kryptografischer Schlüssel, einschließlich Schlüsseltypen, Algorithmen und Schlüssellängen für verschiedene Domänen wie Webzertifikate, Webchiffren und Endpunktspeicher.

Ausnahmen: Anträge auf Ausnahmen von der Richtlinie müssen dem CEO zur Genehmigung eingereicht und dokumentiert werden.

Verstöße & Durchsetzung: Bekannte Verstöße sollten dem CEO gemeldet werden und können disziplinarische Maßnahmen zur Folge haben, einschließlich der Kündigung des Arbeitsverhältnisses.

Ruhende Daten: Vertrauliche Ruhedaten müssen maximal 1 Jahr lang mit symmetrischer Verschlüsselung mit AES-256-Bit verschlüsselt werden.

Passwörter: Passwörter müssen mit Einweg-Hashfunktionen wie Bcrypt, PBKDF2, scrypt oder Argon2 gehasht werden, mit einem 256-Bit-Schlüssel und einem 10K-Stretch, einschließlich eines einzigartigen kryptographischen Salzes und Pfeffers.

Verschlüsselung der Vektordatenbank: Texteinbettungen, die in MongoDB gespeichert sind, müssen für Vektoren, die Kundeninhalte enthalten, auf Feldebene verschlüsselt werden.

Prompt- und Antwortverschlüsselung:

• Alle Benutzereingaben müssen vor der Speicherung verschlüsselt sein.

• KI-Antworten müssen sowohl während des Transits als auch im Ruhezustand verschlüsselt sein.

Drittanbieter-Daten im Transit:

• TLS 1.3 ist für alle OpenAI-API-Aufrufe erforderlich.

• Zertifikats-Pinning muss für OpenAI-Endpunkte durchgesetzt werden.

• Für hochsensible Deployments ist eine gegenseitige TLS-Authentifizierung erforderlich.

Zweck und Umfang: Das Dokument zielt darauf ab, einen Plan für das Management von Informationssicherheitsvorfällen und -ereignissen bereitzustellen, der alle derartigen Vorfälle innerhalb des Unternehmens abdeckt.

Definitionen: Es klärt den Unterschied zwischen einem Sicherheitsereignis (ein beobachtbares Ereignis, das für die Datensicherheit relevant ist) und einem Sicherheitsvorfall (einem Ereignis, das zu Verlust oder Schäden an der Datensicherheit führt).

Meldung und Dokumentation: Mitarbeiter werden angewiesen, alle vermuteten Vorfälle umgehend über bestimmte Kommunikationskanäle zu melden, und alle Vorfälle müssen dokumentiert werden.

Schweregrad: Vorfälle werden in Schweregrade S1 (Kritisch), S2 (Hoch) und S3/S4 (Mittel/Niedrig) kategorisiert, mit klaren Richtlinien für Eskalation und Reaktion.

Incident Response Team: Die Ingenieurmanager leiten die Incident Response-Maßnahmen, mit einem eigenen "War Room" für zentrale Einsatzmaßnahmen. Regelmäßige Sitzungen finden statt, um das Incident Ticket zu aktualisieren, Indikatoren einer Kompromittierung zu dokumentieren und weitere Reaktionsmaßnahmen durchzuführen.

Ursachenanalyse: Bei kritischen Vorfällen wird eine Ursachenanalyse vom Ingenieurdirektor durchgeführt, dokumentiert und überprüft, der über die Notwendigkeit eines Obduktionsbesprechungs entscheidet.

Reaktionsprozess: Der Reaktionsprozess umfasst Triage, Untersuchung, Eindämmung, Ausrottung, Wiederherstellung und Verhärtung, mit Schwerpunkt auf gewonnenen Erkenntnissen und langfristigen Verbesserungen.

Physische Sicherheit: Das Dokument behandelt die physische Sicherheit der betroffenen Systeme, einschließlich Isolations- und Backup-Verfahren.

Bestimmung und Meldung von Sicherheitsverletzungen: Nur der Product Owner kann feststellen, ob ein Vorfall eine Sicherheitsverletzung darstellt. Das Unternehmen soll alle relevanten Parteien umgehend gemäß Richtlinien und regulatorischen Anforderungen benachrichtigen.

Externe Kommunikation: Das Unternehmen arbeitet bei Bedarf mit Kunden, Datenverantwortlichen und Behörden zusammen, wobei das juristische und das Führungspersonal den Ansatz bestimmt.

Rollen und Verantwortlichkeiten: Das Dokument beschreibt die spezifischen Aufgaben von Incident Responder-Rollen.

Besondere Überlegungen: Dazu gehören interne Probleme, kompromittierte Kommunikation und Root-Account-Kompromittierungen.

Vorfallstatus und Zusammenfassung: Eine detaillierte Vorlage wird zur Dokumentation von Vorfalldetails bereitgestellt, einschließlich Datum, Uhrzeit, Ort, beteiligtes Personal, Art der beteiligten Informationen, Indikatoren für Kompromittierung, Ursache und ergriffenen Maßnahmen.

Versicherungsnehmer und Wirksamkeitsdatum: Der Product Owner ist der Versicherungsnehmer, und der Plan tritt am 1. März 2024 in Kraft.

KI-spezifische Vorfallkategorien:

S1 - Kritische KI-Vorfälle

• Systematische Verzerrung, die geschützte Gruppen betrifft.

• Erfolgreicher Jailbreak in der Produktion mit mehr als 100 Nutzern.

• PII wird durch KI-generierte Antworten offengelegt.

• Anhaltende Halluzinationsrate über 5 % für eine oder mehrere Stunden.

S2 – Hohe KI-Vorfälle

• Moderations-API Umgehung erkannt.

• Prompt-Injection-Angriff, der weniger als 100 Nutzer betrifft.

• Modelldrift führt zu einer Genauigkeitsverschlechterung von mehr als 10%.

• Zitationsfehlerquote übersteigt 15 %.

S3 – Mittelschwere KI-Vorfälle

• Eine einzelne Instanz einer unbelegten KI-Antwort.

• Ein DAN-ähnlicher Ausbruchsversuch, der erfolgreich blockiert wurde.

• Anomale Antwortlatenz übersteigt 10 Sekunden.

Ziel: Klares Rollen und Verantwortlichkeiten zum Schutz elektronischer Informationssysteme und zugehöriger Ausrüstung festzulegen.

Versicherungsnehmer und Wirksamkeitsdatum: Der CEO ist der Versicherungsnehmer, und der Plan tritt am 1. März 2024 in Kraft.

Anwendbarkeit

• Gilt für alle Document360-Infrastrukturen, Netzwerksegmente, Systeme, Mitarbeiter und Auftragnehmer, die an Sicherheits- und IT-Funktionen beteiligt sind.

Zielgruppe

• Alle Mitarbeiter und Auftragnehmer, die am Informationssicherheitsprogramm beteiligt sind.

• Umfasst Partner, Partner, Zeitarbeiter, Auszubildende, Gäste und Freiwillige.

Rollen und Verantwortlichkeiten

1. Exekutivführung:

• Genehmigt Investitionsausgaben für Sicherheitsprogramme.

• Überwacht die Umsetzung und Kommunikation von Informationssicherheit und Datenschutzrisikomanagement.

• Gewährleistet die Einhaltung von Gesetzen und Standards (z. B. GDPR, CCPA, SOC 2, ISO 27001).

• Prüft Serviceverträge der Anbieter und überwacht das Risikomanagement von Drittanbietern.

2. Ingenieurdirektor:

• Überwacht Informationssicherheit in der Softwareentwicklung.

• Implementiert und überwacht Sicherheitskontrollen für Entwicklungs- und IT-Prozesse.

• Führt IT-Risikoanalysen durch und kommuniziert Risiken an die Führung.

3. VP für Kundensupport:

• Verwaltet Informationssicherheitstools und -prozesse in Kundenumgebungen.

• Gewährleistet die Einhaltung von Richtlinien zur Aufbewahrung und Löschung von Daten.

4. Systembesitzer:

• Vertraulichkeit, Integrität und Verfügbarkeit von Informationssystemen aufrechterhalten.

• Zugriffs- und Änderungsanfragen für ihre Systeme genehmigen.

5. Arbeitnehmer, Auftragnehmer, Zeitarbeiter:

• Handeln Sie verantwortungsvoll, um Gesundheits-, Sicherheits- und Informationsressourcen zu schützen.

• Identifizieren Sie Bereiche für verbesserte Risikomanagementpraktiken.

• Melden Sie Vorfälle und halten Sie sich an Unternehmensrichtlinien.

6. Chief People Officer

• Stellt sicher, dass Mitarbeiter und Auftragnehmer qualifiziert und kompetent sind.

• Überwacht Hintergrundüberprüfungen, die Präsentation von Richtlinien und die Einhaltung des Verhaltenskodex.

• Bewertet die Leistung der Mitarbeiter und bietet Sicherheitsschulungen an.

Einhaltung von Richtlinien

• Compliance wird durch Berichte, Audits und Feedback gemessen.

• Ausnahmen müssen vom CEO vorab genehmigt werden.

• Nichteinhaltung kann zu disziplinarischen Maßnahmen führen, einschließlich einer Kündigung.

Dokumentenkontrolle

• Version: 1.0

• Datum: 3. Februar 2024

Versicherungsnehmer und Wirksamkeitsdatum: Der CEO ist der Versicherungsnehmer, und der Plan tritt am 1. März 2024 in Kraft.

Zweck: Sicherzustellen, dass Informationssicherheit im Entwicklungszyklus von Anwendungen und Informationssystemen entworfen und implementiert wird.

Umfang: Gilt für alle Document360-Anwendungen und Informationssysteme, die geschäftskritisch sind und/oder vertrauliche Daten verarbeiten, speichern oder übertragen.

Secure-by-Design-Prinzipien:

• Minimiere die Angriffsfläche.

• Stellen Sie sichere Standardeinstellungen her.

• Wenden Sie das Prinzip des geringsten Privilegs an.

• Setze Verteidigung in der Tiefe um.

• Scheitere sicher.

• Vermeiden Sie Sicherheit durch Unbekanntheit.

• Halten Sie die Sicherheit einfach.

Datenschutz-durch-Design-Prinzipien:

• Proaktiver, präventiver Ansatz.

• Privatsphäre ist die Standardeinstellung.

• Privatsphäre eingebettet im Design.

• Volle Funktionalität ohne Gefährdung der Privatsphäre.

• Rund-zu-Ende-Sicherheit.

• Vollständiger Lebenszyklusschutz.

Entwicklungsumgebung: Logische oder physische Trennung von Umgebungen: Produktion, Test/Staging, Entwicklung.

Systemakzeptanztest: Etablierung von Akzeptanztestprogrammen und Kriterien für neue Informationssysteme, Upgrades und neue Versionen. Füllen Sie eine Release-Checkliste aus, bevor Sie den Code ausrollen.

Schutz der Testdaten: Testdaten müssen sorgfältig ausgewählt, geschützt und kontrolliert werden. Vertrauliche Kundendaten müssen geschützt werden und dürfen nicht ohne ausdrückliche Erlaubnis für Tests verwendet werden.

Änderungskontrollverfahren: Stellen Sie sicher, dass die Entwicklung, das Testen und die Implementierung von Änderungen nicht von einer einzelnen Person ohne Zustimmung und Aufsicht durchgeführt werden.

Software-Versionskontrolle: Alle Software ist versionskontrolliert, wobei der Zugriff je nach Rolle eingeschränkt ist.

Einhaltung der Richtlinien: Gemessen durch Berichte, Audits und Feedback. Nichteinhaltung kann zu disziplinarischen Maßnahmen führen, bis hin zu einer Kündigung.

Versicherungsnehmer: Der CEO ist für die Police verantwortlich.

Wirksamkeitsdatum: Die Police tritt am 1. März 2024 in Kraft.

Zweck: Die Richtlinie zielt darauf ab, ein sicheres und inklusives Umfeld für alle Mitarbeitenden zu schaffen und aufrechtzuerhalten.

Anwendungsbereich: Diese Richtlinie gilt für alle Mitarbeitenden in allen beruflichen Bereichen der Organisation.

Kultur: Die durch diese Richtlinie geförderte Unternehmenskultur betont Respekt, Zusammenarbeit und Rücksichtnahme aller Mitarbeitenden.

Erwartetes Verhalten: Von Mitarbeitern wird erwartet, aktiv an der Schaffung eines respektvollen und kooperativen Arbeitsumfelds teilzunehmen.

Unzulässiges Verhalten: Jede Form von Belästigung, Gewalt, Diskriminierung oder unangemessenem Verhalten ist strengstens verboten.

Waffenrichtlinie: Die Richtlinie verbietet den Besitz von Waffen auf Firmengeländen mit strengen Konsequenzen bei Verstößen.

Konsequenzen: Die Nichteinhaltung dieser Richtlinie führt zu sofortigen Korrekturmaßnahmen, einschließlich disziplinarischer Maßnahmen und der Verpflichtung, Verstöße zu melden.

Verantwortung: Der CEO trägt die Verantwortung dafür, dass alle Mitarbeitenden die in dieser Richtlinie festgelegten Grundsätze einhalten und einhalten.

Versicherungsnehmer: Der CEO ist für die Police verantwortlich.

Wirksamkeitsdatum: Die Police tritt am 1. März 2024 in Kraft.

Zweck: Zweck dieser Richtlinie ist es, den Zugang zu Informationen und Systemen gemäß den Geschäftszielen auf autorisierte Personen zu beschränken.

Umfang: Diese Richtlinie gilt für alle von Document360 betriebenen Systeme, die vertrauliche Daten für Mitarbeiter und externe Parteien mit Netzwerkzugang verarbeiten.

Zusammenfassung von Zugriffskontrolle und Benutzerverwaltung:

Identifizierung von Nutzern: Zugriffsrechte werden basierend auf spezifischen Aufgaben und Kompetenzen vergeben, die für die Ausführung von Aufgaben erforderlich sind.

Aufrechterhaltung der Autorisierung: Alle Zuteilungen privilegierten Zugangs werden dokumentiert und gepflegt, um Rechenschaftspflicht zu gewährleisten.

Durchsetzung von Sicherheitsmaßnahmen: Mehrfaktor-Authentifizierung (MFA) ist für privilegierten Zugang verpflichtend, um die Sicherheit zu erhöhen. Generische Verwaltungs-IDs sind verboten, um unbefugte Nutzung zu verhindern.

Einführung von Protokollen: Zeitgebundene Zugriffsberechtigungen werden erteilt, um die Exposition zu begrenzen und Sicherheitsrisiken zu verringern.

Logging und Auditing: Alle privilegierten Logins und Aktivitäten werden protokolliert und geprüft, um unbefugten Zugriff oder Missbrauch zu überwachen.

Nutzerzugangsbewertungen: Regelmäßige Überprüfungen stellen sicher, dass für Personen mit privilegiertem Zugang eindeutige und angemessene Identitäten erhalten bleiben.

Zugangskontrollrichtlinie: Der Zugang ist nur auf autorisierte Parteien beschränkt, sodass die Informationen geschützt bleiben.

Passwortverwaltung: Sichere Anmeldeverfahren und Passwortrichtlinien werden implementiert, um unbefugten Zugriff zu verhindern.

Benutzerzugriffsbereitstellung: Zugriffsberechtigungen werden auf Grundlage dokumentierter geschäftlicher Anforderungen und validierter Bedürfnisse erteilt.

Verstöße & Durchsetzung: Verstöße gegen diese Richtlinie werden gemeldet und unterliegen Durchsetzungsmaßnahmen zur Aufrechterhaltung von Einhaltung und Sicherheit.

Versicherungsnehmer: Der CEO ist für die Police verantwortlich.

Wirksamkeitsdatum: Die Police tritt am 1. März 2024 in Kraft.

Zweck: Um sicherzustellen, dass Informationen klassifiziert, geschützt, aufbewahrt und entsprechend ihrer Bedeutung für die Organisation sicher entsorgt werden.

Umfang: Gilt für alle Daten, Informationen und Informationssysteme von Document360.

Datenklassifikation: Vertraulich: Hochsensible Daten, die die höchsten Schutzstufen benötigen. Beispiele hierfür sind Kundendaten, personenbezogene Daten, Unternehmensfinanzen, strategische Pläne und technische Berichte.

Eingeschränkt: Proprietäre Informationen, die umfassenden Schutz erfordern. Standardklassifizierung für alle Unternehmensinformationen, sofern nicht anders angegeben. Beispiele hierfür sind interne Richtlinien, rechtliche Dokumente, Verträge und E-Mails.

Öffentlich: Informationen, die für den öffentlichen Konsum bestimmt sind und frei verteilt werden können. Beispiele hierfür sind Marketingmaterialien und Produktbeschreibungen.

Datenverarbeitung:

Vertrauliche Daten:

• Eingeschränkter Zugang zu bestimmten Mitarbeitern oder Abteilungen.

• Muss im Ruhezustand und während des Transports verschlüsselt sein.

• Es sollte nicht auf persönlichen Geräten oder herausnehmbaren Medien gespeichert werden.

• Erfordert sichere Lagerung und Entsorgung.

Eingeschränkte Daten:

• Der Zugriff ist auf Nutzer beschränkt, die auf eine Need-to-know-Basis beschränkt sind.

• Benötigt die Zustimmung des Managements für einen externen Transfer.

• Sichere Lagerung und Entsorgung sind verpflichtend.

Öffentliche Daten: Es sind keine besonderen Schutz- oder Handhabungskontrollen erforderlich.

Datenspeicherung und -entsorgung:

• Daten werden so lange aufbewahrt, wie sie für geschäftliche, regulatorische oder vertragliche Anforderungen benötigt werden.

• Vertrauliche und eingeschränkte Daten werden sicher gelöscht, wenn sie nicht mehr benötigt werden.

• PII werden gelöscht oder deidentifiziert, wenn sie für geschäftliche Zwecke nicht mehr benötigt werden.

Jährliche Datenüberprüfung: Das Management überprüft jährlich die Anforderungen an die Datenaufbewahrung, um die Einhaltung der Richtlinien sicherzustellen.

Rechtliche Anforderungen: Daten, die mit rechtlichen Sicherungen oder Klagen verbunden sind, sind von den Standardrichtlinien ausgenommen und werden gemäß den Bestimmungen des Rechtsberaters aufbewahrt.

Einhaltung der Richtlinien: Compliance wird durch Berichte und Audits von Geschäftstools gemessen.

Ausnahmen: Alle Ausnahmen von der Richtlinie erfordern die Zustimmung des CEO.

Verstöße & Durchsetzung: Bekannte Verstöße gegen Richtlinien sollten dem CEO gemeldet werden und können zu disziplinarischen Maßnahmen führen, einschließlich der Kündigung des Arbeitsverhältnisses.

Versicherungsnehmer: Der CEO ist für die Police verantwortlich.

Wirksamkeitsdatum: Die Police tritt am 1. März 2024 in Kraft.

Zweck und Umfang:

• Sicherstellung des sicheren Betriebs von Informationsverarbeitungssystemen und -einrichtungen.

• Gilt für alle kritischen Document360-Informationssysteme und Drittanbieter mit Netzwerkzugang.

Dokumentierte Betriebsanweisungen:

Technische und administrative Verfahren müssen dokumentiert und für relevante Nutzer zugänglich sein.

Change Management:

• Wesentliche Änderungen müssen vor der Einführung dokumentiert, getestet, überprüft und genehmigt werden.

• Notfalländerungen erfordern eine rückwirkende Überprüfung und Genehmigung.

Kapazitätsmanagement:

• Überwachen und passen Sie Verarbeitungsressourcen sowie Systemspeicher an, um Leistungsanforderungen zu erfüllen.

• Beziehen Sie die Personalkapazität in die Planung und jährliche Risikobewertungen ein.

Verhinderung von Datenlecks:

• Identifizieren und klassifizieren Sie Informationen gemäß der Datenmanagementrichtlinie.

• Schulen Sie die Nutzer im ordnungsgemäßen Umgang mit sensiblen Informationen.

• Verwenden Sie Data Loss Prevention (DLP)-Tools basierend auf Risikobewertung.

Webfilterung:

• Implementiere DNS- und IP-Blockierung, um den Zugriff auf riskante Webseiten zu beschränken.

• Blockieren Sie Websites mit bösartigen Inhalten oder Command-and-Control-Server, sofern dies nicht für Geschäfte notwendig ist.

Trennung der Umgebungen:

• Trennen Sie Entwicklungs-, Staging- und Produktionsumgebungen strikt.

• Verwenden Sie keine vertraulichen Produktionskundendaten in Entwicklungs- oder Testumgebungen ohne Genehmigung.

Systeme und Netzwerkkonfiguration:

• Befolgen Sie Konfigurations- und Härtungsstandards, um die System- und Netzwerksicherheit aufrechtzuerhalten.

• Überprüfen Sie jährlich die Konfigurationsregeln für den Produktionsnetzwerkzugriff.

Schutz vor Malware:

• Implementieren Sie Erkennungs-, Präventions- und Wiederherstellungskontrollen für Malware.

• Nutzen Sie Anti-Malware- und Bedrohungserkennungssoftware auf allen Unternehmensendpunkten und in E-Mails.

Informationssicherung: Entwerfen und implementieren Sie Backup-Prozesse für Systeme und Daten, um die Kundendatenwiederherstellung gemäß SLAs sicherzustellen.

Erfassung und Überwachung: Implementieren Sie Logging und Überwachung, um Sicherheitsvorfälle zu erkennen und darauf zu reagieren.

Steuerung der Betriebssoftware: Verwaltung der Installation und Nutzung von Betriebssoftware gemäß festgelegten Regeln.

Bedrohungsintelligenz: Sammeln und analysieren Sie Informationssicherheitsbedrohungen, um umsetzbare Informationen zu liefern.

Technisches Schwachstellenmanagement: Identifizieren, bewerten und beheben Sie technische Schwachstellen zeitnah.

Einschränkungen bei der Softwareinstallation: Regeln für die Softwareinstallation festlegen, um Sicherheit und Compliance zu gewährleisten.

Überlegungen zur Informationssystem-Audit: Planen und vereinbaren Sie Audit-Anforderungen, um Störungen in Geschäftsprozessen zu minimieren.

Systemsicherheitsbewertung und Anforderungen: Beziehen Sie Sicherheitsanforderungen in die Akquisition oder bedeutende Systemänderungen ein.

Datenmaskierung: Implementierung von Datenmaskierungstechniken zum Schutz personenbezogener Daten und sensibler Daten basierend auf Risikobewertung.

Policeninhaber: Der CEO ist für die Datenaufbewahrungsrichtlinie verantwortlich.

Wirksamkeitsdatum: Die Police tritt am 1. März 2024 in Kraft.

Zweck: Diese Richtlinie legt fest, wie Daten innerhalb von Document360 gespeichert, analysiert und gelöscht werden, um Transparenz und Benutzerkontrolle über gespeicherte Informationen zu gewährleisten.

Anwendungsbereich: Diese Richtlinie gilt für alle Kunden, die Document360 nutzen, einschließlich öffentlicher und privater Wissensdatenbankprojekte.

Datenerhebung:

• Für öffentliche Seiten: Es werden keine Benutzerdaten erhoben.

• Für private Projekte: Wir sammeln Benutzerdaten, einschließlich der Identität des Nutzers, der einen Prompt einreicht, Zeitstempel und weitere in Document360 verfügbare Benutzerinformationen.

Datennutzung: Document360 speichert alle im Eddy AI Chatbot eingegebenen Prompts/Fragen, um folgende Analysen durchzuführen:

• Topische Analyse: Clustering von Fragen/Prompts unter Verwendung von internen Algorithmen und OpenAI-APIs.

• Zitationsanalyse: Identifizierung der meistzitierten Artikel.

• Kennzahlen: Darstellung von Tiefenkennzahlen und Nachverfolgung beantworteter vs. unbeantworteter Fragen.

Anpassung: Diese Richtlinie ist nicht vom Kunden anpassbar, aber Kunden haben das Recht, jederzeit während des Vertragszeitraums die Löschung ihrer Daten zu beantragen.

Datenspeicherung und -löschung:

• Alle gesammelten Daten werden in Ihrem Document360-Projekt gespeichert.

• Daten werden dauerhaft gelöscht, wenn das Knowledge Base-Projekt gelöscht wird.

• Sie können die Löschung dieser Daten jederzeit während Ihres Vertrags mit Document360 beantragen.

Verantwortung: Der CEO ist verantwortlich für die Umsetzung und Einhaltung dieser Richtlinie in allen Kundenkonten und Projekten.

Versicherungsnehmer: Senior Director – Data Science.

Wirksamkeitsdatum: Die Police tritt am 1. Januar 2025 in Kraft.

Zweck: Einen systematischen Ansatz zur Identifizierung, Bewertung, Priorisierung und Verwaltung von Risiken im Zusammenhang mit Eddy-KI über den gesamten Lebenszyklus hinweg zu etablieren.

Wichtige Komponenten:

• Erste KI-Auswirkungsbewertung: Vor jeder Entwicklungsaktivität muss eine Vorentwicklungsbewertung durchgeführt werden, die beabsichtigte Anwendungsfälle, potenzielle Schäden, Risikowahrscheinlichkeit und Auswirkungen, Stakeholder-Identifikation und Minderungsstrategien abdeckt.

• Laufende Risikoüberwachung: Risiken werden vierteljährlich überprüft, wobei jährlich umfassende Bewertungen durchgeführt werden.

• Risikotoleranzgrenzen: Risiken werden in vier Kategorien eingeteilt: inakzeptable Risiken (Einsatz verboten), hohe Risiken (erweiterte Kontrollen erforderlich), mittlere Risiken (angewandte Standardmaßnahmen) und geringe Risiken (nur Überwachung).

• Risiko-Register: Eine zentralisierte Dokumentation aller identifizierten Risiken, Minderungsmaßnahmen, Restrisiken und benannter Eigentumsverhältnisse.

Versicherungsnehmer: Senior Director – Data Science

Wirksamkeitsdatum: Die Police tritt am 1. Januar 2025 in Kraft.

Zweck: Verurteilungen innerhalb von Eddy-KI-Systemen zu identifizieren, zu messen, zu mindern und kontinuierlich zu überwachen, um eine faire und gerechte Behandlung aller Nutzergruppen und Inhaltstypen sicherzustellen.

Verzerrungskategorien:

• Systemische Verzerrung: Die Verzerrung stammt von Großsprachmodellen (LLMs) von Drittanbietern.

• Rechengestützte/statistische Verzerrung: Eine Verzerrung, die sich aus algorithmischen Designentscheidungen, Datenstichprobenmethoden oder den mathematischen Eigenschaften der zugrunde liegenden Modelle ergibt.

• Menschlich-kognitive Verzerrung: Voreingenommenheit, die durch menschliche Annahmen, Wahrnehmungen und Entscheidungsprozesse eingeführt wird.

Anforderungen an das Bias-Testing:

Vor dem Einsatz

• Analyse der Inhaltsrepräsentativität: Analysieren Sie die Wissensdatenbank, um das Themengleichgewicht, die Tiefe und die Vielfalt der Perspektiven zu bewerten.

• Stereotyptest: Testen Sie das System anhand von Abfragen zu geschützten Eigenschaften und überprüfen Sie, ob die KI konsequent weigert, Stereotype zu verstärken.

• Sprachgerechtigkeit: Für mehrsprachige Wissensbasen messen und vergleichen Sie die Antwortqualität aller unterstützten Sprachen.

Überwachung nach dem Einsatz

• Monatlich: Führen Sie eine Analyse unbeantworteter Fragen durch, die nach Themen oder Nutzergruppen segmentiert sind.

• Vierteljährlich: Führen Sie ein vollständiges Bias-Audit mit einem aktualisierten Testkorpus zur Bewertung durch.

• Jährlich: Beauftragen Sie einen externen Prüfer, um eine unabhängige Voreingenommenheitsprüfung durchzuführen und einen Transparenzbericht zu veröffentlichen.