Version 1.0 · 29.10.2026 · Entwurf
Jede Anforderung, jede Schwelle und wie wir sie prüfen. Ein Label nennt immer die Katalogversion, nach der geprüft wurde.
Ein Produkt erhält die höchste Stufe, deren Kriterien es vollständig erfüllt. Die gemeinsamen Kriterien (C) gelten für jede Stufe.
Produkt und Website des Anbieters nennen die NOCIP-Stufe und sagen, wo die KI-Verarbeitung stattfindet. Die Angabe ist für Nutzer vor der ersten Verwendung auffindbar (z. B. Produktseite, Einstellungen, Dokumentation).
Die Dokumentation nennt jedes Modell, das für KI-Funktionen des Produkts eingesetzt wird: Name, Version, Lizenz, Herkunft und Ort der Ausführung (Kunde, Anbieter oder Dritt-KI mit Land).
Inhalte des Kunden werden weder vom Anbieter noch von Dritten zum Training oder Nachtraining von Modellen verwendet, außer der Kunde willigt ausdrücklich ein. Die Einwilligung ist standardmäßig aus. Nachtraining ausschließlich auf den Systemen des Kunden ist erlaubt.
Telemetrie, Nutzungsstatistiken, Absturzberichte und entfernte Protokolle enthalten keine Dokumentinhalte, Eingaben, KI-Ergebnisse oder personenbezogenen Daten aus verarbeiteten Inhalten.
Der Anbieter meldet Änderungen der KI-Architektur (neues Modell oder neuer Modellanbieter, neuer Verarbeitungsort, neue externe Verbindung, geänderte Weiche oder Pseudonymisierung) innerhalb von 30 Tagen an NOCIP. Eine Änderung, die zu einer niedrigeren Stufe führt, wird vor ihrer Einführung gemeldet.
Der Anbieter nennt jede ausgehende Netzwerkverbindung des Produkts (Ziel, Zweck, übertragene Daten). Bei der Verarbeitung der Testdokumente entstehen keine Verbindungen außerhalb dieser Liste.
Verarbeitet der Anbieter Daten des Kunden (z. B. SaaS, Fernwartung), bietet er einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO an, der alle Unterauftragsverarbeiter mit Zugang zu KI-Eingaben oder -Ergebnissen nennt. Gilt nicht, wenn der Anbieter keine Kundendaten erhält.
Sendet das Produkt auf Wunsch des Nutzers Beispiele an den Anbieter (z. B. zur Verbesserung der Erkennung), dann nur so: (1) Der Nutzer löst jede Meldung selbst aus, nie automatisch und nie als Voreinstellung. (2) Das Produkt ersetzt personenbezogene Daten vorher durch erfundene Angaben gleichen Formats, ohne Zuordnungstabelle. (3) Eine Vorschau zeigt genau, was gesendet wird, und der Nutzer kann sie ändern; Wörter, die er im Original behält, bestätigt er vor dem Senden noch einmal. (4) Der Anbieter verwendet Meldungen nur zur Verbesserung des Produkts und gibt sie nicht weiter. Gilt nicht, wenn das Produkt keine Meldungen sendet.
Schwelle: Ersetzt werden ≥ 99 % der strukturierten Kennungen (IBAN, E-Mail, Telefon, Ausweis- und Steuernummern), ≥ 98 % der Personennamen und ≥ 95 % aller Prüfwerte – wie B-03.
GoldJede Inferenz für KI-Funktionen läuft auf Geräten oder Servern des Kunden (eigene Hardware oder eine Cloud-Umgebung, die der Kunde selbst kontrolliert). Keine KI-Anfrage geht an den Anbieter oder an Dritte.
Alle KI-Funktionen arbeiten ohne Internetverbindung. Lizenzprüfungen und Aktualisierungen sind erlaubt, wenn sie keine Inhalte übertragen und die Verarbeitung offline mindestens 14 Tage weiterläuft.
Schwelle: Offline-Weiterbetrieb ≥ 14 Tage.
Modelle und Modellaktualisierungen werden als Dateien mit veröffentlichter Prüfsumme oder Signatur ausgeliefert.
SilberKI, die personenbezogene Daten verarbeitet, läuft beim Kunden oder auf vom Anbieter betriebener Infrastruktur im EWR. Keine Dritt-KI sieht personenbezogene Daten. Modell-Dienste eines Cloud-Anbieters gelten als Dritt-KI.
Wird eine Dritt-KI eingesetzt, prüft eine Weiche beim Kunden oder auf vom Anbieter betriebener Infrastruktur jede Anfrage. Nur Anfragen ohne personenbezogene Daten gehen an die Dritt-KI.
Die Weiche hält Anfragen mit personenbezogenen Daten zuverlässig von der Dritt-KI fern.
Schwelle: Von den Testanfragen mit personenbezogenen Daten erreichen höchstens 0,5 % die Dritt-KI (≥ 99,5 % zurückgehalten); bei Anfragen mit strukturierten Kennungen (IBAN, E-Mail, Telefon, Ausweis- und Steuernummern) höchstens 0,1 % (≥ 99,9 %).
Ist die Weiche unsicher, fehlerhaft oder nicht erreichbar, bleibt die Anfrage lokal bzw. beim Anbieter.
BronzeJede Anfrage an eine Dritt-KI durchläuft einen Pseudonymisierungsschritt beim Kunden oder auf vom Anbieter betriebener Infrastruktur.
Mindestens erfasst werden: Namen natürlicher Personen, Anschriften, Geburtsdaten, Telefonnummern, E-Mail-Adressen, IBAN und Kontonummern, Ausweis-, Pass-, Steuer-, Sozialversicherungs- und Krankenversicherungsnummern, Akten- und Geschäftszeichen, Kfz-Kennzeichen, IP-Adressen. Weitere Kategorien nennt der Anbieter.
Der Pseudonymisierungsschritt entfernt personenbezogene Daten zuverlässig. Ein Prüfwert gilt als durchgelassen, wenn er oder eine naheliegende Schreibweise davon im Klartext in der ausgehenden Anfrage steht.
Schwelle: Entfernt werden ≥ 99 % der strukturierten Kennungen (IBAN, E-Mail, Telefon, Ausweis- und Steuernummern), ≥ 98 % der Personennamen und ≥ 95 % aller Prüfwerte insgesamt.
Die Zuordnungstabelle (Platzhalter ↔ echte Angabe) verlässt den Kunden bzw. den Anbieter nie. Die Rückführung der Platzhalter in KI-Ergebnissen geschieht beim Kunden oder beim Anbieter.
Schlägt die Pseudonymisierung fehl oder ist sie nicht erreichbar, wird nichts an die Dritt-KI gesendet.
Nutzer können sehen, was an die Dritt-KI gesendet wurde (Vorschau vor dem Senden oder Protokoll).
Der Vertrag mit dem Anbieter der Dritt-KI schließt Training mit den Daten aus, begrenzt die Speicherung auf höchstens 30 Tage und sieht eine Verarbeitung im EWR oder eine gültige Grundlage für die Übermittlung in Drittländer vor.
Schwelle: Speicherung ≤ 30 Tage.
Produkt und Werbung bezeichnen pseudonymisierte Daten nicht als anonym oder anonymisiert.
| Gruppe | 1 Punkt | 2 Punkte |
|---|---|---|
| I-1Transparenz | Ein Datenflussbild ist veröffentlicht, das für jede KI-Funktion den Verarbeitungsort zeigt. | Zusätzlich zeigt das Produkt bei jeder KI-Funktion bzw. Anfrage, wo sie verarbeitet wird. |
| I-2Kontrolle durch den Kunden | Der Kunde kann jede externe KI-Verbindung abschalten; das Produkt arbeitet dann mit eingeschränkten Funktionen weiter. (Gold: erfüllt.) | Zusätzlich gibt es für alle KI-Funktionen eine Variante, die vollständig beim Kunden läuft. (Gold: erfüllt.) |
| I-3Datensparsamkeit | KI-Eingaben und -Ergebnisse werden außerhalb des Kunden höchstens 30 Tage gespeichert. (Gold: erfüllt.) | Zusätzlich keine Speicherung außerhalb des Kunden über die Verarbeitung hinaus, und lokale Protokolle enthalten Inhalte nur, wenn der Kunde das einschaltet. |
| I-4Integrität | Das Produkt prüft Signatur oder Prüfsumme jedes Modells vor dem Laden. | Zusätzlich sind lokale Speicher mit Inhalten oder Zuordnungstabellen verschlüsselt (oder die Einrichtung mit Betriebssystem-Verschlüsselung ist dokumentiert). |
| I-5Nachprüfbarkeit | Der Kunde kann ein Protokoll aller externen KI-Anfragen einsehen (Gold: aller ausgehenden Verbindungen). | Zusätzlich stellt der Anbieter NOCIP dauerhaft einen Testzugang bzw. eine Testinstallation für unangekündigte Stichproben bereit. |