Wie Nethemba künstliche Intelligenz einsetzt
Wir setzen die leistungsfähigsten kommerziell verfügbaren KI-Modelle ein, um Qualität, Tiefe, Geschwindigkeit und Abdeckung unserer Sicherheitsdienstleistungen zu erhöhen. Diese Seite erklärt transparent, mit welchen KI-Anbietern wir arbeiten, welche Daten an sie weitergegeben werden können und was das für die Vertraulichkeit bedeutet.
Warum wir KI einsetzen
Nethemba setzt bei der Erbringung ihrer Sicherheitsdienstleistungen – Penetrationstests, Sicherheitsaudits und damit verbundener Beratung – generative KI-Werkzeuge auf Basis großer Sprachmodelle („KI-Tools“) ein. Wir verwenden die leistungsfähigsten kommerziell verfügbaren Modelle (z. B. die Modellfamilien Claude Fable und Claude Opus von Anthropic, die GPT-Modellfamilien von OpenAI sowie vergleichbare Modelle anderer Anbieter), weil sie Qualität, Tiefe, Geschwindigkeit und Abdeckung unserer Arbeit messbar erhöhen.
Welche KI-Anbieter wir nutzen
Die KI-Tools werden von Dritten betrieben („KI-Anbieter“). Im Zusammenhang mit der Erbringung unserer Dienstleistungen können Informationen an die folgenden KI-Anbieter und ihre verbundenen Unternehmen weitergegeben werden:
Für einen konkreten Auftrag kann diese Liste nur nach Vereinbarung mit dem Kunden im Vertrag eingeschränkt oder erweitert werden.
Welche Daten an KI-Anbieter weitergegeben werden können
Während eines Auftrags können folgende Kategorien von Informationen über den Kunden und die getesteten Systeme an KI-Anbieter übermittelt und von ihnen verarbeitet werden:
- Identifikations- und Konfigurationsdaten der getesteten Systeme (IP-Adressen, URLs, Domainnamen, Softwareversionen und -einstellungen),
- der Inhalt der Netzwerkkommunikation mit den getesteten Systemen (z. B. HTTP-Anfragen und -Antworten),
- Quellcode oder Teile davon, sofern vom Kunden bereitgestellt,
- Logs und zugehörige Daten,
- Informationen über festgestellte Schwachstellen einschließlich der Art ihrer möglichen Ausnutzung,
- Teile oder der gesamte Abschlussbericht,
- sonstige technische oder geschäftliche Informationen, die für die ordnungsgemäße Erbringung der Dienstleistungen erforderlich sind.
Die übermittelten Informationen können auch personenbezogene Daten enthalten, die sich in den getesteten Systemen oder in der Kommunikation mit ihnen befinden.
Unsere Schutzmaßnahmen
- Wir nutzen KI-Tools in bezahlten, Business- oder API-Versionen, bei denen sich der KI-Anbieter vertraglich verpflichtet, Ein- und Ausgaben nicht zum Training seiner Modelle zu verwenden, sofern eine solche Version verfügbar ist.
- Sofern vom KI-Anbieter angeboten, nutzen wir Zero-Data-Retention- bzw. verkürzte Aufbewahrungsmodi, bei denen der KI-Anbieter Ein- und Ausgaben nach der Verarbeitung nicht dauerhaft speichert.
- Wir unternehmen angemessene Anstrengungen, KI-Tools keine Zugangsdaten (Passwörter, API-Schlüssel, Tokens) in verwendbarer Form zugänglich zu machen und den Umfang der offengelegten personenbezogenen Daten zu minimieren.
- Auf schriftliche Anfrage teilen wir dem Kunden mit, welche KI-Tools bei der Erbringung der Dienstleistungen eingesetzt wurden.
Was das für die Vertraulichkeit (NDA) bedeutet
Die Verarbeitung von Informationen durch die KI-Anbieter unterliegt deren eigenen Vertragsbedingungen und Sicherheitsmaßnahmen, auf die wir keinen Einfluss haben. KI-Anbieter können Informationen vorübergehend speichern (z. B. zur Missbrauchsprävention) und auf Servern außerhalb der EU/des EWR, insbesondere in den USA, verarbeiten. Aus diesem Grund können wir die Vertraulichkeit von Informationen in dem Umfang, in dem sie an KI-Anbieter weitergegeben werden, nicht garantieren – unsere Verträge enthalten daher eine ausdrückliche KI-Klausel, wonach eine solche Weitergabe keine Verletzung einer Vertraulichkeitspflicht oder NDA darstellt. Kunden, die eine strikte NDA ohne jegliche KI-Verarbeitung benötigen, können unsere Standard-Vertragsversion (ohne KI) anfragen; Umfang, Zeitplan und Preis können abweichen.
Personenbezogene Daten (DSGVO)
Werden personenbezogene Daten im Auftrag des Kunden verarbeitet, handeln die KI-Anbieter als unsere Unterauftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO. Die Einzelheiten regelt unser Auftragsverarbeitungsvertrag (AVV/DPA), der die KI-Anbieter als Unterauftragsverarbeiter aufführt. Übermittlungen personenbezogener Daten in Drittländer sind durch geeignete Garantien im Sinne von Kapitel V DSGVO abgedeckt (z. B. EU-U.S. Data Privacy Framework oder Standardvertragsklauseln).
AVV/DPA herunterladen (PDF, Deutsch)
Auch verfügbar in: EN · SK · CS · ES
Änderungen dieser Richtlinie
Wir halten diese Seite aktuell. Für einen konkreten Auftrag hat die im Vertrag vereinbarte Liste der KI-Anbieter Vorrang; ihre Erweiterung bedarf der vorherigen Zustimmung des Kunden. Fragen: info@nethemba.com.