Die KI-Sektion eines Sicherheitsfragebogens beantworten — die Methode, von Anfang bis Ende

Zuletzt geprüft: 14. Juli 2026. Bildungsinhalt, keine Rechtsberatung.

Unsere Deliverables und unser Support sind auf Englisch — der Standardsprache von Enterprise-Sicherheitsprüfungen. Diese Seite ist eine getreue Übersetzung unseres englischen Leitfadens.

Ihr Käufer hat ein Vendor-Assessment geschickt. Irgendwo auf Seite vier beginnt die KI-Sektion: welche Modelle Sie nutzen, ob Kundendaten sie trainieren, ob Sie die Verordnung (EU) 2024/1689 (den EU AI Act) erfüllen. Niemand in Ihrem Team hat so etwas je beantwortet, der Deal wartet, und jede falsche Antwort ist später auffindbar. Dies ist die Methode, nach der wir arbeiten — sie funktioniert, egal ob der Fragebogen ein AI-CAIQ, eine SIG 2026 oder eine individuelle Tabelle des Käufers ist.

Schritt 1 — Bauen Sie das Inventar auf, bevor Sie irgendetwas beantworten

Ein Drittel bis die Hälfte jeder KI-Sektion leitet sich aus einem einzigen Artefakt ab: dem Inventar der KI-Systeme. Eine Seite, eine Zeile pro KI-Funktion:

• Was die Funktion tut (z. B. „Entwurfserstellung aus Kundendokumenten“)
• Modell und Modellanbieter (OpenAI / Anthropic / Google / selbst gehostet) und ob Sie Fine-Tuning betreiben
• Welche Kundendaten das Modell erreichen und in welcher Region sie verarbeitet werden
• Menschliche Aufsicht (wer den Output prüft, wann sie verpflichtend ist)
• Logging und Aufbewahrung von Prompts/Outputs
• Offenlegung gegenüber Nutzern (Labels, Hinweise)
• Ob der Modellanbieter auf Ihrer öffentlichen Subprozessoren-Liste steht und welchen Auftragsverarbeitungsvertrag (DPA) Sie mit ihm haben

Beantworten Sie den Fragebogen aus dem Inventar heraus, und jede Antwort bleibt konsistent — Inkonsistenz zwischen Antworten ist der häufigste Auslöser für Nachfrage-Runden des Käufers.

Schritt 2 — Die Trainingsdaten-Frage in zwei Schichten beantworten

„Werden Kundendaten zum Trainieren oder Feinabstimmen von KI-Modellen verwendet?“ braucht eine Antwort in zwei Schichten: Ihre eigene Praxis (Sie betreiben kein Fine-Tuning) und die Vertragsbedingungen Ihres Modellanbieters. Die Enterprise-APIs der großen Anbieter trainieren standardmäßig nicht mit API-Daten — aber prüfen Sie die Version des DPA, das Sie tatsächlich unterzeichnet haben, bevor Sie das schriftlich zusichern. Das konkrete Vertragswerk zu zitieren ist der Unterschied zwischen einer Antwort, die die Frage schließt, und einer, die drei Nachfragen erzeugt.

Schritt 3 — „Sind Sie konform mit dem EU AI Act?“ überstehen

Nie ein pauschales „Ja“ — juristische Prüfer werten das als Warnsignal. Vier Teile:

1. Klassifizierung: Die meisten B2B-SaaS sind begrenztes/minimales Risiko — außerhalb der Hochrisiko-Anwendungsfälle des Anhangs III der Verordnung (EU) 2024/1689. Sagen Sie das ausdrücklich.
2. Anwendbare Pflichten: typischerweise die Transparenzpflichten aus Art. 50 (ab dem 2. August 2026 — durch den Digital Omnibus nicht verschoben) und die KI-Kompetenz aus Art. 4 (seit dem 2. Februar 2025). Vorsicht vor der Anbieter-vs.-Betreiber-Falle: Ein SaaS, das ein Modell unter eigener Marke ausliefert, trägt die Anbieterpflichten aus Art. 50 Abs. 1 — unser Artikel-50-Leitfaden deckt die vollständige Karte ab.
3. Bestehende Maßnahmen: die Kontrollen, die Sie tatsächlich betreiben, sachlich dargestellt.
4. Laufende Arbeiten: die echten Lücken, jede mit einem Plan.

Schritt 4 — Lücken mit der Formel benennen, die Procurement akzeptiert

Schritt 5 — Markieren, was nur ein Anwalt beantworten kann

Fragen zu regulierten Branchen, Biometrie, Beschäftigungsentscheidungen oder Kreditscoring können Ihre rechtliche Einstufung ändern. Raten ist der Weg, auf dem Anbieter bei Fragebogen-Antworten landen, die ihren eigenen Verträgen widersprechen. Markieren Sie diese Punkte als „in rechtlicher Prüfung“ — eine markierte Frage wirkt wie Sorgfalt, zehn falsche wirken wie Fahrlässigkeit.

Die Zeitrechnung (und die Abkürzung)

Zum ersten Mal intern erledigt, kostet das realistisch ein bis zwei Wochen der Aufmerksamkeit eines Gründers oder Engineers — mitten im Deal, wenn das Momentum am meisten zählt. Genau für diesen Tausch gibt es uns: Wir liefern den vollständigen Entwurf — jede Antwort, die Gap-Zusammenfassung, das Inventar — in 48 Stunden für pauschal 490 $, bezahlt nach Lieferung, alles als Entwurf zu Ihrer Prüfung vor der Einreichung markiert. Und wenn Sie erst einen Beweis wollen: Senden Sie den Fragebogen, und wir beantworten die ersten 3 Fragen kostenlos, damit Sie die Arbeit selbst beurteilen können. Ein vollständiges Muster-Deliverable finden Sie hier.