AxiomSeal & Regulierung: verifizierbares, DSG-konformes KI-Gedächtnis

AxiomSeal ist ein KI-Gedächtnis, das jede Erinnerung durch 18 Validierungstests prüft, in Gold/Silber/Bronze einstuft und in eine fälschungssichere SHA-512-Kette versiegelt. Ergebnis: Was einmal geprüft und gespeichert ist, kann nicht unbemerkt nachträglich verändert werden. 38 MCP-Tools stehen für Claude, Cursor und weitere Clients bereit.

Live-Beweis der Fälschungssicherheit ohne Login: app.axiomseal.com/proof

Art. 12 (Record-Keeping): Automatische Protokollierung über eon_validate plus Audit-Log-Export — ausgelegt auf die Nachvollziehbarkeit, die Art. 12 erwartet. Bi-temporale Abfragen erlauben „Was war am Datum X wahr?“ ohne Historienverlust.

Fristen (Stand August 2026): Der Digital Omnibus — VO (EU) 2026/1744, in Kraft seit 27. Juli 2026 — hat die Hochrisiko-Pflichten der Art. 8–27 (inkl. Art. 12) vom 2. August 2026 auf den 2. Dezember 2027 verschoben; für KI als Sicherheitsbauteil regulierter Produkte (Anhang I) auf den 2. August 2028. Die Transparenzpflichten nach Art. 50 gelten bereits seit August 2026. Die harmonisierte Norm zum Logging (prEN 18229-1) ist noch nicht im Amtsblatt zitiert; als Verfügbarkeitsziel nennt CEN-CENELEC Q4 2026. Wer jetzt protokolliert, ist vorbereitet, bevor die Norm greift.

Art. 50 (Transparenz): Validierungs-Verdikte und Provenienz sind exportierbar. Von KI erzeugte oder bewertete Inhalte sind als Ergebnis automatisierter Verarbeitung gekennzeichnet (KI-Transparenzhinweis in der Anwendung).

Auftragsverarbeitung gemäss Art. 28 EU-DSGVO und Art. 9 Schweizer DSG — geregelt im Data Processing Agreement (DPA). Betroffenenrechte (Auskunft, Berichtigung, Löschung, Portabilität) werden über das Kundenportal unterstützt (JSON-Export).

Alle Kerndaten werden auf Servern in der Schweiz (St. Gallen) verarbeitet und gespeichert. Es findet keine regelmässige Übermittlung personenbezogener Daten in Drittländer statt — ausser im Rahmen der unten genannten Sub-Auftragsverarbeiter auf Schrems-II-konformer Basis.

• Vertraulichkeit: TLS/HTTPS überall, gehashte API-Key-Speicherung, Mandantentrennung auf DB-Ebene, RBAC.
• Integrität: 18-Test-Validierung bei jeder Speicherung, Audit-Logging, automatische Integritätsprüfung.
• Verfügbarkeit: tägliche versionierte Backups (RPO ≤ 24 h), Health-Checks, automatischer Neustart.
• Belastbarkeit: Rate-Limiting, Eingabevalidierung gegen Injection.

• Audit-Export: Ed25519-signierter, manipulationsevidenter Report jeder versiegelten Memory (volle Hashes, Validierungs-Verdikte, Revisions-Historie, Löschzertifikate) — jedes Siegel beim Download neu geprüft, unabhängig verifizierbar unter /verify oder offline. JSON/CSV/PDF im Kundenportal.
• Löschung: nach Vertragsende innerhalb von 30 Tagen, vorbehaltlich gesetzlicher Aufbewahrung (Art. 958f OR). Schriftliches Löschzertifikat mit Datum und Kategorien.
• Breach-Meldung: Datenschutzverletzungen werden dem Verantwortlichen innerhalb von 48 Stunden nach Bekanntwerden gemeldet.
• Audit-Rechte: Vor-Ort-Audits mit mind. 14 Tagen Vorankündigung; erforderliche Informationen auf Anfrage.

Jede Memory erhält beim Schreiben einen kryptografischen SHA-512-Hash, verkettet mit dem vorherigen Eintrag. Wird ein Eintrag nachträglich verändert, stimmt der Hash nicht mehr — die Kette bricht an genau dieser Stelle und in allem, was danach kommt. Das macht Manipulation sofort erkennbar und ist der Unterschied zu KI-Gedächtnissen, die nur Text speichern.