Ein Kunde verlangt KI-Nachweise. Was jetzt zu tun ist
Der häufigste Auslöser ist nicht die Behörde
Fast niemand wird von einer Marktüberwachungsbehörde nach seiner KI-Dokumentation gefragt. Gefragt wird von Geschäftspartnern: im Lieferantenfragebogen, in der Ausschreibung, im Jahresgespräch oder von der Versicherung. Dieser Artikel beschreibt genau diesen Fall.
Es kommt selten mit Vorwarnung. Ein Einkäufer schickt eine Excel-Datei mit vierzig Zeilen, irgendwo dazwischen steht "Nachweis über eingesetzte KI-Systeme und KI-Kompetenz der Mitarbeitenden". Frist: zwei Wochen. Und plötzlich ist ein Thema, das man aufgeschoben hatte, mit einem Auftrag verknüpft.
Warum Kunden plötzlich fragen
Ihr Kunde fragt nicht aus Neugier. Er steht selbst unter der Verordnung und muss seine eigene Dokumentation belegen können. Setzt er dabei Systeme oder Leistungen ein, die von Ihnen kommen, wird Ihre Compliance zu einem Teil seiner.
Dazu kommen zwei Verstärker. Cyberversicherungen fragen bei Vertragsverlängerungen zunehmend nach dem Umgang mit KI. Und im öffentlichen wie im grossen privaten Beschaffungswesen wandern entsprechende Klauseln gerade reihenweise in die Standardfragebögen.
Diese Anfragen werden nicht seltener. Sie werden mit jedem Jahr häufiger, und ab Dezember 2027, wenn die Hochrisiko-Pflichten greifen, sprunghaft mehr.
Wonach konkret gefragt wird
Die Formulierungen unterscheiden sich, gemeint ist fast immer dasselbe:
- Welche KI-Systeme setzen Sie ein, und wofür?
- Verarbeiten diese Systeme Daten, die von uns stammen?
- Wie haben Sie die Systeme nach der KI-Verordnung eingestuft?
- Sind Ihre Mitarbeitenden geschult, und können Sie das belegen?
- Wer ist bei Ihnen dafür verantwortlich?
- Gibt es eine interne Richtlinie zur KI-Nutzung?
Auffällig: Keine dieser Fragen zielt auf Technik. Alle zielen auf Dokumentation. Genau deshalb scheitern Betriebe daran, die inhaltlich alles richtig machen, aber nichts aufgeschrieben haben.
Die fünf Unterlagen, die Sie vorlegen können sollten
- KI-Register. Eine Liste aller eingesetzten Systeme mit Zweck, Anbieter, verarbeiteten Daten und verantwortlicher Person. Das ist die Grundlage, ohne die alles andere nicht beantwortbar ist.
- Risiko-Einstufung je System, mit einer kurzen Begründung. Nicht nur "minimal", sondern warum.
- KI-Nutzungsrichtlinie. Was im Unternehmen mit KI gemacht werden darf und was nicht, insbesondere zu Kundendaten.
- Schulungskonzept und Teilnahme-Nachweise nach Art. 4. Name, Datum, Inhalt, Ergebnis.
- Benannte Zuständigkeit. Eine Person, die im Unternehmen für das Thema verantwortlich ist. Ein zertifizierter KI-Beauftragter ist nicht vorgeschrieben, aber irgendjemand muss es sein.
Zusammen ergibt das eine Mappe, die man in fünf Minuten verschickt. Der Aufwand liegt nicht im Verschicken, sondern darin, sie einmal angelegt zu haben.
Wenn Sie noch gar nichts haben
Der realistische Fall. Er ist unangenehm, aber lösbar, und zwar in etwa zwei Arbeitstagen.
Tag 1, Vormittag: Inventar. Gehen Sie die eingesetzte Software durch und listen Sie alles auf, was KI enthält. Nicht nur ChatGPT und Copilot, sondern auch Belegerkennung, Lead-Scoring, Transkription, Übersetzung, Chatbot. Fragen Sie die Teams ausdrücklich ohne Konsequenzen, welche Werkzeuge sie privat für die Arbeit nutzen. Diese Zusage der Straffreiheit ist der Unterschied zwischen einer ehrlichen und einer wertlosen Liste.
Tag 1, Nachmittag: Einstufung. Pro System drei Fragen. Verarbeitet es Personendaten? Entscheidet es über Menschen? Sehen Aussenstehende die Ergebnisse? Daraus ergibt sich die Klasse. Ein ehrliches "unklar, wird geprüft" ist besser als eine erfundene Sicherheit.
Tag 2, Vormittag: Richtlinie und Zuständigkeit. Zwei Seiten genügen. Was ist erlaubt, was nicht, welche Daten dürfen nie in ein KI-Werkzeug, wer entscheidet über neue Tools.
Tag 2, Nachmittag: Schulung ansetzen. Sie müssen sie nicht bis zur Antwortfrist durchgeführt haben. Aber ein datiertes Konzept mit Terminen zeigt, dass ein Prozess existiert. Das ist deutlich mehr wert als eine Ausrede.
Wie Sie ehrlich antworten, ohne sich zu schaden
Die grösste Versuchung ist, mehr zu behaupten als vorhanden ist. Das ist der teuerste Fehler. Wenn später auffällt, dass die zugesicherte Dokumentation nicht existiert, wird aus einer Lücke eine Falschangabe im Vertragsverhältnis.
Besser ist ein Zwischenstand mit Datum. Etwa so:
"Wir haben unsere eingesetzten KI-Systeme erfasst und dokumentiert. Die Risiko-Einstufung liegt für alle Systeme vor, für zwei Systeme mit dem Vermerk, dass die abschliessende Bewertung noch aussteht. Eine KI-Nutzungsrichtlinie ist seit dem [Datum] in Kraft. Das rollenbasierte Schulungskonzept nach Art. 4 ist erstellt, die Erstschulung findet bis [Datum] statt. Verantwortlich ist [Name]. Die Unterlagen stellen wir Ihnen auf Anfrage zur Verfügung."
Das ist ehrlich, es zeigt Struktur, und es nennt Termine. Einkäufer akzeptieren so etwas regelmässig. Was sie nicht akzeptieren, ist Schweigen.
Vorbeugen ist billiger als reagieren
Zwei Arbeitstage unter Zeitdruck kosten mehr als vier Stunden ohne. Wer das Register einmal angelegt hat und einmal im Quartal fünfzehn Minuten pflegt, beantwortet solche Anfragen aus dem Stand.
Der zweite Effekt wird oft übersehen: Wer als Erster sauber antwortet, hebt sich im Vergleich mit anderen Zulieferern ab. Bei Ausschreibungen ist Dokumentation kein Hygienefaktor mehr, sondern zunehmend ein Unterscheidungsmerkmal.
Häufige Fragen
Müssen wir antworten, obwohl wir gar nicht unter die Verordnung fallen? Rechtlich nicht. Vertraglich meist doch, weil im Fragebogen steht, dass eine fehlende Antwort als nicht erfüllt gewertet wird. Auch Schweizer Zulieferer ohne direkte EU-Berührung landen so im Thema.
Was, wenn wir wirklich keine KI einsetzen? Dann schreiben Sie genau das, mit dem Zusatz, dass Sie es geprüft und dokumentiert haben. Ein Satz ohne Prüfung dahinter fällt beim ersten Nachfassen auf.
Dürfen wir auf unseren Softwareanbieter verweisen? Teilweise. Für die technische Dokumentation eines Systems ist der Anbieter zuständig, für den Einsatz in Ihrem Betrieb aber Sie. Fordern Sie die Anbieter-Unterlagen an und legen Sie sie zu Ihren eigenen.
Wie detailliert muss das Register sein? So detailliert, dass ein Aussenstehender versteht, welches System wofür genutzt wird und wer es verantwortet. Nicht mehr. Perfektionismus ist hier der häufigste Grund, warum gar nichts entsteht.
Genau für diesen Fall wird Prüfbereit gebaut: Register pflegen, einstufen, Nachweise erzeugen, und im Ernstfall alles als Paket exportieren. Das Produkt ist im Aufbau, der Launch ist für Herbst 2026 geplant.
Fangen Sie mit dem Register an
Die kostenlose Excel-Vorlage enthält alle Spalten, die in Lieferantenfragebögen abgefragt werden. Direkter Download, ohne Anmeldung.
Zur kostenlosen VorlageKein Formular, keine E-Mail-Adresse, kein Newsletter.