Der AI-CAIQ: Was es ist, warum Ihr Käufer Ihnen gerade einen geschickt hat und wie Sie ihn beantworten können

Zuletzt verifiziert: 14. Juli 2026. Bildungsinhalte, keine Rechtsberatung.

Im Oktober 2025 veröffentlichte die Cloud Security Alliance die AI-CAIQ - die AI-Erweiterung des CAIQ (Consensus Assessments Initiative Questionnaire), die Selbsteinschätzung, die Unternehmenssicherheitsteams seit einem Jahrzehnt nutzen, um Cloud-Anbieter zu überprüfen. Wenn Ihr Produkt "AI" irgendwo in seinem Marketing verwendet, erwarten Sie das AI-CAIQ oder die daraus kopierten Fragen in Ihrer nächsten Anbieterbewertung.

Der Fragebogen selbst kann kostenlos von der CSA heruntergeladen werden (cloudsecurityalliance.org — AI-CAIQ. Was nicht kostenlos ist, ist zu wissen, wie man es beantwortet, wenn man ein 10-50-Personen-Unternehmen ohne Compliance-Team ist.

Was Käufer tatsächlich in AI-CAIQ Antworten suchen

Bei AI-CAIQ, SIG 2026 und benutzerdefinierten Käuferfragebögen sind die wiederkehrenden Anfragen bemerkenswert konsistent:

• Ein AI-Systeminventar - jede AI-Fähigkeit in Ihrem Produkt: Modell, Anbieter, Version, Zweck.
• Modellprovenienz — OpenAI / Anthropic / Google / self-hosted, und ob Sie Feinabstimmung.
• AI Subprozessoren — ist Ihr Modellanbieter auf Ihrer öffentlichen Subprozessorliste?
• Datenflüsse zu Modellen — genau welche Kundendaten die Modell-API erreichen, in welcher Region.
• Ausbildungsfrage — Werden Kundendaten verwendet, um ein Modell zu trainieren oder zu verfeinern? (Siehe die Falle unten.)
• Outputkontrollen — menschliche Überprüfung, Kennzeichnung von AI-generierten Inhalten, Protokollierung.
• Dokumentierte Nachweise — Käufer wollen zunehmend ~ 90 Tage dokumentierten Betrieb dieser Kontrollen, nicht nur Richtlinienerklärungen.

Die Trainingsdatenfalle

Wie ein kleiner Verkäufer gut antwortet - die Methode

1. Erstellen Sie zuerst das Inventar. Die Hälfte des Fragebogens stammt daraus. Eine Seite: Fähigkeiten, Modelle, Anbieter, Daten, Regionen, Aufsicht, Protokollierung. (Deshalb nehmen wir ein One-Page AI Inventory in jedes Engagement auf - Käufer fragen es sowieso als nächstes.)
2. Antwort aus Dokumenten, nicht aus dem Gedächtnis. Jede Behauptung über Ihr Unternehmen sollte auf etwas geschriebenes zurückgehen - ein DPA, eine Richtlinie, ein Screenshot des Offenlegungsetiketts. Wenn es nicht aufgeschrieben wird, ist es eine Lücke, keine Antwort.
3. Staatliche Lücken mit der auf Beschaffung geprüften Formel: aktueller Zustand + kompensierende Kontrolle + "in Arbeit" + ein Ziel nur, wenn es real ist. Käufer akzeptieren ehrliche Lücken mit einem Plan; Sie bestrafen vage Jas, die später entdeckt werden.
4. Geben Sie das Gesetz genau an, wenn es relevant ist - z. B. Transparenzverpflichtungen nach Regulation (EU) 2024/1689, Art. 50, anwendbar ab 2. August 2026 (nicht vom Digital Omnibus verschoben). Präzision unterscheidet hier einen glaubwürdigen Anbieter von einem, der die ChatGPT-Ausgabe eingefügt hat. Sehen Sie unsere Article 50 für die Unterscheidung zwischen Provider und Deployer, dass die meisten Antworten falsch sind.

Was nicht zu tun ist

• Beanspruchen Sie keine Zertifizierungen, die Sie nicht besitzen (ISO 42001, SOC 2). "Derzeit nicht zertifiziert; unsere AI-Governance deckt Bestand, Transparenz und menschliche Aufsicht ab; wir bewerten die Zertifizierung nach Kundenwunsch" ist ehrlich und akzeptabel.
• Versprich keine Daten, die deine Führung nicht genehmigt hat.
• Beantworten sie keine fragen zur rechtlichen einstufung, indem sie raten — markieren sie sie explizit für den anwalt. Eine gekennzeichnete Frage sieht fleißig aus; zehn falsche sehen fahrlässig aus.