# Anforderungsprofil: aus Datenklasse und/oder KI-VO-Einstufung
# abgeleitete Menge von Anforderungen, die ein Werkzeug erfüllen muss.
#
# ACHTUNG: "kein_training_auf_eingabe aus intern, personenbezogen und
# höher" in der Produktspezifikation lässt offen, ob auftragsdaten
# (rang 3, zwischen intern und personenbezogen) eingeschlossen sein
# soll — hier bewusst explizit aufgeführt (siehe rules/OPEN.md), damit
# nichts über eine implizite Rangfolge erraten wird.
version: 1
anforderungen:
  - id: avv_erforderlich
    aus_datenklassen: [personenbezogen, besondere_kategorie, auftragsdaten]
    beschreibung: "Auftragsverarbeitungsvertrag mit dem Werkzeug-Anbieter erforderlich"
  - id: eu_verarbeitung
    aus_datenklassen: [berufsgeheimnis, besondere_kategorie]
    beschreibung: "Verarbeitung muss innerhalb der EU stattfinden"
  - id: kein_training_auf_eingabe
    aus_datenklassen: [intern, auftragsdaten, personenbezogen, berufsgeheimnis, besondere_kategorie]
    beschreibung: "Eingaben dürfen nicht zum Training des Werkzeugs verwendet werden"
  - id: loeschfrist_max_tage
    aus_datenklassen: [oeffentlich, intern, auftragsdaten, personenbezogen, berufsgeheimnis, besondere_kategorie]
    beschreibung: "maximale Aufbewahrungsdauer richtet sich nach der Datenklasse"
  - id: menschliche_aufsicht
    aus_einstufungen: [hochrisiko]
    beschreibung: "ein Mensch muss das Ergebnis vor Wirksamkeit prüfen"
  - id: kennzeichnungspflicht
    aus_einstufungen: [transparenzpflicht]
    beschreibung: "das Ergebnis muss als KI-generiert gekennzeichnet werden"
  - id: dsfa_erforderlich
    aus_datenklassen: [besondere_kategorie]
    aus_einstufungen: [hochrisiko]
    beschreibung: "Datenschutz-Folgenabschätzung erforderlich"