Ein Kunde fragt, wie Sie KI steuern — und Sie haben nichts zum Schicken
Im Lieferantenfragebogen steht plötzlich ein Abschnitt zu KI. Frist: zwei Wochen. Die Informationen existieren im Haus — verteilt auf mehrere Tabellen, ein paar E-Mails und das Gedächtnis von zwei Personen.
Warum diese Frage jetzt häufiger kommt
Große Unternehmen geben regulatorischen Druck an ihre Lieferkette weiter. Das ist kein neues Muster — bei der DSGVO lief es genauso, später bei Informationssicherheit. Seit KI in Geschäftsprozessen angekommen ist, wandert die Frage in die Fragebögen: Setzen Sie KI ein? Wofür? Wer verantwortet das? Was können Sie belegen?
Der Zeitdruck ist dabei die eigentliche Schwierigkeit. Ein Lieferantenfragebogen kommt selten mit Vorlauf. Er kommt mit einer Frist, und die Antwort entscheidet mit über den Auftrag.
Was üblicherweise gefragt wird
Die Formulierungen unterscheiden sich, die Substanz kaum. In fast allen Fragebögen finden sich diese fünf Punkte:
- Bestand — welche KI-Systeme setzen Sie ein, von welchen Anbietern
- Datenarten — werden dabei personenbezogene Daten verarbeitet, und welche
- Verantwortlichkeit — wer ist benannt, und wie ist das dokumentiert
- Menschliche Aufsicht — gibt es automatisierte Entscheidungen, und wer prüft sie
- Nachweise — womit belegen Sie das, und seit wann gilt es
Punkt fünf ist derjenige, an dem die meisten Antworten dünn werden. Die ersten vier lassen sich in einem Nachmittag zusammentragen. Der fünfte verlangt etwas, das man nicht rückwirkend herstellen kann.
Die erste Antwort — auch ohne zusätzliche Software
Wenn die Frist läuft und Sie heute etwas liefern müssen: Eine strukturierte Aufstellung reicht für den ersten Durchgang. Erfassen Sie je System Bezeichnung, Anbieter, Zweck, Einsatzbereich, verarbeitete Datenarten, verantwortliche Person und — falls vorhanden — die Risikoeinordnung. Ergänzen Sie ein kurzes Begleitschreiben, das den Stand datiert und offen benennt, was noch nicht erfasst ist.
Offenheit ist an dieser Stelle das bessere Vorgehen. Ein Einkäufer erkennt eine geschönte Antwort, und eine erkannte Lücke ist weniger schädlich als eine widerlegte Behauptung.
Die erste Antwort können Sie mit einer Tabelle geben. Die zweite, sechs Monate später, nicht mehr — denn dann wird gefragt, was sich zwischenzeitlich geändert hat.
Was den Unterschied macht: die Zwischenzeit
Beim zweiten Fragebogen verschiebt sich die Frage. Sie lautet nicht mehr nur „wie ist der Stand“, sondern „was hat sich seit der letzten Auskunft geändert, und war Ihre damalige Angabe zutreffend“. Eine überschriebene Tabelle kann darauf nicht antworten. Sie kennt nur ihren aktuellen Inhalt.
Belastbar wird die Antwort durch drei Eigenschaften: Die Angaben sind datiert, Änderungen sind nachvollziehbar — wer, wann, was vorher galt — und das Ergebnis ist überprüfbar, also nicht unbemerkt nachträglich veränderbar.
Was Regovio dazu beiträgt
| Anforderung aus dem Fragebogen | Regovio | Stand |
|---|---|---|
| Bestand und Anbieter | Register mit Typ, Lebenszyklus, Beziehungen | heute verfügbar |
| Datenarten und automatisierte Entscheidungen | Strukturierte Bewertung je Asset | heute verfügbar |
| Verantwortlichkeit | Explizite Rollenzuweisung je Asset | heute verfügbar |
| Nachweise mit Gültigkeit | Nachweise als eigene Objekte mit Typ, Quelle, Versionen | heute verfügbar |
| Belegbare Zwischenzeit | Append-only Audit-Log mit Vorher/Nachher | heute verfügbar |
| Überprüfbares Paket zum Versand | Audit-Export mit SHA-256-Manifest je Datei | heute verfügbar |
| Fertig gestaltetes PDF-Dossier | Nicht enthalten — der Export ist ein Paket, keine Hochglanzunterlage | auf der Roadmap — heute nicht enthalten |
| Dateien zu Nachweisen hochladen | Heute Metadaten und Referenzen; Upload folgt | auf der Roadmap — heute nicht enthalten |
Die beiden letzten Zeilen sind für diesen Anwendungsfall die relevantesten Einschränkungen, deshalb stehen sie hier und nicht im Kleingedruckten. Wenn Sie ein gestaltetes Dossier brauchen, müssen Sie es heute selbst aufbereiten — die Inhalte liefert der Export.
Wenn Ihre Ausgangslage eher „wir haben noch gar keine Übersicht“ ist, beginnen Sie besser bei der Bestandsaufnahme. Steht die Frage im Zusammenhang mit NIS2, ist die Haftungsfrage der passendere Einstieg.