Bei der Governance der KI-Beschaffung geht es darum, vor der Vertragsunterzeichnung für ein KI-System festzulegen, was akzeptiert, gefordert und dokumentiert werden soll. Dieser Prozess verknüpft Beschaffung, Risikomanagement und den tatsächlichen Einsatz; der vorliegende Kurs stützt die entsprechenden Entscheidungen dabei auf den EU AI Act (KI-Verordnung) statt auf die Versprechen der Anbieter. Ein häufiger Fehler besteht darin, die KI-Beschaffung wie einen gewöhnlichen Softwarekauf mit zusätzlicher Sicherheitsprüfung zu behandeln. Die eigentliche Herausforderung liegt jedoch nicht in der Lizenz oder dem Hosting-Modell, sondern darin, wie sich das System verhält, sobald es auf Ihre Mitarbeitenden, Ihre Daten und Ihre Entscheidungsprozesse trifft. In der Praxis legt die Kaufentscheidung Rahmenbedingungen fest, die sich später nur schwer ändern lassen – etwa welche Vorgänge protokolliert werden, wer KI-Ergebnisse übersteuern kann und welche Nachweise vom Anbieter verlangt werden können. Dieser Kurs konkretisiert die Phase vor dem Kauf, damit Sie entscheiden können, was Sie fordern und was Sie ablehnen sollten, bevor eine verbindliche Entscheidung getroffen wird.
Diese Arbeit findet bereits im Rahmen gängiger Verfahren statt, etwa bei Ausschreibungen (RFP), Anbieterpräsentationen, der Vorbereitung einer Datenschutz-Folgenabschätzung (DSFA), Sicherheitsfragebögen oder Genehmigungsanträgen in Tool-Katalogen. Ein Team kann all diese Schritte durchlaufen und dennoch die entscheidende Frage übersehen: Auf welcher Stufe der KI-Nutzung bewegt sich das geplante System, und welche Prüfungen sind für diese Stufe erforderlich? Das Ergebnis ist oft eine Checkliste, die zwar gründlich wirkt, aber keinen Einfluss auf die eigentliche Entscheidung hat, da sie den beabsichtigten Einsatzzweck des Systems nicht mit den tatsächlich benötigten Nachweisen verknüpft. Die untenstehende Kursübersicht zeigt die zentralen Entscheidungspunkte auf, auf die Sie im Verlauf immer wieder zurückkommen werden – so erhalten Sie einen Überblick über das Gesamtbild, bevor Sie sich mit den einzelnen Bestandteilen befassen.
In diesem Kurs ist ein KI-System eine Software, die aus Eingaben Ausgaben – wie Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen – generiert. Dabei ist das System in der Lage, sich anzupassen oder über starre Regeln hinaus zu verallgemeinern.
Dieser Unterschied ist bei der Beschaffung entscheidend, da Sie nicht nur Funktionen erwerben, sondern ein bestimmtes Verhalten unter realen Bedingungen – einschließlich Fehlermustern und Grenz- oder Sonderfällen. Herkömmliche Software versagt meist dann, wenn eine Anforderung fehlt oder ein Programmierfehler vorliegt; ein KI-System hingegen kann selbst dann versagen, wenn es die festgelegten Spezifikationen erfüllt. Der Grund dafür ist, dass das Ergebnis vom Datenkontext, den Eingabeaufforderungen (Prompts) und der Art der Nutzung durch Anwender abhängt. Daraus folgt in der Praxis, dass eine Demo und eine Funktionsliste für sich genommen kaum aussagekräftig sind. Sie sollten daher hinterfragen, worauf das System getestet wurde, welche Protokolle es erstellt und welche Kontrollmechanismen greifen, wenn die Ergebnisse als Grundlage für Entscheidungen dienen.
Governance bei der KI-Beschaffung funktioniert dann am besten, wenn eine einzelne Person oder eine kleine Gruppe die funktionsübergreifende Steuerung übernimmt. Das bedeutet, sie verknüpfen die Kaufentscheidung mit Aspekten wie Nutzung, Überwachung, Dokumentation und Eskalationswegen.
Einkäufer können den kommerziellen Prozess abwickeln, die IT-Abteilung Integration und Sicherheit bewerten, die Rechtsabteilung die Vertragsbedingungen prüfen und Product Owner die gewünschten Ergebnisse definieren. Doch keine dieser Rollen ist von Natur aus für die ganzheitliche Frage zuständig, ob die Organisation das System nach der Inbetriebnahme sicher betreiben kann. Übergaben scheitern oft daran, dass sich die Beteiligten darauf verlassen, eine andere Abteilung werde sich schon um die schwierigen Fragen kümmern – etwa wer sich auf die Ergebnisse verlassen darf, was bei Fehlern des Modells geschieht und welche Nachweise die Konformität belegen. Wenn Sie die Steuerungsrolle übernehmen, sollten Sie eine einheitliche Sichtweise vor der Kaufentscheidung etablieren. Diese muss den Verwendungszweck, die betroffenen Personenkreise sowie die erforderlichen Mindestnachweise benennen, die vor einer Genehmigung vorliegen müssen.
Die folgenden Szenarien prüfen, ob Ihre aktuellen Vorgehensweisen bereits typische Fallstricke bei der KI-Beschaffung verhindern.