KI-Anbieter für Behörden prüfen: Beschaffungscheckliste

Das Problem

Die Gemeindeschreiberin hat drei Offerten für ein KI-Werkzeug auf dem Tisch. Alle klingen überzeugend, alle versprechen «sichere Verarbeitung» und «hohe Qualität». Doch was genau damit gemeint ist, bleibt oft unklar. Im Gemeinderat soll bald entschieden werden.

Das Risiko liegt weniger im Werkzeug selbst als in den Fragen, die nicht gestellt wurden. Wo stehen die Server? Wer darf die Eingaben einsehen? Was geschieht mit den Daten nach Vertragsende? Wenn diese Punkte erst nach der Unterschrift auffallen, ist der Spielraum klein.

Hinzu kommt: Eine Behörde muss ihre Entscheidungen später erklären können, auch gegenüber der Aufsicht und der Öffentlichkeit. Eine gute Checkliste ist deshalb kein Misstrauen gegenüber Anbietern. Sie ist Ihr Nachweis, dass die Auswahl sorgfältig erfolgte.

So lösen Sie es mit KI – Schritt für Schritt

1. Zweck festhalten. Schreiben Sie in zwei Sätzen auf, wofür die KI gebraucht wird, etwa «Entwürfe für Korrespondenz» oder «Suche in Dienstanweisungen». Je klarer der Zweck, desto klarer die Anforderungen.

1. Datenarten sortieren. Notieren Sie, welche Angaben verarbeitet würden: öffentliche Texte, interne Dokumente, Personendaten, besonders schützenswerte Personendaten. Das bestimmt, wie streng die Prüfung ausfällt.

1. Rechtsgrundlage klären lassen. Für kantonale und kommunale Behörden gilt in der Regel das kantonale Datenschutzgesetz, für Bundesorgane das Bundesgesetz. Fragen Sie Ihre Datenschutzstelle, welches Recht bei Ihnen greift.

1. Fragenkatalog erstellen. Lassen Sie sich von einer KI einen Entwurf geben (Vorlage unten), und ergänzen Sie ihn mit Ihren eigenen Vorgaben. Prüfen Sie jede Frage auf Verständlichkeit.

1. Anbieter schriftlich antworten lassen. Mündliche Zusagen zählen später wenig. Verlangen Sie Antworten schriftlich und vergleichen Sie diese in einer Tabelle.

1. Verträge lesen lassen. Legen Sie Datenverarbeitungsvertrag und Nutzungsbedingungen der Rechtsstelle vor. Eine KI kann die Texte vorab zusammenfassen, ersetzt aber die Prüfung nicht.

1. Probebetrieb mit Testdaten. Lassen Sie das Werkzeug zuerst mit erfundenen oder öffentlichen Dokumenten laufen. Siehe Testdaten statt echter Kundendaten nutzen.

1. Entscheid begründen und ablegen. Halten Sie fest, warum Sie sich so entschieden haben. Dieses Dokument ist später Ihr Beleg.

Vorlage zum Kopieren

Ich arbeite in der Verwaltung einer Schweizer [Gemeinde / Stadt / Kantonsstelle] und möchte KI-Anbieter vergleichen.

Einsatzzweck: [z. B. Entwürfe für Korrespondenz]
Datenarten: [öffentliche Texte / interne Dokumente / Personendaten]
Bestehende Vorgaben: [z. B. kantonale Informatikrichtlinie, falls vorhanden]

Erstelle eine Checkliste mit höchstens 25 Fragen an den Anbieter, gegliedert in:
1. Datenverarbeitung (Standort, Speicherdauer, Weitergabe, Training mit Eingaben)
2. Vertrag (Verantwortlichkeiten, Unterauftragnehmer, Kündigung, Datenrückgabe und Löschung)
3. Nachvollziehbarkeit (Protokollierung, Quellenangaben, Freigabeprozess)
4. Betrieb (Support, Ausfälle, Sicherheitsvorfälle)
Formuliere die Fragen so, dass sie mit Ja, Nein oder einer kurzen Auskunft beantwortbar sind.
Gib keine rechtlichen Bewertungen ab. Markiere Fragen, die die Rechtsstelle klären muss.

Passen Sie Einsatzzweck und Datenarten an. Je sensibler die Daten, desto mehr Fragen sollten Sie ergänzen.

Worauf Sie achten müssen

• Keine echten Personendaten beim Testen. Auch bei Vorführungen gehören nur Testdaten ins System. Siehe Welche Daten darf ich nicht in eine KI eingeben?.
• Beschaffungsrecht beachten. Ab bestimmten Schwellenwerten gelten Vorgaben zur Ausschreibung. Welche das sind, klärt Ihre Beschaffungsstelle. Lesen Sie dazu auch Eine Ausschreibung mit KI vorbereiten.
• Ausland und Unterauftragnehmer. Wenn Daten ins Ausland gelangen können, sind zusätzliche Prüfungen nötig. Mehr dazu unter KI-Anbieter in den USA: Datentransfer prüfen.
• Marketingversprechen. Zertifikate und Gütesiegel sagen nur etwas aus, wenn Sie wissen, was genau geprüft wurde und von wem.
• Abhängigkeit. Prüfen Sie, wie leicht Sie später wechseln können. Exportformate und Datenrückgabe gehören in den Vertrag.
• KI ist Hilfsmittel. Die KI hilft beim Erstellen der Checkliste, die fachliche und rechtliche Bewertung machen Menschen.

Ein Beispiel aus der Praxis

Ein Beispiel: Eine Gemeinde im Aargau möchte ein KI-Werkzeug für Korrespondenz einführen. Vor der Checkliste vergleicht die Verwaltung die Anbieter nach Preis und Bedienung. Ob Eingaben für das Training genutzt werden, fragt niemand.

Nach der Checkliste fragt die Gemeinde alle Anbieter schriftlich dasselbe. Ein Anbieter kann den Verarbeitungsstandort nicht beantworten, ein anderer verlangt im Vertrag die Nutzung der Eingaben zu eigenen Zwecken. Die Gemeinde scheidet beide aus.

Der verbleibende Anbieter wird mit Testdaten geprüft, die Rechtsstelle liest den Vertrag, und der Gemeinderat erhält eine einseitige Entscheidungsgrundlage. Das spart später Diskussionen.

So hilft Ihnen Alpasana

Wenn Ihre Verwaltung klären möchte, wo KI sinnvoll eingesetzt werden kann und worauf bei der Einführung zu achten ist, hilft die KI-Beratung und digitale Transformation von Alpasana. Beschrieben sind das Aufnehmen von Prozessen, die Analyse von KI-Potenzialen, die Priorisierung von Vorhaben und ein Umsetzungsplan.

Die Beratung ersetzt keine juristische Prüfung Ihrer Verträge. Projekte werden individuell offeriert, der Umfang wird zuerst gemeinsam geklärt.

Häufige Fragen

Muss ich ausschreiben, wenn ich ein KI-Werkzeug beschaffe?

Das hängt vom Auftragswert und vom anwendbaren Beschaffungsrecht ab. Ihre Beschaffungs- oder Rechtsstelle kann sagen, welche Schwellenwerte bei Ihnen gelten. Klären Sie das, bevor Sie Offerten einholen.

Reicht ein Schweizer Anbieter als Garantie?

Nein. Entscheidend ist, wo und durch wen Daten tatsächlich verarbeitet werden. Auch ein Schweizer Anbieter kann Unterauftragnehmer im Ausland einsetzen. Fragen Sie deshalb nach der ganzen Verarbeitungskette.

Wie oft sollte ich den Anbieter erneut prüfen?

Mindestens bei jeder wesentlichen Änderung der Nutzungsbedingungen, des Funktionsumfangs oder der Unterauftragnehmer. Legen Sie zusätzlich einen festen Termin fest, etwa einmal jährlich.

Wer sollte bei der Auswahl mitreden?

Neben der Fachstelle, die das Werkzeug nutzt, gehören die Informatik, die Datenschutzstelle und je nach Gemeinde die Rechtsstelle oder die Gemeindeschreiberei dazu. Binden Sie diese früh ein, nicht erst vor dem Entscheid. So vermeiden Sie, dass ein fast fertiger Beschluss noch einmal aufgerollt werden muss.