KI-Anbieter datenschutzorientiert bewerten

Bevor ein KI-Anbieter produktiv eingesetzt wird, sollte er systematisch geprüft werden – nicht nur nach Funktion, sondern nach Datenverarbeitung und Rechtskonformität. Ein günstiges oder leistungsstarkes Werkzeug nützt wenig, wenn es sich rechtlich nicht sauber einsetzen lässt. Arbeite die Phasen der Reihe nach ab und halte die Ergebnisse schriftlich fest, damit die Entscheidung später belegbar ist.

Phase 1 – Datenverarbeitung verstehen

Der erste Schritt ist zu verstehen, was tatsächlich mit den Daten passiert. Viele Risiken lassen sich schon hier erkennen: unklarer Datenstandort, Nutzung der Eingaben zum Training oder undurchsichtige Weitergabe an Dritte. Ohne diese Klarheit ist keine belastbare Bewertung möglich.

1. Kläre, welche Daten der Anbieter verarbeitet und wo (Datenstandort).
2. Prüfe, ob Eingaben zum Training verwendet werden und ob sich das abschalten lässt.
3. Erfrage Aufbewahrungsfristen und Löschmöglichkeiten.
4. Kläre Unterauftragsverarbeiter und Datenflüsse in Drittländer.

Phase 2 – Rechtsrahmen prüfen

Für den europäischen Einsatz sind vor allem die DSGVO und der EU AI Act relevant. Der EU AI Act sieht einen risikobasierten Ansatz mit gestaffelten Übergangsfristen und Transparenzpflichten vor – etwa Hinweise, wenn Menschen mit einem KI-System interagieren oder wenn Inhalte KI-generiert sind.

Vertiefungen findest du unter EU AI Act und Datenschutz.

Phase 3 – Transparenz und Dokumentation

Wie offen ein Anbieter mit Datenverarbeitung, Grenzen und Risiken umgeht, ist selbst ein Bewertungskriterium. Fehlende oder ausweichende Angaben sind ein Warnsignal und sollten als offenes Risiko dokumentiert werden.

1. Prüfe, ob offizielle Datenschutz- und Sicherheitsseiten vorhanden sind.
2. Suche nach Model Cards oder technischer Dokumentation.
3. Bewerte, wie offen der Anbieter mit Grenzen und Risiken umgeht.
4. Notiere fehlende Angaben als offenes Risiko.

Phase 4 – Sicherheit

1. Kläre Verschlüsselung bei Übertragung und Speicherung.
2. Erfrage Prozesse für Sicherheitsvorfälle und Meldewege.
3. Prüfe verfügbare Zertifizierungen oder Prüfberichte kritisch.

Phase 5 – Gesamtbewertung und Entscheidung

Am Ende steht eine bewusste Abwägung zwischen Nutzen und Risiko. Nicht jedes Risiko ist ein Ausschlussgrund, aber jede Entscheidung sollte begründet und dokumentiert sein. Wo der Datenschutz besonders sensibel ist, kann eine lokale oder datensparsamere Alternative die bessere Wahl sein.

1. Fasse Stärken, Schwächen und offene Risiken zusammen.
2. Wäge Nutzen gegen datenschutzrechtliche und sicherheitsbezogene Risiken ab.
3. Erwäge eine lokale oder datensparsamere Alternative (Lokale KI).
4. Dokumentiere die Entscheidung nachvollziehbar für Audits.

Eine strukturierte Anbieterbewertung ist keine einmalige Übung: Anbieter ändern Bedingungen, und der rechtliche Rahmen entwickelt sich weiter. Wiederhole die Prüfung in sinnvollen Abständen und bei wesentlichen Änderungen. Für den organisatorischen Rahmen siehe KI für Unternehmen und das Playbook KI-Tool sicher im Unternehmen einführen.