Kurz zusammengefasst
- Beginnen Sie mit Aufgabe, Daten und Fehlerfolgen – nicht mit einem allgemeinen Anbieterfragebogen.
- Prüfen Sie den konkreten Tarif, Endpunkt und Funktionsumfang; Aussagen zur Marke allein sind zu ungenau.
- Trennen Sie Training, Aufbewahrung, Datenstandort, Unterauftragnehmer, Supportzugriff und eigene Protokolle.
- Halten Sie Entscheidung, Auflagen, Verantwortliche und Termin der nächsten Überprüfung fest.
Zuerst den Anwendungsfall abgrenzen
Ohne klaren Anwendungsfall lässt sich kein Anbieter sinnvoll prüfen. Ein Schreibassistent für öffentliche Texte stellt andere Anforderungen als die Auswertung von Bewerbungsunterlagen oder Gesundheitsdaten.
- Schritt 1
Aufgabe
Welches konkrete Ergebnis soll die Anwendung erzeugen?
- Schritt 2
Daten
Welche Eingaben, Quellen und Personendaten werden verarbeitet?
- Schritt 3
Nutzer
Wer darf die Anwendung und die zugrunde liegenden Daten verwenden?
- Schritt 4
Folgen
Was geschieht bei einem falschen Ergebnis oder einer Offenlegung?
- Schritt 5
Risikoklasse
Ist wegen Art, Umfang, Zweck oder neuer Technologie eine vertiefte Folgenabschätzung angezeigt?
Produkt und Datenfluss exakt erfassen
Viele Anbieter betreiben mehrere Produkte mit unterschiedlichen Bedingungen. Consumer-Chat, Enterprise-Arbeitsplatz und API können sich bei Training, Speicherung und Administration wesentlich unterscheiden.
- Exakter Produktname, Tarif, Region, Modell und API-Endpunkt
- Eingaben, Ausgaben, Dateien, Gesprächsverlauf und abgeleitete Metadaten
- RAG-Quellen, Websuche, Plug-ins, Connectors und Codeausführung
- Speicherorte, Aufbewahrungsfristen, Backups und Löschwege
- Unterauftragnehmer, Supportzugriffe und mögliche Auslandtransfers
- Eigene Logs, Monitoring-, Analyse- und Fehlersysteme
Rollen und Vertrag müssen zum Datenfluss passen
Bei einer Auftragsbearbeitung bleibt das Unternehmen für die sorgfältige Auswahl, Instruktion und angemessene Überwachung des Anbieters verantwortlich. Der Vertrag muss die tatsächliche technische Nutzung abdecken.
- Rollen der beteiligten Parteien und zulässige Verarbeitungszwecke
- Verarbeitung nur nach dokumentierten Weisungen
- Vertraulichkeit sowie technische und organisatorische Massnahmen
- Regeln für neue oder wechselnde Unterauftragnehmer
- Garantien für Bekanntgaben in Länder ohne angemessenes Datenschutzniveau
- Unterstützung bei Auskunft, Berichtigung, Löschung und Sicherheitsvorfällen
- Rückgabe, Export und Löschung bei Vertragsende
- Informations- und Kündigungsrechte bei wesentlichen Produktänderungen
Nachweise sind stärker als Produktversprechen
Zertifizierungen und Prüfberichte können die Bewertung unterstützen, ersetzen aber nicht die Prüfung des eigenen Anwendungsfalls. Entscheidend ist, ob die vorgesehenen Kontrollen technisch verfügbar, richtig konfiguriert und überprüfbar sind.
| Prüffeld | Konkrete Frage | Erwarteter Beleg | Warnsignal |
|---|---|---|---|
| Identität und Zugriff | Können SSO, MFA, Rollen, Mandantentrennung und automatisierter Entzug verbindlich umgesetzt werden? | Konfiguration im Testmandanten, Rollenmatrix und Audit-Log eines Rechteentzugs. | Nur gemeinsame Konten, grobe Admin-Rollen oder keine exportierbaren Zugriffsprotokolle. |
| Aufbewahrung und Löschung | Welche Inhalte, Metadaten, Backups und Funktionen werden wie lange gespeichert? | Vertragliche Fristen, Produktmatrix und erfolgreich getesteter Löschfall. | Pauschales «kein Training» ohne Angaben zu Speicherung und Folgesystemen. |
| Datenfluss und Unterauftragnehmer | Welche Parteien verarbeiten welche Daten in welchen Ländern? | Aktuelle Liste der Unterauftragnehmer, Regionen, Transfergrundlagen und Änderungsprozess. | Unbekannte Empfänger, globale Standardregion oder Änderungen ohne Einspruchsmöglichkeit. |
| Sicherheit und Vorfälle | Wie werden Schwachstellen, administrative Änderungen und Datenverletzungen erkannt und gemeldet? | Prüfbericht, Incident-Prozess, Meldefristen und exemplarische Audit-Einträge. | Zertifikat ohne Scope, unklare Meldewege oder keine verbindlichen Fristen. |
| Qualität und Produktänderungen | Wie werden Modell-, Funktions- und Sicherheitsänderungen angekündigt und erneut geprüft? | Release-Prozess, Änderungsprotokoll, Eval-Ergebnisse und Kündigungs- oder Sperrmöglichkeit. | Stille Modellwechsel oder wesentliche Änderungen ohne nachvollziehbaren Nachweis. |
Mit Belegen freigeben und danach weiterprüfen
Die Anbieterprüfung endet nicht mit der Vertragsunterschrift. Modelle, Funktionen und Unterauftragnehmer ändern sich. Eine begrenzte Pilotphase zeigt, ob Zusagen, Einstellungen und Arbeitsabläufe in der Praxis zusammenpassen.
- Schritt 1
Sicher starten
Pilot zuerst mit synthetischen, anonymisierten oder wenig sensiblen Daten durchführen.
- Schritt 2
Konfiguration prüfen
Region, Speicherung, Training, Rollen und Protokolle technisch verifizieren.
- Schritt 3
Realistisch testen
Qualität, Datenabfluss, Fehlersituationen und menschliche Freigabe mit repräsentativen Fällen prüfen.
- Schritt 4
Freigabe dokumentieren
Zugelassene Daten, Funktionen, Auflagen und verantwortliche Personen festhalten.
- Schritt 5
Betrieb überwachen
Änderungen, Vorfälle, Zugriffe und Anbieterleistung regelmässig überprüfen; Export und Ausstieg erproben.
Beispiel: Eingangsrechnungen mit KI erfassen
Ein Unternehmen prüft einen Dienst, der Rechnungen klassifiziert und Felder extrahiert. Die Dokumente enthalten Kontakt-, Bank- und Bestelldaten. Vor dem Pilot werden Datenfluss, Produktregion, Unterauftragnehmer, Löschfristen und Trainingsnutzung geklärt. Der Vertrag regelt Weisungen, Vorfälle, Rückgabe und Löschung. Technisch werden SSO, Rollen und inhaltssparsame Protokolle aktiviert. Der Pilot nutzt zunächst synthetische Rechnungen und danach einen begrenzten freigegebenen Bestand. Extraktion, Fehlerfälle, manuelle Korrektur und Löschung werden getestet, bevor eine Produktionsfreigabe erfolgt.
Was Sie mitnehmen sollten
Eine gute Anbieterprüfung endet mit einer nachvollziehbaren Entscheidung: zugelassener Anwendungsfall, erlaubte Daten, aktive Schutzmassnahmen, vertragliche Belege, verbleibende Risiken, Verantwortliche und nächster Prüftermin.
Quellen und Vertiefung
Diese Primärquellen vertiefen Definitionen, technische Grundlagen oder verantwortlichen Einsatz.
Inhaltlich geprüft
Allgemeine Prüforientierung auf Basis offizieller Behörden- und Standardquellen. Keine Rechtsberatung; Datenschutz- und Vertragsfragen sind für den konkreten Einsatz zu beurteilen.