Leistungsbeschreibung Modul LB 5: AI-Audit & Compliance (WORM-Logging)

§ 1 Leistungsgegenstand und regulatorische Zielsetzung

(1) Das Modul LB 5 (AI-Audit & Compliance) erweitert die Basis-Infrastruktur (LB 0a/0b) um eine manipulationssichere, kryptografisch verkettete Protokollierungs- und Beweissicherungs-Engine nach dem WORM-Prinzip (Write Once, Read Many).

(2) Ziel des Moduls ist es, den Auftraggeber bei der Erfüllung gesetzlicher Aufzeichnungs-, Transparenz- und Nachweispflichten beim Einsatz künstlicher Intelligenz sowie automatisierter Entscheidungsprozesse zu unterstützen. Dies umfasst insbesondere:

• Art. 12 & Art. 19 Verordnung (EU) 2024/1689 (EU AI Act): Automatische Aufzeichnung von Ereignissen (Logging) über den gesamten Lebenszyklus von Hochrisiko-KI-Systemen und geschäftskritischen KI-Agenten.
• Art. 14 EU AI Act (Menschliche Aufsicht / Human-in-the-Loop): Lückenlose Dokumentation, welcher berechtigte Bearbeiter wann eine KI-Empfehlung geprüft, bestätigt, abgeändert oder verworfen hat.
• GoBD & Branchenregulierung (DORA, BAIT, VAIT, MaRisk): Unveränderbare Nachvollziehbarkeit automatisierter Regel- und Workflow-Ausführungen für interne Revisionen, Wirtschaftsprüfer und Aufsichtsbehörden.

§ 2 Technische Funktionsweise der WORM-Audit-Chain

(1) Kryptografische Hash-Verkettung (Ledger-Architektur): Jeder erzeugte Audit-Datensatz wird unmittelbar bei seiner Entstehung mit einem kryptografischen Prüfhash (SHA-256) versehen, der den vollständigen Payload des aktuellen Ereignisses sowie den Hash-Wert des unmittelbar vorangegangenen Audit-Eintrags desselben Mandanten einschließt (Merkle-Chain-Prinzip).

(2) Physische und logische Unveränderbarkeit (Immutability): Einmal geschriebene Audit-Einträge können weder durch Nutzer des Auftraggebers noch durch Mandanten-Administratoren oder System-Architekten (LB 4) nachträglich überschrieben, editiert oder gelöscht werden. Beim Einsatz in der Managed Cloud (LB 0a) erfolgt die Speicherung auf S3-kompatiblem Object-Storage mit aktiviertem Object Lock im Compliance-Modus.

(3) Vertrauenswürdige Zeitstempelung: Sämtliche Ereignisse werden mit einer synchronisierten, hochpräzisen UTC-Systemzeit (ISO-8601-Format inkl. Millisekunden-Auflösung) sowie einer streng monoton steigenden Sequenznummer versehen.

(4) Automatische Integritätsprüfung: Das System stellt einen integrierten Verifikations-Dienst bereit, mit dem zu jedem beliebigen Zeitpunkt mathematisch überprüft werden kann, dass seit Beginn der Aufzeichnung kein einziger Datensatz verändert oder aus der Kette entfernt wurde.

§ 3 Umfang der protokollierten Telemetrie- und Entscheidungsdaten

Sofern LB 5 für einen Mandanten aktiviert ist, erfasst die Audit-Pipeline automatisch sämtliche relevanten System- und KI-Interaktionen der Module LB 1 bis LB 6:

§ 4 Aufbewahrungsfristen (Retention), Export und Prüfer-Zugang

(1) Konfigurierbare Retention-Policies: Der Auftraggeber kann die gesetzliche Mindestaufbewahrungsfrist mandantenweit oder pro Prozessklasse festlegen (Standardeinstellung: 10 Jahre gemäß § 147 AO / GoBD bzw. den Vorgaben des EU AI Act). Vor Ablauf der festgelegten Retention-Periode ist eine Löschung technisch ausgeschlossen.

(2) DSGVO-Konformität durch Crypto-Shredding / Pseudonymisierung: Um das Spannungsverhältnis zwischen gesetzlicher Unveränderbarkeit (WORM) und datenschutzrechtlichen Löschansprüchen (Art. 17 DSGVO) aufzulösen, unterstützt LB 5 die getrennte Verschlüsselung personenbezogener Klartext-Felder (PII-Vault). Bei berechtigtem Löschverlangen kann der personenbezogene Zuordnungsschlüssel vernichtet werden, ohne die kryptografische Integrität der Hash-Kette des Gesamtprozesses zu brechen.

(3) Dedizierter Read-Only-Auditor-Zugang: Im Rahmen der Mandanten-Flatrate können beliebig viele kostenfreie Lese-Zugänge mit der Rolle External Auditor für Wirtschaftsprüfer, Datenschutzbeauftragte oder Aufsichtsbehörden eingerichtet werden.

(4) Standardisierte Prüf-Exporte: Sämtliche Audit-Trails lassen sich jederzeit über die Weboberfläche oder die REST-API im Format JSON Lines (.jsonl), CSV sowie als kryptografisch signierter PDF/A-Prüfbericht inklusive unabhängigem Verifikations-Skript exportieren (vgl. auch Regelungen zur Datenherausgabe im Exit-Management).

§ 5 Abgrenzung der Verantwortlichkeiten (Shared Responsibility)

(1) Der Anbieter schuldet die technische Bereitstellung, Verfügbarkeit und mathematische Manipulationssicherheit der WORM-Protokollierungsinfrastruktur gemäß dieser Leistungsbeschreibung.

(2) Das Modul LB 5 stellt ein technisches Compliance-Werkzeug dar und ersetzt keine Rechtsberatung oder formale Konformitätsbewertung nach dem EU AI Act. Die rechtliche Einordnung der eigenen Geschäftsprozesse (z. B. als Hochrisiko-KI-System nach Anhang III EU AI Act) sowie die organisatorische Sicherstellung einer wirksamen menschlichen Aufsicht obliegen in der alleinigen Verantwortung des Auftraggebers.

§ 6 Vergütung und Inklusivleistungen