Ein Großkunde fragt, wie Sie KI einsetzen. So sieht eine Antwort aus, die trägt.

Welche KI-Anwendungen setzen Sie ein, wofür, und wer ist für jede einzelne zuständig?

Wer fragt: Prüfer (IIA, Leitfaden zur KI-Prüfung 2024; IDW Prüfungshinweis PH 9.315DE.3, Juli 2026), Versicherung (Cyber-Fragebogen Arch, 2024), Großkunde (Cushman & Wakefield, Bedingungen zur KI-Nutzung durch Lieferanten).

Eine Antwort, die trägt: ein gepflegtes Verzeichnis, eine Zeile je Anwendung mit Name und Anbieter, Zweck, wer sie nutzt, welche Daten hineingehen, zuständige Person und Datum der letzten Prüfung.

Wer ist bei Ihnen für den KI-Einsatz verantwortlich, und wie erfährt die Geschäftsleitung davon?

Wer fragt: Prüfer (IIA 2024; Zertifizierungsaudit nach ISO/IEC 42001), Großkunde (Fragebogen AI-CAIQ der Cloud Security Alliance; Lieferantenkodex der Deutschen Telekom 2024).

Eine Antwort, die trägt: eine schriftliche Zuweisung mit Name oder Funktion, Befugnis bis zum Abschalten einer Anwendung, Vertretung und Berichtsweg an die Leitung.

Welche schriftliche Regel legt fest, wer KI wofür nutzen darf, und wer gibt neue Anwendungen frei?

Wer fragt: Behörde (Hamburgischer Datenschutzbeauftragter, Checkliste LLM-Chatbots 2023; DSK-Orientierungshilfe KI, Mai 2024), Versicherung (Beispielfragen der Versicherer laut Aon, 2026), Prüfer (IIA 2024).

Eine Antwort, die trägt: eine Nutzungsregel von ein bis drei Seiten mit erlaubten und verbotenen Einsatzfällen, freigegebenen Werkzeugen und Freigabeweg, von der Geschäftsleitung mit Datum beschlossen.

Wie fördern Sie die KI-Kompetenz Ihrer Beschäftigten, und wie weisen Sie das nach?

Wer fragt: alle vier. Behörde (Bundesnetzagentur, KI-Service-Desk zu Artikel 4), Großkunde (Roland Berger, Lieferantenkodex 2025), Versicherung (Cyber-Fragebogen Arch), Prüfer (IIA 2024).

Eine Antwort, die trägt: Schulung nach Rollen mit Datum, Inhalt und Teilnehmerliste, verbunden mit der Nutzungsregel und wiederholt, wenn ein neues Werkzeug kommt.

Rechtslage: Artikel 4 gilt seit dem 2. Februar 2025, seit dem 27. Juli 2026 in neuer Fassung (Verordnung (EU) 2026/1744). Verlangt sind Maßnahmen, kein bestimmtes Niveau je Person.

Geben Ihre Beschäftigten Daten oder Unterlagen von uns in KI-Werkzeuge ein, und darf der Anbieter damit trainieren?

Wer fragt: Großkunde (Cushman & Wakefield; Einkaufsbedingungen Siemens, Januar 2026), Behörde (DSK-Orientierungshilfe KI 2024), Prüfer (DIIR-Checkliste Datenschutzorganisation, April 2026).

Eine Antwort, die trägt: je Werkzeug der Vertragsstand (Firmen- oder Privatversion), der Auftragsverarbeitungsvertrag, die Stelle im Vertrag, nach der Eingaben nicht zum Training dienen, und die Liste der Daten, die nie eingegeben werden.

Setzen Sie bei der Arbeit für uns KI ein, und teilen Sie uns das vorher in Textform mit?

Wer fragt: Großkunde (Einkaufsbedingungen EDAG, April 2026; ebenso Haufe, SAP, Cushman & Wakefield).

Eine Antwort, die trägt: Liste der Werkzeuge, die für diesen Kunden in Frage kommen, Aussage, ob KI-Ergebnisse in die Lieferung einfließen, und eine feste Stelle im Haus, die die Mitteilung vorab sendet und ablegt.

Wer prüft die Ergebnisse der KI, bevor sie weiterverwendet oder an uns geliefert werden?

Wer fragt: Großkunde (Einkaufsbedingungen Haufe, Oktober 2025; Cushman & Wakefield), Prüfer (IDW PH 9.315DE.3), Versicherung (Aon 2026).

Eine Antwort, die trägt: je Anwendung die prüfende Person, die Prüfquote, ein Prüfvermerk je Lieferung und der Weg zurück, wenn die KI falsch lag.

Stellen Sie sicher, dass mit KI erzeugte Ergebnisse keine Rechte Dritter verletzen, und stellen Sie uns im Streitfall frei?

Wer fragt: Großkunde (Einkaufsbedingungen EDAG § 13; ähnlich Haufe, Cushman & Wakefield, Sanofi).

Eine Antwort, die trägt: Aussage, wo KI-Ausgaben in Lieferungen einfließen, Prüfschritt gegen fremde Werke und Marken, Nutzungsbedingungen der Werkzeuge zu Rechten an Ausgaben, Versicherungsschutz.

Haben Sie Ihre KI-Anwendungen nach der KI-Verordnung eingeordnet und ihre Risiken bewertet?

Wer fragt: Prüfer (DIIR-Checkliste April 2026; IDW PH 9.315DE.3; Zertifizierungsaudit ISO/IEC 42001), Großkunde (Cushman & Wakefield; Sanofi).

Eine Antwort, die trägt: eine Tabelle je Anwendung mit Rolle (Anbieter oder Betreiber), Einstufung mit Begründung in zwei Sätzen, den größten Risiken samt Gegenmaßnahme und der Person, die freigegeben hat.

Rechtslage: Pflichten für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, nach Anhang I ab dem 2. August 2028 (Verordnung (EU) 2026/1744).

Auf welcher Rechtsgrundlage verarbeiten Ihre KI-Anwendungen personenbezogene Daten, und steht das in Ihrem Verzeichnis der Verarbeitungstätigkeiten?

Wer fragt: Behörde (DSK-Orientierungshilfe KI, Mai 2024; Checkliste KI des Bayerischen Landesamts für Datenschutzaufsicht, Januar 2024; Muss-Liste der DSK zur Datenschutz-Folgenabschätzung).

Eine Antwort, die trägt: je Einsatzfeld Zweck, Datenarten und Rechtsgrundlage, ein eigener Eintrag im Verzeichnis mit dem KI-Anbieter als Empfänger und eine festgehaltene Prüfung, ob eine Datenschutz-Folgenabschätzung nötig ist.

Wer darf welche KI-Anwendung nutzen, auf welche Daten greift sie zu, und wird festgehalten, was sie tut?

Wer fragt: Prüfer (IIA 2024; IDW PH 9.315DE.3), Behörde (Hamburgischer Datenschutzbeauftragter; DSK), Versicherung (Cyber-Fragebogen Arch).

Eine Antwort, die trägt: eine Rechteübersicht je Anwendung mit Firmenkonten statt privater Konten, Anmeldung mit zweitem Faktor, Zugriff nur im Umfang der Rechte der nutzenden Person und eine geklärte Protokollierung.

Nutzen Sie KI nur im eigenen Haus, oder liefern Sie KI-Lösungen an Ihre Kunden?

Wer fragt: Versicherung (Betriebsanalyse Haftpflicht der R+V für IT-Unternehmen, Stand 11/2024; Beispielfragen der Versicherer laut Aon 2026). Das Formular der R+V gilt nur für IT-Unternehmen, die Frage bei Aon ist ein Beispiel ohne Nennung eines Versicherers.

Eine Antwort, die trägt: eine klare Aussage zur Rolle. Wer nur anwendet, erklärt, dass keine KI-Funktion unter eigenem Namen an Kunden geht. Wer liefert, nennt die Leistungen mit KI und ihren Einsatzbereich.