Die KI-Verordnung für den Einkäufer: Lieferantenanforderungen und Vertragsklauseln

Kurze Antwort: Der Einkauf ist das Tor, durch das KI in die Organisation gelangt — und damit ein Kontrollpunkt für Compliance. Wer ein KI-System einkauft, wird unter der KI-Verordnung meist Betreiber und erhält eigene Pflichten. Die Erklärung "wir sind KI-Verordnungs-konform" eines Lieferanten sagt ohne Nachweis wenig aus. Der Einkäufer muss abfragen, festhalten und nachweisbar machen.

Ihre Rolle ändert sich beim Einkauf

Kaufen Sie ein KI-System ein, sind Sie in der Regel kein Anbieter, sondern Betreiber. Das klingt leichter, bringt aber eigene Pflichten mit sich: das System gemäß der Betriebsanleitung einsetzen, menschliche Aufsicht sicherstellen, Eingabedaten kontrollieren und bei Hochrisiko-KI Protokolle aufbewahren. Vorsicht: Passen Sie ein eingekauftes System tiefgreifend an oder bringen Sie es unter eigenem Markennamen in Verkehr, können Sie selbst zum Anbieter werden — mit weitaus schwereren Pflichten.

Due Diligence vor der Unterschrift

Ein Lieferant muss nachweisen können, nicht nur behaupten. Fragen Sie ab:

• Risikoklassifizierung. In welche Klasse der KI-Verordnung fällt das System und warum?
• Konformität. Gibt es eine Konformitätsbewertung, CE-Kennzeichnung und EU-Konformitätserklärung, wo erforderlich?
• Dokumentation. Erhalten Sie technische Dokumentation und eine brauchbare Betriebsanleitung?
• Transparenz und Daten. Welche Daten wurden verwendet, und wie wird Verzerrung beherrscht?
• Sicherheit. Wie wurden Genauigkeit und Robustheit geprüft — stimmen Sie sich mit dem CISO ab.

Was in den Vertrag gehört

Halten Sie die Vereinbarungen verbindlich fest. Siehe KI in Verträgen für den umfassenderen Klauselsatz; für den Einkauf sind diese Kernpunkte wesentlich:

• Rollenverteilung: Wer ist Anbieter, wer Betreiber, und wer trägt welche Pflicht?
• Compliance-Garantien mit Beweislast beim Lieferanten.
• Mitwirkungspflicht bei Audits, Vorfällen und Aufsichtsanfragen.
• Aktualisierungs- und Wartungspflichten für die Dauer der Nutzung.
• Haftung und Freistellung — koppeln Sie dies an das Haftungsrisiko.

Arbeiten Sie zusammen, kaufen Sie nicht allein

Der Einkauf kann die Anforderungen formulieren, aber nicht alle beurteilen. Beziehen Sie den DSB bei personenbezogenen Daten, den CISO bei der Sicherheit und die Geschäftsführung bei der Risikobereitschaft ein. Verankern Sie dies im Governance-Rahmen.

Was zu tun ist

• Bestimmen Sie Ihre Rolle (Anbieter oder Betreiber) je Einkauf.
• Verwenden Sie eine Due-Diligence-Checkliste für KI-Lieferanten.
• Verlangen Sie Nachweise, keine Erklärungen: Dokumentation, Konformität, Testergebnisse.
• Standardisieren Sie Vertragsklauseln für den KI-Einkauf.
• Ordnen Sie die Haftung ausdrücklich der richtigen Partei zu.

Der Einkäufer ist die erste Verteidigungslinie. Was hier nicht abgefragt wird, wird später zu einer Compliance-Lücke, die die Organisation selbst schließen muss.