KI-Anbieter prüfen: Vorlage mit Sicherheitsfragen

Das Problem

Ihr Betrieb möchte ein KI-Werkzeug beschaffen. Der Anbieter wirbt mit «höchster Sicherheit» und «Datenschutz nach Schweizer Standard». Doch solche Sätze sind keine Antworten. Sie wissen nicht, wo Ihre Daten liegen, wer darauf zugreifen kann und ob damit Modelle trainiert werden.

Ohne Prüfung entscheiden Sie nach Marketing und Bauchgefühl. Stellen Sie stattdessen schriftliche Fragen. Seriöse Anbieter beantworten sie klar. Ausweichende, widersprüchliche oder fehlende Antworten sind selbst eine wichtige Information.

Sie müssen kein Sicherheitsfachmann sein. Mit einer strukturierten Liste und etwas Zeit kommen Sie zu belastbaren Aussagen, die Sie bei Rückfragen vorzeigen können.

So lösen Sie es mit KI – Schritt für Schritt

1. Beschreiben Sie den Einsatz. Notieren Sie, wofür Sie das Werkzeug brauchen, welche Daten hineinkommen und wer es nutzt. Ohne diese Angaben lassen sich Fragen nicht gewichten.
2. Wählen Sie die Fragen aus. Nutzen Sie die Vorlage unten. Streichen Sie Fragen, die für Ihren Einsatz keine Rolle spielen, und ergänzen Sie branchenspezifische.
3. Senden Sie die Fragen schriftlich. Bitten Sie um eine Antwort per E-Mail oder im Formular, damit Sie sie ablegen können. Mündliche Zusagen am Telefon lassen sich später schwer belegen.
4. Vergleichen Sie mit den Unterlagen. Prüfen Sie Datenschutzerklärung, Vertragsbedingungen und Sicherheitsseite des Anbieters. Widersprüche zwischen Antwort und Unterlagen markieren Sie.
5. Lassen Sie Antworten zusammenfassen. Sie dürfen eine KI beauftragen, lange Antworten zu gliedern. Geben Sie nur die Anbieterantworten und keine vertraulichen Daten ein, und prüfen Sie die Zusammenfassung gegen das Original.
6. Ordnen Sie Nachweise ein. Zertifikate und Berichte sind hilfreich, aber unterschiedlich aussagekräftig. Siehe Sicherheitsnachweise einordnen.
7. Klären Sie die Lieferkette. Fragen Sie, welche Unterauftragnehmer und Modellanbieter beteiligt sind und wohin Daten fliessen. Mehr: Unterauftragnehmer und Datenwege.
8. Entscheiden und dokumentieren. Halten Sie fest, was geklärt ist, welche Risiken Sie akzeptieren und welche offenen Punkte bleiben. Legen Sie ein Prüfdatum fest.

Vorlage zum Kopieren

Diese Fragen können Sie dem Anbieter senden. Passen Sie sie an Ihren Einsatz an.

Betreff: Sicherheits- und Datenschutzfragen zu [Produktname]

Guten Tag

wir prüfen den Einsatz von [Produktname] für [Zweck] in unserem Betrieb ([Branche], [Anzahl] Mitarbeitende). Wir bitten um schriftliche Antworten auf folgende Fragen:

Daten
1. Wo werden unsere Eingaben und Dateien gespeichert und verarbeitet (Land, Rechenzentrum)?
2. Werden unsere Daten zum Training oder zur Verbesserung von Modellen verwendet? Wie lässt sich das ausschliessen?
3. Wie lange werden Daten aufbewahrt, und wie können wir sie löschen?
4. Welche Unterauftragnehmer sind beteiligt?

Zugriff
5. Wer bei Ihnen kann unsere Inhalte einsehen, und unter welchen Umständen?
6. Welche Anmeldeverfahren (zusätzliche Bestätigung, Einmalanmeldung) und Rollen bieten Sie an?

Sicherheit
7. Welche Sicherheitsnachweise oder Prüfberichte können Sie vorlegen?
8. Wie informieren Sie uns bei Sicherheitsvorfällen, und innert welcher Frist?

Vertrag
9. Wie läuft ein Anbieterwechsel ab, und können wir unsere Daten exportieren?

Freundliche Grüsse
[Ihr Name, Funktion]

Bewahren Sie die Antworten zusammen mit dem Datum der Anfrage auf.

Wie Sie Antworten einordnen

Worauf Sie achten müssen

• Antworten sind keine Garantien. Aussagen des Anbieters gelten nur, soweit sie im Vertrag stehen. Lassen Sie wichtige Zusagen vertraglich festhalten. Eine Checkliste bietet KI-Anbieterverträge prüfen.
• Zertifikate sind kein Freipass. Sie belegen einen bestimmten Umfang zu einem bestimmten Zeitpunkt. Prüfen Sie, was genau abgedeckt ist.
• Datenschutzrechtliche Prüfung bleibt nötig. Bei Personendaten gelten die Pflichten des Datenschutzrechts, etwa bei Auslandsbezug. Hinweise bietet der EDÖB. Den Einzelfall beurteilt eine Fachperson.
• Risiken ändern sich. Stand Oktober 2026 entwickeln sich Produkte rasch. Wiederholen Sie die Prüfung bei grösseren Änderungen. Einen Rahmen für Risikomanagement beschreibt das NIST AI RMF.
• Eigene Sorgfalt. Auch bei vertrauenswürdigen Anbietern bleiben Sie verantwortlich für Ihre Daten. Das NCSC bietet allgemeine Hinweise zur Cybersicherheit.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Immobilienverwalter in Zürich möchte ein KI-Werkzeug für Mieterkorrespondenz einführen. Frau Müller aus dem Sekretariat soll die Anbieter vergleichen.

Vorher lagen nur Werbeprospekte vor. Sie sendet beiden Anbietern dieselben neun Fragen. Der erste antwortet konkret und verweist auf Vertragsklauseln, der zweite schreibt allgemein, ohne den Speicherort zu nennen.

Nachher entscheidet sich das Team für den ersten Anbieter, hält die Antworten in der Akte fest und notiert offene Punkte für die vertragliche Klärung. Die Prüfung dauerte zwei Arbeitsstunden.

So hilft Ihnen Alpasana

Wenn Sie KI-Vorhaben vorbereiten, hilft Alpasana mit KI-Beratung und digitaler Transformation: Prozesse aufnehmen, KI-Potenziale analysieren, Vorhaben priorisieren und einen Umsetzungsplan erstellen sowie Einsatzregeln festlegen. Die Auswahl und Bewertung von Werkzeugen lässt sich in diesen Ablauf einbinden.

Die rechtliche und technische Bewertung eines konkreten Anbieters bleibt bei Ihnen und Ihren Fachpersonen. Projekte werden individuell offeriert.

Häufige Fragen

Wie viele Fragen sind genug?

Für den Anfang genügen sechs bis zehn zentrale Fragen. Wichtiger als die Menge ist, dass Sie die Antworten schriftlich haben und vergleichen. Bei sensiblen Daten ergänzen Sie weitere.

Kann ich die Antworten mit KI auswerten lassen?

Als Lesehilfe ja, etwa zum Gliedern langer Texte. Prüfen Sie jedes Ergebnis gegen das Original und geben Sie keine vertraulichen Daten ein. Die Bewertung bleibt Ihre Aufgabe.

Was, wenn der Anbieter nicht antwortet?

Das ist ein Warnzeichen. Fragen Sie einmal nach und setzen Sie eine Frist. Bleibt die Antwort aus, wählen Sie lieber einen Anbieter, der Auskunft gibt.