KI-SaaS sicher auswählen: Der Praxisleitfaden für Unternehmen 2026

Kurz gesagt: So treffen Unternehmen eine sichere Wahl

Ein KI-SaaS ist erst dann ein guter Kandidat, wenn drei Fragen mit Ja beantwortet sind:

1. Ist der konkrete Einsatz klar beschrieben – einschließlich verantwortlicher Person, erlaubter Daten und menschlicher Kontrolle?
2. Belegt der Anbieter schriftlich, wie er Daten speichert, fürs Training nutzt, schützt, löscht und an Unterauftragnehmer weitergibt?
3. Besteht das Produkt einen begrenzten Pilot mit typischen und schwierigen Fällen, ohne dass kritische Fehler oder unkontrollierte Aktionen auftreten?

Fehlt eine dieser Grundlagen, würde ich das Tool nicht mit vertraulichen Daten oder in einem wichtigen Geschäftsprozess einsetzen. Mehr Funktionen gleichen fehlende Kontrolle nicht aus.

Dieser Leitfaden richtet sich an deutsche KMU, Fachabteilungen, Einkauf, IT, Datenschutz und Geschäftsführung. Er hilft bei Schreibassistenten, interner Suche, Support-Automation, Analysewerkzeugen und KI-Agenten. Wer SaaS zunächst grundsätzlich einordnen möchte, findet die Basis im Guide „Was ist SaaS?“.

Für welchen Einsatz passt welcher Prüfaufwand?

Ein Assistent, der aus öffentlichen Informationen erste Textideen erstellt, braucht eine andere Prüfung als ein System, das Bewerbungen bewertet oder selbstständig Kundendaten verändert. Entscheidend sind nicht Produktname oder Modellgröße, sondern drei Achsen:

• Datenwirkung: Welche Daten sieht das System – öffentlich, intern, vertraulich, personenbezogen oder besonders sensibel?
• Ergebniswirkung: Ist die Ausgabe nur ein Entwurf oder beeinflusst sie Menschen, Geld, Verträge, Sicherheit oder Rechte?
• Handlungsreichweite: Schreibt das System lediglich Text oder darf es E-Mails senden, Datensätze ändern, Konten sperren oder andere Werkzeuge steuern?

Meine praktische Regel lautet: Der höchste Wert auf einer dieser drei Achsen bestimmt die Prüftiefe. Ein scheinbar harmloser Chatbot wird zum anspruchsvollen Fall, sobald er Zugriff auf ein CRM erhält oder eigenständig Aktionen ausführt.

Schritt 1: Erst den Prozess beschreiben, dann Anbieter vergleichen

Beginnen Sie mit einem einseitigen Entscheidungsblatt. Darauf gehören:

• Aufgabe und gewünschtes Ergebnis,
• fachlich verantwortliche Person,
• Nutzergruppen und betroffene Personen,
• erlaubte und verbotene Datenarten,
• angebundene Systeme und Rechte,
• mögliche Schäden bei falschen Ausgaben,
• Form der menschlichen Prüfung,
• gewünschte Aufbewahrung und Löschung,
• Abbruch- und Exportweg.

Wer zuerst Demos sammelt, vergleicht oft Funktionen, die für den eigenen Prozess kaum relevant sind. Wer zuerst den Prozess beschreibt, kann Anbieter mit denselben Fragen prüfen.

Schritt 2: Das Nutzungsszenario richtig einordnen

Für einen ersten, risikoarmen Versuch eignen sich Aufgaben mit öffentlichen oder künstlich erzeugten Testdaten und leicht prüfbaren Ergebnissen. Beispiele sind Gliederungen, Formulierungsideen oder Zusammenfassungen frei zugänglicher Texte.

Mehr Kontrolle braucht ein Tool, das interne Dokumente durchsucht, Supportantworten aus Kundendaten vorbereitet oder Code aus privaten Repositories verarbeitet. Hier werden Datenflüsse, Berechtigungen, Protokolle, Aufbewahrung und Vertrag zentral.

Besonders sorgfältig müssen Systeme geprüft werden, die Bewerber, Kreditwürdigkeit, Bildung, medizinische Versorgung, kritische Infrastruktur oder andere folgenreiche Entscheidungen berühren. In solchen Fällen reicht dieser Einkaufsleitfaden allein nicht; Datenschutz, Recht, Informationssicherheit und die zuständige Fachseite sollten die konkrete Nutzung bewerten.

Schritt 3: Datenschutz und AI Act getrennt prüfen

Der EU AI Act und die DSGVO beantworten unterschiedliche Fragen. Eine niedrige AI-Act-Risikoeinstufung bedeutet nicht automatisch, dass die Verarbeitung personenbezogener Daten zulässig ist. Umgekehrt löst ein AV-Vertrag nicht alle Anforderungen des AI Act.

Was 2026 beim AI Act zählt

Nach der aktuellen Übersicht der Europäischen Kommission gilt der AI Act grundsätzlich seit dem 2. August 2026. Verbote bestimmter Praktiken und Vorgaben zur KI-Kompetenz gelten bereits seit dem 2. Februar 2025; Regeln für General-Purpose-AI-Modelle seit dem 2. August 2025. Die Kommission nennt nach den 2026 vereinbarten Änderungen den 2. Dezember 2027 für bestimmte Hochrisiko-Anwendungsfälle und den 2. August 2028 für Hochrisiko-KI in regulierten Produkten.

Für den Einkauf folgt daraus zweierlei: Der konkrete Use Case muss eingeordnet werden, nicht nur das Produkt. Zudem sollte die Organisation Beschäftigte passend zu Rolle und Einsatz schulen. Die Kommission erklärt auf ihrer Seite zur KI-Kompetenz nach Artikel 4, dass Anbieter und Betreiber geeignete Maßnahmen für ausreichende Kenntnisse ihrer Mitarbeitenden treffen sollen.

Rechtslagen können sich ändern. Ich würde deshalb bei folgenreichen Anwendungen nicht mit einer allgemeinen Anbieterfolie arbeiten, sondern die aktuelle Einordnung dokumentieren und fachkundig prüfen lassen.

Welche DSGVO-Fragen in den Anbietercheck gehören

Verarbeitet der Dienst personenbezogene Daten im Auftrag des Unternehmens, muss die Rollen- und Vertragslage geklärt werden. Der EDSA-Leitfaden für Verantwortliche und Auftragsverarbeiter nennt unter anderem Weisungsbindung, Vertraulichkeit, Sicherheit, Unterauftragnehmer, Unterstützung bei Betroffenenrechten, Löschung oder Rückgabe sowie Auditmöglichkeiten als Vertragsgegenstände.

Eine Datenschutz-Folgenabschätzung ist laut EDSA-Leitfaden zur sicheren Verarbeitung erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Menschen verursacht. Ob das zutrifft, hängt vom echten Einsatz ab. „Wir nutzen nur einen Standarddienst“ ist keine Risikobewertung.

Auch „Das Modell ist anonym“ sollte nicht ungeprüft übernommen werden. Der EDSA bewertet die Anonymität von KI-Modellen einzelfallbezogen; direkte oder indirekte Identifizierung und das Herauslösen personenbezogener Daten aus dem Modell müssen sehr unwahrscheinlich sein.

Schritt 4: Anbieterbelege statt Marketingantworten verlangen

Gute Antworten sind überprüfbar. Bitten Sie mindestens um:

• AV-Vertrag und Beschreibung der Rollen,
• aktuelle Liste der Unterauftragnehmer mit Ort und Aufgabe,
• Datenfluss für Prompt, Upload, Ausgabe, Protokoll und Feedback,
• klare Aussage zu Training, Produktverbesserung und Opt-out,
• Aufbewahrungsfristen je Datenart sowie Lösch- und Exportverfahren,
• technische und organisatorische Maßnahmen,
• SSO, MFA, Rollenmodell und relevante Audit-Logs,
• Incident-Prozess und vertragliche Benachrichtigung,
• Geltungsbereich und Zeitraum externer Prüfberichte,
• Regeln für Modell-, Anbieter- oder Funktionswechsel.

Der BSI-Mindeststandard zur Nutzung externer Cloud-Dienste zeigt, warum Bedarfsanalyse, Sicherheitsanforderungen, Vertragsgestaltung und Kontrolle zusammengehören. Ein C5-Bericht kann nützliche Cloud-Kontrollen belegen. Er ersetzt aber nicht die Prüfung, ob genau der gebuchte Dienst, die Region und die benötigten Funktionen vom Prüfungsumfang erfasst sind.

Schritt 5: Mit Ausschlusskriterien und 100-Punkte-Modell entscheiden

Die Tabelle ist eine Saaspective-Arbeitshilfe, keine gesetzliche Norm. Ich habe Daten, Sicherheit und Ergebnisaufsicht bewusst mit zusammen 65 Prozent gewichtet, weil dort bei KI-SaaS die größten Schäden entstehen können. Ein Team mit öffentlichem Marketingmaterial darf anders gewichten als eine Personalabteilung.

Bewerten Sie jede Dimension von 0 bis 5:

• 0 = nicht beantwortet oder nicht vorhanden,
• 1 = nur Behauptung,
• 2 = teilweise belegt, große Lücken,
• 3 = für den Pilot ausreichend,
• 4 = gut belegt und administrierbar,
• 5 = vollständig belegt, getestet und vertraglich passend.

Berechnung: Punkte ÷ 5 × Gewicht. Ab 80 Punkten ist ein Anbieter ein guter Pilotkandidat. Zwischen 65 und 79 Punkten sollte der Pilot nur starten, wenn die offenen Punkte einen Owner und Termin haben. Unter 65 Punkten würde ich weitersuchen. Diese Schwellen sind eine transparente Einkaufsregel, kein Beweis für Sicherheit. Ein Ausschlusskriterium bleibt auch bei 95 Punkten ein Ausschlusskriterium.

Für tiefere Fragebögen kann das Team die AI Controls Matrix und den AI-CAIQ der Cloud Security Alliance als Struktur nutzen. Der Anbieter sollte jedoch nur die für den Einsatz relevanten Kontrollen beantworten müssen; ein riesiger Fragebogen ohne Auswertung schafft Scheinsicherheit.

Schritt 6: KI-spezifische Sicherheitsrisiken praktisch testen

Normale SaaS-Kontrollen reichen bei generativer KI nicht immer aus. Die OWASP Top 10 für LLM-Anwendungen führt unter anderem Prompt Injection, Offenlegung sensibler Informationen, Risiken in der Lieferkette, unsichere Ausgabeverarbeitung, übermäßige Handlungsfreiheit und ungebremsten Ressourcenverbrauch auf.

Daraus entstehen konkrete Tests:

• Kann Text in einem hochgeladenen Dokument das System zu unerlaubten Anweisungen verleiten?
• Zeigt die interne Suche Inhalte, für die der Testnutzer keine Berechtigung besitzt?
• Werden Zitate und Quellen korrekt zugeordnet oder nur überzeugend erfunden?
• Wird eine riskante Aktion vor der Ausführung gestoppt und zur Freigabe vorgelegt?
• Sind Ausgaben, die in Code, E-Mail oder Datenbank fließen, technisch validiert?
• Lassen sich Kosten, Aufrufe und ungewöhnliche Nutzung begrenzen und erkennen?

Nutzen Sie synthetische oder freigegebene Testdaten, keine echten Geheimnisse. Der NIST-Leitfaden für generative KI ordnet Maßnahmen in Governance, Kontextanalyse, Messung und laufendes Management ein. Genau deshalb sollte ein Pilot nicht nur eine Produktdemo sein.

Ein Pilot, der wirklich etwas entscheidet

Stellen Sie einen festen Testsatz aus wiederkehrenden, schwierigen und missverständlichen Fällen zusammen. Dokumentieren Sie vorab, was als richtige, tolerierbare und kritische Antwort gilt. Vergleichen Sie anschließend:

• Bearbeitungszeit inklusive menschlicher Korrektur,
• Anteil brauchbarer Ergebnisse,
• kritische Fehler und erfundene Angaben,
• unerlaubte Datenzugriffe oder Aktionen,
• Nachvollziehbarkeit durch Quellen und Logs,
• administrativen Aufwand,
• Kosten im realen Nutzungsprofil,
• Verhalten bei Ausfall und Anbieteränderung.

Ein einzelner guter Prompt beweist wenig. Ich würde eher zehn sauber dokumentierte Grenzfälle lesen als hundert begeisterte Demo-Kommentare.

Schritt 7: Vertrag, Rollout und Exit zusammen planen

Vor dem Rollout müssen Produktversprechen und Vertrag zusammenpassen. Prüfen Sie insbesondere Datenzweck, Trainingsnutzung, Änderungen bei Modellen und Unterauftragnehmern, tatsächliche Regionen für Speicherung und Support, Incident- und Löschfristen, Exportformate, Tarifgrenzen und den Entzug aller Zugriffe am Vertragsende.

Beim Exit zählt ein getesteter Ablauf mehr als eine Klausel. Exportieren Sie im Pilot eine kleine, nicht sensible Testmenge und prüfen Sie, ob sie lesbar und weiterverwendbar ist. Wann Papierkorb und Versionierung nicht reichen, erklärt der Guide zu SaaS-Backups und Restore-Tests.

Nach dem Kauf: Das Tool bleibt eine laufende Entscheidung

Legen Sie für jedes freigegebene KI-SaaS mindestens Owner, Zweck, erlaubte Daten, Nutzergruppen, Integrationen, Risikostufe, Vertragsende und nächsten Prüfanlass fest. Eine Neubewertung ist nötig, wenn sich Modell, Unterauftragnehmer, Datenzweck, Berechtigungen, Integrationen oder automatische Aktionen wesentlich ändern.

So wird ein Pilot nicht unbemerkt zu Schatten-IT. „SaaS-Wildwuchs im KMU stoppen“ verbindet Inventar, Owner, Lizenzen und Freigaben. Für den Betrieb lohnt sich außerdem ein klarer Umgang mit SaaS-Statusseiten und Incidents.

Gibt das System synthetische Inhalte nach außen, kann zusätzlich die KI-Kennzeichnung nach Artikel 50 relevant werden. Nicht jeder KI-Text braucht dieselbe Kennzeichnung; Inhalt, Rolle und konkreter Einsatz entscheiden.

Kompakte Entscheidungsliste

Vor der Freigabe sollten alle Aussagen stimmen:

• Use Case, Owner und erlaubter Datenrahmen sind schriftlich festgelegt.
• AI-Act- und DSGVO-Fragen wurden getrennt und passend zum Einsatz geprüft.
• AV-Vertrag, Unterauftragnehmer, Übermittlungen, Training, Aufbewahrung und Löschung sind geklärt.
• Rollen, MFA/SSO, Logs, Integrationen und Aktionsrechte folgen dem kleinsten nötigen Zugriff.
• Der Pilot enthält typische Fälle, Grenzfälle und klare Abbruchkriterien.
• Kritische Ergebnisse oder Aktionen erreichen ohne menschliche Freigabe keinen echten Prozess.
• Vertrag, Tarif, Funktionsumfang und Anbieterbelege passen zusammen.
• Export, Offboarding und Löschung wurden mit Testdaten praktisch geprüft.
• Schulung, Betriebsverantwortung und erneute Prüfung bei Änderungen sind organisiert.

Häufige Fragen

Reicht ISO 27001, SOC 2 oder BSI C5 als Kaufargument?

Nein. Solche Nachweise können wertvoll sein, doch Geltungsbereich, Zeitraum, Ausnahmen und der konkrete Dienst müssen passen. Zusätzlich bleiben KI-spezifische Fragen zu Training, Ausgaben, Prompt Injection, Quellen, Modellwechseln und Handlungsrechten offen.

Ist ein EU-Rechenzentrum automatisch DSGVO-konform?

Nein. Der Speicherort ist nur ein Teil. Rollen, Rechtsgrundlage, Vertrag, Unterauftragnehmer, mögliche Übermittlungen, Zugriff, Zweck, Aufbewahrung und Löschung zählen ebenfalls.

Darf ein Team öffentliche Daten bedenkenlos in ein KI-Tool kopieren?

„Öffentlich sichtbar“ bedeutet nicht automatisch „frei von Datenschutz, Urheberrecht, Vertraulichkeit oder Vertragsregeln“. Prüfen Sie Quelle, Zweck und Nutzungsbedingungen. Für den Pilot sind freigegebene oder synthetische Daten die sicherere Wahl.

Wer sollte die Kaufentscheidung treffen?

Der Fachbereich verantwortet Nutzen und Ergebnisqualität; IT und Security prüfen Technik und Betrieb; Datenschutz bewertet personenbezogene Daten. Bei folgenreichen oder regulierten Anwendungen kommt juristische und gegebenenfalls weitere Fachkompetenz hinzu.

Was tun, wenn der Anbieter wichtige Fragen nicht beantwortet?

Ich würde den Einsatz auf öffentliche, nicht sensible Testdaten begrenzen oder einen anderen Anbieter wählen. Fehlende Transparenz ist kein Punkt, den ein schönes Interface ausgleichen kann.

Fazit: Nicht das stärkste Tool gewinnt, sondern der kontrollierbare Einsatz

KI-SaaS lässt sich 2026 sicherer auswählen, wenn Unternehmen zuerst Prozess und Risiken beschreiben, dann harte Ausschlusskriterien anwenden, Belege vergleichen und einen begrenzten Pilot durchführen. Das 100-Punkte-Modell macht Entscheidungen nachvollziehbar; menschliche Kontrolle, Vertrag und Exit halten sie belastbar.

Der wichtigste Satz bleibt: Kaufen Sie keine KI-Funktion, deren Datenfluss, Wirkung und Handlungsreichweite Sie nicht erklären können.