API · Article 50 Attestation
Die Offenlegung, und an welcher Stelle im Gespräch sie erfolgte.
Öffentlicher API-Host: In Entwicklung
POST https://api.audact.ai/v1/attestation
Der öffentliche API-Host. Die Codebeispiele dokumentieren die vorgesehene Schnittstelle und die im aktuellen Produkt genutzten Endpunkte.
Auf diesem Host wird noch keine öffentliche API bereitgestellt, abgesehen von den veröffentlichten Merkle-Wurzeln unter /v1/metachain. Die im Produkt genutzten Endpunkte sind nicht dasselbe wie eine öffentliche API.
Warum dieser Status
- Behauptung
- In Entwicklung · Nur nach Bewerbung
- Geltungsbereich
- Der öffentliche API-Host. Die Codebeispiele dokumentieren die vorgesehene Schnittstelle und die im aktuellen Produkt genutzten Endpunkte.
- Grundlage
- Auf diesem Host wird noch keine öffentliche API bereitgestellt, abgesehen von den veröffentlichten Merkle-Wurzeln unter /v1/metachain. Die im Produkt genutzten Endpunkte sind nicht dasselbe wie eine öffentliche API.
- Was er nicht feststellt
- Dass ein einzelner Endpunkt heute funktioniert. Das wird je Endpunkt bestätigt, und die Bestätigung steht aus.
- Was Sie heute bekommen
- Der Produktionszugang liegt innerhalb eines geltenden bezahlten Vertrags. Endpunkte werden nicht separat bepreist.
- Zuletzt geprüft
- 5. Oktober 2026
- Wo Sie es prüfen
- /apis
Article 50 Attestation: In kontrollierten Tests
Ein Aufruf hält fest, dass die Person erfahren hat, mit einer KI zu sprechen: welcher Wortlaut, in welchem Rechtsraum, an welcher Stelle des Gesprächs. Zurück kommt eine Quittung mit dem Hash der Offenlegung, ihrem Merkle-Inklusionspfad und der Verkettung zur vorherigen Quittung. Die Pflicht ist die Offenlegung; dieser Endpunkt sorgt dafür, dass Sie sie belegen können.
POST /v1/attestation
curl -X POST https://api.audact.ai/v1/attestation \
-H "Authorization: Bearer $AUDACT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"interaction_id": "call_8h2k9d7",
"modality": "voice",
"article_50_clause": "1",
"disclosure_method": "spoken_intro",
"agent_identity": "ai_agent_v3",
"jurisdiction": "DE",
"subject_hash": "sha256:e3b0c44..."
}'Nur Digest – keine lesbaren Inhalte
200 OK · Compliance-Quittung
{
"event_id": "550e8400-e29b-41d4-a716-446655440000",
"receipts": [
{
"event_id": "c8e04f3a-2b71-4d9e-8a6c-1234567890ab",
"sequence": 1,
"turn": 1,
"verdict": "MODIFY",
"input_hash": "9b1d…e04a",
"output_hash": "a3f7…c12b",
"auth_mechanism": "hmac-sha256",
"signature": "ba7816…",
"receipt_format_version": "1.0.0",
"verifiability": "verifiable"
}
],
"evidence_chain": {
"head_hash": "0b8e…7a13"
},
"merkle_proof": {
"status": "pending",
"merkle_root": "0x4a7d1ed414..."
},
"tsa_timestamp": {
"status": "included",
"timestamp_token": "MIIE…(base64 DER, truncated)",
"tsa_url": "https://freetsa.org/tsr",
"covers": "merkle_root"
},
"auth_mechanism": "hmac-sha256",
"signature": "ba7816bf8f01cfea..."
}receipts[] enthält den vollständigen ReceiptRef: event_id, sequence, turn, verdict, input_hash und output_hash (ohne Schlüssel nachrechenbar), auth_mechanism, signature, receipt_format_version und verifiability. merkle_proof trägt den Einschlussnachweis (`event_inclusion_proof`, `cross_tenant_proof`, `merkle_root`); `POST /v1/verify-inclusion` prüft einen Zweignachweis ohne Schlüssel, und die veröffentlichte Wurzel ist unter api.audact.ai/v1/metachain. auth_mechanism ist hmac-sha256 unter einem symmetrischen Schlüssel, der von Audact verwahrt wird — es ist keine Unterschrift und es gibt keinen öffentlichen Verifizierungsschlüssel. tsa_timestamp trägt einen RFC-3161-Token von freeTSA.org, einem kostenlosen öffentlichen Dienst; freeTSA.org ist kein qualifizierter Vertrauensdiensteanbieter nach eIDAS.
Was das Gesetz verlangt
- Wer mit einem KI-System interagiert, muss darüber informiert werden, es sei denn, es ist aus den Umständen und dem Nutzungskontext offensichtlich.
- Verordnung (EU) 2024/1689, Art. 50(1), in Kraft seit 2. August 2026
- Die Information muss spätestens bei der ersten Interaktion klar und unterscheidbar erfolgen.
- Verordnung (EU) 2024/1689, Art. 50(5)
- Anbieter von Systemen, die synthetische Audio-, Bild-, Video- oder Textinhalte erzeugen, müssen die Ausgabe maschinenlesbar als künstlich erzeugt kennzeichnen.
- Verordnung (EU) 2024/1689, Art. 50(2)
- Eine vollständige Herkunftskette ist nicht vorgeschrieben. Die Leitlinien der Kommission sagen das ausdrücklich.
- Leitlinien C(2026)5054 vom 20. Juli 2026, Ziffer (73)
- Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, müssen Art. 50(2) erst ab dem 2. Dezember 2026 erfüllen.
- Digital Omnibus (EU) 2026/1744, in Kraft seit 27. Juli 2026, einfügend Art. 111(4)
Was dieser Endpunkt tut
- Hält die Offenlegung mit Wortlaut-Hash und Position im Gespräch fest.
- In kontrollierten Tests
- Merkle-Inklusionspfad und Kettenverweis kommen in derselben Antwort zurück.
- In kontrollierten Tests
- Wortlaut je Rechtsraum, weil sich die nationale Ebene über Artikel 50 unterscheidet.
- Deutschland: nationale Richtlinienebene aktiv. Niederlande: in Entwicklung. Belgien und Österreich: geplant.
- Maschinenlesbare Kennzeichnung synthetischer Audioinhalte nach Art. 50(2). Sie wäre Teil einer späteren Version; ein Termin ist nicht festgelegt, und im Produkt ist sie heute nicht enthalten.
- Geplant
- Eine öffentliche Prüfstelle für Quittungen.
- Noch nicht verfügbar
Wann aufrufen
Einmal zu Beginn, und erneut, wo das Gespräch kippt.
Das Minimum ist eine Attestierung bei der ersten Interaktion; das verlangt Art. 50(5). In der Praxis lohnt sich eine zweite an jeder Stelle, die den Charakter des Gesprächs ändert: eine Übergabe, ein neues Thema, ein Moment, in dem ein Anrufer es vernünftigerweise vergessen haben könnte. Die Quittungen sind verkettet, ein späterer Leser sieht also die Abfolge und nicht nur den ersten Eintrag.
- Sprachagenten: eingehend und ausgehend, zu Sitzungsbeginn und bei jedem wesentlichen Wechsel.
- Chat-Widgets: jede KI-erzeugte Nachricht trägt ihre eigene Quittung.
- Synthetische Produktvorführungen: die Offenlegung ist hier abgedeckt; die Kennzeichnung nach Art. 50(2) ist heute nicht im Produkt.
Ehrlich zum Mechanismus
Was ein Dritter nachrechnen kann, und was nicht.
Drei Felder der Quittung kann heute jeder nachrechnen, ohne Schlüssel und ohne Konto: der Hash der Eingabe, der Hash der Ausgabe und die Verkettung zur vorherigen Quittung. Die vierte, der Einschluss in der Merkle-Wurzel, wird mit dem Einschlussnachweis aus dem Artikel-50-Bericht des Anrufs gegen die veröffentlichte Wurzel geprüft. Wer die drei nachrechnet, macht jede spätere Änderung oder Umsortierung erkennbar, gegen das gespeicherte Commitment.
Der Authentifizierungscode ist HMAC-SHA256 unter einem symmetrischen Schlüssel, der von Audact verwahrt wird. Das ist echte kryptografische Authentifizierung und es ist keine Unterschrift: wer sie prüfen kann, kann sie auch erzeugen. Deshalb beschreibt diese Seite, was die Kette zeigt, und nicht, was eine Unterschrift beweisen würde.
Fragen
- Verlangt Artikel 50 einen Nachweis über die Offenlegung?
- Nein. Der Artikel verlangt die Offenlegung. Ob Sie zeigen können, dass sie erfolgt ist, wird erst relevant, wenn jemand fragt: ein Kunde, eine Aufsichtsbehörde, ein Gericht. Dafür ist die Compliance-Quittung da: eine je gesteuerter Interaktion, von der drei Felder jeder ohne Schlüssel nachrechnen kann – ohne Konto, ohne Zugriff auf unsere Datenbank. Eine Quittung Feld für Feld sehen Sie unter /proof.
- Stammt der Zeitstempel von einem qualifizierten Vertrauensdienst?
- Nein. Es ist ein RFC-3161-Zeitstempel von freeTSA.org, einem kostenlosen öffentlichen Dienst. Er fixiert eine Reihenfolge gegen unsere eigene Kette; freeTSA.org ist kein qualifizierter Vertrauensdiensteanbieter nach eIDAS, also ist dies kein qualifizierter Zeitstempel, und wir stellen ihn auch nicht so dar.
- Und die maschinenlesbare Kennzeichnung nach Art. 50(2)?
- Sie ist heute nicht im Produkt, und ein Termin ist nicht festgelegt. Dieser Endpunkt deckt die Offenlegung nach Art. 50(1) ab und hält sie fest; die Kennzeichnungspflicht nach 50(2) trifft den Anbieter des erzeugenden Systems.
Artikel 50 im Gespräch, nicht im Dokument
Die Compliance-Seite trägt den Wortlaut der Pflicht, die Leitlinienziffern, die sie relativieren, und die Anbieter-Betreiber-Frage, die entscheidet, auf welcher Seite eine Agentur steht.
Verwandt
Alle sechs APIs KI-Verordnung Die Pflicht, mit ihren Quellen.
Evidence Vault Wo die Quittungen landen.
Quittungs-Explorer Eine Kette selbst nachrechnen.
Eigenen Aufbau prüfen Ein paar Fragen, eine Antwort.
Proof Was die Kette zeigt, Zeile für Zeile.