90 Tage Risikoerkennung für generative KI:Jetzt starten
Demo buchen
Kostenlose Vorlage zur Bewertung von KI-Anbietern

Bewertung von KI-AnbieternVorlage und Scorecard

Kostenlose Vorlage zur Bewertung von KI-Anbietern mit einem gewichteten 100-Punkte-Bewertungsrahmen über 5 Sicherheitsdomänen. Bewerten Sie jeden Anbieter objektiv, treffen Sie belastbare Beschaffungsentscheidungen und führen Sie eine auditfähige Dokumentation.

0 pts
gewichtetes Bewertungssystem
0 Domänen
Sicherheitsabdeckung
0 Kriterien
Bewertungsprüfpunkte
Kostenlos
nutzbar und anpassbar

Warum KI-Anbieter eine spezialisierte Bewertung erfordern

Standard-Sicherheitsfragebögen für Anbieter wurden für SaaS und Cloud-Infrastruktur entwickelt, nicht für KI. KI-Anbieter bringen einzigartige Risiken rund um Datentraining, Modellinferenz und KI-spezifische Angriffsvektoren mit sich, die traditionelle Anbieterbewertungen völlig übersehen. Die Verwendung dieser Scorecard zusammen mit Ihrem Standard-TPRM-Prozess stellt sicher, dass KI-Anbieter nach den wichtigsten Kriterien bewertet werden.

63%
der Unternehmen nutzen KI-Anbieter ohne DPA
Die meisten Organisationen haben nicht sichergestellt, dass DSGVO-konforme Auftragsverarbeitungsverträge mit ihren KI-Anbietern bestehen, was zu einer erheblichen regulatorischen Exposition führt.
41%
der KI-Anbieter trainieren standardmäßig mit Kundendaten
Ohne eine ausdrückliche Nicht-Training-Klausel besteht die Standardposition vieler KI-Dienste darin, Kunden-Prompts und -Daten zur Verbesserung ihrer Modelle zu verwenden.
78%
der Anbieterbewertungen übersehen KI-spezifische Sicherheitskriterien
Standard-TPRM-Fragebögen decken Prompt-Injection, Modellzugriffskontrollen oder die Sicherheit von KI-Ausgaben nicht ab und lassen so kritische Lücken in den Anbieterrisikobewertungen.
3.5x
höhere Kosten einer Datenpanne, wenn KI-Anbieterkontrollen fehlen
Datenschutzverletzungen, die auf Schwächen von KI-Anbietern zurückgehen, verursachen höhere Kosten als durchschnittliche Verletzungen, bedingt durch das Volumen und die Sensibilität der von KI-Pipelines verarbeiteten Daten.

Die Scorecard zur Anbieterbewertung

Klicken Sie auf jede Domäne, um die Bewertungskriterien aufzuklappen. Verwenden Sie die Bewertungshinweise, um Punkte zu vergeben und Begründungen für jedes Kriterium zu dokumentieren.

Die Datensicherheit ist am höchsten gewichtet, da KI-Anbieter die Daten Ihrer Organisation in der Modellinferenz-Pipeline verarbeiten. Schwächen an dieser Stelle führen unmittelbar zu einem Datenexpositionsrisiko.

Datenverschlüsselung im Ruhezustand und bei der Übertragung8 pts

Überprüfen Sie die AES-256-Verschlüsselung im Ruhezustand und TLS 1.2+ bei der Übertragung. Fordern Sie eine Dokumentation an, die zeigt, dass die Verschlüsselung die Trainingspipelines abdeckt, nicht nur den API-Transport. Vergeben Sie 8, wenn beides mit Nachweis belegt ist, 4 bei nur Selbstbestätigung, 0, wenn nicht bestätigt.

Nicht-Training-Garantie im Vertrag8 pts

Vertragliche Zusage, dass Kundendaten (Prompts, Dokumente, Ausgaben) nicht zum Trainieren oder Feintuning der Modelle des Anbieters verwendet werden. Dies muss eine Vertragsklausel sein, keine Marketingaussage. Vergeben Sie 8, wenn dies schriftlich im DPA/Vertrag steht, 0, wenn es nur in Marketingmaterialien steht oder nicht verfügbar ist.

Richtlinie zur Datenaufbewahrung und -löschung6 pts

Dokumentierte Aufbewahrungsfristen für alle verarbeiteten Datenkategorien (Prompts, Ausgaben, Protokolle). Möglichkeit, die Löschung anzufordern, und Bestätigung der Löschung innerhalb eines definierten SLA. Vergeben Sie 6, wenn vollständig dokumentiert mit Löschfunktion, 3 bei teilweise, 0, wenn keine Dokumentation.

Isolierung der Kundendaten5 pts

Überprüfung, dass Daten verschiedener Kunden logisch oder physisch isoliert sind, insbesondere in mandantenfähigen Inferenzumgebungen. Vergeben Sie 5, wenn eine dokumentierte Isolationsarchitektur bereitgestellt wird, 3 bei Bestätigung, 0, wenn nicht behandelt.

Optionen zur Datenresidenz3 pts

Möglichkeit, den Ort der Datenverarbeitung festzulegen (z. B. nur EU für die DSGVO-Compliance). Vergeben Sie 3, wenn konfigurierbar mit vertraglicher Zusage, 1, wenn eine regionale Bereitstellung verfügbar, aber nicht vertraglich ist, 0, wenn keine Kontrolle besteht.

So führen Sie eine Anbieterbewertung durch

Eine Scorecard liefert nur dann nützliche Ergebnisse, wenn sie konsequent angewendet wird. Befolgen Sie diese fünf Schritte, um eine Bewertung durchzuführen, die belastbare, vergleichbare Ergebnisse über Anbieter hinweg liefert.

1
Den Bewertungsumfang und die Datensensibilität definieren
Dokumentieren Sie vor der Bewertung, welche Daten der KI-Anbieter verarbeiten wird (einschließlich der Datenklassifizierungsstufen), worum es beim Anwendungsfall geht und ob ein DPA erforderlich ist. Eine höhere Datensensibilität sollte die Mindestpunktschwelle für die Genehmigung anheben.
2
Die Scorecard als strukturierten Anbieterfragebogen versenden
Verteilen Sie die relevanten Abschnitte an jeden in die engere Wahl genommenen Anbieter. Fordern Sie Nachweise für alle Aussagen an, SOC 2 Type II Berichte, ISO 27001 Zertifikate, Zusammenfassungen von Penetrationstests und DPA-Entwürfe. Setzen Sie eine klare Antwortfrist.
3
Jeden Anbieter unabhängig bewerten, bevor abgeglichen wird
Lassen Sie jeden Anbieter von zwei Bewertenden unabhängig nach jedem Kriterium bewerten, vergleichen Sie dann die Bewertungen und lösen Sie Abweichungen auf. Eine unabhängige Bewertung reduziert Verzerrungen und führt zu belastbareren Beschaffungsentscheidungen.
4
Kritische Kriterien in einem technischen Prüfgespräch verifizieren
Verlassen Sie sich bei kritischen Kriterien wie Nicht-Training-Garantien, Prompt-Injection-Kontrollen und Bedingungen zur Vorfallbenachrichtigung nicht allein auf die Selbstbestätigung des Anbieters. Planen Sie ein 60-minütiges technisches Sicherheitsprüfgespräch mit dem Sicherheitsteam des Anbieters, um die wichtigsten Aussagen zu verifizieren.
5
Endgültige Bewertungen, Entscheidungen und Neubewertungstermine dokumentieren
Erfassen Sie die endgültige Bewertung jedes Anbieters mit Bewertungsbegründungen. Dokumentieren Sie die Genehmigungsentscheidung, etwaige bedingte Anforderungen und das Datum der Neubewertung (in der Regel 12 Monate oder bei Eintritt einer wesentlichen Änderung). Speichern Sie die Dokumentation in Ihrem Anbieterrisikomanagementsystem.
FAQ

Häufig gestellte Fragen

Decken Sie bei der Bewertung der Sicherheit eines KI-Anbieters fünf Schlüsseldomänen ab: Datensicherheit (Verschlüsselung, Datenisolierung, Aufbewahrungsrichtlinien, Löschfunktionen, Nicht-Training-Garantien); Zugriffskontrolle (MFA-Durchsetzung, rollenbasierter Zugriff, Verwaltung privilegierter Zugriffe, Audit-Protokollierung); Compliance und Zertifizierungen (SOC 2 Type II, ISO 27001, Verfügbarkeit eines DSGVO-DPA, relevante branchenspezifische Zertifizierungen); KI-spezifische Sicherheit (Abwehr von Prompt-Injection, Modellzugriffskontrollen, Sicherheit der Trainingsdaten, Umgang mit adversen Eingaben, Ausgabefilterung); und operative Sicherheit (SLAs für die Vorfallreaktion, Programm zur Offenlegung von Schwachstellen, Häufigkeit von Penetrationstests, Geschäftskontinuität). KI-Anbieter verfügen oft über eine starke allgemeine Sicherheit, aber schwache KI-spezifische Kontrollen, die KI-spezifische Domäne zeigt in der Regel die größte Differenzierung.
Erste Schritte

Überwachen Sie Ihre KI-Anbieter nach der Genehmigung kontinuierlich

Eine punktuelle Anbieterbewertung erfasst die Sicherheitslage Ihrer Anbieter an einem einzigen Tag. Aona überwacht die Nutzung aller KI-Anbieter in Ihrer Organisation kontinuierlich und verfolgt, welche Anbieter Mitarbeitende nutzen, welche Daten geteilt werden und ob die genehmigten Anbieterkontrollen tatsächlich wirksam sind.