Maschinelle Übersetzung: noch nicht von einem professionellen Übersetzer geprüft. (Machine translation — not yet professionally reviewed)
Cytra Compliance-Playbook
Wie wir die Standardkategorien umsetzen aus NIST AI RMF, ISO/IEC 42001 und dem EU AI Act.
Die fünf CARGO-Säulen — Control, Assessment, Records, Guardrails und Oversight — sind die Art, wie wir die Standard-Kontrollkategorien dieser Rahmen in zwanzig Zielbereiche ordnen. Wir haben die Kategorien nicht erfunden und behaupten das nicht; CARGO ist die Linse, die sie einmal abbildet, damit Sie sie überall belegen können. Cytra hält Sie ausgerichtet und prüfungsbereit, nicht zertifiziert.
CARGO — Cytra AI Regulatory and Governance Objectives — ist der offene Rahmen, den Cytra entwickelt hat und veröffentlicht. Dieselben fünf Buchstaben benennen die fünf Säulen: Control, Assessment, Records, Guardrails und Oversight. Die Linse ist unsere und offen veröffentlicht; „CARGO“ ist schlicht unsere interne Namenskonvention dafür. Die Kontrollziele selbst sind nicht neu und keine Erfindung von Cytra — sie sind die Standardanforderungen von NIST AI RMF und ISO/IEC 42001:2023, ausgerichtet am EU AI Act. Die Normen leisten die Arbeit.
Compliance als Nachweis
Das Playbook ist kein Ordner — es speist sich aus dem, was läuft.
Cytra Gateway, unser verwaltetes Gateway für Werkzeugaufrufe von KI-Agenten, behandelt jeden gesteuerten Aufruf als strukturierten, signierten Nachweis. Diese Nachweise laufen in denselben fünf Säulen zusammen, die das Playbook beschreibt, sodass die Belege hinter einer Kontrolle laufende Laufzeit-Telemetrie sind — abgebildet auf die Kontrollziele von NIST AI RMF, ISO/IEC 42001 und dem EU AI Act — und kein nachträglich zusammengestelltes Dokument.
Zur Haltung, genau: Cytra ist ausgerichtet, nicht zertifiziert. Wir bilden Nachweise auf diese Rahmen ab; wir behaupten nicht, dass eine Zertifizierung erteilt wurde, und Cytra Gateway befindet sich derzeit in der privaten Beta.
Fünf Säulen, zwanzig Zielbereiche
Die fünf CARGO-Säulen — und die Standardkategorien, die jede trägt.
Steuerung und Verantwortlichkeit
NIST AI RMF Govern · ISO/IEC 42001:2023 §5 · EU AI Act Art. 4
Das Governance-Rückgrat — wer das KI-Risiko trägt, und die Regeln und Menschen, die den Rest durchsetzbar machen.
- Governance-Struktur und Verantwortlichkeit — benannte Eigentümer und ein funktionsübergreifender KI-Risikoausschuss.
- Richtlinie, Standards und Risikoappetit.
- Rollen, Kompetenz und KI-Kompetenz (EU AI Act Art. 4).
- Governance von Dritten und der Lieferkette — Modellanbieter, Datenlieferanten, Agentenwerkzeuge.
Bewertung und Risiko
NIST AI RMF Map · Measure · ISO/IEC 42001:2023 §6 · EU AI Act Art. 6, 9, 10, 27
Wissen, welche KI Sie betreiben, sie nach Risiko einstufen und ihre Wirkung über einen fortlaufenden Lebenszyklus bewerten.
- KI-Inventar und Systemeinstufung (EU AI Act Art. 6 / Annex III).
- Risiko- und Folgenabschätzung, einschließlich der Grundrechte-Folgenabschätzung (Art. 27).
- Fortlaufender Risikomanagement-Lebenszyklus (Art. 9).
- Daten-Governance und Datenqualität (Art. 10).
Nachweise und Belege
NIST AI RMF Measure · ISO/IEC 42001:2023 §7.5, §9.2 · EU AI Act Art. 11, 12 · Annex IV
Die Beweisschicht — die Säule, die sich mit Dokumenten allein am schwersten erfüllen lässt, weil sie Belege dafür verlangt, was die KI getan hat.
- Technische Dokumentation (EU AI Act Art. 11 / Annex IV).
- Automatische Protokollierung und Aufbewahrung (Art. 12).
- Manipulationssichere Belege und Aufbewahrung — eine Hash-Chain / WORM-Aufzeichnung je Mandant.
- Konformitäts- und Prüfungsbereitschaft (Art. 43).
Leitplanken und Betrieb
NIST AI RMF Manage · ISO/IEC 42001:2023 §8 · EU AI Act Art. 14, 15
Kontrollen, die dort wirken, wo die KI läuft, bevor eine Aktion endet — einschließlich jedes Agenten-Werkzeugaufrufs.
- Betriebliche Schutzmaßnahmen und Laufzeitrichtlinie — Freigabeschranken, Budgetdecken, ein Stoppschalter für die bedienende Person.
- Sicherheit, Robustheit und Resilienz (Art. 15).
- Überwachung von Verzerrung, Fairness und Leistung — geplante Messung auf konfigurierten Eval-Datensätzen, mit prüfbaren Abweichungsereignissen.
- Governance von Agenten und nicht-menschlichen Identitäten (NHI).
Aufsicht und Verbesserung
NIST AI RMF Manage · Govern · ISO/IEC 42001:2023 §9, §10 · EU AI Act Art. 13, 14, 50, 72, 73
Menschen in der Führung halten und den Kreis schließen, wenn sich Risiken und Regeln ändern.
- Menschliche Aufsicht und Eingriff (Art. 14) — Understand, Monitor, Intervene, Stop.
- Transparenz und Kommunikation (Art. 13, Art. 50).
- Beobachtung nach dem Inverkehrbringen und Vorfallreaktion (Art. 72, Art. 73).
- Überprüfung, interne Prüfung und fortlaufende Verbesserung.
Rahmen-Überblick
- Säulen
- 05
- Zielbereiche
- 20
- Haltung
- Ausgerichtet
Ausgerichtet und prüfungsbereit, nicht zertifiziert.
Offener Rahmen CC BY 4.0
Nehmen Sie den Rahmen. Er gehört Ihnen.
Der CARGO-Rahmen erscheint kostenlos unter Creative Commons Attribution 4.0 (CC BY 4.0) — übernehmen Sie ihn, passen Sie ihn an und bauen Sie darauf auf, mit Namensnennung. Die Namen und Logos „CARGO“ und „Cytra“ bleiben unsere; die Kontrollziele sind die Standardziele aus NIST AI RMF, ISO/IEC 42001 und dem EU AI Act, deshalb gehört der Rahmen allen. v0.1 ist in der abschließenden öffentlichen Durchsicht — hinterlegen Sie Ihre E-Mail, und wir senden das vollständige PDF in dem Moment, in dem der öffentliche Entwurf aufgeht.
Nächster Schritt das Playbook in Betrieb nehmen
Machen Sie aus den Normen einen Nachweis, wie Ihre KI läuft.
Cytra bildet Ihre Kontrollen einmal ab und macht aus dem Lauf Ihrer KI fortlaufende Belege über alle fünf Säulen — damit Sie die Ausrichtung an NIST AI RMF, ISO/IEC 42001 und dem EU AI Act zeigen können, ohne den Aufwand zu verdoppeln. Das verwaltete Gateway, das die Belege erzeugt, ist in der privaten Beta; erzählen Sie uns von Ihrer KI, und wir grenzen den frühen Zugang ab.