Credo AI
Credo.AI Corp. ·www.credo.ai· Stand: 2026-08-24
Dieses Werkzeug mit KI durchgehen
Unser Urteil
Ein Prüfer, ein Konzerneinkauf und ein Kunde mit eigener Berichtspflicht fragen dasselbe: welche KI-Systeme laufen hier, wer hat sie freigegeben, worauf stützt sich die Freigabe. Wer darauf keine Antwort hat, verliert den Auftrag oder das Zertifikat. Ein Verzeichnis holt diesen Rückstand auf. Weiter trägt es niemanden, denn der Wettbewerber kauft dieselbe Plattform und hat in derselben Woche dasselbe Verzeichnis. Was ein Haus unterscheidet, sind die Entscheidungen, die es daraus ableitet, und die trifft keine Software.
Belege:Auftragsverarbeitungsvertrag auf Anfrage, 60 Tage Exportfrist nach Vertragsende, aggregierte Ableitungen für eigene Zwecke, Trainingsausschluss für Kundendaten, namentlich genannte KI-Werkzeuge im Support, Gerichtsstand und ZustellanschriftZur QuelleStand 08.04.2026, Trainingsvorbehalt für über Website und Dienst erhobene personenbezogene Daten, Standardvertragsklauseln als Übermittlungsgrundlage, kein Vertreter in der Union, kein Speicherort genanntZur QuelleSOC 2 Type II, geprüfte Kategorien Sicherheit, Verfügbarkeit und Vertraulichkeit, Bericht auf Anfrage, jährliche Wiederholung zugesagtZur QuelleEigene Seite zur KI-Verordnung, ausgerichtet auf die Pflichten des Kunden, Rechtsstand weiterhin auf dem Fahrplan von 2024, ohne die verschobenen Hochrisiko-FristenZur QuelleGetrennter Entwurfs-Mandant, Empfehlung ausschließlich nicht-produktiver Daten, allgemeine Verfügbarkeit für das erste Quartal 2026 angekündigt, Konditionen nach der Freigabe offengelassen, kein Modellanbieter benanntZur QuelleSeries B über 21 Mio. US-Dollar vom 30.07.2024, Investoren, insgesamt 41,3 Mio. US-Dollar nach AnbieterangabeZur QuelleSeries A über 12,8 Mio. US-Dollar vom 17.05.2022, Gründung im März 2020, allgemeine Verfügbarkeit der Plattform seit April 2022Zur QuelleOEM-Vertrag mit IBM vom 28.04.2025, Policy Packs als Inhalt des Zusatzes Compliance Accelerators in IBM watsonx.governanceZur QuelleAllianz mit QuantumBlack, AI by McKinsey, vom 02.04.2024Zur QuelleEinstufung als Visionary im ersten Magic Quadrant für KI-Governance-Plattformen von Gartner vom 16.06.2026Zur QuelleMarkenverfahren 3:24-cv-02032-CRB vor dem Bundesbezirksgericht für den nördlichen Bezirk Kaliforniens, eingereicht am 03.04.2024, offen, letzte Eintragung am 17.08.2026Zur QuelleKeine Preisseite, keine Vertrauensseite, keine Unterauftragnehmerliste und kein eigenes Auftragsverarbeitungsdokument unter 500 geprüften Adressen des SeitenverzeichnissesZur QuelleNamentlich genannte Anbindungen des Integrationszentrums für Anwendungsfälle, Modelle, Nachweise und DatensätzeZur QuelleModul für KI-Governance mit Verzeichnis für Anwendungsfälle und Abbildung auf ISO/IEC 42001, das NIST-Rahmenwerk und die KI-Verordnung bei einem Anbieter aus der Nachweis-AutomatisierungZur Quelle
Für wen es taugt
Solopreneur
nicht geeignet
Der Vertrieb läuft über Rahmenvertrag und Beratungsauftrag. Eine Preisseite gibt es nicht, einen Zugang zur Selbstbedienung auch nicht. Drei Anwendungsfälle stehen schneller in einer Tabelle, als das erste Gespräch dauert.
KMU
bedingt geeignet
Interessant wird es, sobald ein Anwendungsfall unter Anhang III der KI-Verordnung fällt, etwa Bonitätsprüfung oder Preisbildung in der Lebens- und Krankenversicherung, oder sobald Kunden Lieferantenfragebögen zum KI-Einsatz schicken. Die Pflichten aus Anhang III greifen ab dem 02.12.2027. Bis dahin trägt ein dokumentierter Freigabeprozess mit einer gepflegten Tabelle weiter als eine Lizenz ohne öffentlichen Preis, gegen den sich verhandeln ließe.
Konzern
geeignet
Hierher gehört das Werkzeug: viele Einheiten, viele Modelle, eine Innenrevision, die Nachweise sehen will, und ein Einkauf, der Lieferanten nach ihrem KI-Einsatz fragt. IBM liefert die Regelwerk-Inhalte von Credo AI seit dem 28.04.2025 im eigenen Produkt aus, QuantumBlack von McKinsey bringt die Plattform seit dem 02.04.2024 zu Mandanten. Vor der Unterschrift bleiben drei Punkte zu klären, die öffentlich nicht dokumentiert sind: Speicherort, Unterauftragnehmer und der Modellanbieter hinter dem eingebauten Assistenten.
Kaufen, wechseln oder bauen
Standardprodukt
GRC-Suite, die KI als weitere Domäne aufnimmt
Die etablierten Adressen heißen OneTrust, ServiceNow, MetricStream und Archer. Konzerne bleiben dabei, weil das KI-Verzeichnis dann neben dem Verarbeitungsverzeichnis und dem Risikoregister liegt, dieselbe Freigabekette benutzt und im Einkauf längst zugelassen ist. Ein zweites Werkzeug bedeutet einen zweiten Rechteprozess, eine zweite Lieferantenprüfung und eine zweite Rechnung. Wer ohnehin IBM watsonx.governance einsetzt, bekommt die Regelwerk-Inhalte von Credo AI seit dem 28.04.2025 über den Zusatz Compliance Accelerators, ohne einen eigenen Vertrag mit Credo AI zu schließen.
KI-nativ
Nachweis-Automat mit KI-Modul statt KI-Plattform mit Nachweisen
Vanta und Drata kommen aus der Nachweis-Automatisierung für SOC 2 und ISO 27001 und haben ein Modul für KI-Governance daraufgesetzt, mit Verzeichnis für Anwendungsfälle und Abbildung auf ISO/IEC 42001, das NIST-Rahmenwerk und die KI-Verordnung. Der Unterschied liegt im Zugang: beide führen eine öffentliche Preisseite und einen Weg in die Testphase ohne Vertriebstermin. Drata weist seit dem 02.12.2025 ein eigenes ISO-42001-Zertifikat aus, allerdings ohne Zertifizierungsstelle und Geltungsbereich zu nennen. Aufgeben muss man die Tiefe bei Modellen und Lieferanten: die Risikobibliothek, die Anbietertransparenz-Berichte und die Bewertungs-Nachweise je Modell sind das, wofür Credo AI gekauft wird.
Eigenbau
Verzeichnis selbst bauen, Belege aus dem eigenen Betrieb ziehen
Die Bausteine liegen im eigenen Katalog. LiteLLM als Modell-Gateway hält fest, welche Anwendung welches Modell aufruft. Langfuse protokolliert die Aufrufe samt Eingabe, Ausgabe und Kosten und liefert damit die Belegspur, die ein Prüfer sehen will. Nudge Security findet die KI-Dienste, die niemand angemeldet hat. Supabase trägt das Verzeichnis mit Anwendungsfall, Modell, Lieferant und Freigabestand, n8n führt die Freigaben durch die Kette, und Claude Code baut das Ganze. Für ein Haus mit zwanzig bis dreißig Anwendungsfällen sind das nach eigener Erfahrung zehn bis fünfzehn Personentage plus laufende Pflege. Gescheitert wird an vier Stellen: an der Rechtsarbeit, die eine Kontrolle einer Norm zuordnet und diese Zuordnung nachzieht, wenn sich die Fristen verschieben; an der Mandantentrennung, sobald mehrere Gesellschaften darauf zugreifen; an der Unveränderlichkeit der Belege, die ein Prüfer voraussetzt; und an dem Tag, an dem die Person geht, die es gebaut hat.
Unser Rat
- Solopreneur: Tabelle und ein fester Termin im Quartal. Der Vertriebsweg dieses Anbieters passt nicht zu dieser Größe.
- KMU: Erst selbst bauen und den Freigabeprozess dokumentieren. Kaufen, sobald ein Anwendungsfall unter Anhang III fällt oder ein Großkunde Nachweise fordert.
- Konzern: Kaufen ist die richtige Antwort. Speicherort, Unterauftragnehmerliste und den Modellanbieter hinter dem Assistenten aber schriftlich in den Vertrag holen, weil öffentlich zu allen dreien nichts steht.
Wer dahinter steht
Tragfähigkeit: Finanziert
Sechs Jahre seit der Gründung, zwei Jahre seit der letzten Runde. Die Series B über 21 Mio. US-Dollar vom 30.07.2024 und der OEM-Vertrag mit IBM tragen den laufenden Betrieb; für die Einordnung etabliert fehlen sieben Jahre am Markt, ein Konzern-Eigentümer und ein belegter Gewinn. Dazu läuft ein Markenstreit: Credo Technology Group, Ltd. klagt seit dem 03.04.2024 gegen Credo.AI Corp. um die Marke Credo, das Verfahren ist offen, letzte Eintragung am 17.08.2026.
- Gründung und Marktstart: im März 2020 gegründet, Plattform seit April 2022 allgemein verfügbar, Sitz Los Altos, Kalifornien; beide Jahresangaben nach eigener DarstellungSeries A über 12,8 Mio. US-Dollar vom 17.05.2022, Gründung im März 2020, allgemeine Verfügbarkeit der Plattform seit April 2022Zur Quelle · Stand 2026-08-24
- Finanzierung: 12,8 Mio. US-Dollar Series A vom 17.05.2022 unter Führung von Sands Capital; 21 Mio. US-Dollar Series B vom 30.07.2024 mit CrimsoNox Capital, Mozilla Ventures und FPV Ventures; insgesamt 41,3 Mio. US-Dollar nach AnbieterangabeSeries B über 21 Mio. US-Dollar vom 30.07.2024, Investoren, insgesamt 41,3 Mio. US-Dollar nach AnbieterangabeZur Quelle · Stand 2026-08-24
- Vertriebswege: OEM-Vertrag mit IBM seit dem 28.04.2025: die Policy Packs von Credo AI liefern den Inhalt für den Zusatz Compliance Accelerators in IBM watsonx.governance. Allianz mit QuantumBlack, AI by McKinsey, seit dem 02.04.2024OEM-Vertrag mit IBM vom 28.04.2025, Policy Packs als Inhalt des Zusatzes Compliance Accelerators in IBM watsonx.governanceZur Quelle · Stand 2026-08-24
- Einordnung durch Marktbeobachter: am 16.06.2026 im ersten Magic Quadrant für KI-Governance-Plattformen von Gartner als Visionary geführt; im Forrester Wave zu AI Governance Solutions für das dritte Quartal 2025 nach Anbieterangabe als LeaderEinstufung als Visionary im ersten Magic Quadrant für KI-Governance-Plattformen von Gartner vom 16.06.2026Zur Quelle · Stand 2026-08-24
- Rechtsperson und laufendes Verfahren: Credo.AI Corp., Zustellanschrift 4546 El Camino Real B10 #795, Los Altos, Kalifornien; Gerichtsstand laut Nutzungsbedingungen San Francisco County. Vor dem Bundesbezirksgericht für den nördlichen Bezirk Kaliforniens läuft seit dem 03.04.2024 das Markenverfahren 3:24-cv-02032-CRB, letzte Eintragung am 17.08.2026Markenverfahren 3:24-cv-02032-CRB vor dem Bundesbezirksgericht für den nördlichen Bezirk Kaliforniens, eingereicht am 03.04.2024, offen, letzte Eintragung am 17.08.2026Zur Quelle · Stand 2026-08-24
Ausstiegskosten: Hoch
Die Nutzungsbedingungen räumen nach Vertragsende 60 Tage zum Export ein, danach darf der Anbieter löschen. Herausgeben lassen sich die eigenen Einträge. Was nach dem Export fehlt, ist die Ordnung, die aus ihnen einen Nachweis gemacht hat: Risikobibliothek, Kontrollkatalog und Policy Packs sind Inhalte des Anbieters und teilweise an IBM lizenziert. Die Freigabekette bleibt als Datei erhalten, ihre Zuordnung zu Kontrollen und Rechtsnormen bleibt es nicht. Wer nach zwei Jahren wechselt, baut den Nachweisstand neu auf und erklärt einem Prüfer die Lücke dazwischen.
Regulatorik und Daten
| Auftragsverarbeitungbelegt, ohne Auflage: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.belegt, an eine Auflage gebunden: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.belegt, aber ungünstig: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.an einem kritischen Punkt offen: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann. | belegt, an eine Auflage gebundenvorhanden, auf Anfrage, kein eigenes Dokument öffentlichAuftragsverarbeitungsvertrag auf Anfrage, 60 Tage Exportfrist nach Vertragsende, aggregierte Ableitungen für eigene Zwecke, Trainingsausschluss für Kundendaten, namentlich genannte KI-Werkzeuge im Support, Gerichtsstand und ZustellanschriftZur QuelleAbschnitt 6.4 der Nutzungsbedingungen sagt zu, den Standard-Auftragsverarbeitungsvertrag auf Anfrage abzuschließen, soweit der Kunde einem Datenschutzrecht wie der DSGVO unterliegt. Der Text ist öffentlich nirgends abrufbar; die Adresse credo.ai/legal/dpa antwortet mit 404, das Seitenverzeichnis führt keine solche Seite.Stand 2026-08-24 |
|---|---|
| Speicherortbelegt, ohne Auflage: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.belegt, aber ungünstig: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.an einem kritischen Punkt offen: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt. | an einem kritischen Punkt offenunklarStand 08.04.2026, Trainingsvorbehalt für über Website und Dienst erhobene personenbezogene Daten, Standardvertragsklauseln als Übermittlungsgrundlage, kein Vertreter in der Union, kein Speicherort genanntZur QuelleWeder die Datenschutzerklärung noch die Nutzungsbedingungen nennen einen Speicherort, eine Region oder einen Infrastrukturanbieter. Eine Wahl der Region wird nirgends angeboten, eine Sicherheits- oder Vertrauensseite gibt es nicht; credo.ai/security und credo.ai/trust antworten mit 404. Geprüft wurden zusätzlich alle 500 im Seitenverzeichnis geführten Adressen.Stand 2026-08-24 |
| Subunternehmerbelegt, ohne Auflage: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.belegt, aber ungünstig: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.an einem kritischen Punkt offen: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren. | belegt, aber ungünstigkeine öffentliche Liste; einzelne Dienste in den Nutzungsbedingungen genanntAuftragsverarbeitungsvertrag auf Anfrage, 60 Tage Exportfrist nach Vertragsende, aggregierte Ableitungen für eigene Zwecke, Trainingsausschluss für Kundendaten, namentlich genannte KI-Werkzeuge im Support, Gerichtsstand und ZustellanschriftZur QuelleEine geführte Liste der Unterauftragnehmer gibt es nicht, credo.ai/subprocessors antwortet mit 404. Abschnitt 6.8 der Nutzungsbedingungen nennt ChatGPT Enterprise, Gemini Enterprise, Claude Enterprise und Microsoft Copilot als Werkzeuge, mit denen Beschäftigte des Anbieters die Leistung unterstützen, und sagt im selben Absatz, Kundendaten verließen die eigene Umgebung nicht. Beides nebeneinander gehört in die Vertragsverhandlung. Welcher Modellanbieter den eingebauten Governance-Assistenten betreibt, steht in keinem der öffentlichen Dokumente.Stand 2026-08-24 |
| Drittlandübermittlungbelegt, ohne Auflage: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.belegt, an eine Auflage gebunden: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.belegt, aber ungünstig: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.an einem kritischen Punkt offen: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt. | belegt, an eine Auflage gebundenÜbermittlung in die Vereinigten Staaten, Standardvertragsklauseln genanntStand 08.04.2026, Trainingsvorbehalt für über Website und Dienst erhobene personenbezogene Daten, Standardvertragsklauseln als Übermittlungsgrundlage, kein Vertreter in der Union, kein Speicherort genanntZur QuelleDer Anbieter sitzt in den Vereinigten Staaten, eine Übermittlung findet also statt. Die Datenschutzerklärung nennt als Grundlage die Standardvertragsklauseln der Europäischen Union oder andere anwendbare Mechanismen, ohne zuzuordnen, welcher Empfänger auf welcher Grundlage arbeitet. Ein Vertreter in der Union nach Artikel 27 DSGVO wird nicht benannt, ebenso wenig eine Niederlassung in der Union.Stand 2026-08-24 |
| Training mit Kundendatenbelegt, ohne Auflage: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.belegt, an eine Auflage gebunden: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.belegt, aber ungünstig: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.an einem kritischen Punkt offen: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt. | belegt, an eine Auflage gebundenfür Kundeninhalte vertraglich ausgeschlossen, für Website- und Kontodaten ausdrücklich vorbehaltenAuftragsverarbeitungsvertrag auf Anfrage, 60 Tage Exportfrist nach Vertragsende, aggregierte Ableitungen für eigene Zwecke, Trainingsausschluss für Kundendaten, namentlich genannte KI-Werkzeuge im Support, Gerichtsstand und ZustellanschriftZur QuelleZwei Dokumente geben hier zwei verschiedene Antworten, und darin liegt der wichtigste Befund dieses Profils. Abschnitt 6.8 der Nutzungsbedingungen schließt aus, dass User Data zum Trainieren, Entwickeln oder Verbessern von Modellen genutzt wird. Die Datenschutzerklärung mit Stand 08.04.2026 behält sich für die über Website und Dienst erhobenen personenbezogenen Daten das Gegenteil vor, einschließlich der Weitergabe an Dritte zum Modelltraining. Abschnitt 6.7 erlaubt zusätzlich, aggregierte und anonymisierte Ableitungen aus der Nutzung für eigene Zwecke einschließlich neuer Produkte zu verwenden. Auf den Modellanbieter hinter dem eingebauten Assistenten erstreckt sich die Zusage nicht, weil dieser nirgends benannt ist.Stand 2026-08-24 |
| Aufbewahrung und Löschungbelegt, ohne Auflage: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.belegt, aber ungünstig: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.an einem kritischen Punkt offen: Keine Aussage zu Aufbewahrung und Löschung. | belegt, an eine Auflage gebunden60 Tage Export nach Vertragsende, Löschung danach als Möglichkeit formuliertAuftragsverarbeitungsvertrag auf Anfrage, 60 Tage Exportfrist nach Vertragsende, aggregierte Ableitungen für eigene Zwecke, Trainingsausschluss für Kundendaten, namentlich genannte KI-Werkzeuge im Support, Gerichtsstand und ZustellanschriftZur QuelleAbschnitt 6.6 der Nutzungsbedingungen beziffert die Frist: 60 Tage nach Vertragsende bleiben die Daten zum Export verfügbar. Danach darf der Anbieter löschen, muss aber nicht; ausgenommen bleibt, was gesetzlich oder für berechtigte Geschäftszwecke des Anbieters erforderlich ist. Zu Sicherungskopien steht nichts. Eine Löschbestätigung sagt der Text nicht zu.Stand 2026-08-24 |
| Zertifikatebelegt, ohne Auflage: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.belegt, an eine Auflage gebunden: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.belegt, aber ungünstig: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.an einem kritischen Punkt offen: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden. | belegt, an eine Auflage gebundenSOC 2 Type II für Sicherheit, Verfügbarkeit und Vertraulichkeit; Bericht auf AnfrageSOC 2 Type II, geprüfte Kategorien Sicherheit, Verfügbarkeit und Vertraulichkeit, Bericht auf Anfrage, jährliche Wiederholung zugesagtZur QuelleDer Anbieter weist einen SOC-2-Type-II-Bericht aus und benennt die geprüften Kategorien Sicherheit, Verfügbarkeit und Vertraulichkeit. Verarbeitungsintegrität und Datenschutz gehören nicht dazu. Prüfzeitraum und Prüfgesellschaft sind nicht genannt, der Bericht wird auf Anfrage herausgegeben, eine jährliche Wiederholung ist zugesagt. Ein ISO-27001-Zertifikat wird nicht erwähnt. Bemerkenswert ist die Asymmetrie beim Thema ISO/IEC 42001: der Anbieter verkauft die Vorbereitung auf diese Norm, ein eigenes Zertifikat nach ihr ist auf den öffentlichen Seiten nicht ausgewiesen.Stand 2026-08-24 |
| EU-KI-Verordnung, Artikel 50belegt, ohne Auflage: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.belegt, an eine Auflage gebunden: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.belegt, aber ungünstig: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.an einem kritischen Punkt offen: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen. | belegt, aber ungünstigausführliche Aussagen zur Pflicht des Kunden, keine benannte Zusage zur eigenenEigene Seite zur KI-Verordnung, ausgerichtet auf die Pflichten des Kunden, Rechtsstand weiterhin auf dem Fahrplan von 2024, ohne die verschobenen Hochrisiko-FristenZur QuelleDer Anbieter führt eine eigene Seite zur KI-Verordnung, die sich vollständig an die Pflichten des Kunden richtet. Zu den eigenen Pflichten aus Artikel 50 für den eingebauten Governance-Assistenten, der Vorschläge erzeugt und Fragebögen vorbefüllt, findet sich keine Zusage. Prüfbar und für ein Werkzeug dieser Art unangenehm ist der Rechtsstand der Seite: sie argumentiert am 24.08.2026 weiterhin auf dem Fahrplan von 2024 und nennt die durch die Änderungsverordnung (EU) 2026/1744 verschobenen Hochrisiko-Fristen nicht, also weder den 02.12.2027 für Anhang III noch den 02.08.2028 für Anhang I. Über die Aktualität der Policy Packs im Produkt sagt das von außen nichts.Stand 2026-08-24 |
| Protokollierungbelegt, ohne Auflage: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.belegt, aber ungünstig: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.an einem kritischen Punkt offen: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält. | belegt, aber ungünstigPrüfspur über die verwalteten KI-Objekte beworben, Reichweite und Frist offencredo.ai/solutions/vendor-complianceZur QuellePrüfspur und Berichte gehören laut Produktnavigation zum Leistungsumfang und beziehen sich auf die verwalteten Anwendungsfälle, Modelle und Freigaben. Ob der Kunde zusätzlich ein auswertbares Protokoll über Zugriffe und Änderungen in seinem eigenen Mandanten erhält, wie lange dieses aufbewahrt wird und ob es sich in eigene Systeme ausleiten lässt, ist öffentlich nicht belegt. Eine Dokumentationsseite und eine Tarifübersicht, aus denen sich das ablesen ließe, gibt es nicht.Stand 2026-08-24 |
Was es wirklich kostet
Einstieg
Der Anbieter nennt öffentlich keinen Preis. Die Adresse credo.ai/pricing antwortet mit 404, und im Seitenverzeichnis vom 24.08.2026 steht unter 500 geprüften Adressen keine Preisseite. Der Einstieg läuft über ein Gespräch und einen Rahmenvertrag, Beratungsleistungen kommen laut Nutzungsbedingungen als eigener Auftrag daneben.Keine Preisseite, keine Vertrauensseite, keine Unterauftragnehmerliste und kein eigenes Auftragsverarbeitungsdokument unter 500 geprüften Adressen des SeitenverzeichnissesZur Quelle
Stand 2026-08-24
Was teuer wird
An drei Stellen, die man vor der ersten Verhandlung kennen sollte. Erstens fehlt ein Listenpreis, gegen den sich verhandeln ließe; der Anbieter kennt die Zahlungsbereitschaft der Gegenseite besser als umgekehrt. Zweitens ist die Einführung eines Verzeichnisses über mehrere Einheiten Projektarbeit, und der Anbieter hält dafür ein eigenes Beratungsangebot bereit, das neben der Lizenz abgerechnet wird. Drittens wurde der KI-Assistent den Entwurfspartnern bis zur allgemeinen Verfügbarkeit kostenlos überlassen; die Konditionen danach hat der Anbieter in derselben Unterlage ausdrücklich offengelassen.
Was es verdrängt
- Tabelle mit den eingesetzten KI-Systemen, gepflegt von einer Person
- Freigaben als E-Mail-Verlauf im Postfach der Rechtsabteilung
- Lieferantenfragebögen, die für jeden Kunden neu von Hand beantwortet werden
Schnittstellen
- Anwendungsfälle übernehmen aus Salesforce, ServiceNow, Jira, Asana und Microsoft Dynamics 365
- Modelle übernehmen aus Amazon SageMaker, Amazon Bedrock, Databricks, MLflow, Microsoft Azure Machine Learning und Hugging Face
- Nachweise übernehmen aus Weights & Biases und Collibra
- Regelwerk-Inhalte als Zusatz in IBM watsonx.governance
Passende Methoden
- Regulatorik-Dichte-TestDer Test klärt, ob eine Vorschrift dieses Haus härter trifft als alle anderen, und genau daran hängt, ob ein Verzeichnis eine Pflichtübung bleibt oder zur Eintrittskarte in ein reguliertes Segment wird.
- DORA AI Capabilities Model (sieben KI-Fähigkeiten)Die Erhebung fragt nach einer klaren KI-Haltung und nach erreichbaren internen Daten, und ein Verzeichnis der Anwendungsfälle ist der Abgleich, der zeigt, ob diese Haltung im Alltag überhaupt gilt.
- Operating-Model-Raster (Standardisierung und Integration)Ein zentrales KI-Verzeichnis ist eine Entscheidung über Prozessgleichheit und Datenkopplung zwischen Einheiten, und das Raster beantwortet vorher, wie viel davon das Geschäft wirklich braucht.
Quellen
- 1.Auftragsverarbeitungsvertrag auf Anfrage, 60 Tage Exportfrist nach Vertragsende, aggregierte Ableitungen für eigene Zwecke, Trainingsausschluss für Kundendaten, namentlich genannte KI-Werkzeuge im Support, Gerichtsstand und Zustellanschrift (öffnet in neuem Tab)credo.ai/legal/terms-of-use · Stand 2026-08-24
- 2.Stand 08.04.2026, Trainingsvorbehalt für über Website und Dienst erhobene personenbezogene Daten, Standardvertragsklauseln als Übermittlungsgrundlage, kein Vertreter in der Union, kein Speicherort genannt (öffnet in neuem Tab)credo.ai/legal/privacy-policy · Stand 2026-08-24
- 3.SOC 2 Type II, geprüfte Kategorien Sicherheit, Verfügbarkeit und Vertraulichkeit, Bericht auf Anfrage, jährliche Wiederholung zugesagt (öffnet in neuem Tab)credo.ai/legal/soc-2-type-ii-compliance · Stand 2026-08-24
- 4.Eigene Seite zur KI-Verordnung, ausgerichtet auf die Pflichten des Kunden, Rechtsstand weiterhin auf dem Fahrplan von 2024, ohne die verschobenen Hochrisiko-Fristen (öffnet in neuem Tab)credo.ai/eu-ai-act · Stand 2026-08-24
- 5.Getrennter Entwurfs-Mandant, Empfehlung ausschließlich nicht-produktiver Daten, allgemeine Verfügbarkeit für das erste Quartal 2026 angekündigt, Konditionen nach der Freigabe offengelassen, kein Modellanbieter benannt (öffnet in neuem Tab)credo.ai/… · Stand 2026-08-24
- 6.Series B über 21 Mio. US-Dollar vom 30.07.2024, Investoren, insgesamt 41,3 Mio. US-Dollar nach Anbieterangabe (öffnet in neuem Tab)credo.ai/… · Stand 2026-08-24
- 7.Series A über 12,8 Mio. US-Dollar vom 17.05.2022, Gründung im März 2020, allgemeine Verfügbarkeit der Plattform seit April 2022 (öffnet in neuem Tab)credo.ai/… · Stand 2026-08-24
- 8.OEM-Vertrag mit IBM vom 28.04.2025, Policy Packs als Inhalt des Zusatzes Compliance Accelerators in IBM watsonx.governance (öffnet in neuem Tab)credo.ai/… · Stand 2026-08-24
- 9.Allianz mit QuantumBlack, AI by McKinsey, vom 02.04.2024 (öffnet in neuem Tab)credo.ai/… · Stand 2026-08-24
- 10.Einstufung als Visionary im ersten Magic Quadrant für KI-Governance-Plattformen von Gartner vom 16.06.2026 (öffnet in neuem Tab)credo.ai/…/gartner-magic-quadrant-ai-governance-platforms-2026 · Stand 2026-08-24
- 11.Markenverfahren 3:24-cv-02032-CRB vor dem Bundesbezirksgericht für den nördlichen Bezirk Kaliforniens, eingereicht am 03.04.2024, offen, letzte Eintragung am 17.08.2026 (öffnet in neuem Tab)cand.uscourts.gov/…/credo-technology-group-ltd-v-credoai-corp · Stand 2026-08-24
- 12.Keine Preisseite, keine Vertrauensseite, keine Unterauftragnehmerliste und kein eigenes Auftragsverarbeitungsdokument unter 500 geprüften Adressen des Seitenverzeichnisses (öffnet in neuem Tab)credo.ai/sitemap.xml · Stand 2026-08-24
- 13.Namentlich genannte Anbindungen des Integrationszentrums für Anwendungsfälle, Modelle, Nachweise und Datensätze (öffnet in neuem Tab)credo.ai/… · Stand 2026-08-24
- 14.Modul für KI-Governance mit Verzeichnis für Anwendungsfälle und Abbildung auf ISO/IEC 42001, das NIST-Rahmenwerk und die KI-Verordnung bei einem Anbieter aus der Nachweis-Automatisierung (öffnet in neuem Tab)vanta.com/products/iso-42001 · Stand 2026-08-24
- 15.credo.ai/solutions/vendor-compliance (öffnet in neuem Tab)Stand 2026-08-24
Zuletzt geprüft: 2026-08-24 von Dr. Oliver Gausmann, Convios GmbH
Angaben veraltet? Schreiben Sie uns.