Betreiben, während Sie Compliance erfüllen

Es wurde im Dezember 2024 veröffentlicht und ist seit dem 1. Dezember 2026 vollständig durchsetzbar, nach vierundzwanzig Monaten Anpassungszeit. Die Sanktionen reichen bis zu 20.000 UTM bei besonders schweren Verstößen und bis zu 4 % des Jahresumsatzes im Wiederholungsfall. Die Behörde kann zudem die Aussetzung der Verarbeitung anordnen und ein nationales Sanktionsregister veröffentlichen.

Es ist das Inventar, wie Ihre Organisation personenbezogene Daten verarbeitet: Zweck, Rechtsgrundlage, Datenkategorien, Aufbewahrungsfristen und Empfänger. Das Gesetz verlangt, es aktuell zu halten. In BRAINLOF wird es aus Ihrer Datenlandkarte und dem Tagesbetrieb erzeugt und lebendig gehalten, ohne es jedes Mal neu zu erstellen.

Es verpflichtet insbesondere wesentliche Dienste und Betreiber von vitaler Bedeutung dazu, ein ISMS einzuführen, einen Cybersicherheitsbeauftragten zu benennen, Risiken zu steuern und Vorfälle innerhalb von höchstens drei Stunden an die ANCI zu melden. Es ist bereits in Kraft und kennt keine Schonfrist.

Weniger, als es scheint. In den ersten zwölf Monaten erhalten kleinere Unternehmen für ihre ersten Verstöße eine schriftliche Verwarnung statt eines Bußgeldes. Das endet im Dezember 2027, und die Verwarnung befreit weder von der Behebung noch schützt sie vor einer Beschwerde der betroffenen Person.

Eine Beratung liefert Dokumente; die Prüfung sieht sich Abläufe an. BRAINLOF hinterlässt operativen Nachweis, rückverfolgbar nach Gesetzesartikel, und laufende Überwachung statt eines Berichts, der veraltet. Und es hinterlässt Fähigkeit in Ihrem Team, statt das Wissen am Projektende mitzunehmen.

Die Engine ist normunabhängig: ISO 27001, 27005, 9001 und 14001, NIST CSF, CIS, chilenische Normen und eigene Rahmenwerke, dazu die chilenischen Gesetze 21.719, 21.663 und 20.584. Die Rahmenwerke werden miteinander verknüpft, sodass eine bewertete Maßnahme allen Normen genügt, die sie verlangen.

Die ANCI benennt die OIV per Beschluss und veröffentlicht die Liste. Das erste Verfahren wurde am 24. Juli 2026 abgeschlossen. Wurde Ihre Einrichtung benannt, werden Sie benachrichtigt und haben sofort verschärfte Pflichten: ISMS, Cybersicherheitsbeauftragter, Risikosteuerung und Vorfallmeldung in drei Stunden, mit Bußgeldern bis zu 40.000 UTM.

Ja, und es ist der Weg, über den die meisten Organisationen entdecken, dass sie Pflichten haben. Gesetz 21.663 drängt die OIV dazu, von ihrer Lieferkette Standards zu verlangen; Sie werden also Sicherheitsfragebögen und Vertragsklauseln erhalten, die es vorher nicht gab. Sie mit Nachweisen statt mit Versprechen zu beantworten, ist heute Voraussetzung dafür, weiter an sie zu verkaufen.

Nein. Die Schicht der künstlichen Intelligenz ist von der Geschäftslogik entkoppelt und arbeitet mit strikter Trennung je Organisation: Weder der Nutzer noch das Modell erreichen Daten außerhalb des Mandanten und der Rolle der Sitzung. Ihre Daten speisen keine Modelle und dienen nicht dazu, den Service für andere Kunden zu verbessern.

Indem getrennt wird, wer findet, und wer formuliert. Die Erkennung läuft über feste, prüfbare Regeln auf den Daten, die Ihre Organisation bereits geladen hat, und jede Feststellung benennt die konkreten Datensätze dahinter. Erst dann schlägt die KI das formulierte Risiko vor, und ein Mensch nimmt es an, bearbeitet es oder verwirft es.

Die Zertifizierung bescheinigt einen Zeitpunkt; die Prüfung fragt nach dem laufenden Betrieb. Die Plattform hält das ISMS zwischen den Audits lebendig, verknüpft Ihr bestehendes Rahmenwerk mit den Gesetzen 21.719 und 21.663, ohne dieselben Maßnahmen erneut aufzubauen, und hält die Akte für das Überwachungsaudit bereit, ohne sie zu rekonstruieren.

Ja. Die Engine ist normunabhängig: Neben den enthaltenen Rahmenwerken können Sie eigene definieren — mit Ihren Maßnahmen, Ihren geforderten Dokumenten und Ihrem Turnus — und sie mit den externen Normen verknüpfen, sodass eine bewertete Maßnahme allen zugleich genügt.

Dokumente mit Envelope-Verschlüsselung und eigenem Schlüssel je Organisation in privatem Speicher, strikte Trennung zwischen Organisationen, rollenbasierte Zugriffskontrolle, kurzlebige Sitzungen, Zugriffsprotokolle und Abwehr gegen die OWASP Top 10. Die Plattform läuft auf einer Hosting-Infrastruktur mit SOC-2-Typ-II- und ISO-27001-Zertifizierung.

Sie müssen kein Fachmann sein: Die KI bringt das Rahmenwerk mit seinen Maßnahmen, Dokumenten und Aktivitäten mit und führt Schritt für Schritt. Was eine klassische Beratung Monate kostet, schrumpft auf Wochen. Die Einführung übernimmt ein zertifizierter Berater des Netzwerks, in dem Fachgebiet, das Ihre Norm verlangt.

Sie betreuen Ihre Kunden, Patienten, Studierenden oder Lieferanten rund um die Uhr per Chat, Sprache oder Portal; sie führen den Serviceablauf nach den Regeln Ihrer Organisation aus; sie geben an einen Menschen ab, wenn der Fall die von Ihrem Team gesetzte Schwelle überschreitet; und sie hinterlassen die Interaktion mit Rechtsgrundlage und Einwilligung erfasst. Sie treffen keine klinischen, finanziellen oder disziplinarischen Entscheidungen.

Ja. Gesetz 21.719 regelt automatisierte Entscheidungen über Menschen: Sie verlangen eine Rechtsgrundlage, Information der betroffenen Person und ein Widerspruchsrecht. BRAINLOF erlaubt es, Ihre KI-Systeme zu inventarisieren, für jedes einen Verantwortlichen zu benennen, die Entscheidungen zu erfassen und festzulegen, was das Modell entscheidet und was ein Mensch unterschreibt.

Ja. Die Compliance-Historie gehört Ihnen und wird auf Wunsch im Prüfformat exportiert. Zu bleiben sollte eine Entscheidung sein, keine Austrittshürde.

Ja, auf zwei verschiedene Arten: Wir zertifizieren Partner, die die Plattform bei ihren Kunden einführen, und wir vereinbaren Kanalkonditionen mit Netzwerken, die viele Organisationen auf einmal anbinden. Sie werden getrennt unterzeichnet, weil es verschiedene Beziehungen sind.

Gesetz 21.719 verlangt, Verantwortliche für die Verarbeitung zu benennen und in bestimmten Fällen einen Präventionsbeauftragten mit festen Aufgaben. Selbst wenn Sie nicht verpflichtet wären: Jemanden mit schriftlichem Aufgabenkreis benannt zu haben, ist das Erste, was eine Prüfung ansieht. Wenn Sie niemanden zu benennen haben, stellt das Partnernetzwerk die Rolle extern.

Die Plattform erfasst den Vorfall mit seiner Taxonomie, startet die geltenden Fristen und stellt die Meldeakte zusammen. Was sich nicht improvisieren lässt, ist das Davor: Datenlandkarte, Asset-Inventar und Kommunikationskanal vor dem Vorfall festgelegt zu haben. Genau diese Arbeit nimmt die Plattform ab.

Heute findet der Betrieb in der Plattform statt und der Nachweis entsteht dort, nicht importiert von außen. Native Integrationen mit Identitäts-, Cloud- und SIEM-Anbietern sowie Single Sign-on und die öffentliche API sind in Entwicklung. Wir sagen es so deutlich, weil es die am häufigsten genannte Lücke gegenüber den internationalen Suiten ist.

Der Plattform-Assistent ist für Ihr Team: Er führt durch die Einrichtung und erklärt, was in jedem Feld erfasst wird, und er sieht nur die für dieses Profil verfügbare Dokumentation — er greift nicht auf Ihre Daten zu und führt keine Aktionen aus. Die Service-Agenten sind für Ihre Kunden: Sie betreuen rund um die Uhr, erledigen ganze Vorgänge und hinterlassen den Nachweis jeder Interaktion.

Eine Mutterorganisation steuert ihre Töchter oder Mitglieder mit strikter Trennung: Jede arbeitet mit eigener Marke, eigenen Daten und eigenem Verschlüsselungsschlüssel, während die Mutter den Stand der Gruppe konsolidiert. Es ist dieselbe Architektur, die das Kanalprogramm trägt, und sie ist bereits gebaut.

Ja. Die Standortbestimmung zur Lage nach Gesetz 21.719 ist kostenlos, dauert vier Minuten und liefert Ihre priorisierten Lücken mit dem Artikel, der sie verlangt. Gehen Sie weiter, ist dieses Ergebnis der Ausgangspunkt der Einrichtung, und die Demo läuft auf einem echten Prozess von Ihnen statt auf einer Produktpräsentation.