Beantworten Sie KI-Sicherheitsfragen mit voller Überzeugung

Um den KI-Abschnitt eines Security-Questionnaires gut zu beantworten, ist vor allem eines entscheidend: Trennen Sie bei jeder KI-Antwort klar zwischen dem, was Ihr Produkt kontrolliert, und dem, was Ihr Modellanbieter kontrolliert. Weisen Sie Ihrem Teil dann einen Verantwortlichen und die zugehörigen Nachweise zu und legen Sie einen Auslöser fest, der die Antwort erneut zur Freigabe vorlegt, sobald sich ein Modell oder Anbieter ändert. Die Formulierung ist der einfache Teil. Schwieriger ist es, jedem Kunden dieselbe freigegebene Antwort zu geben und später nachweisen zu können, wer welche Zusage genehmigt hat, denn einige dieser Antworten können Bestandteil des Vertrags werden. Die Arbeit umfasst sechs Phasen: die Verpflichtung des Kunden hinter jeder Frage verstehen, Verantwortliche zuordnen, Nachweise zusammenstellen, nicht passende Fragen bearbeiten, Zusagen an die Rechtsabteilung weiterleiten und Antworten aktuell halten.

Wer antwortet und was Sie vor dem Start benötigen

Der Bid-Manager oder Proposal-Manager verantwortet den KI-Abschnitt und gibt die Response frei. Für den Inhalt jeder einzelnen Antwort ist jedoch einer von vier Verantwortlichen zuständig: Security, Produkt, Datenschutz oder Recht. Ihre Aufgabe ist es, jede Frage an die richtige Person weiterzuleiten, für alle vier denselben Nachweisstandard anzulegen und sicherzustellen, dass nichts ohne klar zugewiesene Verantwortung versendet wird.

KI-Fragen kommen entweder als zusätzlicher Abschnitt in der bereits von Ihnen beantworteten Sicherheitsprüfung oder als separater Fragenkatalog, der beispielsweise als KI-Lieferantenfragebogen, KI-Vendor-Security-Questionnaire oder Fragebogen zur KI-Lieferantenrisikobewertung bezeichnet wird. Ein veröffentlichter Fragenkatalog ist der AI-CAIQ der Cloud Security Alliance, dessen Fragen ihrer AI Controls Matrix zugeordnet sind. Wenn ein Kunde Ihnen SIG oder CAIQ sendet, prüfen Sie die jeweilige Version auf KI-Fragen, statt davon auszugehen, dass sie enthalten sind oder fehlen.

Bevor die erste Frage einem Verantwortlichen zugewiesen wird, sollten Sie Folgendes griffbereit haben:

• der Fragebogen des Kunden mit seinen Vorgaben zu Format, Nachweisen und Anhängen
• Ihre aktuell freigegebenen Sicherheitsantworten, damit die KI-Antworten damit abgeglichen werden können
• eine kurze Beschreibung jeder relevanten KI-Funktion mit Angabe des zugrunde liegenden Modells und Anbieters
• Ihre aktuelle Liste der Unterauftragsverarbeiter
• die Vertragsbedingungen des Modellanbieters und seine Dokumentation zu Datennutzung, Aufbewahrung und Hosting
• je eine benannte Person aus den Bereichen Security, Produkt, Datenschutz und Recht, deren Zeit für diese Response eingeplant ist

Jede KI-Frage im Hinblick auf die Pflichten des Kunden lesen

Lesen Sie jede KI-Frage mit Blick auf die Pflicht, die sie auf Kundenseite erfüllt. Denn eine Antwort, die dieser Pflicht gerecht wird, klärt die Frage abschließend, während eine reine Beschreibung Ihres Produkts zu einer Rückfrage führt. Kunden stellen Fragen zu Ihrer KI, um ihre eigenen Pflichten zu erfüllen, von denen einige schriftlich festgehalten sind.

In der EU verpflichtet Artikel 26 der KI-Verordnung Betreiber von Hochrisiko-KI-Systemen dazu, die menschliche Aufsicht Personen zu übertragen, die über die dafür erforderliche Kompetenz, Schulung und Befugnis verfügen. Zudem müssen sie die vom System erzeugten Protokolle, soweit diese ihrer Kontrolle unterliegen, mindestens sechs Monate lang aufbewahren, sofern andere Rechtsvorschriften nichts anderes vorsehen. Ein Kunde, der ein solches System einsetzt, hat daher einen konkreten Grund zu fragen, an welcher Stelle eine Person Ihre Ausgaben prüft und wie lange Eingaben und Ausgaben aufbewahrt werden.

Auch die Liste der Risiken, mit denen Kunden umgehen, wird länger. In McKinseys globaler Umfrage zum Stand der KI 2025 gaben 51% der Befragten aus Organisationen, die KI einsetzen, an, mindestens eine negative Folge beobachtet zu haben. Zudem berichteten die Befragten, im Durchschnitt Maßnahmen gegen vier KI-bezogene Risiken zu ergreifen, gegenüber zwei im Jahr 2022.

Übersetzen Sie die Frage also zunächst in die zugrunde liegende Anforderung, bevor Sie sie weiterleiten. Verstehen Sie zum Beispiel „Wie lange werden Prompts und Ausgaben gespeichert?“ als „Können wir die benötigten Daten so lange aufbewahren, wie wir sie benötigen?“, und beantworten Sie genau das: wo die Protokolle gespeichert sind, wie lange, wer sie einsehen kann und ob der Kunde sie exportieren kann. Verstehen Sie „Werden KI-Ausgaben von Menschen geprüft?“ als „Können wir die Aufsicht durch eine befugte Person nachweisen?“, und geben Sie an, an welcher Stelle im Arbeitsablauf eine Person die Ausgabe prüft und wer diese Person ist.

Wiederkehrende Fragen Verantwortlichen zuordnen

Ordnen Sie jede wiederkehrende KI-Frage einem Verantwortlichen zu, der den Inhalt freigibt, und halten Sie daneben fest, welcher Teil von Ihrem Modellanbieter abhängt. Diese Dokumentation ermöglicht es Ihnen, Kunden konsistent zu antworten und eine Antwort später zu begründen.

Wofür Sie verantwortlich sind und wofür Ihr Anbieter verantwortlich ist

Die AI Controls Matrix teilt die Verantwortung nach Rollen auf. Ein Anwendungsanbieter, also ein Unternehmen, das auf Modellen basierende KI-Anwendungen für Endnutzer entwickelt, ist für die Kontrollen in seiner eigenen Infrastruktur sowie in den von ihm entwickelten und angebotenen Produkten und Dienstleistungen verantwortlich. Wenn Ihr Produkt ein Modell eines Drittanbieters aufruft, befinden Sie sich in dieser Rolle: Sie sind dafür verantwortlich, wie Ihr Produkt Daten an das Modell sendet und protokolliert, den Zugriff des Modells begrenzt und die Ausgabe einer Person zur Prüfung vorlegt. Was innerhalb des Dienstes des Anbieters geschieht, können Sie nur anhand der Dokumente und des Vertrags des Anbieters belegen.

Diese Aufteilung verändert die Formulierung. „Kundendaten werden nicht zum Trainieren von Modellen verwendet“ umfasst zwei Aussagen: eine zu Ihrer Konfiguration und eine zu den Bedingungen Ihres Anbieters. Formulieren Sie die Antwort so, dass klar erkennbar ist, welche Aussage sich worauf bezieht, und der Verantwortliche nur den Teil freigibt, den er kontrolliert.

Die Zuständigkeitsübersicht

Dies sind die Kategorien von Fragen, die ein Kunde zur KI in einem Produkt stellt. Nutzen Sie die Tabelle als Ausgangspunkt und legen Sie die Verantwortlichen passend zu Ihrer Organisation fest.

Nachweise für jede Antwort zusammenstellen

Fügen Sie jeder KI-Antwort Nachweise hinzu, bevor der Verantwortliche sie freigibt. Denn bei einer Antwort, die der Kunde nicht prüfen kann, wird er erneut nachfragen. Es gilt derselbe Standard wie für jede belastbare Antwort in einem Security-Questionnaire; lediglich die zugrunde liegenden Dokumente unterscheiden sich.

Das Nachweispaket

• eine Beschreibung des KI-Systems: jede Funktion, das zugrunde liegende Modell und der Anbieter, worauf das System zugreifen kann und wie es seine Ausgabe verwendet
• eine Beschreibung des Datenflusses, aus der hervorgeht, welche Kundendaten das Modell erreichen, wo sie verarbeitet und gespeichert werden und wie lange
• Ihre Liste der Unterauftragsverarbeiter, in der jeder KI-Anbieter aufgeführt ist, der personenbezogene Daten verarbeitet
• die Richtlinien, auf die in den Antworten verwiesen wird, etwa zur KI-Nutzung, Datenaufbewahrung und Zugriffskontrolle
• die neuesten Testergebnisse mit Datum sowie Angaben dazu, was festgestellt und was behoben wurde
• die Zertifikate und Berichte, über die Sie verfügen, etwa ISO 27001, SOC 2 Type II oder ISO/IEC 42001, die internationale Norm für KI-Managementsysteme

Prompt-Injection, fehlerhafte Ausgaben und menschliche Prüfung

Schreiben Sie nicht, dass Tests Prompt-Injection verhindern. Das britische National Cyber Security Centre setzt dort an, wo auch eine ehrliche Antwort ansetzen kann: das Risiko und die Auswirkungen von Prompt-Injection zu verringern und die Resilienz entlang der KI-Lieferketten zu erhöhen. Formulieren Sie Ihre Antwort entsprechend: was Sie wann testen, wodurch der Schaden begrenzt wird, falls eine Injection gelingt, und wann Sie zuletzt getestet haben. Eine Vorlage, die Sie anhand Ihrer eigenen Testprotokolle ausfüllen können:

Wir testen [Funktion] auf Prompt-Injection-Versuche [vor jedem Release und nach jeder Modelländerung]. Die Tests sollen die Wahrscheinlichkeit und die Auswirkungen einer erfolgreichen Injection reduzieren. [was den Zugriff oder die Aktionen der Funktion begrenzt] schränkt ein, worauf eine Injection zugreifen könnte. Der letzte Test wurde am [Datum] abgeschlossen. Eine Zusammenfassung ist auf Anfrage erhältlich.

Fehlerhafte Ausgaben werden genauso behandelt. In der McKinsey-Umfrage berichtete fast ein Drittel aller Befragten von Folgen ungenauer KI-Ausgaben. Dies war das von den Befragten am häufigsten erlebte KI-Risiko. Nennen Sie keinen Genauigkeitswert, den Sie nicht messen können und an dem Sie sich nicht messen lassen wollen. Geben Sie stattdessen an, an welcher Stelle eine Person die Ausgabe vor ihrer Verwendung prüft. Wenn ein Kunde nach einer menschlichen Prüfung fragt, möchte er einen schriftlich dokumentierten Prozess sehen. Fügen Sie ihn daher bei.

In SEQUESTO: Das agentic operating system (aOS) von SEQUESTO durchsucht Ihre Nachweisbibliothek für jede KI-Frage nach Bedeutung und ordnet die Treffer anhand einer Konfidenzbewertung von 0 bis 100. Bei einer niedrigen Bewertung wird angegeben, welche Art von Dokument die Lücke schließen würde. Für eine externe Einreichung werden nur Dokumente vorgeschlagen, die als teilbar gekennzeichnet sind. So bleibt ein interner Testbericht außen vor, bis ihn jemand zur Freigabe kennzeichnet.

Fragen beantworten, die nicht zu Ihrem Produkt passen

Beantworten Sie jede nicht passende Frage mit einer Begründung und einem Verweis, niemals nur mit „nicht zutreffend“. Denn ein nicht erläutertes N/A wirkt wie eine Lücke und kann zu einer Rückfrage führen. Ein allgemeiner Fragenkatalog deckt verschiedene Arten von KI-Anbietern ab. Daher kann ein Anbieter, der auf dem Modell eines anderen Unternehmens aufbaut, auf Fragen stoßen, die für das Unternehmen bestimmt sind, das dieses Modell trainiert, etwa zur Auswahl und Aufbereitung der Trainingsdaten.

Eine Antwort auf eine unpassende Frage ist belastbar, wenn sie drei Dinge leistet: Sie erklärt, warum die Frage nicht zutrifft, nennt, was stattdessen gilt, und ist vom zuständigen Verantwortlichen freigegeben. Fällt die Frage in den Verantwortungsbereich Ihres Modellanbieters, weisen Sie darauf hin und beantworten Sie sie anhand der Nachweise des Anbieters, statt sie unbeantwortet zu lassen.

Ein Anbieter, der Modelle weder trainiert noch per Fine-Tuning anpasst, könnte beispielsweise eine Frage zur Kuratierung von Trainingsdaten wie folgt beantworten:

Wir trainieren keine Modelle und passen auch keine per Fine-Tuning an. [Funktion] nutzt [Modellfamilie] von [Anbieter] über dessen API. Für die Daten, mit denen das Modell trainiert wurde, ist der Anbieter verantwortlich. [Dokumentation des Anbieters zu Trainingsdaten] ist beigefügt.

Antworten, die zu Vertragsbedingungen werden, an die Rechtsabteilung weiterleiten

Leiten Sie jede KI-Antwort, die ein Niveau, einen Zeitraum oder eine Zusage nennt, vor der Weitergabe an die Rechtsabteilung weiter, da ein Kunde diese Antworten in den Vertrag übernehmen kann.

Ob eine Antwort für Sie verbindlich ist, entscheidet der Vertrag, nicht der Fragebogen. Behandeln Sie daher jedes darin enthaltene Versprechen so, als könnten Sie daran gebunden werden.

Eine Regel dafür, was die Rechtsabteilung prüft

Leiten Sie eine Antwort an die Rechtsabteilung weiter, wenn einer dieser Fälle zutrifft:

• nennt eine Zahl oder einen Wert, etwa eine Genauigkeitsquote, eine Aufbewahrungsfrist oder eine Benachrichtigungsfrist
• verspricht, künftig etwas zu tun oder zu unterlassen, etwa Kundendaten nicht für das Training zu verwenden oder über einen Anbieterwechsel zu informieren
• beschreibt ein Recht des Kunden, etwa Audits durchzuführen, Prüfungen vorzunehmen oder Protokolle zu exportieren
• nennt, wo Daten verarbeitet werden oder wer sie verarbeitet

Eine Antwort, die die aktuelle Praxis beschreibt, Nachweise enthält und keine Zusage macht, benötigt nur die Freigabe der verantwortlichen Person. Bei allen anderen Antworten prüft die Rechtsabteilung, ob das Unternehmen die Verpflichtung über die gesamte Vertragslaufzeit einhalten kann, auch nach dem nächsten Modellwechsel.

KI-Antworten aktuell und konsistent halten

Geben Sie eine KI-Antwort erneut frei, sobald sich eine ihrer Grundlagen ändert, ohne den nächsten Prüftermin abzuwarten. Denn ein Modell-Upgrade oder ein neuer Unterauftragsverarbeiter kann dazu führen, dass die im Vormonat freigegebene Antwort nicht mehr korrekt ist. Prüfen Sie anschließend, ob die KI-Antworten weiterhin mit den zugehörigen Sicherheitsantworten übereinstimmen.

Bei jeder Änderung prüfen

KI-Antworten hängen von Faktoren ab, die sich nach dem Zeitplan anderer ändern. Halten Sie für jede Antwort fest, wovon sie abhängt. So finden Sie bei einer Änderung alle davon betroffenen Antworten:

• das Modell oder die Modellversion ändert sich
• der Anbieter wechselt oder einen Unterauftragsverarbeiter hinzufügt
• Daten werden in einer neuen Region verarbeitet oder gespeichert
• eine in der Antwort zitierte Richtlinie wird aktualisiert
• eine neue KI-Funktion wird veröffentlicht

Übertragen Sie einer Person die Aufgabe, die Änderungsmitteilungen des Anbieters und Aktualisierungen zu Unterauftragsverarbeitern zu verfolgen, sowie die Befugnis, betroffene Antworten gemeinsam mit den jeweils Verantwortlichen erneut zu prüfen. Für jede Antwort bleiben ein Verantwortlicher und ein Prüfdatum hinterlegt, sodass auch Antworten geprüft werden, die von keiner Änderung betroffen sind. In einer Antwortenbibliothek, die Verantwortliche, Nachweise und Prüfdaten erfasst werden diese Abhängigkeiten dokumentiert.

Mit Ihren Standardantworten zur Sicherheit abstimmen

Derselbe Prüfer liest den KI-Abschnitt und den restlichen Fragebogen, und die Frameworks überschneiden sich. Laut den FAQ von CSA zur AI Controls Matrix enthält die Matrix Elemente der Cloud Controls Matrix von CSA, von ISO/IEC 42001, ISO/IEC 27001, NIST AI RMF 1.0 und BSI AIC4. Wenn eine KI-Frage Zugriffskontrolle, Protokollierung, Incident Response oder Lieferantenmanagement betrifft, gehen Sie von Ihrer freigegebenen ISO 27001-Antwort aus und ergänzen Sie nur, was sich durch die KI-Funktion ändert. Verwenden Sie anschließend Ihre Standardantworten zur Sicherheit erneut und gehen Sie dabei ebenso sorgfältig vor, damit eine veraltete Antwort nicht zwei Seiten später einer aktuellen KI-Antwort widerspricht.

Wo KI für allgemeine Zwecke hilft

Allzweck-KI, ob ChatGPT, Microsoft Copilot, Claude, Gemini oder eine darauf basierende interne Lösung, erstellt für die Person, die sie nutzt, schnell einen brauchbaren ersten Entwurf dieser Antworten. Das Team muss den Prozess rund um den Entwurf weiterhin aufsetzen und pflegen: die verantwortliche Person für jede Antwort, den Freigabeweg zu den Verantwortlichen für Security, Datenschutz und Recht, die freigegebene Formulierung mit Prüfdatum und Abhängigkeiten sowie die Dokumentation darüber, wer welche Zusage an welchen Kunden genehmigt hat. Genau diese Dokumentation kann anhand der Audit-Klausel eines Kunden geprüft werden, unabhängig davon, womit der Text entworfen wurde.

In SEQUESTO: Jede freigegebene KI-Antwort im Knowledge Hub behält Angaben zu ihrem Verantwortlichen, Prüfzyklus und Ablaufdatum. Abgelaufene Inhalte werden gekennzeichnet, bevor sie in einen Entwurf gelangen. Geht eine neue Version eines Dokuments ein, wird jede Antwort, die die alte Version als Quelle angibt, zur Prüfung gekennzeichnet.

Checkliste vor dem Versand der KI-Antworten

Haken Sie jede Aussage ab, bevor Sie den KI-Abschnitt freigeben:

• Jede KI-Frage wurde daraufhin geprüft, welche Pflicht des Kunden dahintersteht, und die Antwort erfüllt diese Pflicht.
• Für jede Antwort gibt es einen Verantwortlichen, der ihren Inhalt freigibt. Der Teil, der auf Angaben des Modellanbieters beruht, ist entsprechend gekennzeichnet.
• Jeder Antwort sind die entsprechenden Nachweise beigefügt, und jede Antwort zu Tests beschreibt, wie Risiken und Auswirkungen reduziert statt beseitigt werden.
• Bei jeder nicht zutreffenden Frage wird begründet, warum sie nicht zutrifft, was stattdessen gilt, und die Freigabe des zuständigen Verantwortlichen dokumentiert.
• Jede Antwort, die ein Niveau, einen Zeitraum, eine Zusage, ein Kundenrecht oder einen Verarbeitungsort nennt, wurde von der Rechtsabteilung freigegeben.
• Jede Antwort dokumentiert ihre Abhängigkeiten und ihr Überprüfungsdatum und stimmt mit den Standardantworten zur Sicherheit im selben Fragebogen überein.

Beginnen Sie mit dem KI-Abschnitt, den Sie zuletzt versendet haben: Prüfen Sie ihn jetzt anhand dieser Liste, bevor der nächste Fragebogen eingeht und dieselben Antworten erneut versendet werden.