BeschaffungSicherheitRisikomanagement
Checkliste zur Bewertung von KI-Anbietern
Eine beschaffungsgeeignete Checkliste, um KI-Anbieter vor Vertragsabschluss hinsichtlich Datenschutz, Sicherheit, Barrierefreiheit und Ausstiegsstrategien zu prüfen.
Gilt für: Beschaffung, IT/Sicherheit, Rechtliches, ProgrammleitungenVerantwortlich für die Richtlinie: Beschaffungs- und IT-/SicherheitsverantwortlicheZuletzt aktualisiert: 2025-02-12
Grundanforderungen
- Der Anbieter muss die Datentrennung je Mandant unterstützen und bestätigen, dass Daten nicht zum Training öffentlicher Modelle verwendet werden.
- Der Vertrag sollte SLAs für Verfügbarkeit, Reaktion auf Vorfälle und Benachrichtigungsfristen enthalten.
- Für Oberflächen für Bibliotheksnutzende ist die Einhaltung der Barrierefreiheitsanforderungen nach WCAG 2.1 AA erforderlich.
Datenverarbeitung und Aufbewahrung
- Wo werden Daten gespeichert und verarbeitet? Können wir regionales Hosting auswählen?
- Wie lange werden Prompts, Ausgaben und Analysedaten standardmäßig aufbewahrt? Können wir bei Bedarf löschen?
- Wie werden personenbezogene Daten erkannt, unkenntlich gemacht und daran gehindert, die Mandantengrenze zu verlassen?
- Sind Daten bei Übertragung und Speicherung verschlüsselt? Welche Schlüssel kontrollieren wir?
Modellverhalten und Sicherheit
- Welche Basismodelle oder Anbieter werden verwendet, und wie werden sie gepatcht oder aktualisiert?
- Können wir Antworten mit Quellenangaben verlangen und risikoreiche Themen sperren (Recht, Medizin, Einwanderung)?
- Welche Schutzvorgaben bestehen gegen Verzerrungen, Halluzinationen und Prompt-Injection?
- Wie werden Versuche zur Umgehung von Modellschutzvorgaben erkannt und der Administration gemeldet?
Zugriff, Prüfprotokolle und Berichte
- Welche Authentifizierungsoptionen werden unterstützt (SAML, SCIM, MFA)?
- Können wir den Zugriff nach Rollen (Mitarbeitende, Vorgesetzte, Freiwillige) mit unterschiedlichen Schutzvorgaben aufteilen?
- Stehen der Administration Protokolle zu Prompts, Änderungen an Schutzvorgaben und Datenexporten zur Verfügung?
- Wie können wir Prüfprotokolle für Compliance-Prüfungen exportieren, ohne personenbezogene Daten offenzulegen?
Support, Einarbeitung und Schulung
- Welche Einführungsleistungen sind enthalten (Vorlageneinrichtung, Richtlinienabstimmung, Mitarbeiterschulung)?
- Wie werden Supporttickets priorisiert, und welche Reaktionszeiten sind üblich?
- Gibt es für Eskalationen eine namentlich benannte kontoverantwortliche Person oder einen Success Manager?
Ausstiegsstrategie und Portabilität
- Wie exportieren wir beim Ausstieg Prompt-Sammlungen, Wissensbasen und Konfiguration?
- Wie erfolgen die Bestätigung der Datenlöschung nach Vertragsende und der zugehörige Zeitplan?
- Fallen Gebühren für Export, Migration oder Bescheinigungen zur Datenvernichtung an?
Preisgestaltung und Beschaffungseignung
- Gelten Pauschalpreise, nutzungsabhängige Preise oder ein Mischmodell? Wie wird Mehrverbrauch behandelt?
- Kann der Anbieter förderfinanzierte Pilotprojekte, gemeinschaftliche Beschaffung oder kurzfristige Tests ermöglichen?
- Wie lang ist die Mindestvertragslaufzeit, und gibt es Klauseln zu Ausstieg oder Verlängerungsmitteilungen?
Möchten Sie diese anpassen lassen?
Wir können Formulierungen und Richtlinien an Ihre konkreten Programme anpassen.