Welche Sicherheitsnachweise sollte ein KI-Anbieter liefern?

Das Problem

Ein KI-Anbieter zeigt Ihnen auf seiner Website Logos und Siegel: «Zertifiziert», «Sicher», «Geprüft». Auf Nachfrage schickt er ein PDF mit einem Stempel. Sie sind kein Sicherheitsexperte und fragen sich: Was bedeutet das genau, und genügt es für unsere Kundendaten?

Die Unsicherheit ist verständlich. Sicherheitsnachweise gibt es in vielen Formen, und sie sagen sehr Unterschiedliches aus. Manche prüfen die Organisation des Anbieters, andere nur ein einzelnes Rechenzentrum, wieder andere sind schlicht Eigenerklärungen ohne unabhängige Prüfung.

Sie müssen nicht jedes Zertifikat fachlich verstehen. Mit vier einfachen Fragen erkennen Sie, ob ein Nachweis für Ihren Fall etwas taugt: Wer hat geprüft? Was wurde geprüft? Für welchen Dienst gilt es? Wann war das?

So lösen Sie es mit KI – Schritt für Schritt

1. Alle Nachweise einsammeln. Bitten Sie den Anbieter, Siegel, Zertifikate, Prüfberichte und Sicherheitsunterlagen als Dokumente zu schicken, nicht nur als Logo. Notieren Sie, was geliefert wird und was nicht.

1. Den Aussteller prüfen. Wer hat das Zertifikat ausgestellt? Eine unabhängige, anerkannte Prüfstelle oder der Anbieter selbst? Eigenerklärungen sind nicht wertlos, aber sie sind keine unabhängige Bestätigung.

1. Den Geltungsbereich lesen. Auf jedem Zertifikat steht, für welche Teile des Betriebs es gilt, zum Beispiel für einen Standort, ein Produkt oder einen Prozess. Gilt es für genau den Dienst, den Sie nutzen wollen? Ein Zertifikat über das Rechenzentrum sagt nichts über die KI-Anwendung darüber.

1. Datum und Gültigkeit kontrollieren. Wann wurde geprüft, wie lange gilt der Nachweis? Abgelaufene Zertifikate sind keine Nachweise mehr. Fragen Sie auch, wann die nächste Prüfung stattfindet.

1. Die Art des Nachweises einordnen. Ein Beispiel: Die Norm ISO/IEC 27001 beschreibt ein Managementsystem für Informationssicherheit. Eine Zertifizierung bedeutet, dass ein Betrieb Abläufe zur Sicherheit eingerichtet hat, nicht dass jede Anwendung fehlerfrei ist. Weitere Orientierung: Sicherheitsnachweise einordnen.

1. Eigene Fragen ergänzen. Wer hat Zugriff auf unsere Daten? Wie werden Vorfälle gemeldet? Gibt es Tests der Sicherheit durch Dritte? Wie werden Zugriffe protokolliert? Vorlagen finden Sie unter Sicherheitsfragen an KI-Anbieter.

1. Mit KI den Fragebogen vorbereiten. Öffnen Sie einen erlaubten KI-Assistenten, also ein Programm, dem Sie schriftlich Aufgaben geben. Lassen Sie sich mit der Vorlage unten Fragen und eine Tabelle zum Einordnen der Nachweise erstellen. Die KI kann Zertifikate nicht auf Echtheit prüfen. Das müssen Sie beim Aussteller tun.

1. Echtheit und Ergebnis festhalten. Prüfen Sie wichtige Zertifikate bei der Prüfstelle oder in deren Verzeichnis. Notieren Sie das Ergebnis in Ihrer Bewertungsmatrix und entscheiden Sie, ob die Nachweise für Ihren Schutzbedarf genügen.

Vorlage zum Kopieren

Ich prüfe die Sicherheitsnachweise eines KI-Anbieters für unseren Betrieb.
Unser Schutzbedarf: [z. B. Kundendaten, Personaldaten, nur öffentliche Texte].
Der Anbieter hat folgende Nachweise genannt: [Nachweisart ohne Anbietername, z. B. ISO/IEC 27001, Prüfbericht, Eigenerklärung].
Das steht im Geltungsbereich: [Stichworte oder «nicht bekannt»].
Bitte erstelle mir:
1. eine Tabelle zum Einordnen mit den Spalten Aussteller, Geltungsbereich, Datum, Aussagekraft für uns, offene Fragen,
2. acht Fragen an den Anbieter zu Zugriff, Vorfällen, Tests und Protokollierung,
3. drei Hinweise, woran ich schwache Nachweise erkenne.
Beurteile keine Zertifikate auf Echtheit und erfinde keine Normen oder Prüfstellen.
Wenn du etwas nicht sicher weisst, schreibe «bitte beim Aussteller prüfen».

Passen Sie die Platzhalter an und lassen Sie Vertragsdetails und Kundendaten weg.

Worauf Sie achten müssen

• Kein Siegel ersetzt die Datenschutzprüfung. Sicherheit und Datenschutz sind verwandt, aber nicht dasselbe. Klären Sie zusätzlich, wo Daten verarbeitet werden und wozu, siehe Datenschutzfragen an KI-Anbieter.
• Grösse sagt wenig. Auch ein bekannter Anbieter kann für einen bestimmten Dienst keine Nachweise haben. Prüfen Sie Fall für Fall.
• Sicherheitsvorfälle. Fragen Sie, wie der Anbieter mit Vorfällen umgeht und wann er Sie informiert. Hinweise zu Cybersicherheit bietet das Bundesamt für Cybersicherheit.
• Rechtliche Wirkung. Ein Zertifikat ersetzt keine vertragliche Zusage. Was Ihnen wichtig ist, gehört schriftlich in den Vertrag. Die rechtliche Prüfung im Einzelfall übernimmt eine Fachperson.
• Daten im Vorlagentext. Geben Sie der KI keine vertraulichen Vertragsunterlagen.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Eine Arztpraxis in Aarau prüft einen Anbieter für KI-gestützte Terminplanung. Auf der Website steht «ISO-zertifiziert». Frau Müller verlangt das Zertifikat. Es gilt für das Rechenzentrum, nicht für die Terminsoftware, und ist seit einem halben Jahr abgelaufen.

Sie stellt dem Anbieter acht Fragen aus der Vorlage. Die Antworten zeigen: Eine Prüfung durch Dritte ist geplant, aber noch nicht erfolgt. Die Praxis entscheidet, mit einem anderen Anbieter weiterzusprechen, der einen aktuellen Nachweis für genau diesen Dienst liefern kann.

So hilft Ihnen Alpasana

Die KI-Beratung und digitale Transformation von Alpasana umfasst laut Leistungsbeschreibung die Analyse von KI-Potenzialen, die Priorisierung von Vorhaben und die Integration von KI-Agenten mit Einsatzregeln. Dabei lässt sich der Schutzbedarf Ihres Vorhabens klären, bevor Sie Anbieter anfragen.

Eine technische oder rechtliche Prüfung von Zertifikaten anderer Anbieter ist keine beschriebene Leistung. Ziehen Sie dafür bei Bedarf eine Fachperson bei.

Häufige Fragen

Reicht ein ISO-Zertifikat aus?

Nicht allein. Es zeigt, dass ein Managementsystem für Informationssicherheit besteht, nicht dass jede Anwendung sicher ist. Prüfen Sie Geltungsbereich und Datum und ergänzen Sie eigene Fragen.

Was, wenn der Anbieter gar keine Zertifikate hat?

Das ist kein automatisches Ausschlusskriterium. Kleine Anbieter haben oft keine, arbeiten aber sorgfältig. Fragen Sie nach Massnahmen und Tests und prüfen Sie den Datenstandort.

Wie prüfe ich, ob ein Zertifikat echt ist?

Fragen Sie bei der Prüfstelle nach oder suchen Sie das Zertifikat in deren Verzeichnis, sofern es eines gibt. Auf Logos im Internet sollten Sie sich nicht verlassen.

Kann KI die Nachweise für mich auswerten?

Sie kann Fragen und Tabellen vorbereiten, aber weder Echtheit noch Inhalt verbindlich beurteilen. Lesen Sie die Dokumente selbst.