Konform by design, nicht per Versprechen.
Konformität
Diese Seite führt Kontrolle für Kontrolle auf, wie Kartio die Rahmenwerke behandelt, die für einen KI-Assistenten in einem europäischen E-Commerce zählen. Was Sie lesen, ist bereits implementiert und überprüfbar; was fehlt, steht am Ende, ohne Umschweifungen.
EU AI Act
- Transparenz gemäß Artikel 50, anwendbar ab dem 2. August 2026: Der Assistent offenbart in der Begrüßung, eine künstliche Intelligenz zu sein, zeigt dauerhaft einen Hinweis in der Oberfläche und kennzeichnet empfohlene Produkte.
- Ausgaben sind mit dedizierten DOM-Attributen maschinenlesbar gekennzeichnet, auch in der Sprachantwort mit Just-in-Time-Hinweis. Die Attribute unterstützen die Rückverfolgbarkeit: Wir stellen sie nicht als formale Zertifizierung der Kennzeichnung gemäß Artikel 50 Absatz 2 dar.
- Der Shopping-Anwendungsfall gehört nicht zu den Hochrisikosystemen des Anhangs III. Die Bewertung wird neu geöffnet, sollte das Produkt in regulierte Bereiche vordringen (Kreditwesen, Beschäftigung, Bildung, Biometrie).
- Keine Emotionserkennung, keine biometrische Kategorisierung: Sollten sie künftig eingeführt werden, greifen zusätzliche verbindliche Informationspflichten.
DSGVO
- Echte Minimierung: kein Identifikator beim Laden der Seite, Session-Cookie erst bei der ersten freiwilligen Interaktion, Laufzeitverlängerung auf 30 Tage nur nach ausdrücklicher Einwilligung.
- IP-Adresse niemals im Klartext gespeichert, Gespräche nach neunzig Tagen gelöscht, aggregierte Statistiken. Die Stimme wird als personenbezogenes, aber nicht biometrisches Datum behandelt: keine Sprecheridentifikation, kein Voiceprint, kein Klonen.
- Vertraglich klare Rollen: Der Shop ist Verantwortlicher, Kartio ist Auftragsverarbeiter; im White-Label-Kanal ist Kartio Unterauftragsverarbeiter gemäß Artikel 28 Abs. 4, mit der Agentur als Auftragsverarbeiter.
- Mit der Aktivierung erhält der Shop den Auftragsverarbeitungsvertrag und das vollständige Verzeichnis der Dienstleister, jeweils mit Standort, Unterauftragsverarbeitern und Aufbewahrungsfristen.
ISO/IEC 42001 und 27001
- KI-Management (42001): Modell-Governance, Bewertung der Antworten mit wiederholbaren Benchmarks, Überwachung von Qualität und Kosten pro Shop.
- Informationssicherheit (27001): Isolierung jedes Shops durch die Datenbank mit geprüften Tenant-Rollen, Schlüssel als Geheimnisse behandelt, Ausgabenobergrenze pro Tenant, verschlüsselte Backups mit Rotation.
- Das Produkt wurde von einem Lead Auditor dieser Standards konzipiert: Die Kontrollen entstehen aus den Anforderungen, nicht aus dem Marketing.
- Klar gesagt: Kartio ist nicht zertifiziert. Die formale Zertifizierung ist Teil der Roadmap; die hier aufgeführten Kontrollen sind bereits in Betrieb und überprüfbar.
Wie lange die Daten bleiben
Tatsächlich angewandte Fristen, keine Vertriebsschätzungen. Bei Ablauf wird das Datum gelöscht oder so verändert, dass es nicht mehr der Person zuordenbar ist; eine Löschung kann bis zur maximalen Rotation von dreißig Tagen in den verschlüsselten Backups verbleiben.
Die Dienstleister, ohne Blackboxes
Chat und Sprachverarbeitung laufen über europäische Infrastruktur, ohne US-Gateways; die textuelle Sprachsynthese nutzt europäische Endpunkte. Die Echtzeit-Sprachfunktion kann ausschließlich vom Plattform-Eigentümer aktiviert werden, Shop für Shop, und bleibt, solange der vertragliche Drittlandpfad nicht geschlossen ist, auf nicht sensible Demo-Daten beschränkt.
Jeder tatsächliche Dienstleister ist durch einen Auftragsverarbeitungsvertrag abgedeckt, mit Unterauftragsverarbeitern, Standort und Aufbewahrungsfristen, dokumentiert in dem Verzeichnis, das der Shop vor der Unterschrift erhält.
Der Auftragsverarbeitungsvertrag, Klausel für KlauselDie Auftragsverarbeiter, Kategorie für Kategorie
Was beim Shop bleibt
Der Shop bleibt Verantwortlicher für die Verarbeitung: Er aktualisiert seine Datenschutzerklärung, bildet sein Consent-Management auf das Kartio-Signal ab und prüft, ob die Aufbewahrungsfristen mit seinen Zwecken übereinstimmen. Die Mikrofonberechtigung des Browsers ist eine technische Kontrolle; sie ersetzt weder Rechtsgrundlage noch Datenschutzhinweise.
In der Roadmap, offen gesagt
Formale Zertifizierung des Produkts, vollständige Regionalisierung des Anbieters für Echtzeit-Sprache und ein Modellregister mit kontinuierlicher Qualitätsüberwachung. Wenn Sie die vollständige Dokumentation der Kontrollen, das Verzeichnis der Dienstleister oder den Entwurf des Auftragsverarbeitungsvertrags wünschen, schreiben Sie an info@kartio.ai.