30 Tage Risikoerkennung für generative KI:Jetzt starten
Zum Hauptinhalt springen
Aona
Demo buchen
Kostenlose Vorlage · Anbieterrisiko

KI von Drittanbietern Risikobewertung

Eine gewichtete Bewertung von KI-Anbietern von Drittanbietern über 7 Kategorien, von Datensouveränität und Sicherheit bis hin zu Erklärbarkeit, Ethik und vertraglichem Schutz.

Vorlage herunterladenDemo buchen
7 categories
gewichtete Risikoabdeckung
50+ criteria
bewertete Anbieter-Prüfpunkte
3 frameworks
NIST, ISO 42001, EU AI Act
Free
zur Nutzung und Anpassung

Warum KI von Drittanbietern eine eigene Bewertung benötigt

Der Großteil der KI-Exposition in Unternehmen stammt heute von Drittanbietern. Jedes SaaS-Tool, das Sie bereits nutzen, beeilt sich, KI-Funktionen hinzuzufügen, und jede davon verändert stillschweigend Ihre Risikofläche. Ein Standard-Sicherheitsfragebogen für Anbieter erfasst nicht, ob der Anbieter mit Ihren Daten trainiert, ob Modellausgaben einem Prüfer erklärt werden können oder ob seine Haltung zu verantwortungsvoller KI einer Prüfung standhält. Diese Bewertung deckt ab, was rein sicherheitsorientierte Prüfungen übersehen.

7 categories
KI-spezifische Risikoabdeckung
Datensouveränität, Modelltransparenz, Sicherheit, Compliance, Resilienz, Ethik und Verträge, jeweils gewichtet, um die tatsächliche Exposition widerzuspiegeln.
ISO 42001
Nachweis nach Anhang A.10
Bewertungen von KI von Drittanbietern sind erwartete Nachweise nach ISO 42001 Anhang A.10 (Beziehungen zu Dritten) für das KI-Managementsystem.
SaaS AI
eingebettete KI reicht weiter
KI-Funktionen werden inzwischen innerhalb von Tools ausgeliefert, die Ihre Teams bereits nutzen. Jede wesentliche davon benötigt eine neue Bewertung, die Sicherheitsprüfung von 2023 deckt sie nicht ab.
Decision
auditfähiges Genehmigungsergebnis
Erzeugt einen gewichteten Gesamtscore, ein Klassifizierungsband und eine dokumentierte Entscheidung für Genehmigung / Bedingt / Ablehnung, kein qualitatives Memo.

Die Bewertungskategorien

Sieben Kategorien, jeweils gewichtet, um das reale Risiko widerzuspiegeln. Bewerten Sie jedes Kriterium von 1 bis 5 mit dokumentierten Nachweisen und wenden Sie dann die Gewichtungen an, um eine Gesamtentscheidung zu erzeugen.

Die am stärksten gewichtete Kategorie. Wie der Anbieter Ihre Daten verarbeitet, speichert, überträgt und, entscheidend, ob er mit ihnen trainiert.

Auftragsverarbeitungsvereinbarung vorhanden
Ein KI-spezifischer DPA (oder ein KI-Zusatz) wurde unterzeichnet. Der Wortlaut eines Standard-DPA deckt selten die Nutzung von Trainingsdaten, das Risiko der Modellmemorierung oder die Unterauftragsverarbeiter des Anbieters ab.
Daten werden NICHT für das Modelltraining verwendet
Der Anbieter verpflichtet sich vertraglich, dass Ihre Daten nicht zum Trainieren, Feinabstimmen oder Bewerten seiner Foundation-Modelle verwendet werden. Schriftlich verifiziert, nicht per Verkaufsfolie.
Anforderungen an die Datenresidenz erfüllt
Wo der Anbieter Daten geografisch verarbeitet, stimmt mit Ihren Residenzpflichten überein (EU-Daten bleiben in der EU usw.) und alle Schutzmaßnahmen für grenzüberschreitende Übermittlungen sind dokumentiert.
Richtlinie zur Protokollierung von Ein-/Ausgaben dokumentiert
Die Protokollierung von Prompts und Vervollständigungen durch den Anbieter ist dokumentiert: was protokolliert wird, wie lange, wer darauf zugreifen kann und ob sie für sensible Arbeitsabläufe deaktiviert werden kann.
Verschlüsselung im Ruhezustand und bei der Übertragung
Der Anbieter verschlüsselt gespeicherte Daten und die gesamte Netzwerkkommunikation gemäß Standard. Das Schlüsselmanagement wird entweder vom Anbieter mit Attestierung oder vom Kunden verwaltet (BYOK).
DSAR-Prozess für KI-verarbeitete Daten
Der Anbieter verfügt über einen definierten Prozess für Auskunfts- und Löschanträge betroffener Personen, der KI-verarbeitete Daten abdeckt, einschließlich memorierter Trainingsdaten.
Vollständige Vorlage herunterladen

So führen Sie die Bewertung durch

Fünf Schritte, um eine bewertete Anbieterentscheidung zu erzeugen, die der Prüfung durch Sicherheit, Recht, Beschaffung und, wenn der Tag kommt, eine Aufsichtsbehörde standhält.

1
Kontext von Anbieter und Anwendungsfall erfassen
Erfassen Sie Anbieter, Produkt, genutzte KI-Fähigkeiten, verarbeitete Datentypen, fachlichen Verantwortlichen und Vertragsdaten. Derselbe Anbieter kann je nach Anwendungsfall sehr unterschiedlich bewertet werden, bewerten Sie pro Anwendungsfall, nicht pro Anbieter.
2
Nachweise vor der Bewertung sammeln
Fordern Sie die SOC 2 / ISO 27001 / ISO 42001 Berichte des Anbieters, den DPA, die Modelldokumentation, die Zusammenfassung der Penetrationstests und die Richtlinie für verantwortungsvolle KI an. Eine Bewertung ohne Nachweise erzeugt eine Wunschliste, keine Bewertung.
3
Jede Kategorie von 1 bis 5 bewerten
Arbeiten Sie alle 7 Kategorien durch. Bewerten Sie jedes Kriterium von 1 (kritisches Risiko) bis 5 (minimales Risiko) mit dokumentierten Nachweisen. Unbeantwortete Kriterien sollten standardmäßig mit 1 bewertet werden, das Fehlen eines Nachweises ist kein Nachweis einer Kontrolle.
4
Gewichtungen anwenden und Gesamtscore berechnen
Wenden Sie die Standardgewichtungen an (25% Daten / 20% Sicherheit / 15% Transparenz / 15% Compliance / 10% Resilienz / 10% Ethik / 5% Verträge), um einen Gesamtprozentsatz zu erzeugen. Erhöhen Sie die Gewichtungen für regulierte Branchen.
5
Empfehlung aussprechen und Freigabe einholen
Empfehlen Sie auf Basis des Gesamtscores Genehmigen (85%+), Bedingt genehmigen (70 bis 84%) oder Nicht genehmigt (unter 70%). Holen Sie die Freigabe von Bewerter, Sicherheit, Recht, fachlichem Verantwortlichen und KI-Governance-Ausschuss nach Bedarf ein.

FAQ

Häufig gestellte Fragen

Was ist eine Risikobewertung für KI von Drittanbietern?
Eine Risikobewertung für KI von Drittanbietern ist eine strukturierte Bewertung des Risikos, das die KI-Fähigkeit eines externen Anbieters in Ihre Organisation einbringt. Sie geht über einen Standard-Sicherheitsfragebogen für Anbieter hinaus, indem sie KI-spezifische Aspekte abdeckt: ob der Anbieter Ihre Daten zum Trainieren von Modellen nutzt, wie er mit Prompt Injection umgeht, welche Erklärbarkeit er bietet und ob seine Modelldokumentation die regulatorischen Anforderungen erfüllt. Das Ergebnis ist eine bewertete, gewichtete Empfehlung: genehmigen, bedingt genehmigen oder ablehnen.
Wann ist eine Risikobewertung für KI von Drittanbietern erforderlich?
Führen Sie eine formale Bewertung durch, bevor Sie einen neuen KI-Anbieter, der interne oder regulierte Daten verarbeitet, einbinden, wenn ein bestehender SaaS-Anbieter KI-Funktionen zu einem bereits genutzten Produkt hinzufügt, bei der Vertragsverlängerung und nach jeder wesentlichen Änderung (neues Modell, Änderung der Datenverarbeitung, Vorfall). Bewertungen sind außerdem erforderliche Nachweise für ISO 42001 Anhang A.10 (Beziehungen zu Dritten) und die Anbieter-Betreiber-Pflichten des EU AI Act.
Wie unterscheidet sich dies von einem Standard-Sicherheitsfragebogen für Anbieter?
Ein Standard-Sicherheitsfragebogen konzentriert sich auf Kontrollen im Stil von SOC 2, Zugriff, Verschlüsselung, Reaktion auf Vorfälle. Eine KI-spezifische Bewertung ergänzt Kategorien, die eine rein sicherheitsorientierte Prüfung übersieht: Modelltransparenz (Modellkarten, Quellen der Trainingsdaten, Erklärbarkeit), ethische KI-Praktiken (Verzerrungstests, menschliche Aufsicht) und KI-spezifische vertragliche Schutzmaßnahmen (Nicht-Training-Klauseln, IP-Eigentum an Ausgaben, Benachrichtigungen über Modelländerungen). Nutzen Sie diese Bewertung zusätzlich zu, nicht anstelle von, Ihrem bestehenden Sicherheitsfragebogen für Anbieter.
Wie funktionieren die Gewichtungen?
Die Standardgewichtung legt den größten Schwerpunkt auf Datenschutz und Datensouveränität (25%) und Sicherheitslage (20%), da diese eine unmittelbare Exposition verursachen. Modelltransparenz und regulatorische Compliance (je 15%) unterstützen die längerfristige Auditbereitschaft. Operative Resilienz und ethische KI-Praktiken liegen bei je 10%, vertragliche Schutzmaßnahmen bei 5%, starke Verträge sind wichtig, können aber schwache zugrunde liegende Kontrollen nicht ausgleichen. Passen Sie die Gewichtungen an Ihre Branche an: regulierte Sektoren erhöhen üblicherweise die Gewichtung der Compliance.

die Risikobewertung für KI von Drittanbietern herunterladen

Kostenlose .docx-Vorlage mit 7 gewichteten Kategorien. Bewerten Sie Ihre KI-Anbieter und erstellen Sie eine auditfähige Genehmigungsentscheidung.

DOCX herunterladen

Holen Sie sich alle 39 Vorlagen in einer ZIP-Datei. Richtlinien, Register, Checklisten und Rollout-Pläne.

Loslegen

Von der Bewertung zur kontinuierlichen Anbietertransparenz

Das Risiko durch KI von Drittanbietern ist kein punktuelles Problem. Jede Woche werden neue KI-Funktionen innerhalb bestehender SaaS-Tools ausgeliefert. Aona entdeckt kontinuierlich die in Ihrer Organisation genutzte KI von Drittanbietern und meldet, wenn ein nicht bewerteter Anbieter beginnt, sensible Daten zu verarbeiten.

Demo buchen
Verwandte Ressourcen
Aona AI PlattformKI-Governance-RahmenwerkBewertungsbogen für KI-AnbieterSicherheitsfragebogen für KI-AnbieterVertragsklauseln für KI-AnbieterCheckliste für KI-SicherheitsauditsAlle Vorlagen
Risikobewertung für KI von Drittanbietern (2026), kostenlose Vorlage | Aona AI