Zum Inhalt

Für Anbieter

Zertifizierung

Kostenlos, nach einer öffentlichen Checkliste, mit einem Prüfbericht für jedes Kriterium.

Ablauf

  1. AntragOnline auf nocip.com. Sie nennen das Produkt und die Stufe, die Sie erwarten.
  2. SelbstauskunftEine Antwort je Kriterium, mit Architekturbeschreibung und Testzugang.
  3. Prüfungbe next prüft nach der veröffentlichten Prüfcheckliste: Netzwerkmitschnitt, Testkorpus, Störungstests, Unterlagen.
  4. PrüfberichtErgebnis je Kriterium, Stufe und Index. Nicht erfüllte Kriterien können Sie nachbessern.
  5. Label und RegisterLabel-Vereinbarung, Kennung, Registereintrag, Logo-Paket und Abzeichen.
  6. VerlängerungJährliche Nachprüfung; Stichproben während der Gültigkeit.

Von der vollständigen Selbstauskunft bis zum Prüfbericht vergehen in der Regel vier Wochen.

Welche Stufe passt?

  • Läuft jede KI-Funktion auf dem Rechner oder Server Ihres Kunden und funktioniert sie offline? → Gold.
  • Betreiben Sie die Modelle selbst auf eigenen oder exklusiv gemieteten Servern im EWR (SaaS)? → Silber, Variante S-a.
  • Nutzen Sie eine Dritt-KI, aber nur für Anfragen ohne personenbezogene Daten, und entscheidet eine Weiche darüber? → Silber, Variante S-b.
  • Senden Sie personenbezogene Inhalte an eine Dritt-KI, pseudonymisieren sie aber vorher? → Bronze.
  • Senden Sie personenbezogene Daten ungeschützt an eine Dritt-KI? → Kein NOCIP-Label. Der Leitfaden zeigt, welche Kriterien Sie für Bronze erfüllen müssten.

Sie beantragen die Stufe, die Sie erwarten. Erfüllt Ihr Produkt sie nicht vollständig, erhält es die höchste Stufe, deren Kriterien es erfüllt.

Was Sie vorbereiten

  • Die ausgefüllte Selbstauskunft mit Modellverzeichnis und Verbindungsliste.
  • Eine Architekturbeschreibung: welche KI-Funktionen es gibt und wo jede verarbeitet wird (ein Datenflussbild genügt).
  • Eine Testinstallation oder einen Testzugang mit allen KI-Funktionen, für mindestens sechs Wochen.
  • Für SaaS: Vertrag zur Auftragsverarbeitung, Liste der Unterauftragsverarbeiter, Hosting-Verträge.
  • Für Bronze und Silber S-b: Vertrag bzw. Bedingungen der Dritt-KI und die gewählte Region.
  • Wenn Ihr Produkt Zertifikats-Pinning nutzt: eine Testversion ohne Pinning oder ein Protokoll der ausgehenden Daten.

Kosten und Prüfstelle

Prüfung und Label sind kostenlos. Ist ein Kriterium nicht erfüllt, können Sie nachbessern; die erste Nachprüfung ist ebenfalls kostenlos.

Die Prüfungen führt die be next GmbH durch. be next bietet mit LexITanon selbst eine Software zur Pseudonymisierung an. Deshalb ist die Prüfcheckliste öffentlich, jede Prüfung folgt ihr, und be next veröffentlicht den vollständigen Prüfbericht ihrer eigenen Produkte. Ihre Unterlagen und Testergebnisse behandeln wir vertraulich.

Nach der Prüfung

  • Sie erhalten den Prüfbericht mit dem Ergebnis für jedes Kriterium, der Stufe und dem Index.
  • Mit der Label-Vereinbarung erhalten Sie die Kennung (z. B. NOCIP-S-2026-0003), das Logo-Paket und das Abzeichen für Ihre Website. Das Abzeichen zeigt immer den aktuellen Stand aus dem Register.
  • Das Label gilt 12 Monate. Änderungen der KI-Architektur melden Sie innerhalb von 30 Tagen, Änderungen mit niedrigerer Stufe vorher.
  • NOCIP kann während der Gültigkeit Stichproben durchführen.

Häufige Fragen

Wir nutzen Modelle eines Cloud-Anbieters in unserem eigenen Konto in Frankfurt. Ist das Silber?

Nein. Modell-Dienste eines Cloud-Anbieters gelten als Dritt-KI, auch bei Hosting in der EU, denn der Cloud-Anbieter führt das Modell aus. Silber S-a setzt voraus, dass Sie die Modelle selbst ausführen. Mit vorgeschalteter Pseudonymisierung ist Bronze möglich.

Unser Produkt hat KI-Funktionen in verschiedenen Stufen. Welche gilt?

Die niedrigste. Das Label beschreibt das Produkt, so wie Kunden es einsetzen. Lässt sich eine Funktion abschalten, können Sie eine Produktvariante ohne sie prüfen lassen.

Sind pseudonymisierte Daten nicht trotzdem personenbezogen?

Für Sie als Absender ja (Art. 4 Nr. 5 DSGVO). Für einen Empfänger ohne Zugang zur Zuordnungstabelle sind sie es nach der Rechtsprechung des EuGH unter Umständen nicht. Bronze verlangt deshalb, dass die Zuordnungstabelle nie übermittelt wird, und verbietet, solche Daten „anonym“ zu nennen.

Unser Produkt lässt Nutzer Fehlerbeispiele an uns senden. Geht das mit Gold?

Ja, wenn der Nutzer jede Meldung selbst auslöst, das Produkt personenbezogene Daten vorher durch erfundene Angaben ersetzt, eine Vorschau genau zeigt, was gesendet wird, und Sie die Meldungen nur zur Verbesserung des Produkts verwenden (Kriterium C-08).

Bekommen wir das Testkorpus vorab?

Nein. Es wird nicht veröffentlicht, damit Ergebnisse vergleichbar bleiben. Die Kategorien und Schwellen stehen im Kriterienkatalog.

Dürfen wir mit dem Label werben, solange die Prüfung läuft?

Nein. Sie dürfen das Label erst nach Abschluss der Label-Vereinbarung zeigen.

Unterlagen und Antrag

Leitfaden, Kriterienkatalog, Selbstauskunft und Prüfcheckliste gibt es in Deutsch und Englisch.

Label beantragen