KI-Anbieter auswählen: Fragen-Checkliste vor dem Kauf

Bevor Sie KI-Software kaufen, sollten Sie Anbieter zu sieben Bereichen befragen: was das Produkt für Ihren Anwendungsfall leistet, wie seine Qualität gemessen wird, wie Ihre Daten gespeichert werden und ob sie für Training genutzt werden, welche Sicherheitsmaßnahmen bestehen, wie der Anbieter seine Rolle nach dem EU AI Act sieht, wie die Preise mit Ihrem Volumen wachsen und wie Sie wieder aussteigen können. Vertrauen verdienen Antworten, die konkret sind, schriftlich vorliegen, zum Vertrag passen und sich in einem Test mit Ihren eigenen Daten bestätigen.

Diese Checkliste nennt die Fragen pro Bereich, beschreibt gute Antworten und zeigt, welche Warnsignale einen Kauf stoppen sollten. Sie ergänzt unseren Ratgeber, wie Sie das richtige LLM für Ihr Unternehmen auswählen: Dort geht es um den Vergleich von Modellen, hier um den Kauf eines KI-Produkts oder einer KI-Dienstleistung bei einem Anbieter.

Bevor Sie mit Anbietern sprechen

Gespräche mit Anbietern laufen besser, wenn Sie wissen, was Sie brauchen. Bereiten Sie vier Dinge vor:

1. Den Anwendungsfall: welche Aufgabe das Tool unterstützen soll, wer es nutzt und was mit dem Ergebnis geschieht.
2. Erfolgskriterien: was „gut genug“ bedeutet, etwa der Anteil brauchbarer Entwürfe oder die Zeit pro Vorgang.
3. Die betroffenen Daten: ob personenbezogene, vertrauliche oder Kundendaten in das Tool fließen.
4. Eine erste Risikoeinstufung: Der Zweck entscheidet, welche Pflichten gelten. Der kostenlose EU AI Act Risikoklassen-Check gibt eine schnelle Orientierung – und wirkt etwas hochriskant, verschiebt sich, welche Fragen am wichtigsten sind.

Führen Sie ein KI-Inventar, tragen Sie den geplanten Einsatz vor dem Kauf ein, nicht danach.

1. Produkt und Eignung

Frage	Eine gute Antwort
Für welche Aufgaben ist das Produkt gedacht, für welche nicht?	Klare Grenzen statt „es kann alles“
Welche KI-Modelle nutzt es, und wer stellt sie bereit?	Benannte Modelle oder Anbieter und ob Sie wählen können
Wie informieren Sie Kunden, wenn sich das Modell ändert?	Vorankündigung und Versionshinweise, idealerweise mit Testphase
Mit welchen Kunden mit ähnlichem Anwendungsfall können wir sprechen?	Referenzen aus vergleichbarer Branche oder Größe

Die Frage nach dem Modell ist wichtig, weil sich das Verhalten ändern kann, wenn ein Anbieter das Modell wechselt. Ein Prompt oder Workflow, der letzten Monat funktioniert hat, muss dann eventuell neu getestet werden.

2. Qualität und Belege

Frage	Eine gute Antwort
Wie messen Sie die Qualität für einen Anwendungsfall wie unseren?	Eine beschriebene Methode mit Kennzahlen, nicht nur Erfahrungsberichte
Können wir mit unseren eigenen Daten testen?	Ja, mit festgelegtem Zeitraum und Unterstützung
Welche typischen Fehler sind bekannt?	Ehrliche Beispiele, etwa Fragetypen, die schlecht funktionieren
Wie geht das Produkt mit unsicheren oder fehlenden Informationen um?	Es kann „weiß ich nicht“ sagen, Quellen nennen oder an einen Menschen übergeben
Welche Funktionen unterstützen die menschliche Prüfung?	Prüfwarteschlangen, Änderungsverfolgung, Quellenangaben, Protokolle

Ein Test mit Ihren eigenen Fällen ist der einzig verlässliche Beleg. Bereiten Sie 20 bis 50 realistische Beispiele vor, auch schwierige, und bewerten Sie die Ergebnisse anhand Ihrer Erfolgskriterien. Unser Artikel KI-Halluzinationen vermeiden erklärt, welche Produktfunktionen falsche Antworten unwahrscheinlicher machen.

3. Datenschutz und Vertraulichkeit

Frage	Eine gute Antwort
Werden unsere Daten genutzt, um Modelle zu trainieren oder zu verbessern – Ihre oder die eines Dritten?	Ein klares Ja oder Nein für Ihren Tarif, das zum Vertrag passt
Wie lange werden Eingaben, Ausgaben und Protokolle gespeichert?	Festgelegte Aufbewahrungsfristen und einstellbare Löschung
Wo werden die Daten verarbeitet und gespeichert?	Benannte Regionen und ob Daten die EU verlassen
Welche Unterauftragsverarbeiter sind beteiligt?	Eine aktuelle Liste und Benachrichtigung bei Änderungen
Bieten Sie einen Auftragsverarbeitungsvertrag an?	Ja – nach Art. 28 DSGVO nötig, wenn der Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet
Wer beim Anbieter kann wann auf unsere Daten zugreifen?	Eingeschränkter, protokollierter Zugriff, etwa nur im Support mit Ihrer Zustimmung

Prüfen Sie, ob die Antworten zu den Unterlagen passen. Werbeseiten, Nutzungsbedingungen, Auftragsverarbeitungsvertrag und die tatsächlichen Produkteinstellungen sollten dasselbe aussagen. Beziehen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten ein, bevor personenbezogene Daten verarbeitet werden.

4. Sicherheit

Frage	Eine gute Antwort
Welche Sicherheitszertifikate oder Prüfberichte können Sie vorlegen?	Anerkannte Rahmenwerke wie ISO/IEC 27001 oder SOC-2-Berichte, mit Geltungsbereich und Datum
Unterstützen Sie Single Sign-on, Rollen und Berechtigungen?	Ja, damit der Zugriff Ihrer Benutzerverwaltung folgt
Welche Aktivitäten werden protokolliert, und haben wir Zugriff darauf?	Admin- und Nutzungsprotokolle, die Ihnen zur Verfügung stehen
Wie schützen Sie vor Prompt Injection und vor Datenabfluss zwischen Kunden?	Konkrete Maßnahmen, Tests und Trennung der Kundendaten
Wie und wie schnell werden Kunden über Sicherheitsvorfälle informiert?	Ein festgelegter Ablauf und eine Frist im Vertrag

KI-Produkte bringen zu den üblichen Software-Prüfungen eigene Risiken mit, etwa manipulierte Eingaben in Dokumenten oder E-Mails, die die Anweisungen des Systems aushebeln sollen. Ein Anbieter sollte erklären können, wie er darauf testet.

5. EU AI Act und Compliance

Frage	Eine gute Antwort
Wie stufen Sie die Zweckbestimmung des Produkts nach dem AI Act ein?	Eine begründete Einstufung statt eines pauschalen „wir sind konform“
Bei Hochrisiko-Einsätzen: Welche Dokumentation und Gebrauchsanweisung stellen Sie bereit?	Eine Gebrauchsanweisung zu Zweck, Grenzen, menschlicher Aufsicht und Protokollen
Welche Funktionen helfen uns bei Transparenzpflichten?	Etwa ein Hinweis im Chatbot oder die Kennzeichnung erzeugter Inhalte
Was ändert sich, wenn wir das Produkt anpassen oder unter eigenem Namen anbieten?	Das Bewusstsein, dass wesentliche Änderungen oder ein neuer Zweck Anbieterpflichten auf Sie verlagern können
Stellen Sie Schulungsmaterial für Nutzende bereit?	Material, das Ihre Maßnahmen zur KI-Kompetenz unterstützt

Nach dem AI Act sind die meisten Käufer Betreiber und der Hersteller ist Anbieter. Bei Hochrisiko-Einsätzen sind Sie in vielem auf den Anbieter angewiesen; was in Ihrer Verantwortung bleibt, erklärt die Übersicht der Betreiberpflichten. Laut der Europäischen Kommission gelten die Regeln für Hochrisiko-Systeme in den aufgeführten Bereichen wie Beschäftigung ab dem 2. Dezember 2027 – fragen Sie also, wie sich der Anbieter vorbereitet. Dies ist eine allgemeine Information, keine Rechtsberatung; ziehen Sie bei allem, was hochriskant sein könnte, Rechtsberatung hinzu.

6. Kosten und Vertragsbedingungen

Frage	Eine gute Antwort
Was genau wird abgerechnet: Nutzer, Nutzung, Gespräche, Tokens?	Ein Preismodell, das Sie für Ihr Volumen berechnen können
Was zählt als eine Nutzungseinheit, und was passiert über dem Kontingent?	Klare Definitionen, Preise für Mehrverbrauch, Ausgabenobergrenzen
Mit welcher Frist kündigen Sie Preisänderungen an?	Eine festgelegte Frist im Vertrag
Welche Kosten kommen hinzu: Einrichtung, Integration, Premium-Support?	Eine vollständige Liste, nicht nur die Lizenz
Gibt es eine Mindestlaufzeit oder Mindestabnahme?	Bedingungen, die zu einem Pilotprojekt passen, etwa eine kurze Anfangslaufzeit

Rechnen Sie die Gesamtkosten für Ihr erwartetes Volumen über mindestens ein Jahr durch, inklusive interner Arbeitszeit. Bei nutzungsabhängigen Preisen hilft der LLM-API-Kostenrechner, tokenbasierte Kosten zu schätzen, und der KI-ROI-Rechner zeigt, ob die erwartete Zeitersparnis die Kosten deckt.

7. Integration, Support und Ausstieg

Frage	Eine gute Antwort
Mit welchen unserer Systeme lässt es sich verbinden, und wie?	Dokumentierte Integrationen oder APIs statt „alles ist möglich“
Welcher Support ist enthalten, mit welchen Reaktionszeiten?	Festgelegte Kanäle und Service-Level
Können wir Daten, Konfiguration und Prompts exportieren?	Ja, in brauchbaren Formaten, jederzeit
Was passiert mit unseren Daten bei Vertragsende?	Löschung innerhalb einer festgelegten Frist, mit Bestätigung
Was steht für die nächsten zwölf Monate auf der Roadmap?	Eine plausible Roadmap – ohne dass Ihre Entscheidung an versprochenen Funktionen hängt

Die Fragen zum Ausstieg geraten leicht in Vergessenheit, wenn man von einem Produkt begeistert ist. Sie entscheiden darüber, wie teuer ein Wechsel wird, falls der Anbieter die Preise erhöht, die Richtung ändert oder vom Markt verschwindet.

Warnsignale

• Versprechen perfekter oder nahezu perfekter Genauigkeit.
• Kein Test mit eigenen Daten, nur eine vorbereitete Demo.
• Vage oder wechselnde Antworten zu Training und Datenspeicherung.
• Kein Auftragsverarbeitungsvertrag oder Unterauftragsverarbeiter, die nicht benannt werden können.
• Preise, die sich für Ihr Volumen nicht berechnen lassen.
• Keine Möglichkeit, Ihre Daten zu exportieren.
• Compliance-Fragen werden ohne Begründung als irrelevant für Ihren Fall abgetan.

Anbieter vergleichen

Übertragen Sie die Antworten in eine einfache Bewertungstabelle. Gewichten Sie jeden Bereich nach seiner Bedeutung für Ihren Anwendungsfall, vergeben Sie pro Anbieter 1 bis 5 Punkte und multiplizieren Sie. Ein angenommenes Beispiel:

Bereich	Gewicht	Anbieter A	Anbieter B
Qualität im eigenen Test	30 %	4	3
Datenschutz	20 %	3	5
Sicherheit	15 %	4	4
Kosten über 12 Monate	15 %	3	4
Integration und Support	10 %	4	3
Ausstieg und Datenportabilität	10 %	2	4
Gewichtete Punktzahl		3,45	3,8

Die Tabelle nimmt Ihnen die Entscheidung nicht ab, macht aber Zielkonflikte sichtbar: Hier schnitt Anbieter A im Test besser ab, Anbieter B dagegen bei Datenschutz und Ausstieg. Verfehlt ein Anbieter ein Muss-Kriterium, etwa weil er keinen Auftragsverarbeitungsvertrag anbietet, scheidet er unabhängig von der Punktzahl aus.

Kurze Fragenliste zum Kopieren

1. Wofür ist das Produkt gedacht, wofür nicht?
2. Welche Modelle nutzt es, und wie erfahren wir von Änderungen?
3. Können wir mit unseren eigenen Daten testen?
4. Werden unsere Daten für Training genutzt, und wie lange werden sie gespeichert?
5. Wo werden die Daten verarbeitet, und welche Unterauftragsverarbeiter sind beteiligt?
6. Bieten Sie einen Auftragsverarbeitungsvertrag an?
7. Welche Sicherheitsprüfungen oder Zertifikate können Sie vorlegen?
8. Wie schützen Sie vor Prompt Injection?
9. Wie stufen Sie das Produkt nach dem EU AI Act ein, und was stellen Sie Betreibern bereit?
10. Wie genau wird die Nutzung abgerechnet, und was passiert über dem Kontingent?
11. Mit welcher Frist kündigen Sie Preisänderungen an?
12. Können wir alles exportieren, und was passiert mit unseren Daten am Ende?

Fazit

Ein guter KI-Einkauf beginnt mit Ihrem Anwendungsfall, Ihren Daten und Ihrer Risikoeinstufung, nicht mit einer Demo. Stellen Sie konkrete Fragen in sieben Bereichen, lassen Sie sich die wichtigen Antworten schriftlich geben, gleichen Sie sie mit dem Vertrag ab und testen Sie das Produkt mit Ihren eigenen Daten. Prüfen Sie vor der Unterschrift, ob der Einsatz zu Ihrer KI-Richtlinie passt und das Team das Tool sicher nutzen kann.