Verantwortungsvolle-KI-Richtlinie (Responsible AI Policy)

Stand: 30.10.2026

Anbieterin ist die TACP Operations GmbH & Co. KG (nachfolgend „Explicio“; Explicio® ist die eingetragene Unionsmarke der Anbieterin, EUTM 019364127) — siehe Impressum. Dieses Dokument beschreibt transparent, wie Explicio Künstliche Intelligenz einsetzt, und erfüllt die gesetzlichen Transparenzpflichten, insbesondere nach Art. 50 der Verordnung (EU) 2024/1689 (nachfolgend „KI-VO“). Explicio ist Anbieter der hier beschriebenen KI-Systeme (Art. 3 Nr. 3 KI-VO) und nachgelagerter Anbieter der darin eingesetzten KI-Modelle mit allgemeinem Verwendungszweck (Art. 3 Nr. 68 KI-VO); der Kunde ist Betreiber (Art. 3 Nr. 4 KI-VO). Die Rollen und ihre Folgen regelt Ziffer 4.6 der Allgemeinen Geschäftsbedingungen (nachfolgend „AGB“). Diese Richtlinie ist integraler Bestandteil der AGB und der Nutzungsrichtlinie. Sie gilt für die Plattform und ihre Arbeitsoberfläche, die angebundenen Kommunikationskanäle und die Explicio Box; für Explicio Grid gilt sie ergänzend zu dessen Nutzungsbedingungen.

1. Kennzeichnung: Sie sprechen mit einer Maschine

1.1 Antworten, Zusammenfassungen, Verknüpfungsvorschläge, Bild- und Dokumentbeschreibungen, Transkripte und Darstellungen des Assistenten werden maschinell durch Künstliche Intelligenz erzeugt. Sie interagieren an diesen Stellen der Plattform nicht mit einem Menschen. Maschinell erzeugte Ergebnisse können unvollständig oder unzutreffend sein. Die Plattform stützt Antworten so weit wie möglich auf das im jeweiligen Mandanten hinterlegte Wissen, nennt Fundstellen und ist so konfiguriert, dass sie nachfragt, statt Annahmen zu treffen (zu „halluzinieren“), wenn die Wissensbasis eine Frage nicht trägt.

1.2 Wann und wo der Hinweis erscheint (Art. 50 Abs. 1 KI-VO). Der Hinweis, dass eine Person mit einem KI-System interagiert, wird wie folgt erteilt:

• In der Arbeitsoberfläche (Workbench) dauerhaft: durch eine ständige Kopfzeile im Bereich des Assistenten und durch eine Kennzeichnung an jeder einzelnen Antwort des Assistenten. Diese Richtlinie ist aus dem angemeldeten Bereich heraus verlinkt.
• Auf angebundenen Chat-Kanälen (Messenger-, Team-Chat-, SMS- und vergleichbare Dienste): Die erste Antwort des Assistenten in jeder Konversation und bei jeder neu hergestellten Kanalverbindung enthält den Hinweis in der Sprache der nutzenden Person. Der Hinweis wird spätestens alle 90 Tage sowie bei jedem Wechsel des antwortenden Assistenten (etwa auf den Assistenten eines anderen Mandanten) wiederholt. Bei der ersten Kontaktaufnahme stellt sich der Assistent als KI-Assistent vor; wo der Kanal es zulässt, ist das Profil des Assistenten als „KI-Assistent“ bezeichnet.
• Auf dem E-Mail-Kanal: Jede Antwort des Assistenten trägt sichtbar den Vermerk „KI-Assistent · automatisch erzeugte Antwort“.
• Auf reinen Eingangskanälen ohne Dialog (etwa angebundene Sprachaufzeichnungsgeräte): Der Hinweis wird beim Anbinden des Kanals erteilt.

1.3 Maschinenlesbare Kennzeichnung (Art. 50 Abs. 2 KI-VO). Jede vom Assistenten erzeugte Ausgabe wird als künstlich erzeugt gekennzeichnet — technisch wirksam, interoperabel und so robust, wie es für Textausgaben nach dem Stand der Technik möglich ist:

• in der Datenbank der Plattform durch ein Herkunftskennzeichen an jeder Nachricht (Ursprung „Assistent“, eingesetztes Modell, Zeitpunkt, Fassung der Systemanweisung);
• in der Programmierschnittstelle der Plattform durch ein entsprechendes Feld an jeder Nachricht;
• in E-Mails durch die Kopfzeile `X-Explicio-AI-Generated`;
• auf Textkanälen, die keine Metadaten transportieren, durch eine sichtbare Kennzeichnung in der Sprache der nutzenden Person.

Unsichtbare Zeichen-Marker werden nicht verwendet, weil sie nicht robust sind. Die Medien-Engine erzeugt aus Medien Wissen, aber keine Bild-, Ton- oder Videoinhalte; eine Kennzeichnung synthetischer Medien ist daher nicht erforderlich.

1.4 Barrierefreiheit (Art. 50 Abs. 5 KI-VO). Hinweis und Kennzeichnung werden als Text erteilt, nicht allein durch Symbole, und sind für assistive Technologien (Bildschirmleser) auslesbar.

2. Keine Zusicherung der Richtigkeit (Keine Beschaffenheitsvereinbarung)

Explicio stellt die KI-Werkzeuge nach dem Stand der Technik zur Verfügung, sichert die inhaltliche Richtigkeit, Vollständigkeit oder fachliche Eignung maschinell erzeugter Ergebnisse jedoch nicht zu. Die generierten Inhalte und Ergebnisse stellen ausdrücklich keine vertraglich vereinbarte Beschaffenheit der Software dar und begründen keine Garantie. Sie dienen als Entscheidungsgrundlage, sind jedoch keine finale Entscheidung. Die vertragliche Haftungsregelung hierzu findet sich in Ziffer 4 und Ziffer 8 der AGB.

3. Menschliche Prüfung ist Pflicht des Kunden

Entscheidungen, Freigaben und Handlungen auf Grundlage maschinell erzeugter Ergebnisse trifft ausschließlich der Kunde in eigener Verantwortung. Er stellt sicher, dass Ergebnisse vor einer Verwendung mit Außenwirkung durch fachkundige Personen geprüft werden.

Die Plattform unterstützt dies durch strikte System-Freigabeverfahren an jeder Handlung mit Wirkung. Dazu gehören unter anderem:

• Anzeige von Tresor-Werten nur nach Einzelfreigabe ohne Selbstfreigabe,
• Löschung von Unternehmenswissen im Sechs-Augen-Verfahren,
• Bestätigung vorgeschlagener Verknüpfungen im Unternehmenswissen durch den Anwender,
• Moderation eingereichter Meldungen,
• Freigabe von Software-Ständen für die Flotte,
• Freigabe des Mandanten-Vollexports durch eine zweite berechtigte Person,
• Annahme von Angeboten durch den Kunden und gesonderte Freigabe jeder Hardware-Bestellung vor ihrer Ausführung.

Klarstellung zur Transparenz: Die Zusammenführung von Inhalten zum Unternehmenswissen läuft im Hintergrund automatisch; einer menschlichen Bestätigung werden lediglich die vorgeschlagenen Verknüpfungen vorgelegt. Der KI-Assistent trifft keine vollständig automatisierten Entscheidungen mit rechtlicher Wirkung gegenüber natürlichen Personen (Art. 22 DSGVO) und ist an keine Systeme angeschlossen, die Anlagen steuern, Zahlungen freigeben oder Personalmaßnahmen auslösen.

4. Keine Fachberatung

Die Plattform erbringt keine Rechts-, Steuer- oder Wirtschaftsprüfungsberatung, keine medizinische Beratung und keine sicherheitskritische Fachberatung. KI-Ergebnisse ersetzen niemals eine zwingend erforderliche fachliche oder rechtliche Vor-Ort-Prüfung durch qualifizierte Personen.

5. Eingesetzte KI-Systeme, Zweckbestimmung und verbotene Praktiken

5.1 Zweckbestimmung des KI-Systems. Die Zweckbestimmung des KI-Systems „Explicio“ (einschließlich der Plattform, der Explicio Box und Explicio Grid) ist die Erfassung, Organisation, Verknüpfung, Zusammenfassung und Abfrage von Unternehmenswissen für eigene betriebliche Zwecke des Kunden (Ziffer 2 der Nutzungsrichtlinie). Das KI-System dient der Vorbereitung und Unterstützung menschlicher Entscheidungen; es ist nicht für eigenständige Letztentscheidungen mit Außenwirkung bestimmt.

5.2 Verbotene Praktiken (Art. 5 KI-VO). Das KI-System darf unter keinen Umständen für Praktiken eingesetzt werden, die nach Art. 5 der KI-Verordnung verboten sind (insbesondere unterschwellige Beeinflussung, Ausnutzung von Schwächen, Social Scoring, biometrische Kategorisierung, Gesichtserkennungsdatenbanken, Emotionserkennung am Arbeitsplatz/in Bildungseinrichtungen, Reichweitenmessung intimer Darstellungen). Ziffer 4a der Nutzungsrichtlinie gilt ergänzend.

5.3 Hochrisiko-KI-Systeme (Anhang III KI-VO). Das KI-System ist nicht für Zwecke nach Anhang III der KI-Verordnung bestimmt (insbesondere Bewertung, Auswahl, Überwachung oder Entscheidung über natürliche Personen in Beschäftigung, Bildung, Krediteinstufung, Versicherung, Strafverfolgung, Migration oder Justiz). Eine Nutzung für solche Zwecke ist ohne vorherige schriftliche Vereinbarung nach Art. 25 Abs. 4 KI-VO untersagt. Eine menschliche Prüfung allein nimmt einer Nutzung für diese Zwecke nicht die Hochrisiko-Eigenschaft.

5.4 Rollenwechsel bei Zweckänderung (Art. 25 KI-VO). Wird das KI-System durch die Nutzungsweise des Kunden entgegen den Ziffern 5.1 bis 5.3 zu einem Hochrisiko-KI-System, gilt der Kunde nach Art. 25 Abs. 1 lit. c KI-VO als Anbieter des entstehenden KI-Systems und trägt die Anbieterpflichten allein. Explicio wirkt in diesem Fall nur nach Maßgabe der schriftlichen Vereinbarung nach Ziffer 4.6 (c) der AGB gegen Erstattung des Aufwands mit.

5.5 Technische Leitplanken der Modellnutzung. Explicio stellt durch technische Maßnahmen sicher, dass:

• Bild- und Videobeschreibungen Personen nur als solche zählen und räumlich verorten, ohne persönliche Merkmale zu beschreiben (Personen-Zaun);
• keine Diarisierung oder Stimmprofilierung an Sprachaufnahmen vorgenommen wird;
• Nutzungskennzahlen der Konten dem Kunden nur als aggregierte Summen je Rolle bereitgestellt werden, sodass eine individuelle Verhaltenskontrolle ausgeschlossen ist;
• der KI-Assistent an keine Aktoren oder Steuerungssysteme angebunden ist.

6. KI-Modelle: Einsatz, Betrieb und Verarbeitungsorte

6.1 Modelllandschaft. Explicio setzt für Sprachverständnis, Antworterzeugung, Einbettungen und Medienerschließung offene KI-Modelle der Qwen-Familie (Qwen-Team) ein, teilweise in von Dritten quantisierten Fassungen, sowie spezialisierte Modelle für Transkription (Whisper) und Texterkennung (Tesseract). Für Mandanten mit europäischer Verarbeitung (EU-Residenz) laufen Sprachverständnis, Antworterzeugung und Medienerschließung ausschließlich auf von Explicio betriebener Hardware in Deutschland oder auf der Explicio Box des Kunden; ein automatisches Ausweichen dieser Verarbeitungen auf US-Anbieter ist technisch unterbunden, scheitert die eigene Verarbeitung, wird die Anfrage abgelehnt. Die Berechnung der Einbettungen folgt dem für den Mandanten eingerichteten Einbettungsraum, der bei europäischer Verarbeitung ein von Explicio betriebenes Modell ist. Welche Modelle für einen Mandanten jeweils gelten, weist dessen Transparenzblatt aus. Explicio betreibt die Modelle in der Fassung, in der sie bezogen wurden, und verändert ihre Gewichte nicht (Ziffer 7).

6.2 Globale Verarbeitung. Für Mandanten, deren Administrator die globale Verarbeitung aktiviert hat (Ziffer 4.6 (a) der AGB, Ziffer 4 der Datenschutzerklärung), werden für Sprachverständnis, Antworterzeugung oder Medienerschließung bei hoher Auslastung zusätzlich Sprachmodelle des Anbieters Google (Gemini-Familie) über dessen Programmierschnittstelle auf von Google betriebener Infrastruktur in den USA eingesetzt. Die Nutzung erfolgt unter den kostenpflichtigen Bedingungen der Gemini API; die übermittelten Daten werden vom Anbieter nicht für das Training eigener Modelle genutzt.

6.3 Transparenzblatt je Mandant. Explicio stellt für jeden Mandanten ein Transparenzblatt bereit, das die aktuell für diesen Mandanten geltenden KI-Systeme, Modelle, Verarbeitungsorte, Kanäle und Grenzen des Systems ausweist. Das Transparenzblatt wird bei jedem Modellwechsel oder bei Änderungen der Verarbeitungsregion fortgeschrieben.

6.4 Explicio Box und Explicio Grid. Auf einer Explicio Box laufen dieselben offenen Modelle lokal auf dem Gerät des Kunden; Daten fließen für den Modellbetrieb nicht an Explicio. Für Explicio Grid gilt das Modellblatt nach Anlage A der Nutzungsbedingungen Explicio Grid.

7. Kein Training und kein Fine-Tuning mit Kundendaten

Explicio trainiert und verändert keine KI-Modelle mit den Daten des Kunden. Eingebrachtes Wissen, Konversationen und Medien werden ausschließlich als Kontext für die Bearbeitung der jeweiligen Anfrage genutzt (Retrieval-Augmented Generation / RAG) und fließen zu keinem Zeitpunkt in die Gewichte oder Parameter von Modellen ein. Explicio nimmt an den eingesetzten Modellen kein Fine-Tuning mit Kundendaten vor. Ein modellübergreifendes Lernen findet nicht statt.

8. Vorfallmanagement, Schwachstellen und Transparenz

8.1 Meldewege. Sicherheitsbezogene Auffälligkeiten, Schwachstellen oder der Verdacht von Sicherheitsverletzungen an KI-Systemen können jederzeit über die in der Sicherheitserklärung und in der `security.txt` genannten Wege gemeldet werden. Für Hinweise auf Verstöße gegen die KI-Verordnung oder den Datenschutz steht zusätzlich die interne Meldestelle (Ziffer 8 der Datenschutzerklärung) zur Verfügung.

8.2 Vorfallbehandlung. Explicio führt ein internes Vorfallsregister und bearbeitet gemeldete oder erkannte Vorfälle nach einem strukturierten Prozess (Erfassung, Bewertung, Eindämmung, Behebung, Nachbereitung). Vorfälle, die personenbezogene Daten betreffen, werden nach Maßgabe des AVV binnen 24 Stunden an den Kunden gemeldet; Sicherheitsvorfälle an Explicio-Boxen werden nach den Box-Service-Bedingungen binnen 72 Stunden mitgeteilt.

8.3 Regressionstests und Prüfsets. Explicio prüft den Software-Stack der KI-Systeme vor jeder Freigabe mit einem festen Prüffall-Satz (Golden Set) auf unerwartetes Verhalten, Halluzinationsneigung, Einhaltung der Systemanweisungen und Sicherheit gegen Manipulationsversuche (Prompt-Injection).

9. Keine ungedeckten Zusagen (Claims-Disziplin)

Explicio wirbt nicht mit Zertifizierungen, Attestierungs- oder Vertraulichkeitseigenschaften, die technisch nicht belastbar nachgewiesen sind. Explicio richtet sein Managementsystem für Informationssicherheit und KI an den Normen ISO/IEC 27001 und ISO/IEC 42001 aus, ist nach diesen Normen jedoch nicht zertifiziert und bezeichnet sich nicht so. Verfahren, die eine vertrauliche Ausführung auf attestierter Hardware voraussetzen (Confidential Computing), werden erst dann als Funktion beworben und freigeschaltet, wenn diese Attestierung im Produktivbetrieb nachweisbar und fehlerfrei läuft.

10. KI-Kompetenz (Art. 4 KI-VO)

10.1 Gemeinsame Pflicht. Anbieter und Betreiber von KI-Systemen sorgen nach besten Kräften dafür, dass die Personen, die mit dem System arbeiten, über ausreichende KI-Kompetenz verfügen (Art. 4 KI-VO). Explicio unterstützt den Kunden dabei; die Verantwortung für die Kompetenz der eigenen Beschäftigten bleibt beim Kunden (Ziffer 4.6 der AGB).

10.2 Was Explicio bereitstellt:

• eine Einführungskarte „Was der Assistent kann und nicht kann“ für jede Person bei der ersten Nutzung, mit der Aufforderung, Antworten zu prüfen und Fundstellen zu nutzen;
• einen dauerhaften Grenzenhinweis in der Arbeitsoberfläche;
• das Transparenzblatt je Mandant nach Ziffer 6.3;
• Unterweisungsmaterial in Textform auf Anfrage, das die Grenzen des Assistenten, das Risiko erfundener Inhalte (Halluzination), die Manipulation durch eingeschleuste Anweisungen (Prompt-Injection), den Umgang mit personenbezogenen Daten, die Rollen und Freigabeverfahren sowie den Meldeweg erklärt;
• diese Richtlinie, verlinkt aus dem angemeldeten Bereich.

10.3 Was Explicio intern tut. Explicio unterweist die eigenen Beschäftigten, die KI-Systeme entwickeln, betreiben oder für den Support nutzen, und dokumentiert die Unterweisung.

10.4 Was der Kunde tut. Der Kunde informiert die Personen, die den Assistenten in seinem Auftrag nutzen, über dessen Grenzen, die Prüfpflicht nach Ziffer 3 und den Meldeweg nach Ziffer 8; er kann dafür die Materialien nach Ziffer 10.2 verwenden. Er benennt die Personen, die berechtigt sind, systemseitige Freigaben zu erteilen (Ziffer 5.4 der AGB).