Das KI-Compliance-Dossier: Vorbereitet für B2B-Einkaufsprüfungen
Wenn Kunden oder Einkäufer in Due-Diligence-Fragebögen (DDQs) nach Ihrem Umgang mit KI fragen, liefert das KI-Compliance-Dossier die passenden Antworten – als strukturierte Selbstauskunft, ohne Zertifizierungsaudit und zu einem Bruchteil der Kosten einer formellen Zertifizierung.
- Antworten ohne Zeitverlust: Das Dossier enthält vorbereitete Antworten auf die üblichen KI-Fragen in B2B-Sicherheitsprüfungen. Sie liegen bereit, wenn die Anfrage eintrifft, und ergänzen Ihre bestehenden Auskünfte zur Informationssicherheit.
- Belegt statt behauptet: Jede Antwort ist durch konkrete Dokumente hinterlegt. Fehlt eine Unterlage, erstelle ich diese gemeinsam mit Ihnen – damit aus einem Vertriebshindernis ein belegbarer Nachweis wird.
- Bereit zur Übernahme: Sie erhalten Antworten und Dokumente als Excel- und Word-Dateien, die Ihre IT in Ihre Antwortsammlung, Ihr Wiki oder Ihre Compliance-Plattform übernehmen kann.
- ISO-kompatibel: Die Struktur ist an ISO/IEC 42001 ausgerichtet. Entscheiden Sie sich später für eine Zertifizierung, nutzen Sie alle Unterlagen direkt weiter.
Wann Sie das Dossier brauchen
Das Dossier lohnt sich, sobald jemand außerhalb Ihres Unternehmens wissen will, wie Sie mit KI umgehen. Typische Anlässe:
- Ein Kunde schickt einen Lieferantenfragebogen oder eine Due-Diligence-Anfrage mit Fragen zum Einsatz von KI.
- Ein Einkäufer bewertet Ihre Informationssicherheit (Vendor Security Assessment) und fragt nach Ihrer KI-Richtlinie.
- Eine Ausschreibung verlangt Angaben zum Umgang mit KI.
- Ein Investor oder Käufer prüft Ihr Unternehmen im Rahmen einer Due Diligence.
- Ihre Geschäftsführung will selbst wissen, wo das Unternehmen beim Thema KI steht.
Beispiele für Fragen zur KI-Nutzung
Die folgenden Fragen sind Beispiele für KI-Fragen in Lieferantenfragebögen. Zu jeder liefert das Dossier eine Antwort und die passende Unterlage.
| Frage | Beleg im Dossier |
|---|---|
| Welche KI-Systeme setzen Sie ein, und wofür? | KI-Inventar |
| Geben Sie vertrauliche Daten oder Daten Ihrer Kunden in KI-Dienste ein, und unter welchen Vertragsbedingungen? | KI-Inventar, KI-Richtlinie |
| Haben Sie die Risiken Ihrer KI-Nutzung bewertet? | Risikobewertung und Folgenabschätzung |
| Gibt es eine verbindliche Richtlinie für die Nutzung von KI? | KI-Richtlinie |
| Wer ist in Ihrem Unternehmen für KI verantwortlich? | RACI-Matrix |
| Wie schulen Sie Ihre Beschäftigten im Umgang mit KI? | Schulungsnachweise |
| Enthalten Ihre Produkte oder Leistungen KI-Funktionen, und wie werden sie überwacht? | KI-Inventar |
| Sind Sie nach ISO/IEC 42001 zertifiziert, oder planen Sie es? | Maßnahmenplan |
Die acht Bestandteile
| Bestandteil | Inhalt |
|---|---|
| KI-Inventar | Erfasst jede KI-Nutzung im Unternehmen mit Zweck, Nutzern und Datenflüssen und prüft die Anbieterbedingungen: ob Ihre Eingaben zum Training genutzt werden, ob ein Auftragsverarbeitungsvertrag (AVV) besteht und wo die Daten verarbeitet werden. |
| Risikobewertung und Folgenabschätzung | Prüft jede KI-Nutzung anhand von Prüffragen und bewertet hoch eingestufte Systeme in einer ausführlichen Folgenabschätzung, angelehnt an ISO/IEC 42005. |
| KI-Richtlinie | Legt verbindliche Regeln für Beschäftigte fest: welche KI-Werkzeuge freigegeben sind, welche Daten in welche Werkzeuge eingegeben werden dürfen und wie bei Sicherheitsvorfällen vorzugehen ist. Mit einer Vorlage, mit der Sie Ihren Auftraggebern mitteilen, wo und wofür Sie KI einsetzen. |
| RACI-Matrix | Ordnet jede KI-Aufgabe eindeutig zu: wer entscheidet, wer umsetzt, wer konsultiert und wer informiert wird. |
| Schulungsnachweise | Dokumentieren die Schulungsmaßnahmen mit Inhalten und Teilnahmen, aus bestehenden Nachweisen oder aus einer separat buchbaren KI-Kompetenz-Schulung. |
| Maßnahmenplan | Führt verbleibende offene Punkte mit Maßnahme, Verantwortlichem und Zieltermin und macht aus einem kritischen „Nein" ein belegbares „Geplant bis …". |
| Frage-Antwort-Katalog | Beantwortet die üblichen KI-Fragen in Kundenfragebögen auf Deutsch und Englisch und verweist bei jeder Antwort auf die zugehörige Unterlage. |
| KI-Systembeschreibung | Beschreibt jedes KI-System: Funktionsweise, Grenzen, Version, Protokollierung, Abnahmetests und Erklärbarkeit. Bei gekauften Werkzeugen verweist sie auf die Unterlagen des Anbieters und hält Ihre eigene Abnahme fest. |
Häufige Fragen
Reicht unser ISMS nach ISO 27001 nicht aus?
Teilweise. Die Weitergabe vertraulicher Daten an KI-Dienste, zu weit gefasste Zugriffsrechte und nicht freigegebene KI-Werkzeuge deckt ein ISMS weitgehend ab. Risiken, die aus den Ergebnissen der KI entstehen, behandelt ISO 27001 nicht: Halluzinationen, Blindes Vertrauen in KI-Ergebnisse und Diskriminierung durch KI. Das Dossier ergänzt Ihr ISMS um diese Punkte, statt es zu ersetzen.
Akzeptieren Kunden das Dossier, obwohl wir nicht nach ISO/IEC 42001 zertifiziert sind?
Ob ein Kunde Ihre Antworten akzeptiert, entscheidet der Kunde. Das Dossier liefert, was Einkäufer bei Lieferantenbewertungen am höchsten bewerten: eine Antwort mit nachvollziehbarem Beleg. Wo eine Antwort heute „Nein" lautet, zeigt der Maßnahmenplan, bis wann und durch wen die Lücke geschlossen wird. Verlangt ein Kunde ausdrücklich ein Zertifikat, ist das Dossier der erste Schritt zu einem KI-Managementsystem.
Wie viel Arbeit kommt auf unsere IT zu?
Den Großteil der Arbeit übernehme ich. Ihre IT ist an drei Stellen beteiligt: im Auftaktgespräch, in kurzen Interviews zu den eingesetzten KI-Werkzeugen und bei der Prüfung der Ergebnisse. Den genauen Umfang nennt das schriftliche Angebot.
Sichert mich das Dossier als Geschäftsführer rechtlich ab?
Das Dossier dokumentiert, welche Maßnahmen Ihr Unternehmen im Umgang mit KI ergriffen hat: Bestandsaufnahme, Risikobewertung, Regeln, Zuständigkeiten und Schulung. Diese Dokumentation ist die Grundlage, um Sorgfalt nachzuweisen. Ob sie in einem konkreten Fall ausreicht, kann nur ein Rechtsanwalt beurteilen; Rechtsberatung gehört nicht zum Dossier.
Was geschieht mit dem Dossier, wenn wir uns später zertifizieren lassen?
Die Struktur ist an ISO/IEC 42001 ausgerichtet. Die Bausteine – vom KI-Inventar über die Risikobewertung bis zu KI-Richtlinie, RACI-Matrix und Schulungsnachweisen – fließen als Dokumentenbasis in Ihr KI-Managementsystem (AIMS) ein.
Für eine formelle Zertifizierung ergänze ich im zweiten Schritt die weiteren Anforderungen der Norm, unter anderem interne Audits und die regelmäßige Bewertung durch die Geschäftsführung. Beauftragen Sie mich innerhalb von zwölf Monaten mit dem Aufbau des KI-Managementsystems, berechne ich die Dossier-Unterlagen, die in das Managementsystem einfließen, nicht ein zweites Mal.
Was kostet das Dossier, und wann liegt es vor?
Nach dem Erstgespräch erhalten Sie ein schriftliches Angebot mit Festpreis und Termin. Der Preis hängt davon ab, welche Grundlagen – etwa KI-Richtlinie oder KI-Inventar – bereits vorhanden sind und welche erst erstellt werden.
Was ist, wenn im Dossier eine Antwort fehlt?
Fehlt im Dossier eine klare Antwort auf eine KI-Frage aus einem Kundenfragebogen, liefere ich sie innerhalb von drei Werktagen, sobald mir die benötigten Informationen vorliegen – während der Laufzeit des Dossiers.
In welcher Sprache erhalten wir die Antworten?
Den Frage-Antwort-Katalog erhalten Sie auf Deutsch und Englisch, damit Sie auch Fragebögen auf Englisch ohne Übersetzungsaufwand beantworten können.
Warum muss das KI-Compliance-Dossier jährlich aktualisiert werden?
Vier Faktoren ändern sich laufend und erfordern eine jährliche Überprüfung:
- Neue Werkzeuge und Verträge: zusätzliche KI-Anwendungen und geänderte Nutzungsbedingungen der Anbieter, etwa zur Speicherung und Verwendung Ihrer Eingaben.
- Neue Pflichten der KI-Verordnung: Ab Dezember 2026 und Dezember 2027 gelten weitere Pflichten.
- Neue Fragebogen-Fassungen: Gängige Standards für Kundenfragebögen, wie der SIG, erscheinen jährlich in neuen Fassungen.
- Personalwechsel: Neue Beschäftigte brauchen Schulungsnachweise.
Die jährliche Aktualisierung von KI-Inventar und Unterlagen biete ich als separat buchbares Jahrespaket an.
Kostenloser Einstieg: Whitepaper „KI-Risiken im Unternehmen sicher steuern“ mit Excel-Vorlage für Ihr KI-Inventar
Kontakt
Schicken Sie mir den Fragebogen, der bei Ihnen liegt, oder schreiben Sie kurz, worum es geht. Ich melde mich mit einem Terminvorschlag für das Erstgespräch. Auf Wunsch schließen wir vorher eine Vertraulichkeitsvereinbarung.