Dokumentation der API

KI-Verordnung der EU

Unsere Position nach der Verordnung (EU) 2024/1689, auf einer Seite. Selbsteinschätzung als Anbieter vom 8. Juli 2026, zur Veröffentlichung am 15. Oktober 2026 neu gefasst.

Rollen

Stonewake ist Anbieter eines KI-Systems, das kein Hochrisiko-KI-System ist. Es bindet KI-Modelle mit allgemeinem Verwendungszweck über die Schnittstellen ihrer Anbieter ein, hinter einer anbieterneutralen Schicht; die eigenen Pflichten der Modellanbieter bleiben bei diesen. Der Modellendpunkt ist modular angelegt.
Ihr Institut ist der Betreiber. Die Zweckbestimmung ist Recherche in öffentlichen Quellen zu Organisationen und Ländern, einschließlich der wiederkehrenden Prüfung dieser Quellen, für das Neugeschäft und das Kreditmonitoring von Organisationen, sowie das von der Bank beauftragte Screening natürlicher Personen in ihrer beruflichen Funktion auf negative Berichterstattung (Adverse Media) als Maßnahme der Kundensorgfaltspflichten und einen Abgleich natürlicher Personen dem Namen nach mit den natürlichen Personen auf den amtlichen Sanktionslisten, der nur Prüfkandidaten ergibt. Im selben Auftrag, als Maßnahme der Kundensorgfalt mit dem Zweck, den Ihr Institut für jede Person festhält, folgt das System außerdem einer natürlichen Person, die Ihr Institut auswählt, in Nachrichten und sozialen Medien und meldet ihm, was über sie berichtet wird, lässt ein Modell die Nachrichtenereignisse zu dieser Person prüfen und recherchiert eine benannte Person in festen Abständen nach den Regeln des Personenscreenings, nur zu ihrem Verhalten in beruflicher Funktion. In den Arbeitsbereichen, in denen wir Personendaten einschalten, liefert das System außerdem die natürlichen Personen, die amtliche Register und die amtlichen Sanktionslisten nennen, so wie diese Quellen sie angeben und mit ihren Belegen, für die Kundenprüfung, den Sanktionsabgleich und die Kreditprüfung von Organisationen und ihren Personen, im Dashboard, über die API und über MCP gleichermaßen, und es bewertet, stuft oder reiht nie die Kreditwürdigkeit, die Zuverlässigkeit oder das Risiko einer Person. Dieser Abgleich erfasst die natürlichen Personen, die öffentliche Register mit den Organisationen in Ihrem Bestand verbinden, in den Arbeitsbereichen, in denen wir ihn einschalten, und die Person, die Ihr Institut für ein Screening benennt, sofern das Ergebnis dieses Screenings einen Abschnitt zu den amtlichen Listen enthält. Ausgeschlossen sind die Prüfung der Kreditwürdigkeit natürlicher Personen, Screening für Beschäftigung oder Mietverhältnisse, Abgleiche mit Listen politisch exponierter Personen, die Prüfung einer natürlichen Person gegen eine Sanktionsliste außerhalb dieser beiden Fälle und jede Entscheidung ohne menschliche Prüfung. Im Kreditmonitoring wird eine Organisation gegen sechs amtliche Sanktionslisten geprüft, die EU Financial Sanctions Files, die UK Sanctions List, die beiden Listen des OFAC (SDN und ohne SDN), die Schweizer Sanktionsliste des SECO und die Konsolidierte Liste des Sicherheitsrats der Vereinten Nationen, neben Ihrem eigenen Sanktionsscreening und nie an dessen Stelle. Die sechs Listen sind eingeschaltet, und unsere Software ist so eingestellt, dass sie jede einmal täglich liest. Eine Organisation wird geprüft, sobald Ihr Team die Prüfung gegen Sanktionslisten in seine Konfiguration aufnimmt, und diese Prüfung ist standardmäßig nicht eingeschaltet. Eine Liste, die ausgeschaltet ist oder in den letzten 48 Stunden nicht geprüft wurde, wird als „Not checked“ (nicht geprüft) ausgewiesen und nie als unauffällig, und ein Ergebnis ohne Fund nennt die Listen, mit denen abgeglichen wurde. Wir gleichen Organisationen und Personen mit keiner anderen Sanktionsliste ab und halten keine Liste politisch exponierter Personen vor. Eine Listung wird über eine Kennung zugeordnet, die die Liste selbst nennt, also einen LEI, die ersten acht Zeichen eines BIC, eine Registernummer mit ihrem Land oder eine belgische, tschechische, lettische oder norwegische Umsatzsteuernummer, die die Registernummer ist, und über nichts anderes. Ein gleicher Name allein zählt nie als Treffer. Er wird zur Prüfung angezeigt und lässt die Zeile unbewertet, es sei denn, Ihr Team hat für diese Prüfung festgelegt, dass fehlende Daten als gelb gelten. Bei einem Treffer ist die Zeile rot und nennt die Liste, die Listungsnummer, ihr Datum, sofern die Liste eines nennt, und die Kennung, die getroffen hat, mit einem Link zur amtlichen Datei. Listenzugehörigkeiten auf Länderebene fließen in den Länderscore ein. Ein Betreiber, der das System umwidmet, übernimmt für diese Nutzung die Pflichten des Anbieters (Art. 25).
Die Prüfung natürlicher Personen vergleicht die Namen der Personen, die öffentliche Register mit einer Organisation in Ihrem Bestand verbinden, etwa als Organmitglied, Gesellschafter oder wirtschaftlich Berechtigter, mit dem Namen und den Aliasnamen, die eine Liste jeder ihrer natürlichen Personen gibt, ohne die Aliasnamen, die die Liste selbst als schwach kennzeichnet. Ein Geburtsdatum oder eine Staatsangehörigkeit, die beide Seiten nennen und die sich widersprechen, schließt das Paar aus. Was bleibt, ist ein Prüfkandidat. Er nennt die Liste, die Listungsnummer, die gelisteten Namen, was übereinstimmt und was ihn eingegrenzt hat, mit einem Link zur amtlichen Datei. Er setzt keine Farbe und keinen Score und zählt nie als Treffer. Nur die Bestätigung durch eine Analystin oder einen Analysten hält einen Treffer fest, und diese Bestätigung ändert keinen Score. Eine Zurückweisung bleibt gespeichert, bis die Liste ihren Eintrag ändert. Verlässt eine Person eine Liste, werden der Eintrag, seine früheren Fassungen, die Namensschlüssel und alle Entscheidungen dazu im selben Aktualisierungslauf gelöscht, und es bleibt kein Kandidat. Der Arbeitsbereich der Sandbox unserer öffentlichen API und unsere öffentlichen Seiten führen diese Prüfung nie aus.

Warum Anhang III nicht greift

Anhang III Nummer 5 Buchstabe b erfasst Systeme, die die Kreditwürdigkeit natürlicher Personen prüfen oder ihre Bonität bewerten. Stonewake tut weder das eine noch das andere. Scores gelten ausschließlich für Organisationen und Länder, nirgends im Produkt existiert ein Score, ein Rating oder ein Ranking der Kreditwürdigkeit, der Zuverlässigkeit oder des Risikos einer Person, und der Build schlägt fehl, sobald eine personenbezogene Schnittstelle einen erhält. Die Tonlage der Nachrichten und Beiträge zu einer Person, der Ihr Institut folgt, ist Kontext für Ihr Institut, nie ein Score der Person und nie Eingang eines Scores. Ein Einzelunternehmen zählt als natürliche Person, deshalb bewertet das Kreditmonitoring keines und berechnet für keines eine Tonlage, und der Build schlägt auch fehl, wenn das Unternehmen eines Einzelkaufmanns in einer gespeicherten Tabelle oder einer ausgelieferten Antwort einen Score, einen Status oder eine Tonlage trägt. Das Screening von Personen liefert belegte Feststellungen und Bewertungsentwürfe, die eine Analystin oder ein Analyst bestätigen oder verwerfen muss; das System trifft keine Entscheidung und führt keine Handlung aus. Die API und der Server für MCP liefern ein Screening von Personen mit dem Abgleich gegen die offiziellen Listen und seinen Feststellungen samt deren Quellen aus, ohne die Bewertungsentwürfe. Ein Kandidat einer Sanktionsliste für eine natürliche Person ist ein Namensvergleich zur Prüfung, kein Score, und eine Analystin oder ein Analyst bestätigt oder verwirft ihn.

Transparenz (Art. 50)

Der Einsatz von KI wird im Produkt offengelegt. Das Dashboard weist darauf hin, dass Rechercheinhalte mit Unterstützung durch KI entstehen, und die Zusammenfassung jeder Transaktion sagt auf jeder Oberfläche, dass ihre drei Zeilen nach festen Regeln aus den belegten Feststellungen erzeugt werden, nicht von einem Modell. Eine Transaktion kann zusätzlich ein kurzes Briefing tragen, eine maschinell verfasste Zusammenfassung dessen, was die belegten Quellen der Transaktion berichten, die ein Sprachmodell aus dem Text dieser Quellen schreibt. Es ist keine Tatsachenaussage von Stonewake. Die API weist es im Feld drafted_by als von einem Modell verfasst aus und nennt die Quellen, die das Modell erhalten hat. Geprüft werden allein seine in Ziffern geschriebenen Zahlen, gegen den Text dieser Quellen, und ein Satz mit einer Zahl, die dort nicht steht, entfällt. Wörter werden nicht geprüft, ein Name oder die Art, wie ein Satz seine Fakten verbindet, kann also dennoch falsch sein.
In Antworten der API nennt ein Briefing zu einer Transaktion seine Herkunft im Feld drafted_by, und das Dokument nach OpenAPI beschreibt die rationale eines Screenings als maschinell entworfen. Im Übrigen sind von KI entworfene Inhalte über ihre sichtbare Kennzeichnung und über diese Dokumentation erkennbar.
Ein Nachrichtenereignis meldet sich bei einem Team erst nach einer Nachrichtenprüfung, in der ein KI Modell die Artikel des Ereignisses liest und mit ja, nein oder unsicher und mit Zitaten antwortet. Eine deterministische Prüfung lässt ein Ja nur gelten, wenn die Zitate Wort für Wort in den Artikeln von mindestens zwei Herausgebern stehen und die Art eine ist, die GDELTs Themenzuordnung für das Ereignis bereits gefunden hat, sodass das Modell eine Meldung zurückhalten, aber nie erfinden kann. In API Antworten nennt die check des Ereignisses das Modell und die Version der Anweisung.

KI-Kompetenz (Art. 4)

Was das Modell tut. Es extrahiert, prüft und entwirft Text auf Grundlage abgerufener öffentlicher Quellen. Seine Ausgaben sind Entwürfe von Feststellungen, Bewertungsentwürfe und Entwürfe von Zusammenfassungen, jeweils an die Quellen gebunden, die ihm vorgelegt wurden.
Was die deterministischen Kontrollen tun. Eine Aussage, die sich nicht wörtlich im Quelltext wiederfindet, wird eskaliert oder unterdrückt; Scores werden mit ihrer Aufschlüsselung nach Komponenten, Gewichten und Quellenangaben ausgeliefert und aus Bewertungsrastern berechnet, die als Daten einsehbar sind; ein personenbezogener Score kann nicht gebaut werden; das Prüfprotokoll wird nur fortgeschrieben. Eine Zahlenangabe wird nur übernommen, wenn Betrag, Größenordnung und Währung im zitierten Quelltext genannt sind, und das Modell kann diese Prüfung nicht außer Kraft setzen.
Was die Analystin oder der Analyst tun muss. Die zitierte Quelle lesen, bevor auf eine Feststellung vertraut wird, jeden Bewertungsentwurf bestätigen oder verwerfen und jede Ausgabe als Rechercheinput für eine menschliche Entscheidung behandeln, nie als die Entscheidung selbst.

Siehe auch Sicherheitsüberblick, Umgang mit Daten, Sicherheit der API.