{
  "schema_version": "2.0",
  "updated": "2026-10-05",
  "principle": "Normalisierte Governance-Controls. Unknown ist nicht false. Taxonomie-Erweiterungen erzeugen keine Produktfakten; Signale benötigen feldgenaue Primärquellen.",
  "official_legal_sources": [
    {
      "name": "EU AI Act – Regulation (EU) 2024/1689",
      "url": "https://eur-lex.europa.eu/eli/reg/2024/1689",
      "relevant_articles": [
        "12",
        "13",
        "14",
        "15"
      ]
    },
    {
      "name": "GDPR – Regulation (EU) 2016/679",
      "url": "https://eur-lex.europa.eu/eli/reg/2016/679/",
      "relevant_articles": [
        "5",
        "28",
        "32"
      ]
    }
  ],
  "controls": [
    {
      "path": "privacy.residency.available",
      "label": "Data Residency",
      "pillar": "privacy",
      "description": "Ob der Anbieter für den relevanten Produkt-/Tarif-Scope Datenresidenz öffentlich dokumentiert.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [],
        "gdpr": [
          {
            "article": "Art. 5",
            "label": "Grundsätze für die Verarbeitung personenbezogener Daten",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [
        "data residency",
        "datenresidenz",
        "eu hosting",
        "region"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "privacy.residency.customer_region_selectable",
      "label": "Region auswählbar",
      "pillar": "privacy",
      "description": "Ob Kunden eine dokumentierte Region für den relevanten Scope auswählen können.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [],
        "gdpr": [
          {
            "article": "Art. 5",
            "label": "Grundsätze für die Verarbeitung personenbezogener Daten",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "privacy.residency.region",
      "label": "Dokumentierte Region",
      "pillar": "privacy",
      "description": "Welche Region oder Regionen die Primärquelle konkret nennt.",
      "value_kind": "value",
      "default_requirement": "documented",
      "legal_context": {
        "eu_ai_act": [],
        "gdpr": [
          {
            "article": "Art. 5",
            "label": "Grundsätze für die Verarbeitung personenbezogener Daten",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "privacy.training.customer_data",
      "label": "Kundendaten für Training",
      "pillar": "privacy",
      "description": "Ob die Primärquelle die Nutzung von Kundendaten für Modelltraining bejaht oder verneint.",
      "value_kind": "boolean",
      "default_requirement": "documented_false",
      "legal_context": {
        "eu_ai_act": [],
        "gdpr": [
          {
            "article": "Art. 5",
            "label": "Grundsätze für die Verarbeitung personenbezogener Daten",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [
        "customer data training",
        "kundendaten training",
        "training data"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "security.encryption.at_rest",
      "label": "Verschlüsselung at rest",
      "pillar": "security",
      "description": "Dokumentierte Verschlüsselung gespeicherter Daten im relevanten Scope.",
      "value_kind": "value",
      "default_requirement": "documented",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 15",
            "label": "Robustheit und Cybersicherheit bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": [
          {
            "article": "Art. 32",
            "label": "Sicherheit der Verarbeitung",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "security.encryption.in_transit",
      "label": "Verschlüsselung in transit",
      "pillar": "security",
      "description": "Dokumentierte Verschlüsselung bei der Übertragung.",
      "value_kind": "value",
      "default_requirement": "documented",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 15",
            "label": "Robustheit und Cybersicherheit bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": [
          {
            "article": "Art. 32",
            "label": "Sicherheit der Verarbeitung",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "security.customer_managed_key",
      "label": "Customer-Managed Keys",
      "pillar": "security",
      "description": "Ob kundenseitig verwaltete Schlüssel bzw. BYOK dokumentiert sind.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 15",
            "label": "Robustheit und Cybersicherheit bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": [
          {
            "article": "Art. 32",
            "label": "Sicherheit der Verarbeitung",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "security.soc2_type2",
      "label": "SOC 2 Type 2",
      "pillar": "security",
      "description": "Ob der Anbieter SOC 2 Type 2 für den relevanten Produkt-Scope dokumentiert.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 15",
            "label": "Robustheit und Cybersicherheit bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": [
          {
            "article": "Art. 32",
            "label": "Sicherheit der Verarbeitung",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.sso.saml",
      "label": "SAML SSO",
      "pillar": "security",
      "description": "Dokumentierte SAML-SSO-Unterstützung.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 15",
            "label": "Robustheit und Cybersicherheit bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": [
          {
            "article": "Art. 32",
            "label": "Sicherheit der Verarbeitung",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.sso.oidc",
      "label": "OIDC SSO",
      "pillar": "security",
      "description": "Dokumentierte OIDC-SSO-Unterstützung.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 15",
            "label": "Robustheit und Cybersicherheit bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": [
          {
            "article": "Art. 32",
            "label": "Sicherheit der Verarbeitung",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.scim",
      "label": "SCIM",
      "pillar": "security",
      "description": "Dokumentierte SCIM-Provisionierung.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 15",
            "label": "Robustheit und Cybersicherheit bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": [
          {
            "article": "Art. 32",
            "label": "Sicherheit der Verarbeitung",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.rbac",
      "label": "RBAC",
      "pillar": "security",
      "description": "Dokumentierte rollenbasierte Zugriffskontrolle.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 15",
            "label": "Robustheit und Cybersicherheit bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": [
          {
            "article": "Art. 32",
            "label": "Sicherheit der Verarbeitung",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.custom_roles",
      "label": "Custom Roles",
      "pillar": "security",
      "description": "Dokumentierte benutzerdefinierte Rollen oder granulare Rollenmodelle.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 15",
            "label": "Robustheit und Cybersicherheit bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": [
          {
            "article": "Art. 32",
            "label": "Sicherheit der Verarbeitung",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.human_approval",
      "label": "Human Approval",
      "pillar": "control",
      "description": "Dokumentierte menschliche Freigabe in agentischen Abläufen.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 14",
            "label": "Menschliche Aufsicht bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [
        "human approval",
        "menschliche freigabe",
        "approval"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.approval.pre_action",
      "label": "Pre-Action Approval",
      "pillar": "control",
      "description": "Dokumentierte Freigabe vor einer risikorelevanten Aktion.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 14",
            "label": "Menschliche Aufsicht bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.human_oversight",
      "label": "Human Oversight",
      "pillar": "control",
      "description": "Dokumentierte Mechanismen für menschliche Aufsicht.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 14",
            "label": "Menschliche Aufsicht bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [
        "human oversight",
        "menschliche aufsicht"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.permission_controls",
      "label": "Permission Controls",
      "pillar": "control",
      "description": "Dokumentierte Berechtigungskontrollen für Agenten oder Workflows.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 14",
            "label": "Menschliche Aufsicht bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.policy_controls",
      "label": "Policy Controls",
      "pillar": "control",
      "description": "Dokumentierte Richtlinien-/Policy-Kontrollen für Agenten oder Aktionen.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 14",
            "label": "Menschliche Aufsicht bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.tool_permissions",
      "label": "Tool Permissions",
      "pillar": "control",
      "description": "Dokumentierte Steuerung, welche Tools ein Agent nutzen darf.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 14",
            "label": "Menschliche Aufsicht bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.action_permissions",
      "label": "Action Permissions",
      "pillar": "control",
      "description": "Dokumentierte Steuerung zulässiger Aktionen.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 14",
            "label": "Menschliche Aufsicht bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.delegation_controls",
      "label": "Delegation Controls",
      "pillar": "control",
      "description": "Dokumentierte Grenzen für Delegation an andere Agenten/Komponenten.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 14",
            "label": "Menschliche Aufsicht bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.kill_switch",
      "label": "Kill Switch",
      "pillar": "control",
      "description": "Dokumentierte Möglichkeit, agentische Ausführung zu stoppen/deaktivieren.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 14",
            "label": "Menschliche Aufsicht bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.rollback",
      "label": "Rollback",
      "pillar": "control",
      "description": "Dokumentierte Rücknahme oder Wiederherstellung nach Aktionen.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 14",
            "label": "Menschliche Aufsicht bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.audit_logs.available",
      "label": "Audit Logs",
      "pillar": "trace",
      "description": "Ob Audit-/Compliance-Logs öffentlich dokumentiert sind.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 12",
            "label": "Aufzeichnungspflichten bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [
        "audit logs",
        "audit-log",
        "protokollierung"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.audit_logs.retention_days",
      "label": "Audit-Log-Aufbewahrung",
      "pillar": "trace",
      "description": "Dokumentierte Aufbewahrungsdauer von Audit-/Compliance-Logs.",
      "value_kind": "value",
      "default_requirement": "documented",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 12",
            "label": "Aufzeichnungspflichten bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.audit_logs.api",
      "label": "Audit Log API",
      "pillar": "trace",
      "description": "Ob Audit-/Compliance-Logs programmgesteuert abrufbar sind.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 12",
            "label": "Aufzeichnungspflichten bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.audit_logs.siem_export",
      "label": "SIEM Export",
      "pillar": "trace",
      "description": "Ob Export/Integration in SIEM-Systeme dokumentiert ist.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 12",
            "label": "Aufzeichnungspflichten bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "observability.available",
      "label": "Observability",
      "pillar": "trace",
      "description": "Ob Observability-/Monitoring-Funktionen dokumentiert sind.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 12",
            "label": "Aufzeichnungspflichten bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "observability.tracing",
      "label": "Tracing",
      "pillar": "trace",
      "description": "Ob Ablauf-/Trace-Daten für agentische Ausführung dokumentiert sind.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 12",
            "label": "Aufzeichnungspflichten bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [
        "tracing",
        "trace"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.audit_logs.action_level",
      "label": "Action-Level Audit",
      "pillar": "trace",
      "description": "Ob einzelne Agentenaktionen auf Audit-Ebene nachvollziehbar sind.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 12",
            "label": "Aufzeichnungspflichten bei Hochrisiko-KI",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; keine Compliance-, Rechts- oder Qualitätsbewertung.",
      "search_terms": [],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "privacy.retention.policy",
      "label": "Datenaufbewahrung / Retention",
      "pillar": "privacy",
      "description": "Dokumentierte Aufbewahrungs- oder Löschlogik für relevante Kunden- bzw. Produktdaten im angegebenen Scope.",
      "value_kind": "value",
      "default_requirement": "documented",
      "legal_context": {
        "eu_ai_act": [],
        "gdpr": [
          {
            "article": "Art. 5",
            "label": "Grundsätze für die Verarbeitung personenbezogener Daten",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; eine dokumentierte Aufbewahrungsregel ist keine DSGVO-Konformitätsaussage.",
      "search_terms": [
        "retention",
        "datenaufbewahrung",
        "löschung",
        "delete"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "privacy.dpa.available",
      "label": "DPA / Auftragsverarbeitung",
      "pillar": "privacy",
      "description": "Ob ein Data Processing Agreement bzw. eine Vereinbarung zur Auftragsverarbeitung für den relevanten Scope öffentlich dokumentiert ist.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [],
        "gdpr": [
          {
            "article": "Art. 28",
            "label": "Auftragsverarbeiter",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; Verfügbarkeit eines DPA/AVV ersetzt keine Prüfung von Inhalt, Rollen oder konkretem Einsatz.",
      "search_terms": [
        "dpa",
        "avv",
        "auftragsverarbeitung",
        "data processing agreement"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "privacy.subprocessors.list_available",
      "label": "Subprocessor-Liste",
      "pillar": "privacy",
      "description": "Ob der Anbieter eine aktuelle Liste eingesetzter Unterauftragsverarbeiter für den relevanten Scope öffentlich dokumentiert.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [],
        "gdpr": [
          {
            "article": "Art. 28",
            "label": "Auftragsverarbeiter",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; eine veröffentlichte Liste ist kein Nachweis der Zulässigkeit einer konkreten Verarbeitung.",
      "search_terms": [
        "subprocessors",
        "unterauftragsverarbeiter",
        "subprocessor list"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "privacy.processing.scope",
      "label": "Datenverarbeitung / Deployment Scope",
      "pillar": "privacy",
      "description": "Dokumentierter Produkt-, Tarif-, Region- oder Deployment-Scope, für den eine Datenschutz- oder Verarbeitungsaussage tatsächlich gilt.",
      "value_kind": "value",
      "default_requirement": "documented",
      "legal_context": {
        "eu_ai_act": [],
        "gdpr": [
          {
            "article": "Art. 5",
            "label": "Grundsätze für die Verarbeitung personenbezogener Daten",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          },
          {
            "article": "Art. 28",
            "label": "Auftragsverarbeiter",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Scope-Feld zur Vermeidung unzulässiger Verallgemeinerungen; keine eigenständige Compliance-Aussage.",
      "search_terms": [
        "processing scope",
        "deployment scope",
        "verarbeitung scope"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "security.secrets.credential_handling",
      "label": "Secrets / Credential Handling",
      "pillar": "security",
      "description": "Dokumentierte Handhabung von Secrets, Tokens oder Zugangsdaten im relevanten Agenten-/Plattform-Scope.",
      "value_kind": "value",
      "default_requirement": "documented",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 15",
            "label": "Genauigkeit, Robustheit und Cybersicherheit",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": [
          {
            "article": "Art. 32",
            "label": "Sicherheit der Verarbeitung",
            "url": "https://eur-lex.europa.eu/eli/reg/2016/679/"
          }
        ]
      },
      "interpretation": "Evidence-Mapping; dokumentierte Credential-Kontrollen sind keine Sicherheitszertifizierung.",
      "search_terms": [
        "secrets",
        "credentials",
        "tokens",
        "zugangsdaten",
        "credential handling"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    },
    {
      "path": "governance.activity_history.available",
      "label": "Activity History",
      "pillar": "trace",
      "description": "Ob eine nachvollziehbare Aktivitäts- oder Ausführungshistorie für relevante Agentenaktionen öffentlich dokumentiert ist.",
      "value_kind": "boolean",
      "default_requirement": "documented_true",
      "legal_context": {
        "eu_ai_act": [
          {
            "article": "Art. 12",
            "label": "Aufzeichnungspflichten / Logging",
            "url": "https://eur-lex.europa.eu/eli/reg/2024/1689"
          }
        ],
        "gdpr": []
      },
      "interpretation": "Evidence-Mapping; Produkt-Activity-History ist nicht automatisch mit einer gesetzlichen Protokollierungspflicht gleichzusetzen.",
      "search_terms": [
        "activity history",
        "aktivitätshistorie",
        "ausführungshistorie"
      ],
      "evidence_fields": [
        "state",
        "value",
        "scope",
        "verified_at",
        "source.title",
        "source.url"
      ]
    }
  ]
}