Wie wechselt man einen KI-Anbieter, ohne die Datenschutz- und Security-Freigabe wieder bei null zu starten?
Die Entwicklungsgeschwindigkeit im Bereich Künstliche Intelligenz ist enorm. Was gestern noch der Standard war (wie ChatGPT von OpenAI), wird heute von Alternativen wie Claude (Anthropic), Google Gemini oder spezialisierten Open-Source-Modellen herausgefordert. Unternehmen möchten und müssen technologisch flexibel bleiben, um stets das leistungsfähigste, sicherste oder kosteneffizienteste Modell einzusetzen.
Doch in vielen Organisationen herrscht beim Gedanken an einen Wechsel des KI-Providers Verunsicherung: Müssen wir den gesamten Legal-, Datenschutz- und Security-Freigabeprozess jetzt wieder von vorne durchlaufen?
Die kurze Antwort lautet: Nein. Wenn du deine AI Governance sauber aufbaust, fängst du keineswegs bei null an. Eine nachhaltige Compliance-Struktur hängt nicht an einem einzelnen Anbieter oder Tool, sondern bildet das Fundament für deinen gesamten KI Stack.
Das Grundprinzip: Der Anwendungsfall ist entscheidend, nicht der Anbieter
Wer Compliance für jedes neue KI-Tool isoliert als einmaliges Projekt betrachtet, baut ein Kartenhaus. Wechselt der Anbieter, bricht die Governance zusammen.
Fortschrittliche Unternehmen betrachten Compliance daher als langfristige Infrastruktur. Der rechtliche und organisatorische Rahmen wird primär um den Anwendungsfall (Use Case) und die verarbeiteten Daten herum aufgebaut – nicht um das spezifische Software-Produkt.
Wechselt ein Marketing Team beispielsweise beim Erstellen von Blogbeiträgen vom Anbieter A zu Anbieter B, verändert sich weder der Geschäftszweck noch die Sensibilität der genutzten Daten. Das bestehende Governance-Fundament bleibt intakt; geprüft werden müssen lediglich die spezifischen Stellschrauben des neuen Dienstleisters.
Was kannst du wiederverwenden – was musst du neu prüfen?
Die folgende Übersicht zeigt transparent, welche Compliance-Bausteine bei einem Providerwechsel bestehen bleiben und wo eine gezielte Nachprüfung erforderlich ist:
Praxisbeispiel: Der Wechsel im Marketing-Team
Stellen wir uns ein konkretes Szenario vor: Ein mittelständisches Unternehmen nutzt bislang Anbieter A für die Erstellung von Social-Media-Texten und Kundenschreiben. Nun soll auf Anbieter B gewechselt werden, da dieser bessere deutsche Sprachmodelle und günstigere API-Konditionen bietet.
Was bleibt bestehen?
- Die Use-Case-Freigabe: Die Risikoanalyse für das Verfassen von Marketingtexten ist abgeschlossen.
- Die Policy: Die Mitarbeitr:innen wissen weiterhin, dass keine personenbezogenen Kundendaten unverschlüsselt verarbeitet werden dürfen.
- Der Human-in-the-Loop: Das Gebot, dass kein Text ohne menschliche Prüfung veröffentlicht wird, gilt unverändert.
Was muss konkret aktualisiert werden?
- Auftragsverarbeitungsvertrag (AVV/DPA): Mit Anbieter B muss ein rechtssicherer AVV abgeschlossen werden.
- Prüfung des Modell-Trainings: Es muss vertraglich sichergestellt werden, dass Anbieter B die eingegebenen Prompts nicht zum allgemeinen Training seiner Modelle verwendet (Data Retention & Training Opt-Out).
- Verzeichnis von Verarbeitungstätigkeiten (VVT): Der Name des Auftragsverarbeiters und ggf. der Verarbeitungsort (z.B. EU-Server vs. US-Transfer) wird im VVT angepasst.
- Subprozessoren & Security: Die Zertifizierungen (z.B. ISO 27001, SOC 2 Type II) des neuen Anbieters werden im Rahmen des Vendor Risk Managements abgelegt.
Wichtige Fragen zur AI Governance beim Providerwechsel
Muss die AI-Risikobewertung bei einem Anbieterwechsel neu durchgeführt werden?
Nein, nicht von Grund auf. Die grundlegende Risikobewertung bezieht sich auf den Use Case (z.B. automatisierte Lebenslauf-Analyse vs. Marketing-Texte). Sie müssen lediglich prüfen, ob das neue Modell spezifische neue Risiken mit sich bringt – etwa abweichende Datenschutz-Einstellungen, veränderte Halluzinationsraten oder geänderte Hosting-Standorte.
Muss eine Datenschutz-Folgenabschätzung (DSFA / DPIA) aktualisiert werden?
Falls für den Anwendungsfall bereits eine DSFA durchgeführt wurde, muss diese bei einem Wechsel des KI-Anbieters überprüft und schwellenwertbasiert aktualisiert werden. Eine komplett neue DSFA ist meist nicht nötig. Die Aktualisierung konzentriert sich auf die geänderten technischen und organisatorischen Maßnahmen (TOMs) sowie den neuen Auftragsverarbeiter.
Welche Dokumente müssen bei einem Wechsel konkret angepasst werden?
- Verzeichnis von Verarbeitungstätigkeiten (VVT): Dienstleister und Subunternehmer aktualisieren.
- Datenschutzhinweise (Transparenzpflichten): Falls Externe betroffen sind, den Dienstleister anpassen.
- Vendor Assessment File: Sicherheits- und Compliance-Nachweise des neuen Providers archivieren.
- Interne KI-Positivliste / Tool-Register: Altes Tool austragen bzw. als inaktiv kennzeichnen, neues Tool freigeben.
EU AI Act & DSGVO: Worauf du regulatorisch achten musst
Beim Wechsel von KI-Tools treffen zwei regulatorische Ebenen aufeinander:
- Die DSGVO-Perspektive: Hier steht das Vendor Management im Vordergrund. Schließe einen AVV (DPA) ab, prüfe Drittlandtransfers (z. B. Data Privacy Framework bei US-Anbietern oder Standardvertragsklauseln) und stelle sicher, dass keine Trainings-Nutzung ohne Rechtsgrundlage erfolgt.
- Die EU AI Act-Perspektive: Achte auf die Rollenverteilung. Im Sprachgebrauch sprechen wir oft vom „KI-Anbieter“. Regulatorisch nach dem EU AI Act bist du als Anwenderunternehmen jedoch meist der „Deployer“ (Betreiber), während OpenAI, Anthropic oder Google die „Provider“ sind. Solange das Modell nicht grundlegend umtrainiert oder unter eigenem Namen als High-Risk-System in den Markt gebracht wird, bleiben deine Deployer-Pflichten bei einem Anbieterwechsel weitgehend identisch.
Fazit: Flexibilität durch solide Compliance-Infrastruktur
Der Wechsel von KI-Anbietern wird in den kommenden Jahren zur Routine. Wer bei jedem Wechsel das Rad neu erfindet, bremst Innovationen im Unternehmen massiv aus und verfehlt die Chancen moderner AI Tools.
Mit einer zentralen Compliance-Infrastruktur wandelt sich Datenschutz und KI Governance vom Blockierer zum Enabler: Du schaffst ein stabiles Fundament, auf dem neue KI-Modelle schnell, sicher und skalierbar evaluiert und integriert werden können.
Compliance einmal richtig aufbauen – und damit dauerhaft flexibel bleiben.
So unterstützt dich heyData
Mit der All-in-One Compliance-Plattform von heyData verwaltest du KI Governance, Datenschutz und Vendor Risk Management an einem zentralen Ort. Statt isolierter Silos schaffst du eine wiederverwendbare Infrastruktur, mit der neue KI-Tools in wenigen Schritten geprüft und rechtssicher freigegeben werden kann.
EU AI Act: Leitfaden für KI-Compliance | heyData
Erfahre, welche Pflichten der EU AI Act für Unternehmen bringt und wie du KI-Risiken, Dokumentation, Aufsicht und Governance strukturiert umsetzt.
Kostenlos & unverbindlich
FAQ
Können wir einen neuen KI-Anbieter sofort testen, wenn eine KI Policy im Unternehmen existiert?
Können wir einen neuen KI-Anbieter sofort testen, wenn eine KI Policy im Unternehmen existiert?
Ja, sofern deine KI Policy Grundregeln für Test- und Evaluation-Phasen (Sandbox-Umgebungen) vorsieht. Wichtig ist, dass auch in Testphasen keine sensiblen Kundendaten oder Betriebsgeheimnisse eingegeben werden, solange der Auftragsverarbeitungsvertrag (AVV/DPA) und die Sicherheitsprüfung des Anbieters nicht final abgeschlossen sind.
Ändert sich unsere Rolle nach dem EU AI Act, wenn wir von einer API-Lösung auf ein selbstgehostetes Open-Source-Modell wechseln?
Ändert sich unsere Rolle nach dem EU AI Act, wenn wir von einer API-Lösung auf ein selbstgehostetes Open-Source-Modell wechseln?
Das hängt von der konkreten Implementierung ab: Wenn du ein Open-Source-Modell lediglich selbst hostest und unverändert nutzt, bleibst du in der Regel Deployer (Betreiber). Nimmst du jedoch wesentliche Modell-Anpassungen (Fine-Tuning mit eigenen Datensätzen für spezifische Hochrisiko-Zwecke) vor oder bringen das System unter eigenem Namen auf den Markt, könntest du rechtlich als Provider (Anbieter) nach dem EU AI Act eingestuft werden – was deutlich umfangreichere Pflichten nach sich zieht.
Müssen wir die Belegschaft bei jedem Wechsel des KI-Tools neu schulen?
Müssen wir die Belegschaft bei jedem Wechsel des KI-Tools neu schulen?
Nein. Eine erneute Schulung der allgemeinen Grundlagen (AI Literacy, Datenschutz-Basics, Vertraulichkeitsregeln, Prompting-Best-Practices) ist nicht erforderlich. Es reicht eine kurze, zielgerichtete Anwenderschulung oder Dokumentation zu den spezifischen Besonderheiten, Schnittstellen und Freigaben des neuen Tools.
Was passiert mit den Daten beim Altanbieter, wenn wir den Vertrag kündigen?
Was passiert mit den Daten beim Altanbieter, wenn wir den Vertrag kündigen?
Beim Offboarding eines KI-Anbieters musst du sicherstellen, dass alle verarbeiteten Daten, Prompts und Zwischenspeicher gemäß DSGVO gelöscht- bzw. herausgabefähig sind. Prüfe in den Ausstiegs-Klauseln (Data Retention & Deletion Policy) des bisherigen Anbieters die Bestätigung über die vollständige Löschung aller Daten auf den Servern und Backups.
