KI-Transparenzhinweis
Zuletzt aktualisiert: Juni 2026. Dieser Hinweis wird gemäß Artikel 50 des EU AI Act (Verordnung (EU) 2024/1689) veröffentlicht und beschreibt, wie Kodex-Compliance künstliche Intelligenz im Kodex Compliance Scanner einsetzt.
1. Überblick über das KI-System
| Systemname | Kodex Compliance Scanner |
| Zweck | Automatisierte Analyse organisatorischer Nachweise anhand von EU-Regulierungsrahmen (DSGVO, EU AI Act, ISO 27001, SOC 2, NIS2, DORA, CRA) |
| Anbieter | Kodex-Compliance |
| Version / Ausgabe | 2026 |
| Vorgesehene Nutzer | Compliance-Verantwortliche, Rechtsabteilungen, Engineering-Leads und Datenschutzbeauftragte in Organisationen, die der EU-Regulierung unterliegen |
Der Kodex Compliance Scanner unterstützt Organisationen dabei, ihre Compliance-Position anhand der anwendbaren EU-Regulierungsrahmen zu bewerten. Er sammelt und analysiert Nachweise, etwa Richtliniendokumente, Prüfprotokolle und Integrationssignale, und erstellt daraus strukturierte Compliance-Berichte mit konfidenzbewerteten Kontrollprüfungen und Hinweisen zur Behebung.
Dieses System ist ein Hilfsmittel für die Compliance-Arbeit und unterstützt menschliche Entscheidungen. Es ersetzt nicht das Urteil qualifizierter Fachleute aus den Bereichen Recht, Compliance oder Technik und trifft keine verbindlichen rechtlichen Feststellungen.
2. Risikoeinstufung
Selbsteinschätzung: Begrenztes Risiko (es gelten die Transparenzpflichten nach Art. 50)
Der Kodex Compliance Scanner wird nicht als Hochrisiko-KI-System nach Anhang III des EU AI Act eingestuft.
Das System fällt unter keine der in Anhang III des EU AI Act aufgeführten Hochrisiko-Kategorien. Im Einzelnen:
- Es wird nicht im Betrieb kritischer Infrastruktur oder in deren Sicherheitsbauteilen eingesetzt
- Es wird nicht für Entscheidungen über Zulassung oder Bewertung in der allgemeinen oder beruflichen Bildung eingesetzt
- Es wird nicht für Entscheidungen über Beschäftigung, Personalmanagement oder den Zugang zur Selbstständigkeit eingesetzt
- Es wird nicht bei wesentlichen privaten oder öffentlichen Diensten eingesetzt (z. B. Kreditwürdigkeitsprüfung, Leistungsbewilligung)
- Es wird nicht in der Strafverfolgung, im Migrations- und Asylwesen oder in der Rechtspflege eingesetzt
Das System liefert beratende Compliance-Bewertungen, trifft keine verbindlichen rechtlichen Entscheidungen, wirkt sich nicht unmittelbar auf Grundrechte aus und erfordert für alle Compliance-Feststellungen menschliche Aufsicht und eine unabhängige Überprüfung. Es wird daher als KI-System mit begrenztem Risiko eingestuft, das den Transparenzpflichten nach Artikel 50 des EU AI Act unterliegt.
Diese Einstufung ist eine Selbsteinschätzung von Kodex-Compliance und wurde nicht unabhängig durch eine benannte Stelle überprüft. Wir überprüfen diese Einstufung regelmäßig und aktualisieren sie, wenn sich die Fähigkeiten des Systems oder der Einsatzkontext wesentlich ändern.
3. Eingesetzte KI-Modelle
Eingesetzte Basismodelle:
- Scannen und Analyse: Anthropic Claude (claude-sonnet-4-20250514)
- Compliance-Chat-Assistent: Anthropic Claude (claude-haiku-4-5-20251001)
Dabei handelt es sich um große Sprachmodelle (LLMs) mit allgemeinem Verwendungszweck, die von Anthropic PBC entwickelt und über eine API angesprochen werden. Kodex-Compliance führt kein eigenes Modelltraining, kein Fine-Tuning und kein bestärkendes Lernen mit Nutzerdaten durch.
Die KI-Modelle werden für die folgenden Aufgaben eingesetzt:
- Nachweisanalyse: Auslegung hochgeladener Dokumente, Richtlinienauszüge und Integrationssignale im Hinblick auf regulatorische Kontrollanforderungen
- Kontrollbewertung: Beurteilung, ob eine regulatorische Kontrolle auf Grundlage der verfügbaren Nachweise erfüllt, teilweise erfüllt oder nicht erfüllt ist, samt Vergabe von Konfidenzwerten
- Berichterstellung: Erzeugung strukturierter Compliance-Berichte, Lückenanalysen und Behebungspläne
- Compliance-Chat: Beantwortung von Nutzerfragen zu regulatorischen Anforderungen, Scan-Ergebnissen und Behebungsschritten
- Der Cross-Framework-Shadow-Pass prüft mögliche Nachweisüberschneidungen zwischen Frameworks
4. Wie KI in Scans eingesetzt wird
Die Scan-Pipeline läuft wie folgt ab:
Dokumente, Codesignale und Daten aus Drittanbieter-Integrationen werden gesammelt. Für jede regulatorische Kontrolle relevante Auszüge werden extrahiert und zu einem strukturierten Nachweispaket zusammengeführt.
Für jede regulatorische Kontrolle bewertet das KI-Modell die zusammengestellten Nachweise und trifft eine Feststellung „bestanden“, „teilweise erfüllt“ oder „nicht bestanden“, zusammen mit einem Konfidenzwert zwischen 0 und 1.
Liegt der Konfidenzwert für eine Kontrolle unter 0,35, erzeugt das System automatisch eine Rückfrage und bittet die Nutzerin oder den Nutzer um zusätzlichen Kontext oder weitere Nachweise.
Aus den Kontrollergebnissen werden Compliance-Werte berechnet. Es wird ein Abschlussbericht erstellt, der den Gesamtwert, Details je Kontrolle, Konfidenzniveaus, festgestellte Lücken und einen priorisierten Behebungsplan enthält.
Menschliche Beteiligung (Human-in-the-Loop)
Nutzerinnen und Nutzer können jederzeit Klarstellungen beisteuern, einzelne Kontrollbewertungen überschreiben und müssen alle Ergebnisse unabhängig überprüfen, bevor sie darauf reagieren. Keine Compliance-Feststellung ist ohne menschliche Prüfung endgültig.
5. Grenzen und bekannte Risiken
Vor dem Vertrauen auf KI-generierte Bewertungen sollten Nutzerinnen und Nutzer die folgenden Grenzen kennen:
- KI-Bewertungen sind probabilistisch, nicht deterministisch: dieselben Nachweise können über mehrere Durchläufe hinweg leicht abweichende Ergebnisse liefern
- Konfidenzwerte geben die vom Modell geschätzte Sicherheit wieder, sie sind keine Garantie für Richtigkeit
- Das System kann falsch positive Ergebnisse liefern (konforme Punkte werden als nicht konform markiert) oder falsch negative (tatsächliche Lücken werden nicht erkannt)
- Die Nachweisqualität wirkt sich unmittelbar auf die Bewertungsqualität aus: unvollständige, veraltete oder irreführende Nachweise führen zu unzuverlässigen Bewertungen
- Die KI kann Echtheit, Vollständigkeit und Herkunft hochgeladener Dokumente nicht eigenständig überprüfen
- Sich schnell entwickelnde regulatorische Vorgaben (z. B. Stellungnahmen des Europäischen Datenschutzausschusses, ENISA-Leitlinien) spiegeln sich möglicherweise nicht unmittelbar in den Ausgaben des Modells wider
- Das System ersetzt keine qualifizierte rechtliche, Compliance-bezogene oder technische Fachberatung
6. Maßnahmen zur menschlichen Aufsicht
Kodex-Compliance hat die folgenden Maßnahmen umgesetzt, um eine wirksame menschliche Aufsicht über KI-generierte Ausgaben sicherzustellen:
- Alle Scan-Ergebnisse enthalten Konfidenzwerte je Kontrolle, damit Feststellungen mit niedriger Konfidenz erkannt und genauer geprüft werden können
- Ein Rückfragemechanismus erlaubt es, zusätzlichen Kontext beizusteuern, bevor Ergebnisse abgeschlossen werden
- Alle Ergebnisse sind beratend: das System ergreift keine automatisierten Durchsetzungsmaßnahmen
- Über unseren Supportkanal kann für jede KI-generierte Feststellung eine vollständige menschliche Überprüfung angefordert werden
- Der Cross-Framework-Shadow-Pass liefert einen heuristischen Vergleichspunkt für Bewertungen über mehrere Frameworks hinweg
- Scan-Berichte enthalten ausdrückliche Hinweise darauf, dass die Ergebnisse einer unabhängigen Überprüfung bedürfen
7. Architektur der Datenisolierung
Die KI greift niemals direkt auf Ihre Systeme zu.
Die Server von Kodex rufen Daten aus Ihren verbundenen Integrationen (GitHub, Google Workspace, Slack, Notion) mit den von Ihnen freigegebenen OAuth-Token ab. Das KI-Modell hat keinen Zugriff auf Ihre Repositories, Konten oder Ihre Infrastruktur. Es erhält von Kodex ausschließlich eine vorverarbeitete, anonymisierte Zusammenfassung von Compliance-Signalen.
Wenn Sie einen Scan starten und ein Repository auswählen, verbindet sich der Server von Kodex mit Ihrem OAuth-Token mit der GitHub-API. Er liest Dateinamen, Konfigurationsmetadaten und den Inhalt der in Ihrem Repository erkannten compliance-relevanten Dokumente (Richtlinien, Verfahren, Sicherheitsdokumentation). Ihr Quellcode wird nur gelesen, wenn Sie Deep Code Scanning aktivieren. Ergebnis ist eine Menge boolescher Signale (z. B. „Authentifizierungs-Middleware vorhanden: ja/nein“) sowie um personenbezogene Daten bereinigte Auszüge aus den erkannten Compliance-Dokumenten. Für Google Workspace, Slack und Notion gilt dasselbe Muster: die Daten ruft der Server von Kodex ab, nicht die KI.
Bevor Daten das KI-Modell erreichen, führt Kodex eine Anonymisierung personenbezogener Daten durch: E-Mail-Adressen werden durch [EMAIL] ersetzt, Telefonnummern durch [PHONE], Personennamen durch [PERSON], nationale Ausweisnummern (Deutschland, Frankreich, Spanien, Italien, Vereinigtes Königreich) durch [ID], IBANs durch [IBAN], Ihr Unternehmensname durch [COMPANY] und URLs durch [URL]. Die KI muss lediglich Aufbau und Sprache von Richtlinien und Kontrollen verstehen, nicht, wer sie verfasst hat oder wen sie betreffen.
Das KI-Modell erhält ein bereinigtes Dossier mit booleschen Compliance-Signalen (z. B. „hasAuth: true“), anonymisierten Dokumentauszügen ohne personenbezogene Daten, Beschreibungen regulatorischer Kontrollen und Framework-Metadaten. Es agiert als Prüfinstanz für zuvor gesammelte Nachweise: es sucht nicht, ruft nichts ab und verbindet sich mit keinem externen System.
Welche Daten an das KI-Modell gesendet werden:
- Anonymisierte boolesche Signale (z. B. „hasAuth: true“, „hasBranchProtection: true“)
- Anonymisierte Dokumentauszüge, in denen alle personenbezogenen Daten durch Platzhalter ersetzt sind
- Beschreibungen regulatorischer Kontrollen
- Von Nutzenden bereitgestellte Antworten auf Rückfragen
- Framework- und Unternehmensmetadaten (Branche, Land, Größe, keine Namen oder Kennungen)
Welche Daten NICHT an das KI-Modell gesendet werden:
- OAuth-Token, API-Schlüssel oder Authentifizierungsgeheimnisse (vor der Verarbeitung extrahiert und isoliert)
- Anwendungsquellcode oder Dateien mit Geschäftslogik (Compliance-Dokumente wie Datenschutzerklärungen und Sicherheitsverfahren werden gelesen und als um personenbezogene Daten bereinigte Auszüge gesendet)
- Personennamen, E-Mail-Adressen, Telefonnummern oder nationale Ausweisnummern
- Zahlungs- oder Abrechnungsdaten
- Direkter Zugriff auf GitHub, Google Workspace, Slack, Notion oder eine andere Integration
Für Daten, die an die API von Anthropic übermittelt werden, gelten die Datenschutzerklärung von Anthropic und der zugehörige Auftragsverarbeitungsvertrag. Anthropic verwendet API-Eingaben nicht zum Training seiner Modelle. Alle Daten werden über TLS-verschlüsselte Kanäle übertragen. Einzelheiten dazu, wie Kodex-Compliance Ihre Daten verarbeitet, finden Sie in unserer Datenschutzerklärung.
8. Ihre Rechte nach dem EU AI Act
Als Nutzerin oder Nutzer eines KI-Systems, das dem EU AI Act unterliegt, haben Sie die folgenden Rechte:
Recht auf Information (Art. 50)
Sie haben das Recht zu erfahren, dass Sie mit einem KI-System interagieren. Dieser Hinweis sowie die Angaben im Produkt zu den Scan-Ergebnissen erfüllen diese Pflicht.
Recht auf eine aussagekräftige Erläuterung
Sie haben das Recht auf eine verständliche Erläuterung jeder KI-generierten Compliance-Bewertung, einschließlich der berücksichtigten Nachweise und des vergebenen Konfidenzwerts.
Recht auf menschliche Überprüfung
Sie haben das Recht zu verlangen, dass jede KI-generierte Feststellung von einer qualifizierten Person überprüft wird. Wenden Sie sich zur Ausübung dieses Rechts an contact@kodex-compliance.eu.
Recht auf Anfechtung
Sie haben das Recht, jeden KI-generierten Compliance-Wert und jede Kontrollfeststellung anzufechten, die Sie für unzutreffend oder für auf unvollständigen Nachweisen beruhend halten.
Recht auf Abwahl der KI-Unterstützung
Sie haben das Recht, die KI-gestützte Verarbeitung abzuwählen. Manuelle Bewertungsabläufe sind auf Anfrage verfügbar, bitte kontaktieren Sie uns zur Abstimmung.
9. Meldung von Vorfällen
Wenn Sie der Ansicht sind, dass das KI-System eine schädliche, unzutreffende oder diskriminierende Ausgabe erzeugt hat, oder wenn Sie Bedenken zu seinem Betrieb haben, wenden Sie sich bitte an uns:
Bedenken und Fehler zur KI: contact@kodex-compliance.eu
Geben Sie bei der Meldung eines Vorfalls bitte an: eine Beschreibung der KI-generierten Ausgabe, die Sie für fehlerhaft oder schädlich halten, das betroffene Regulierungsrahmenwerk und die betroffenen Kontrollen, die von Ihnen bereitgestellten Nachweise sowie das erwartete im Vergleich zum tatsächlichen Bewertungsergebnis. Wir bestätigen alle Meldungen möglichst innerhalb von 2 Werktagen und untersuchen sie innerhalb von 10 Werktagen.
10. Haftungsausschluss
Wichtiger Hinweis
- Dieser Transparenzhinweis wird nach bestem Wissen bereitgestellt, um die Einhaltung des EU AI Act (Verordnung (EU) 2024/1689) zu unterstützen, und stellt keine Rechtsberatung dar.
- Kodex-Compliance ist keine Rechtsanwaltskanzlei. Weder dieser Hinweis noch der Kodex Compliance Scanner stellen eine Rechtsberatung dar; für Compliance-Feststellungen sollten qualifizierte Rechtsfachleute hinzugezogen werden.
- Die in Abschnitt 2 dargelegte Risikoeinstufung ist eine Selbsteinschätzung von Kodex-Compliance. Sie wurde nicht unabhängig durch eine benannte Stelle oder eine zuständige Behörde nach dem EU AI Act überprüft.
- KI-generierte Compliance-Werte und Bewertungen sind lediglich Anhaltspunkte. Sie sind keine Prüfzertifikate und sollten Aufsichtsbehörden nicht als unabhängiger Nachweis der Einhaltung vorgelegt werden.