Die Frage hinter der Frage
Bei einer Prüfung wird nicht gefragt, ob Sie ein Werkzeug einsetzen. Gefragt wird, was am 14. eines Monats mit einem bestimmten Inhalt passiert ist. Das ist eine Frage an ein Protokoll, nicht an eine Produktbeschreibung.
Was dokumentiert wird
Nach dem Betriebshandbuch: jede Routing-Entscheidung wird dokumentiert — lokal oder Cloud, die Begründung, die Merkmale, die zu ihr geführt haben. Die Audit-Logs sind immutable, also nachträglich nicht änderbar. Und: kein PII in den Logs.
Der letzte Punkt ist keine Einschränkung, sondern der Zweck. Ein Protokoll, das den sensiblen Inhalt mitschreibt, um seinen Schutz zu belegen, ist ein zweites Leck.
Was bewusst nicht drinsteht
- Der Prompt im Klartext. Siehe oben.
- Im Ephemeral-Modus auch die Entscheidung ohne Inhalte. Dort verzeichnet das Log nur die Routing-Entscheidung; der Nutzer sieht im Chat den Hinweis, dass nichts gespeichert wird.
- Was der Anbieter nach dem Empfang tut. Belegbar ist, was das Modell empfangen hat. Was danach in fremder Infrastruktur geschieht, kann kein Protokoll auf Ihrer Seite bezeugen.
Warum das der Unterschied ist
Andere verlagern die Inspektion in Ihre Umgebung. Der Punkt ist, den Nachweis zu verlagern: Klassifikation, Maskierung und Routing-Entscheidung werden an der Grenze protokolliert und sind exportierbar. Ein Perimeter, den Sie nicht belegen können, ist keiner.
Redlichkeitshinweis. Diese Seite beschreibt, was das Betriebshandbuch zusichert: dokumentierte Entscheidungen, immutable Logs, kein PII. Weitergehende kryptografische Zusicherungen werden hier nicht behauptet.