Zusammenfassung

  • In Fassung 02 des individuellen VAP-Entwurfs vom 24. Oktober verschwand „evidentiary-grade“ aus Titel und Text. Der Autor nennt die KI-Entscheidungsspuren nun prüfbar und überlässt die Annahme als Beweismittel der zuständigen Behörde oder dem Gericht.
  • Ein extern verankerter Stapel kann nachträgliche Auslassungen sichtbar machen. Für einen Vorgang, der nie erfasst wurde und keine andere Spur hinterließ, fehlt der Vergleichspunkt. Der Entwurf nennt keine bekannte externe Implementierung und kein in einem Verfahren angenommenes VAP-Evidence-Pack.

Der Beweisstempel ohne Stempelstelle

Zwischen zwei Fassungen eines Internet-Drafts wurde eine Behauptung kleiner und der Text dadurch stärker. Fassung 01 versprach „Evidentiary-Grade AI Decision Trails“. Fassung 02 vom 24. Oktober spricht von „Auditable AI Decision Trails“. Im Änderungsvermerk steht der Grund: Eine zuständige Stelle oder ein Gericht entscheidet über die Annahme eines Datensatzes als Beweis. Der Entwickler einer Protokollidee kann diese Entscheidung nicht durch eine Überschrift vorwegnehmen.

Für einen Betreiber, der ein KI-Auditsystem einkauft, ist das mehr als Wortpflege. Ein unterschriebener Eintrag, ein kryptografischer Beleg und eine veröffentlichte Prüfsumme können zeigen, dass ein bestimmter Datensatz später nicht unbemerkt ausgetauscht wurde. Ob der Datensatz ursprünglich wahr war, ob die richtige Handlung überhaupt erfasst wurde und welche Rolle er in einem Streit spielt, erfordert andere Unterlagen und andere Entscheider. Wer diese Fragen in einem einzigen Qualitätssiegel bündelt, verschiebt die eigentliche Prüfung bis nach dem Kauf.

Im IETF-Datatracker ist VAP ein aktiver individueller Internet-Draft ohne formale Stellung im Standardisierungsprozess. Der Autor schlägt eine Architektur vor, die SCITT, RATS und COSE verbindet. Der veröffentlichte RFC 9943 beschreibt für SCITT unter anderem signierte Aussagen, Transparenzdienste, Aufnahmebedingungen und Belege. VAP soll solche vorhandenen Bausteine für die Herkunft automatisierter Entscheidungen zusammensetzen. Ein fertiger Baustein macht die neue Konstruktion noch nicht zu einem beschlossenen IETF-Werk.

Der geschlossene Stapel hat einen offenen Eingang

Die technische Aussage über Vollständigkeit wurde ebenfalls enger gefasst. Ein Stapelversprechen soll mindestens die Zahl der Einträge, die Kennungen des ersten und letzten Eintrags sowie die Kennung der Produktionsregel binden. Nach externer Verankerung lässt sich eine später präsentierte Fassung gegen diesen Zustand halten. Fehlt ein bereits gebundener Eintrag, stimmt die Darstellung nicht mehr. Reihenfolgelücken können weitere Hinweise liefern. Für die Abwehr nachträglicher Geschichtskorrektur ist das ein ernstzunehmendes Werkzeug.

Die schwierigere Macht sitzt am Eingang. Eine Entscheidung, die der Produzent nie einliefert und auf die kein anderer Datensatz verweist, erscheint in keinem Merkle-Beweis. Der Entwurf räumt das ausdrücklich ein. Eine vorab festgelegte Menge erwarteter Einträge oder eine Regel zu ihrer Ableitung steht unter möglicher künftiger Arbeit. Das Siegel schützt den Inhalt des definierten Stapels. Wer den Erfassungsplan bestimmt, bestimmt weiterhin, welche Wirklichkeit überhaupt auf dem Prüfstand landet.

Hinzu kommt die Wahl des externen Zeugen. Die getrennte VSO-Anforderungssammlung, auf die der Autor verweist, sieht signierte Stapelwurzeln bei unabhängigen Systemen und einen Plan für deren Ausfall vor. Das Intervall der Verankerung bestimmt, wie lange ein neuer Stapel allein im Einflussbereich des Betreibers bleibt. Ein Zeitstempeldienst belegt den Zeitpunkt einer vorgelegten Wurzel; er garantiert für sich genommen keine einheitliche Sicht für alle Empfänger. Wer eine widersprüchliche Doppelansicht erkennen will, muss den Austausch der Verankerungen entsprechend gestalten. Diese Entscheidungen gehören in die konkrete Betriebsakte.

Die neu eingeführte Sektion zum Implementierungsstand setzt einen nüchternen Maßstab. Laut Entwurf gibt es keine bekannte externe Implementierung von VAP oder einem VAP-Profil. Kein Evidence Pack sei bislang in einem regulatorischen, gerichtlichen oder Auditverfahren angenommen worden. Die vom Projekt beschriebenen Forschungswerkzeuge arbeiten mit synthetischen Fällen; eine unabhängige Reproduktion ist im Text nicht belegt. Für ein Produktversprechen ist das der entscheidende Satz. Externe Nachbauten, ein vorher gebundener Erfassungsumfang und die dokumentierte Annahme eines Pakets in einem benannten Verfahren würden den Befund verändern.

Der Autor will die Idee zunächst bei SecDispatch besprechen, SCITT und RATS um Rückmeldung bitten und erst danach über einen Arbeitsort entscheiden. Das Verfahren ist offen. Die überarbeitete Überschrift ist schon jetzt eine nützliche Grenzmarke: Prüfbare Aufzeichnung ist eine technische Eigenschaft; Beweiswürdigung ist eine institutionelle Handlung.

Quellen