Vertrauen und Sicherheit
Was Ihr Kunde fragen wird, bevor er uns hereinlässt.
Wenn das Projekt einem Endkunden gehört, wird jemand aus seinem Sicherheitsteam genau das prüfen. Wir haben es vor dem Start schriftlich, damit Sie es zeigen können, statt es zu improvisieren.
-
Minimale Zugriffe und vereinbarte Umgebungen
Wir arbeiten mit genau den Berechtigungen, die unser Teilstück braucht, und in den Umgebungen, die wir vereinbaren. Keine geteilten Zugangsdaten und keine offenen Zugriffe, „damit es schneller geht“.
-
Die Berechtigungen des Kunden greifen beim Retrieval
Zwei verschiedene Nutzer sehen Verschiedenes, und die Filterung passiert beim Abrufen der Daten, nicht im Vertrauen auf den Prompt. Das ist die Stelle, an der die meisten Projekte in der Sicherheitsprüfung hängen bleiben.
-
Jede Antwort lässt sich rekonstruieren
Was abgerufen wurde, mit welchen Berechtigungen, welcher Prompt gesendet wurde und welche Modellversion geantwortet hat. Ohne diesen Trace ist keine Prüfung möglich und keine Ursache zu beheben.
-
Welche Daten die KI-Werkzeuge berühren, schriftlich
Sind Modelle Dritter im Spiel, legen wir vorher fest, welche Daten verwendet werden dürfen, wo und mit welchen Grenzen, in einer Form, die Sie an die Sicherheitsabteilung Ihres Kunden weitergeben können.
-
Guardrails und menschliche Kontrolle, wo es Geld kostet
Kosten- und Latenzgrenzen mit Alarmen, und eine ausdrückliche Grenze: wo der Agent allein entscheidet und wo ein Mensch freigibt. Diese Grenze ist eine Geschäftsentscheidung und wird getroffen, bevor das System geöffnet wird.
-
Vertraulichkeit und Non-Circumvention unterzeichnet
NDA, bevor Sie uns die Details erzählen, wenn Sie es brauchen, und Non-Circumvention schriftlich: Wir verkaufen Ihrem Kunden nichts auf eigene Rechnung, weder während des Projekts noch danach.
-
Der Code gehört Ihnen vom ersten Tag an
Er liegt in den Repositories, die Sie benennen, nicht in unseren. Zum Abschluss bleiben Runbooks, Evaluierungsbericht und Übergabesitzungen: Sie sind nicht auf uns angewiesen, um das Gelieferte zu betreiben.
Wenn Ihr Kunde eine bestimmte Zulassung oder einen bestimmten offiziellen Partner verlangt, sagen Sie es uns im ersten Gespräch: besser dann als mitten im Projekt.