Belege Referenz

RateLoop dokumentiert einen abgegrenzten menschlichen Prüfungslauf als Paket mit Integritätsnachweisen. Es zeigt die verwendete Prüfrichtlinie, das Ergebnis der Prüfgruppe, die Messung der Abdeckung und die verfügbaren Nachweisverweise.

Wer was bereitstellt

Diese Verweise stammen aus der EU-KI-Verordnung (AI Act, Verordnung (EU) 2024/1689) in der durch Verordnung (EU) 2026/1744 geänderten Fassung.

Artikel 14 behandelt die Gestaltung menschlicher Aufsicht bei Hochrisiko-KI-Systemen. Artikel 26 beschreibt die Pflichten der Betreiber, also der Organisationen, die diese Systeme einsetzen. Artikel 4 betrifft die KI-Kompetenz.

Art 14(4)(a) bedeutet beispielsweise Artikel 14, Absatz 4, Buchstabe a: das System verstehen und seinen Betrieb überwachen. Jeder Verweis unten führt zu einer offiziellen EU-Quelle.

Anforderung	RateLoop stellt bereit	Sie bleiben verantwortlich für
Art. 14 Abs. 4 Buchst. a · Überwachen Fähigkeiten und Grenzen des Systems verstehen und unerwartetes Verhalten erkennen und darauf reagieren.	Ein Aufsichts-Dashboard (Stichproben, Latenz, Abweichung, blockierte Ausgaben), Hinweise in der Anwendung, per E-Mail und Browser, Ereignis-Webhooks und agentenbezogene Belegzusammenfassungen.	Beobachtung dieser Oberflächen, Verständnis der Fähigkeiten und Grenzen des Agenten sowie Reaktion auf Auffälligkeiten.
Art. 14 Abs. 4 Buchst. b · Automatisierungsbias Übermäßiges Vertrauen in KI-Ausgaben erkennen und hinterfragen.	Verblindete Urteile Prüfender, Entscheidungsdialoge ohne Vorauswahl sowie verfügbare Abweichungs- und Kalibrierungssignale. Die angezeigte Übersteuerungsquote ist ein Workspace-weiter 30-Tage-Gesamtwert.	Bewusstsein für die Neigung zur übermäßigen Systemabhängigkeit und bewusstes Treffen jeder Entscheidung.
Art. 14 Abs. 4 Buchst. c · Auslegen Die Ausgabe mithilfe verfügbarer Interpretationshilfen richtig verstehen.	Eine Fallansicht mit tatsächlicher Ausgabe, Quellkontext, Begründungen der Prüfenden und sichtbaren Abweichungen vor der Entscheidung.	Richtige Interpretation der Ausgabe in Ihrer Domäne, Ihrem Ablauf und Kontext.
Art. 14 Abs. 4 Buchst. d · Übersteuern Über den Einsatz des Systems entscheiden oder seine Ausgabe verwerfen, übersteuern oder rückgängig machen.	Aufgezeichnete Freigabe-, Überarbeitungs- und Stoppentscheidungen sowie ausgabebezogene Übersteuerungen mit Pflichtbegründung in der Auditkette.	Entscheidung, wann eine Ausgabe außer Acht gelassen, übersteuert oder rückgängig gemacht wird.
Art. 14 Abs. 4 Buchst. e · Stoppen Eingreifen oder den Betrieb unterbrechen, damit das System einen sicheren Zustand erreicht.	Die unterstützenden Codex-, Plugin- und MCP-Anbindungen zeichnen den Prüfstatus auf, verifizieren aber keine Zurückhaltung der Auslieferung. Der Workspace-Stopp blockiert neue Auslieferungsfreigaben durch RateLoop; Ihr Ablauf bestimmt, wann Ergebnisse ausgeliefert werden.	Auswahl gesperrter Ausgaben sowie Entscheidung, wann einzugreifen oder anzuhalten ist.
Art. 26 Abs. 2 · Zuweisung Aufsicht Personen mit geeigneter Kompetenz, Schulung, Befugnis und Unterstützung übertragen.	Aufsichtsbenennungen mit Bestätigungsdaten – Kompetenzgrundlage, abgeschlossene Schulung, erteilte Befugnis – als Zuweisungsaufzeichnung exportierbar.	Auswahl dieser natürlichen Personen und Sicherstellung ihrer Kompetenz, Schulung und Autorisierung.
Art. 26 Abs. 5 · Überwachung Den Betrieb anhand der Gebrauchsanweisung überwachen und auf Risiken und schwerwiegende Vorfälle reagieren.	Dieselben Überwachungsoberflächen, Abdeckungsexporte und Warnungen, als Workspace-Belege aufbewahrt.	Überwachung des Betriebs anhand Ihrer Gebrauchsanweisungen und Pausieren der Nutzung bei Risiken.
Art. 26 Abs. 6 · Protokollaufbewahrung Automatisch erzeugte Protokolle unter Ihrer Kontrolle für einen angemessenen Zeitraum von mindestens sechs Monaten aufbewahren, soweit andere geltende Rechtsvorschriften nichts anderes vorsehen.	Eine Mindestaufbewahrung von sechs Monaten für RateLoop-Prüfaufzeichnungen mit Aufbewahrungsexport, geplanter Durchsetzung und rechtlicher Sperre, die den Protokollaufbewahrungsprozess Ihres KI-Systems unterstützen kann.	Aufbewahrung der von Ihrem Hochrisiko-KI-System erzeugten und von Ihnen kontrollierten Protokolle für den erforderlichen Zeitraum. Die RateLoop-Mindestfrist erfüllt diese Pflicht nicht.
Art. 4 · KI-Kompetenz Beschäftigte und andere Personen, die KI in Ihrem Auftrag nutzen, beim Aufbau von KI-Wissen und Fähigkeiten unterstützen.	Exportierbare Schulungs- und Kalibrierungsaufzeichnungen für Prüfende und Aufsichtspersonen.	Maßnahmen zur Unterstützung der Entwicklung von KI-Kompetenz beim relevanten Personal. Ein bestimmtes Niveau muss für keine Person garantiert werden.

Beratende Integrationen steuern die Ausgabe nicht; Ihr Workflow bestimmt, wann eine Ausgabe ausgeliefert wird. Die Modellidentität ist als vom Host gemeldet gekennzeichnet, da RateLoop nicht unabhängig prüft, welches Modell eine Ausgabe erzeugt hat. RateLoop beansprucht keine SOC-2-, ISO-, HIPAA- oder Datenresidenz-Nachweise, die es nicht besitzt. Siehe Menschliche Aufsicht für Details zum Funktionsumfang.

Inhalt eines Nachweispakets

Aktuelles Schema: rateloop.human-assurance.evidence.v10

Festgeschriebener Umfang

Die Versionen von Prüfdurchlauf, Suite, Zielgruppenrichtlinie, Zulassungsrichtlinie und Manifest sind mit ihren genauen Hashes enthalten.

Prognosebedingungen

Das Paket hält fest, ob die gespeicherte Richtlinie Prognosen deaktiviert, optional oder erforderlich macht. Prognosen ändern das gemeldete Urteil niemals.

Prüfkontext

Der geprüfte Agent und seine Version, Auswahltrigger, Auslieferungsbefugnis, Sperrentyp, Anzahlen der Prüferqualifikationen, Prüfzeitraum, Abdeckung und Antwortlatenz beschreiben den Prüfablauf.

Urteilsbelege

Datenschutzgerechte Ergebniszahlen, Abweichung, Anzahlen von Fehlerkennzeichnungen, Begründungs-Digests, domänengetrennte Merkle-Wurzeln und Neuberechnungseingaben binden das abgeleitete Ergebnis an die gespeicherten Urteile.

Verfügbare Referenzen und Grenzen

Richtlinien-, Modell-, Quellen- und Versionsverweise stehen neben ausdrücklichen Einschränkungen und Unterdrückungsregeln.

Identitäten Prüfender sowie rohe oder entschlüsselbare Begründungen sind ausgeschlossen. Kleine Zellen werden nach der festgeschriebenen Mindestaggregationsgröße unterdrückt. Vom Host gemeldete Ausführungsmetadaten bleiben als nicht unabhängig verifiziert gekennzeichnet.

Vollständiges synthetisches Paketbeispiel

Dieses synthetische Paket nutzt das v9-Format für eingeladene Prüfende, das das Prüfprogramm weiterhin akzeptiert, und einen separaten Beispiel-Signaturschlüssel. Prüfen Sie es offline mit dem herunterladbaren öffentlichen Schlüssel; es enthält keine Kundendaten.

Der synthetische Kandidat lautet: „Aktivieren Sie die neue Antwortrichtlinie für eine Einführung mit 10 %; der bereitgestellte Fehlerbericht der letzten sieben Tage zeigt keine fehlgeschlagenen Anfragen.“ Drei eingeladene Prüfende vergleichen diese Antwort mit der Ausgangsversion und den bereitgestellten synthetischen Belegen. Zwei bevorzugen den Kandidaten und eine Person die Ausgangsversion, sodass die festgelegte Regel erfüllt ist. Der Eigentümer hält nach Prüfung des Ergebnisses in einer separaten, an das Paket gebundenen Entscheidung ‚Freigeben‘ fest. Das herunterladbare Paket bewahrt das Prüfergebnis, seine Grenzen und die zur Verifizierung erforderlichen Eingaben; es enthält oder signiert die separate Eigentümerentscheidung nicht.

Paket herunterladen Synthetischen Schlüssel-Pin herunterladen

So prüfen Sie die Belege

Nutzen Sie den öffentlichen Browser-Prüfwerkzeug , um ein exportiertes Paket ohne Upload zu prüfen, oder verwenden Sie den folgenden Kommandozeilenprüfer.

Synthetisches Paket ausprobieren. Laden Sie den Einzeldatei-Prüfprogramm herunter – ohne Konto, ohne Abhängigkeiten, ohne Netzwerk – und führen Sie ihn gegen das veröffentlichte Paket und dessen separaten synthetischen Schlüssel-Pin aus:
```
node verify-rateloop-evidence.mjs synthetic-evidence-v9.json \
  --public-key synthetic-evidence-v9.spki.txt \
  --key-id ed25519:8b42b24feb46dfab8c59a1c0
```
Dieser Pin ist nur der Vertrauensanker für das synthetische Beispiel. Er ist kein RateLoop-Produktionsschlüssel und erscheint nicht am gehosteten Endpunkt für Prüfschlüssel.
Eigenen Export prüfen. Beziehen Sie die erwartete Schlüssel-ID und den Public-Key-Pin vom cachefähigen, nicht authentifizierten öffentlichen Endpunkt für Prüfschlüssel. Wer bereits ein Paket besitzt, benötigt kein RateLoop-Konto, um den passenden aktuellen oder ausgemusterten Pin abzurufen. Workspace-Mitglieder können ihn auch aus dem Schlüsselverlauf in den Ergebnissen herunterladen. Verwenden Sie den im Paket eingebetteten öffentlichen Schlüssel niemals als eigenen Vertrauensanker. Führen Sie denselben Befehl mit Ihrem Paket, Pin und Ihrer Schlüssel-ID aus.
Merkle-Wurzeln und Neuberechnung. Derselbe Befehl prüft kanonisches Paket-Hashing, Fall- und Antwortwurzeln, datenschutzgerechte Aggregation und die festgeschriebene Bestehensregel. Behandeln Sie jeden gemeldeten Fehler als fehlgeschlagene Prüfung.
Externe Zeugenbelege. Jede abgeschlossene Bestätigung eines Entscheidungspakets enthält ein Rekor-Paket. Wählen Sie das vorgesehene Protokoll unabhängig und prüfen Sie UUID, Index, authentifizierten Checkpoint, Einschlussdaten und signierte Eintragszeit. Ein fehlendes oder ungültiges Paket macht den Zeugen unvollständig. Ist das getrennte TSA-Feld ungleich null, validieren Sie RFC-3161-Nachrichtenabdruck, Zertifikatspfad, Richtlinie und Zeit anhand von Ihrer Organisation gewählter Vertrauenswurzeln. Ein fehlendes Token bedeutet, dass kein TSA-Beleg vorliegt.

Laden Sie einen abgeschlossenen Nachweis über seine öffentliche Attestierungs-URL herunter. Wählen Sie Signierer, Rekor-Protokollschlüssel und TSA-Zertifikatskette unabhängig aus und halten Sie die Schlüsselkennung des Nachweissignierers fest. Die Prüfprogramme für Attestierungen und die Audit-Kette stehen noch nicht öffentlich zum Download bereit. Lassen Sie beide Nachweise unabhängig prüfen, bevor Sie sich darauf verlassen; das herunterladbare Paketprüfprogramm prüft das Paket selbst, nicht diese externen Belege. Halten Sie den erwarteten Audit-Stand möglichst anhand eines anderen vertrauenswürdigen Belegs fest.

Exportoberflächen

GET /api/account/workspaces/{workspaceId}/assurance/runs/{runId}/evidence
GET /api/account/workspaces/{workspaceId}/review-results/{opportunityId}/evidence[?format=pdf]
POST /api/account/workspaces/{workspaceId}/oversight/evidence-bundle
GET /api/account/workspaces/{workspaceId}/assurance/coverage/export
GET /api/account/workspaces/{workspaceId}/audit/export
GET /api/evidence/trusted-keys
GET /api/account/workspaces/{workspaceId}/assurance/trusted-keys
GET /api/account/workspaces/{workspaceId}/assurance/trusted-keys?format=spki&keyId=ed25519:…
GET /api/account/workspaces/{workspaceId}/assurance/runs/{runId}/cases?format=pdf
GET /api/account/workspaces/{workspaceId}/governance/works-council-brief?format=markdown
GET /api/public/assurance/attestations/{jobId}

Die Workspace-Routen erfordern eine autorisierte Workspace-Sitzung. Der öffentliche Zeuge enthält nur Digests und ist ausschließlich über seine undurchsichtige Auftrags-ID abrufbar. Die Fallroute liefert standardmäßig JSON und mit format=pdfein Fallpaket als PDF; die Betriebsratsinformation liefert die deutsche Fassung als Download mit format=markdown. Eine Workspace-Aufbewahrungsrichtlinie kann nicht unter sechs Monaten liegen; diese Produktuntergrenze bestimmt jedoch nicht den gesetzlichen oder vertraglichen Aufbewahrungszeitplan des Kunden. Die geplante Durchsetzung entfernt fällige private Artefaktinhalte und Zugriffsprotokolle, sofern keine rechtliche Sperre gilt. Artefakt-Digests, signierte Pakete, Zeugen- und WORM-Belege sowie die kanonische Auditkette bleiben als Integritätsaufzeichnungen erhalten; das Löschen privater Inhalte schreibt diesen Verlauf nicht um.

Rahmenwerk-Querverweis

Jede Zeile bedeutet unterstützt Belege für. Es handelt sich um einen Querverweis, nicht um ein Bewertungsergebnis, Rechtsgutachten, eine Zertifizierung oder Behauptung, dass die Kontrollen eines Kunden umgesetzt oder wirksam sind.

Referenz	RateLoop-Artefakte	Grenze
ISO/IEC 42001:2023A.6.2.6	Betriebs- und Überwachungsaufzeichnungen für ein eingesetztes KI-System, einschließlich der festgeschriebenen geltenden Prüfrichtlinie, Stichprobenentscheidungen, menschlicher Ergebnisse, Abdeckungsaggregationen und Statusübergänge für einen begrenzten Zeitraum.Signiertes Prüfnachweispaket; Export der adaptiven Prüfabdeckung; Vom Host gemeldeter Ausführungsbeleg.	Diese Zuordnung weist weder nach, dass ein Kunde die Kontrolle A.6.2.6 umgesetzt hat, noch dass RateLoop nach ISO/IEC 42001 zertifiziert ist.
ISO/IEC 42001:2023A.6.2.8	Ereignisprotokoll-Belege zu Prüfentscheidungen, Richtlinienkontext, Sperrstatus und integritätsprüfbarem Auditverlauf.Workspace-Auditkettenexport; Signiertes Prüfnachweispaket; Nachweis der Prüfsperre.	Diese Zuordnung belegt nicht die Vollständigkeit der umfassenderen Ereignisprotokollierung oder des Aufbewahrungsprogramms für das KI-System eines Kunden.
ISO/IEC 42001:2023A.9.2	Aufzeichnungen verantwortungsvoller Nutzung mit konfigurierten Prüfregeln, menschlichen Urteilen, Abdeckung, Eskalation und Belegen der Freigabesperre.Signiertes Prüfnachweispaket; Export der adaptiven Prüfabdeckung; Nachweis der Prüfsperre.	Diese Zuordnung überträgt RateLoop keine Verantwortung, Kompetenz-, Schulungs-, Befugnis- oder Genehmigungspflichten des Kunden.
NIST-Rahmenwerk für KI-RisikomanagementMEASURE 2.8	dokumentierte Prüfung der Grenzen von Transparenz und Rechenschaft, einschließlich datenschutzsicherer Aggregation, der angegebenen Einschränkungen jedes Pakets und von Ausführungsmetadaten, die als vom Host gemeldet und nicht unabhängig verifiziert erfasst werden.Signiertes Prüfnachweispaket; Vom Host gemeldeter Ausführungsbeleg.	Diese Zuordnung ist ein Beleg-Querverweis und stellt weder eine NIST-Bewertung oder -Empfehlung noch eine Bestimmung der Risikoakzeptanz dar.
NIST-Rahmenwerk für KI-RisikomanagementMEASURE 4.2	dokumentierte Messergebnisse auf Grundlage eingeladener Fachprüfender, die Stichproben, Übereinstimmung und Abweichung der Prüfenden, Latenz sowie designgewichtete Populationsschätzungen oder typisierte Abdeckungslücken umfassen.Export der adaptiven Prüfabdeckung; Signiertes Prüfnachweispaket.	Diese Zuordnung ist ein Beleg-Querverweis und stellt weder eine NIST-Bewertung noch eine NIST-Empfehlung dar; eine Einladung zur Prüfung ist kein Nachweis der Fachkunde oder Unabhängigkeit einer prüfenden Person.
NIST-Rahmenwerk für KI-RisikomanagementMANAGE 2.4	Aufzeichnungen, die eine konfigurierte Prüfanforderung an den Zustand der Stopp-Sperre und die genaue Freigabeentscheidung für eine einzelne geprüfte Ausgabe binden.Nachweis der Prüfsperre; Workspace-Auditkettenexport.	RateLoop erfasst eine Zurückhalte- oder Freigabeentscheidung für eine einzelne geprüfte Ausgabe und ersetzt, trennt oder deaktiviert das KI-System des Kunden nicht. Externe Agentenverbindungen sind beratend; RateLoop Chat prüft die aktuellen Prüfregeln und das erforderliche menschliche Ergebnis, bevor eine E-Mail gesendet wird.
NIST-Rahmenwerk für KI-RisikomanagementMANAGE 4.1	Überwachungsaufzeichnungen nach dem Einsatz, die die menschliche Übersteuerung eines KI-Ergebnisses, die Rückkehr eines geänderten Umfangs zu seiner gespeicherten Startabdeckung und einen integritätsprüfbaren Folgeverlauf umfassen.Nachweis der Prüfsperre; Workspace-Auditkettenexport; Signiertes Prüfnachweispaket.	Diese Zuordnung trifft oder ersetzt keine Entscheidungen des Kunden zu Risikobehandlung, -akzeptanz, -reaktion oder Governance.
Verordnung (EU) 2024/1689 (EU-KI-Verordnung)Artikel 26(5)-(6)	Überwachungsaufzeichnungen, Betrieb der Prüfrichtlinie und Exportverlauf, die Überwachungsbelege und den Aufbewahrungsprozess eines Betreibers für Protokolle seines Hochrisiko-KI-Systems unterstützen können.Export der adaptiven Prüfabdeckung; Signiertes Prüfnachweispaket; Workspace-Auditkettenexport.	RateLoop ist nicht die benannte menschliche Aufsicht des Betreibers. Seine Sechsmonatsuntergrenze gilt für RateLoop-Prüfaufzeichnungen, nicht für die vom Hochrisiko-KI-System des Kunden erzeugten Protokolle, und erfüllt weder Artikel 26 Absatz 6 noch Überwachungs-, Befugnis-, Kompetenz- oder Meldepflichten.
Verordnung (EU) 2024/1689 (EU-KI-Verordnung)Article 73	Bewahrung von Prüfentscheidungen, Sperrergebnissen und Auditverlauf, die Untersuchung schwerwiegender Vorfälle und Berichtsvorbereitung eines Kunden unterstützen können.Signiertes Prüfnachweispaket; Nachweis der Prüfsperre; Workspace-Auditkettenexport.	RateLoop bestimmt nicht, ob ein Ereignis ein schwerwiegender Vorfall ist, und übernimmt keine regulatorische Meldung des Kunden.
FINRA-Aufsichtsregeln und Leitlinien zu generativer KIRegulatory Notice 24-09	Technologie-Governance-Aufzeichnungen für ein Aufsichtssystem, das generative KI einsetzt, einschließlich der geltenden Prüfrichtlinie, vom Host gemeldeter Modell- und Versionsmetadaten und eines integritätsprüfbaren Prüfverlaufs.Signiertes Prüfnachweispaket; Vom Host gemeldeter Ausführungsbeleg; Workspace-Auditkettenexport.	Die Regulatory Notice 24-09 stellt fest, dass sie keine neuen Anforderungen schafft und keine Pflicht zur menschlichen Prüfung begründet; diese Zuordnung bestimmt weder anwendbare FINRA-Regeln noch genehmigt sie das Aufsichtssystem eines Mitgliedsunternehmens oder stellt Rechtsberatung dar.
FINRA-Aufsichtsregeln und Leitlinien zu generativer KIRule 3110	dokumentierte Prüfrichtlinien, Ausnahmen, Eskalationen, Freigabeentscheidungen und Auditverlauf, die in die Aufsichtsaufzeichnungen eines Mitgliedsunternehmens aufgenommen werden können.Export der adaptiven Prüfabdeckung; Nachweis der Prüfsperre; Workspace-Auditkettenexport.	RateLoop richtet das Aufsichtssystem oder die schriftlichen Aufsichtsverfahren eines Mitgliedsunternehmens weder ein noch betreibt oder zertifiziert es diese.
FINRA-Aufsichtsregeln und Leitlinien zu generativer KIRule 3110.07	Prüfaufzeichnungen, die das prüfende Konto, den geprüften Gegenstand, das Prüfdatum und die ergriffene Maßnahme festhalten, in einer Form, die ein Mitgliedsunternehmen zusammen mit seinen Aufsichtsaufzeichnungen aufbewahren kann.Workspace-Auditkettenexport; Nachweis der Prüfsperre; Signiertes Prüfnachweispaket.	Regel 3110.07 regelt den Nachweis der Prüfung interner Kommunikation und Korrespondenz, nicht von KI-Ausgaben; diese Zuordnung richtet das Aufsichtssystem oder die schriftlichen Aufsichtsverfahren eines Mitgliedsunternehmens weder ein noch betreibt oder zertifiziert sie diese.
FINRA-Aufsichtsregeln und Leitlinien zu generativer KI2026 Annual Regulatory Oversight Report, GenAI: Continuing und Emerging Trends	Aufzeichnungen der Prüfung von Modellausgaben mit menschlicher Beteiligung, des geltenden formalen Prüf- und Genehmigungsprozesses und der Nachverfolgung, welche Modellversion wann verwendet wurde.Signiertes Prüfnachweispaket; Export der adaptiven Prüfabdeckung; Vom Host gemeldeter Ausführungsbeleg.	Der Bericht stellt diese als Praktiken dar, die ein Unternehmen erwägen kann, nicht als FINRA-Anforderungen; diese Zuordnung belegt weder, dass ein Mitgliedsunternehmen sie übernommen hat, noch dass sein Aufsichtssystem angemessen ist.

Laden Sie die maschinenlesbare OSCAL-1.2.2-Komponentendefinition, oder fahren Sie fort mit SDK-Belegexporten.