Anbieterentscheidungen
Was vor der Auswahl eines KI-Anbieters zu klären ist
Geplante Nutzung, Informationsfluss und Vertragsprüfung vor der Werkzeugauswahl verbinden.
Die vorgesehene Nutzung beschreiben
Die Anbieterprüfung beginnt beim eigenen Prozess. Beschreiben Sie, welche Informationen in den Dienst gelangen, wer zugreifen kann, wofür das Ergebnis verwendet wird und ob es die Organisation verlässt. Eine allgemeine Produktbeschreibung beantwortet diese Fragen nicht. Berücksichtigen Sie Schnittstellen, Erweiterungen, Supportzugriffe und die Nutzung persönlicher Konten.
Den Informationsfluss erfassen
Erfassen Sie Eingaben, hochgeladene Dokumente, Metadaten, Ergebnisse und Protokolle. Ordnen Sie jedem Schritt beteiligte Personen und Organisationen zu. Unterscheiden Sie nutzbare Informationen von solchen, die ausgeschlossen oder verändert werden müssen. Eine beworbene Verarbeitungsregion sollte mit der tatsächlichen Konfiguration und den vertraglichen Regelungen abgeglichen werden.
Den relevanten Vertragsrahmen prüfen
Verarbeitet ein Anbieter personenbezogene Daten als Auftragsverarbeiter, enthält Art. 28 DSGVO Anforderungen an die Ausgestaltung. Entscheidend sind die tatsächlichen Rollen und Leistungen. Zu prüfen sind etwa Zwecke, Weisungen, Unterauftragnehmer, Unterstützung bei Sicherheitsfragen sowie Löschung oder Rückgabe. Internationale Datenübermittlungen erfordern gegebenenfalls eine eigene Betrachtung.
Anbieterangaben in Prüffragen übersetzen
Dürfen Eingaben oder Ergebnisse für Training oder andere Anbieterzwecke verwendet werden? Wie funktionieren Speicherung und Löschung? Welche Einstellungen beeinflussen dies? Was verändert eine zusätzliche Funktion? Fordern Sie Unterlagen für das tatsächlich vorgesehene Produkt und Tarifmodell an. Eine öffentliche Sicherheitsseite ist ein Anhaltspunkt, ersetzt aber nicht die Prüfung von Vertrag und Konfiguration.
Die Entscheidung und ihre Grenzen dokumentieren
Halten Sie freigegebenen Dienst, Kontotyp, zulässige Informationen, Verantwortliche und Prüftermin fest. Bestimmen Sie, welche Änderungen eine erneute Prüfung auslösen, beispielsweise eine neue Schnittstelle oder eine wesentlich andere Nutzung. Machen Sie die Entscheidung für die Anwender erreichbar. Die rechtliche Einordnung hängt vom Einzelfall ab; diese Checkliste ist ein Ausgangspunkt.
Weiterführende Primärquellen
Allgemeine Informationen und praktische Arbeitsrahmen. Die Anforderungen an eine konkrete Organisation oder Anwendung erfordern eine individuelle Prüfung.
Das KI-Workflow-Playbook