Richtlinie zur verantwortungsvollen KI-Nutzung

1. Zweck und Geltungsbereich

Diese Richtlinie zur verantwortungsvollen KI-Nutzung beschreibt, wie AuthSafe KI-gestützte Tools bei Softwareentwicklung, Dokumentation, Supportprozessen und internen Workflows einsetzen kann. Diese Richtlinie gilt für alle Mitarbeitenden, Auftragnehmer und autorisierten Beitragenden, die KI-generierte Inhalte in Verbindung mit AuthSafe-Systemen, -Produkten oder -Diensten verwenden.

2. Erfasste KI-Tools

Zu den erfassten Tools gehören Coding- und Content-Assistenten, einschließlich GitHub Copilot und ähnlicher auf großen Sprachmodellen basierender Systeme. AuthSafe kann diese Richtlinie aktualisieren, wenn weitere KI-Tools eingeführt werden.

3. Grundprinzipien

• Menschliche Verantwortung: KI-Ausgaben sind unterstützend. Menschliche Prüfer bleiben vollständig verantwortlich für finale Entscheidungen, Codequalität, Sicherheit und Compliance.

• Sicherheit standardmäßig: Alle KI-generierten Codes müssen vor der Veröffentlichung den Secure-Development-Lifecycle-Prüfungen entsprechen.

• Datenschutz: Sensible Daten dürfen nur bei ausdrücklicher Genehmigung und vertraglicher Absicherung in Prompts verwendet werden.

• Nachvollziehbarkeit: Wesentliche KI-unterstützte Änderungen sollen über reguläre Repository-, Audit- und Change-Management-Kontrollen nachvollziehbar sein.

4. Spezifische Risikohinweise zu GitHub Copilot

Die Nutzung von GitHub Copilot und ähnlichen Tools kann Risiken mit sich bringen, unter anderem:

• Falsche oder halluzinierte Ausgaben: Generierter Code kann funktional falsch, unvollständig oder irreführend sein.

• Sicherheitslücken: Vorschläge können unsichere Muster enthalten (z. B. Injection-Risiken, schwache Kryptografie, fehlerhafte Auth-/Session-Verarbeitung).

• Risiko beim geistigen Eigentum: Vorgeschlagene Ausgaben können Drittcode oder Muster ähneln und damit potenzielle Lizenz- oder Attributionsrisiken verursachen.

• Datenschutz- und Datenexpositionsrisiko: Prompt-Inhalte können vertrauliche Informationen enthalten, wenn keine geeigneten Datenhandhabungskontrollen angewendet werden.

• Abhängigkeits- und Supply-Chain-Risiko: KI-Ausgaben können auf veraltete, verwundbare oder nicht mehr gepflegte Pakete und Implementierungsmuster verweisen.

• Bias und Qualitätsdrift: Generierte Texte oder Logik können voreingenommene Annahmen, veraltete Praktiken oder kontextunangemessene Empfehlungen enthalten.

• Compliance-Abweichung: Ausgaben können vertragliche, regulatorische oder interne Richtlinienanforderungen verfehlen.

5. Verbindliche Kontrollen

• KI-generierter Code muss vor dem Merge einem Peer-Review unterzogen werden.

• Sicherheitsscans, Abhängigkeitsprüfungen und Tests müssen vor der Bereitstellung erfolgreich sein.

• Entwickler dürfen keine Secrets, Tokens, privaten Schlüssel, personenbezogenen Kundendaten oder regulierten Daten in Prompts einfügen, sofern dies nicht ausdrücklich autorisiert ist.

• Ausgaben mit potenziellen Lizenzbedenken müssen geprüft und gegebenenfalls umgeschrieben oder entfernt werden.

• Bereiche mit hoher Auswirkung (Auth, Kryptografie, Session-/Sicherheitskontrollen, Billing, Compliance und Datenexport) erfordern eine verstärkte manuelle Prüfung.

6. Verbotene Nutzung

• Nutzung von KI-Ausgaben ohne menschliche Prüfung in produktionskritischen Pfaden.

• Eingabe vertraulicher Kunden- oder Partnerinformationen in nicht freigegebene KI-Systeme.

• Darstellung KI-generierter Aussagen als rechtliche, Compliance- oder Sicherheitsbewertungen ohne qualifizierte Prüfung.

• Nutzung von KI-Tools zur Erstellung bösartiger Software, Umgehung von Kontrollen oder Verletzung geltenden Rechts.

7. Offenlegung gegenüber Kunden und Nutzern

AuthSafe kann KI-gestützte Tools in Teilen der Softwareentwicklung und Dokumentationsworkflows einsetzen. KI-Unterstützung ersetzt nicht die Verantwortung von AuthSafe für sichere Entwicklung, Validierung und vertragliche Compliance.

8. Keine Gewähr für KI-Ausgaben

KI-generierte Ausgaben werden unterstützend bereitgestellt und können Fehler oder Auslassungen enthalten. Sofern in anwendbaren Vereinbarungen nicht ausdrücklich anders geregelt, lehnt AuthSafe Gewährleistungen ab, dass KI-Ausgaben fehlerfrei, vollständig, frei von Rechten Dritter oder für einen bestimmten Zweck geeignet sind.

9. Richtlinienaktualisierungen

Wir können diese Richtlinie überarbeiten, um rechtliche Anforderungen, technologische Änderungen oder operative Bedürfnisse abzubilden. Aktualisierte Versionen werden auf dieser Seite veröffentlicht und gelten sofort, sofern nicht anders angegeben.

10. Kontakt

Bei Fragen zu dieser Richtlinie kontaktieren Sie support@authsafe.in.