Einen KI-Anbieter bewerten: zwanzig Fragen für CISO, DSB und Einkauf
Kurz gesagt
Bewerten Sie einen KI-Anbieter in fünf Bereichen: was mit Ihren Daten geschieht (Training, Aufbewahrung, Standort), wer darauf zugreifen kann (Unterauftragsverarbeiter, ausländisches Recht), wie sie geschützt sind (Zertifizierungen, Protokollierung), was der Vertrag regelt (Auftragsverarbeitung, Audit, Exit) und welche Rolle der Anbieter nach der KI-Verordnung hat. Lassen Sie sich die Antworten schriftlich bestätigen: Werbetexte sind keine Vertragsbedingungen.
Daten: was geschieht mit Ihren Eingaben?
- Werden unsere Ein- und Ausgaben genutzt, um Modelle zu trainieren oder zu verbessern, und ist das vertraglich ausgeschlossen?
- Wie lange werden Prompts, Ausgaben, hochgeladene Dateien und Protokolle gespeichert, und können wir das einstellen?
- Wo findet die Verarbeitung physisch statt, und wo liegen die Backups?
- Können wir Daten auf Anfrage vollständig löschen lassen, und wie wird das bestätigt?
Zugriff: wer kommt heran?
- Welche Unterauftragsverarbeiter verarbeiten unsere Daten, und wo sind sie ansässig?
- Unterliegt der Anbieter oder ein Unterauftragsverarbeiter nichteuropäischem Recht, das eine Herausgabe erzwingen kann, etwa dem CLOUD Act? Siehe Der CLOUD Act und Ihre europäischen Daten.
- Welche Mitarbeitenden des Anbieters können unsere Inhalte einsehen, in welchen Situationen, und wird das protokolliert?
- Laufen wir auf geteilter oder auf dedizierter Infrastruktur?
Sicherheit: wie ist sie geregelt?
- Welche Zertifizierungen hat der Anbieter (ISO 27001, SOC 2, Branchennormen wie C5, NEN 7510 oder HDS), und was liegt im Geltungsbereich?
- Wie ist der Dienst gegen Prompt Injection und Missbrauch geschützt? Siehe Prompt Injection.
- Erhalten wir ein Audit-Log der Nutzung, und können wir es in unser SIEM exportieren?
- Wie und innerhalb welcher Frist meldet der Anbieter einen Sicherheitsvorfall?
- Können wir den Zugang an unseren Identity Provider anbinden, mit Rollen?
Vertrag, Exit und KI-Verordnung
- Gibt es einen Auftragsverarbeitungsvertrag, der Artikel 28 DSGVO erfüllt?
- Haben wir Audit- und Prüfrechte? Für Finanzunternehmen verlangt DORA das ausdrücklich.
- Was geschieht bei Vertragsende: Wie erhalten wir unsere Daten, Automatisierungen und Konfiguration zurück?
- Können wir das Modell wechseln, ohne alles neu zu bauen? Siehe Open-Weight-Modelle wählen.
- Welche Rolle hat der Anbieter nach der KI-Verordnung (Anbieter eines Systems oder eines Modells), und welche Dokumentation liefert er?
- Welche Modelle werden eingesetzt, von welchem Hersteller, unter welcher Lizenz?
- Wie werden wir über Änderungen an Modellen, Bedingungen und Unterauftragsverarbeitern informiert?
Halten Sie die Antworten in Ihrem KI-Register und in der DSFA fest.
Häufige Fragen
Fragen zu diesem Thema
Welche Fragen sind bei einem KI-Anbieter am wichtigsten?
Ob Ihre Daten für Training genutzt werden, wo die Verarbeitung stattfindet, welche Unterauftragsverarbeiter und welches ausländische Recht beteiligt sind, ob es einen Auftragsverarbeitungsvertrag und ein Audit-Log gibt und wie Sie bei Vertragsende herauskommen.
Reicht ein ISO-27001-Zertifikat aus?
Es ist ein gutes Zeichen, aber prüfen Sie den Geltungsbereich: Fällt der KI-Dienst, den Sie beziehen, darunter? Zudem sagt ein Zertifikat nichts über Training mit Ihren Daten, ausländisches Recht oder den Exit. Diese Fragen müssen Sie gesondert stellen.
Wie bewerte ich eine KI-Funktion in bestehender Software?
Mit denselben Fragen. Fragen Sie den Softwareanbieter, welches Modell die Funktion nutzt, bei welchem Dienstleister sie läuft, ob Ihre Daten dafür verwendet werden und ob Sie die Funktion abschalten können.
Was ändert sich, wenn die KI auf eigener Infrastruktur läuft?
Viele Fragen zu Daten und Zugriff entfallen: kein Training bei Dritten, kein ausländisches Recht über die Inhalte, keine Unterauftragsverarbeiter in der Verarbeitung. Die Fragen zu Sicherheit, Protokollierung, Updates und Exit bleiben.
Quellen
- DSGVO (Verordnung (EU) 2016/679), Artikel 28
- DORA — Verordnung (EU) 2022/2554, Artikel 30
- NIS-2-Richtlinie — Richtlinie (EU) 2022/2555, Artikel 21
Dieser Beitrag ist eine allgemeine Information, keine Rechtsberatung. Regeln und Leitlinien ändern sich; prüfen Sie im Zweifel die genannten Quellen oder fragen Sie Ihre Rechtsabteilung oder Ihren Datenschutzbeauftragten.