Lieferantenbewertung und Risiko Dritter

Gewinne:

• Fähigkeit, einen KI-Anbieter hinsichtlich Zertifizierung, Speicherung, Datenresidenz und Unterprozessorachsen zu bewerten
• Fähigkeit, Zusicherungen anhand von Dokumenten und Vertragsklauseln zu überprüfen und sich nicht auf verbale Worte zu verlassen
• Möglichkeit, DPA- und Opt-out-/Löschbedingungen an die Sicherheitsüberprüfung vor dem Kauf zu knüpfen

Die meisten Organisationen trainieren ihre eigenen Modelle nicht; nutzt die API eines Anbieters. Dadurch wird das Risiko nicht beseitigt – es wird lediglich auf jemand anderen übertragen, und es liegt in Ihrer Verantwortung, das Risiko, das Sie übertragen, zu bewerten. Jeder Dritte, an den Ihre Daten gehen, stellt eine Erweiterung Ihrer Sicherheitsgrenzen dar. In dieser Einheit erfahren Sie, wie Sie einen KI-Anbieter bewerten; Wir erfahren, wie Sie vor dem Kauf eine Sicherheitsüberprüfung anhand von Compliance-Zertifikaten, Datenverarbeitungsvereinbarungen (DPA), Datenspeicherung, Datendomizil und Unterauftragsverarbeitern durchführen.

Warum Drittparteirisiko?

Im Falle einer Prüfung oder eines Verstoßes rettet Sie die Einrede „Wir haben die Daten nicht verarbeitet, sondern der Anbieter“ nicht. Sie sind der Datenverantwortliche; Der Anbieter ist der Datenverarbeiter. KVKK und DSGVO machen diese Unterscheidung, aber der Großteil der Verantwortung liegt bei Ihnen. Deshalb ist die Wahl eines Lieferanten keine Kaufentscheidung, sondern eine Sicherheitsentscheidung.

Achtung: „Ein großer und bekannter Anbieter“ ist kein Garant für Sicherheit. Die Sicherheit erfolgt durch unterzeichnete Vertragsklauseln und überprüfbare Zertifizierungen; nicht wegen des Rufs der Marke.

Bewertungsachsen

Untersuchen Sie einen KI-Anbieter auf sieben Achsen:

• Compliance-Zertifizierungen: SOC 2 Typ II (unabhängige Prüfung der Sicherheitskontrollen einer Organisation), ISO/IEC 27001 (Standard für Informationssicherheitsmanagement) und zunehmend ISO/IEC 42001 (Standard für Managementsysteme für künstliche Intelligenz).
• Datenaufbewahrung: Wie lange wird die Eingabeaufforderung/Antwort gespeichert? Wird ZDR (Zero Data Retention) angeboten?
• Verwendung im Training: Werden Ihre Daten zum Trainieren des Modells verwendet? (Normalerweise „Nein“ auf Unternehmensebene.)
• Datenspeicherort: In welchem Land/welcher Region werden die Daten verarbeitet und gespeichert?
• Unterauftragsverarbeiter: Welche weiteren Unternehmen nutzt der Anbieter (Cloud, Monitoring)? Sie sind auch Teil Ihrer Grenze.
• Sicherheitsfunktionen: Verschlüsselung (während der Übertragung/im Ruhezustand), Zugriffskontrolle, Prüfprotokoll, Ereignisbenachrichtigungszeit.
• Vertrag und Ausstieg: Gibt es ein DPA? Ist die Löschung Ihrer Daten garantiert, wenn der Dienst endet? Wie groß ist das Risiko eines Lock-ins?

Schritt für Schritt: Lieferantenbewertung

1. Senden Sie eine Sicherheitsumfrage. Verwandeln Sie die Achsen oben in eine Liste mit Fragen.
2. Bitten Sie um Beweise. Überprüfen Sie Ansprüche anhand der Dokumentation (SOC 2-Bericht, ISO-Zertifikat, DPA-Entwurf).
3. Ordnen Sie den Datenfluss zu. Welche Daten gehen wohin und für welchen Prozess?
4. Verhandeln Sie das DPA. Beginnen Sie nicht mit der Produktion, ohne eine Datenverarbeitungsvereinbarung (den Rechtstext, der festlegt, wie der Anbieter die Daten verarbeitet) zu unterzeichnen.
5. Überprüfen Sie die Unterauftragsverarbeiter. Betrachten Sie die gesamte Kette.
6. Erstellen Sie einen Zeitplan für die Neubewertung. Das Lieferantenrisiko sollte mindestens einmal im Jahr erneut überprüft werden.

Vier kopierbare Vorlagen

Kern der Lieferantensicherheitsumfrage:

Was Sie den Anbieter fragen sollten:1. Über welche Compliance-Zertifizierungen verfügen Sie? (SOC 2 Typ II, ISO 27001/42001) Können Sie den Bericht teilen?2. Wie viele Anfrage-/Antwortdaten werden gespeichert? Gibt es eine ZDR-Option?3. Werden unsere Daten im Modelltraining verwendet? Steht es im Vertrag?4. In welcher Region werden die Daten verarbeitet/gespeichert? Können wir eine Region auswählen?5. Wer sind Ihre Unterauftragsverarbeiter? Wie werden Sie benachrichtigt, wenn sich etwas ändert?6. Wie lange ist Ihre Benachrichtigungsfrist im Falle eines Verstoßes?7. Wie und wann werden unsere Daten nach Vertragsende gelöscht?

Prüfregel zur Beweisüberprüfung:

Für jede Behauptung: „Gibt es Beweise?“ Überprüfen Sie:- Zertifizierungsanspruch -> habe ich den aktuellen Bericht/die Zertifikatsnummer gesehen?- ZDR/Speicherungsanspruch -> steht er in der Vertragsklausel? - Nichtverwendung in der Ausbildung -> Gibt es eine offene Klausel in der DPA? Markieren Sie jede Behauptung ohne Beweise als „NICHT ÜBERPRÜFT“; Akzeptieren Sie keine verbalen Worte.

Eingabeaufforderung für die Datenflusszuordnung:

Extrahieren Sie den Datenfluss für die folgende Integration: {{ Szenario }}Geben Sie bei jedem Schritt an: welche Daten (enthalten sie PII), wohin sie gehen (welches Unternehmen/welche Region), zu welchem Zweck, wie viel gespeichert wird. Markieren Sie jeden Schritt und jeden Unterauftragsverarbeiter, der die Unternehmensgrenze überschreitet.

Risiko-Scorecard für Lieferanten:

Bewerten Sie jede Achse mit einer Punktzahl von 0–2 (0 = keine, 1 = teilweise, 2 = vollständig): Zertifikat, ZDR/Aufbewahrung, nicht in Schulungen verwenden, Datenresidenz, Transparenz des Unterprozessors, Benachrichtigung bei Verstößen, Beenden/Löschen. Wenn Gesamtwert < 10 oder eine Achse 0 ist: „RISIKO HOCH, in Produktion gehen“.

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

schlechter Ansatz

Starker Ansatz

Vorausgesetzt „großes Unternehmen, sicher“

Zertifikat und DPA anhand des Dokuments überprüfen

sich auf mündliche Zusicherungen verlassen

Verknüpfung jeder Zusicherung mit der Vertragsklausel

Überprüfen Sie einfach den Anbieter

Berücksichtigen Sie auch die Unterprozessorkette

Einmal wählen und vergessen

Jährlicher Neubewertungskalender

Drei Mini-Hüllen

Fall 1 – Projekt, das ohne DPA gestartet wurde, wurde gestoppt. Ein Einzelhandelsunternehmen holte schnell einen Assistenten in die Produktion; Die Rechtsabteilung stellte später fest, dass es mit dem Anbieter keine unterzeichnete Datenschutzvereinbarung gab. Das Projekt wurde während der Verarbeitung von Kundendaten ausgesetzt, das DPA ausgehandelt und nach Festlegung des Datendomizils im EU-Raum wieder aufgenommen.

Fall 2 – Die Subprozessorkette sorgt für eine Überraschung. Ein Gesundheitsunternehmen hatte den primären Anbieter genehmigt; Allerdings ergab die Datenflusskartierung, dass der Anbieter für die Überwachung ein Unternehmen in einem Drittland einsetzte. Dies verstieß gegen die Datenresidenzpflicht. Das Unternehmen fügte dem Vertrag einen Aufenthalt in der Region hinzu.

Fall 3 – Scorecard hat das günstige Angebot eliminiert. Drei Vorschläge wurden bewertet. Der günstigste Anbieter erhielt auf der Zertifizierungsachse die Note 0 (kein SOC 2). Die Scorecard-Regel „Wenn eine Achse 0 ist, nehmen Sie sie in Produktion“ wurde abgeschafft; Es wurde ein um 22 % teurerer, aber voll bewerteter Anbieter ausgewählt und die Entscheidung zur Prüfung dokumentiert.

Tipp: Verwechseln Sie niemals zwei unterschiedliche Garantien: „Unsere Daten werden nicht gespeichert (ZDR)“ und „Unsere Daten werden nicht für Schulungen verwendet“ sind separate Klauseln. Ein Anbieter kann das eine anbieten, das andere jedoch nicht; Fordern Sie beides deutlich im Vertrag an.

Häufige Fehler

• Berücksichtigung der Größe/Marke des Anbieters als Sicherheitsgarantie.
• Sich auf Mundpropaganda verlassen, ohne Behauptungen anhand von Unterlagen zu überprüfen.
• In Produktion gehen, ohne eine DPA zu unterzeichnen.
• Ignorieren der Subprozessorkette (Datenresidenz wird dort durchbrochen).
• Ich denke, dass ZDR und die Garantie „nicht im Bildungsbereich verwendet“ dasselbe sind.
• Den Lieferanten einmal genehmigen und nicht jährlich neu bewerten.

Zusammenfassend

• Sie sind der Datenverantwortliche; Die Lieferantenauswahl ist eine Sicherheitsentscheidung, keine Kaufentscheidung.
• Bewerten Sie anhand von sieben Achsen: Zertifizierung, Aufbewahrung/ZDR, Nutzung für Bildungszwecke, Datenresidenz, Unterauftragsverarbeiter, Sicherheitsmerkmale, Vertrag/Ausstieg.
• Überprüfen Sie jede Zusicherung anhand eines Dokuments und einer Vertragsklausel. Marke und Mundpropaganda reichen nicht aus.
• Berücksichtigen Sie auch die Unterprozessorkette. Der Datenspeicher wird dort häufig durchbrochen.
• Beginnen Sie nicht mit der Produktion, bevor ein DPA unterzeichnet wurde, und bewerten Sie den Lieferanten jährlich neu.

Anwendungsaufgabe

Füllen Sie die Sicherheitsumfrage oben für einen KI-Anbieter aus, den Sie nutzen (oder bewerten), und fragen Sie: „Gibt es Beweise?“ für jede Antwort. Kreuzen Sie die Spalte an. Ordnen Sie dann den Datenfluss zu und markieren Sie jeden Schritt, der die Unternehmensgrenze überschreitet. Bewerten Sie abschließend die sieben Achsen, erstellen Sie eine Risiko-Scorecard und fragen Sie: „Ist sie für die Produktion geeignet?“ Schreiben Sie die Gründe für Ihre Entscheidung auf.

Checkliste

• [ ] Ich habe die Compliance-Zertifizierungen des Anbieters dokumentiert (SOC 2 / ISO 27001).
• [ ] Datenspeicherung, ZDR und „Nichtnutzung im Bildungsbereich“ sind im Vertrag festgehalten.
• [ ] Es erfüllt meine Anforderungen an den Datenspeicherort (KVKK/DSGVO).
• [ ] Ich habe die Unterprozessorkette abgebildet und ausgewertet.
• [ ] Ohne eine unterschriebene DPA bin ich nicht in die Produktion gegangen.
• [ ] Ich habe einen jährlichen Neubewertungskalender für den Lieferanten erstellt.