90 Tage Risikoerkennung für generative KI:Jetzt starten
Demo buchen
Kostenlose Vorlage · Anbieterrisiko

KI von DrittanbieternRisikobewertung

Eine gewichtete Bewertung von KI-Anbietern von Drittanbietern über 7 Kategorien, von Datensouveränität und Sicherheit bis hin zu Erklärbarkeit, Ethik und vertraglichem Schutz.

0 categories
gewichtete Risikoabdeckung
0+ criteria
bewertete Anbieter-Prüfpunkte
0 frameworks
NIST, ISO 42001, EU AI Act
Free
zur Nutzung und Anpassung

Warum KI von Drittanbietern eine eigene Bewertung benötigt

Der Großteil der KI-Exposition in Unternehmen stammt heute von Drittanbietern. Jedes SaaS-Tool, das Sie bereits nutzen, beeilt sich, KI-Funktionen hinzuzufügen, und jede davon verändert stillschweigend Ihre Risikofläche. Ein Standard-Sicherheitsfragebogen für Anbieter erfasst nicht, ob der Anbieter mit Ihren Daten trainiert, ob Modellausgaben einem Prüfer erklärt werden können oder ob seine Haltung zu verantwortungsvoller KI einer Prüfung standhält. Diese Bewertung deckt ab, was rein sicherheitsorientierte Prüfungen übersehen.

7 categories
KI-spezifische Risikoabdeckung
Datensouveränität, Modelltransparenz, Sicherheit, Compliance, Resilienz, Ethik und Verträge, jeweils gewichtet, um die tatsächliche Exposition widerzuspiegeln.
ISO 42001
Nachweis nach Anhang A.10
Bewertungen von KI von Drittanbietern sind erwartete Nachweise nach ISO 42001 Anhang A.10 (Beziehungen zu Dritten) für das KI-Managementsystem.
SaaS AI
eingebettete KI reicht weiter
KI-Funktionen werden inzwischen innerhalb von Tools ausgeliefert, die Ihre Teams bereits nutzen. Jede wesentliche davon benötigt eine neue Bewertung, die Sicherheitsprüfung von 2023 deckt sie nicht ab.
Decision
auditfähiges Genehmigungsergebnis
Erzeugt einen gewichteten Gesamtscore, ein Klassifizierungsband und eine dokumentierte Entscheidung für Genehmigung / Bedingt / Ablehnung, kein qualitatives Memo.

Die Bewertungskategorien

Sieben Kategorien, jeweils gewichtet, um das reale Risiko widerzuspiegeln. Bewerten Sie jedes Kriterium von 1 bis 5 mit dokumentierten Nachweisen und wenden Sie dann die Gewichtungen an, um eine Gesamtentscheidung zu erzeugen.

Die am stärksten gewichtete Kategorie. Wie der Anbieter Ihre Daten verarbeitet, speichert, überträgt und, entscheidend, ob er mit ihnen trainiert.

Auftragsverarbeitungsvereinbarung vorhanden
Ein KI-spezifischer DPA (oder ein KI-Zusatz) wurde unterzeichnet. Der Wortlaut eines Standard-DPA deckt selten die Nutzung von Trainingsdaten, das Risiko der Modellmemorierung oder die Unterauftragsverarbeiter des Anbieters ab.
Daten werden NICHT für das Modelltraining verwendet
Der Anbieter verpflichtet sich vertraglich, dass Ihre Daten nicht zum Trainieren, Feinabstimmen oder Bewerten seiner Foundation-Modelle verwendet werden. Schriftlich verifiziert, nicht per Verkaufsfolie.
Anforderungen an die Datenresidenz erfüllt
Wo der Anbieter Daten geografisch verarbeitet, stimmt mit Ihren Residenzpflichten überein (EU-Daten bleiben in der EU usw.) und alle Schutzmaßnahmen für grenzüberschreitende Übermittlungen sind dokumentiert.
Richtlinie zur Protokollierung von Ein-/Ausgaben dokumentiert
Die Protokollierung von Prompts und Vervollständigungen durch den Anbieter ist dokumentiert: was protokolliert wird, wie lange, wer darauf zugreifen kann und ob sie für sensible Arbeitsabläufe deaktiviert werden kann.
Verschlüsselung im Ruhezustand und bei der Übertragung
Der Anbieter verschlüsselt gespeicherte Daten und die gesamte Netzwerkkommunikation gemäß Standard. Das Schlüsselmanagement wird entweder vom Anbieter mit Attestierung oder vom Kunden verwaltet (BYOK).
DSAR-Prozess für KI-verarbeitete Daten
Der Anbieter verfügt über einen definierten Prozess für Auskunfts- und Löschanträge betroffener Personen, der KI-verarbeitete Daten abdeckt, einschließlich memorierter Trainingsdaten.

So führen Sie die Bewertung durch

Fünf Schritte, um eine bewertete Anbieterentscheidung zu erzeugen, die der Prüfung durch Sicherheit, Recht, Beschaffung und, wenn der Tag kommt, eine Aufsichtsbehörde standhält.

1
Kontext von Anbieter und Anwendungsfall erfassen
Erfassen Sie Anbieter, Produkt, genutzte KI-Fähigkeiten, verarbeitete Datentypen, fachlichen Verantwortlichen und Vertragsdaten. Derselbe Anbieter kann je nach Anwendungsfall sehr unterschiedlich bewertet werden, bewerten Sie pro Anwendungsfall, nicht pro Anbieter.
2
Nachweise vor der Bewertung sammeln
Fordern Sie die SOC 2 / ISO 27001 / ISO 42001 Berichte des Anbieters, den DPA, die Modelldokumentation, die Zusammenfassung der Penetrationstests und die Richtlinie für verantwortungsvolle KI an. Eine Bewertung ohne Nachweise erzeugt eine Wunschliste, keine Bewertung.
3
Jede Kategorie von 1 bis 5 bewerten
Arbeiten Sie alle 7 Kategorien durch. Bewerten Sie jedes Kriterium von 1 (kritisches Risiko) bis 5 (minimales Risiko) mit dokumentierten Nachweisen. Unbeantwortete Kriterien sollten standardmäßig mit 1 bewertet werden, das Fehlen eines Nachweises ist kein Nachweis einer Kontrolle.
4
Gewichtungen anwenden und Gesamtscore berechnen
Wenden Sie die Standardgewichtungen an (25% Daten / 20% Sicherheit / 15% Transparenz / 15% Compliance / 10% Resilienz / 10% Ethik / 5% Verträge), um einen Gesamtprozentsatz zu erzeugen. Erhöhen Sie die Gewichtungen für regulierte Branchen.
5
Empfehlung aussprechen und Freigabe einholen
Empfehlen Sie auf Basis des Gesamtscores Genehmigen (85%+), Bedingt genehmigen (70 bis 84%) oder Nicht genehmigt (unter 70%). Holen Sie die Freigabe von Bewerter, Sicherheit, Recht, fachlichem Verantwortlichen und KI-Governance-Ausschuss nach Bedarf ein.
FAQ

Häufig gestellte Fragen

Eine Risikobewertung für KI von Drittanbietern ist eine strukturierte Bewertung des Risikos, das die KI-Fähigkeit eines externen Anbieters in Ihre Organisation einbringt. Sie geht über einen Standard-Sicherheitsfragebogen für Anbieter hinaus, indem sie KI-spezifische Aspekte abdeckt: ob der Anbieter Ihre Daten zum Trainieren von Modellen nutzt, wie er mit Prompt Injection umgeht, welche Erklärbarkeit er bietet und ob seine Modelldokumentation die regulatorischen Anforderungen erfüllt. Das Ergebnis ist eine bewertete, gewichtete Empfehlung: genehmigen, bedingt genehmigen oder ablehnen.

die Risikobewertung für KI von Drittanbietern herunterladen

Kostenlose .docx-Vorlage mit 7 gewichteten Kategorien. Bewerten Sie Ihre KI-Anbieter und erstellen Sie eine auditfähige Genehmigungsentscheidung.

DOCX herunterladen

Holen Sie sich alle 25 Vorlagen in einer ZIP-Datei. Richtlinien, Register, Checklisten und Rollout-Pläne.

Loslegen

Von der Bewertung zur kontinuierlichen Anbietertransparenz

Das Risiko durch KI von Drittanbietern ist kein punktuelles Problem. Jede Woche werden neue KI-Funktionen innerhalb bestehender SaaS-Tools ausgeliefert. Aona entdeckt kontinuierlich die in Ihrer Organisation genutzte KI von Drittanbietern und meldet, wenn ein nicht bewerteter Anbieter beginnt, sensible Daten zu verarbeiten.