KI Beschaffung: Kriterien für sichere Entscheidungen

Ein Fachbereich möchte ein KI-System für die Dokumentenprüfung einsetzen, die IT prüft Integration und Betrieb, der Einkauf fordert vergleichbare Angebote, Compliance fragt nach Risikoklasse und Nachweisen. Wenn diese Fragen erst nach der Produktauswahl zusammenkommen, wird die KI Beschaffung unnötig langsam, teuer und schwer steuerbar. Entscheidend ist deshalb nicht allein, welches Modell oder welcher Anbieter überzeugt. Entscheidend ist, ob ein konkreter Anwendungsfall mit belastbaren Daten, klaren Verantwortlichkeiten und einem realistischen Betriebsmodell umgesetzt werden kann.

KI Beschaffung beginnt vor der Marktansprache

Viele Beschaffungen starten mit einer Produktfrage: Welches KI-Tool passt zu uns? Für Unternehmensanwendungen führt diese Reihenfolge oft in die falsche Richtung. Zuerst muss feststehen, welches fachliche Problem gelöst werden soll, welche Entscheidung durch KI vorbereitet oder automatisiert wird und wo die fachliche Verantwortung verbleibt.

Ein Beispiel aus dem Einkauf: Eine KI soll Vertragsdokumente klassifizieren und Abweichungen von Standardklauseln markieren. Das ist etwas anderes als ein System, das Vertragsfreigaben selbstständig erteilt. Der erste Fall kann die Prüfung strukturieren und beschleunigen. Der zweite greift unmittelbar in einen kontrollrelevanten Prozess ein. Datenbedarf, Freigaben, Testtiefe und Governance unterscheiden sich entsprechend.

Eine belastbare Anforderungsbeschreibung verbindet daher Fachprozess, Daten und Betrieb. Sie beschreibt nicht nur Funktionen wie Zusammenfassung, Suche oder Chat. Sie legt fest, welche Eingaben verarbeitet werden dürfen, welche Ergebnisse erwartet werden, welche Fehler nicht akzeptabel sind und wie Mitarbeitende Ergebnisse prüfen oder korrigieren. So wird aus einer allgemeinen KI-Idee ein beschaffbarer Leistungsgegenstand.

Die Fachlichkeit muss messbar werden

Für die Auswahl genügt es nicht, wenn Anbieter eine hohe Trefferquote oder gute Sprachqualität nennen. Relevanz entsteht erst am eigenen Material. Bei einer Rechnungsprüfung kann eine falsch erkannte Kontierung direkte Folgeprozesse beeinträchtigen. Bei der Wissenssuche können unvollständige oder nicht belegte Antworten zu Fehlentscheidungen führen.

Definieren Sie deshalb vor dem Vergabeverfahren konkrete Abnahmekriterien. Dazu gehören etwa eine repräsentative Testmenge, fachlich geprüfte Soll-Ergebnisse, erlaubte Fehlerraten und ein Verfahren für Fälle, in denen die KI keine verlässliche Antwort liefern kann. Ebenso wichtig sind Antwortzeiten, Verfügbarkeit und die Frage, ob Ergebnisse nachvollziehbar dokumentiert werden.

Ein Proof of Concept ist sinnvoll, wenn er eine echte Auswahlentscheidung vorbereitet. Er sollte zeitlich begrenzt sein, mit realistischen Daten arbeiten und eindeutige Erfolgskriterien haben. Ein überzeugender Demonstrator mit bereinigten Beispieldaten ersetzt keine fachliche Erprobung unter Betriebsbedingungen.

Anforderungen für Daten, Integration und Betrieb

KI-Lösungen werden selten isoliert genutzt. Sie greifen auf Dokumentenablagen, SAP-Prozesse, Wissensdatenbanken oder Ticket-Systeme zu. Damit entscheidet die technische Einbettung über den Nutzen ebenso wie die Qualität eines Modells.

Vor der Beschaffung sollten Unternehmen die Datenflüsse konkret aufnehmen: Wo entstehen die Daten? In welchem System liegen sie? Welche Rollen benötigen Zugriff? Werden Daten an einen externen Dienst übertragen? Und wie werden Ergebnisse wieder in den Fachprozess zurückgeführt? Gerade bei S/4HANA-nahen Szenarien muss nachvollziehbar sein, ob die KI nur Informationen bereitstellt, Buchungen vorbereitet oder Folgeprozesse auslöst.

Ein zentraler Prüfpunkt ist die Datenqualität. Fehlende Metadaten, uneinheitliche Stammdaten oder unklare Berechtigungen lassen sich nicht durch ein leistungsfähigeres Modell kompensieren. Wenn eine KI auf interne Dokumente zugreift, braucht sie zudem einen Mechanismus, der Berechtigungen aus den Quellsystemen respektiert. Andernfalls entsteht schnell ein Zugriff auf Informationen, die der jeweilige Nutzer im Ursprungssystem nicht sehen dürfte.

Auch das Betriebsmodell gehört in die Leistungsbeschreibung. Dazu zählen Monitoring, Incident-Prozesse, Release- und Änderungsmanagement, Protokollierung sowie Regelungen für den Fall, dass ein externer Dienst nicht verfügbar ist. Bei geschäftskritischen Prozessen braucht es einen definierten Rückfallmodus. Ein stabiler Betrieb bedeutet nicht, dass KI immer antwortet, sondern dass das Unternehmen bei Fehlern und Ausfällen handlungsfähig bleibt.

Governance ist ein Beschaffungskriterium

Bei KI-Systemen reicht eine klassische Lieferantenbewertung nicht aus. Neben Preis, Vertragslaufzeit und technischer Eignung müssen Unternehmen prüfen, wie Transparenz, Sicherheit und Steuerbarkeit über den gesamten Lebenszyklus gewährleistet werden.

Das betrifft zunächst die Rollen. Fachbereich, IT, Informationssicherheit, Datenschutz, Einkauf und Compliance brauchen keine parallelen Prüfprozesse, aber klar abgegrenzte Verantwortlichkeiten. Der Fachbereich verantwortet den Nutzen und die fachliche Qualität. Die IT verantwortet Architektur, Integration und Betrieb. Informationssicherheit bewertet Schutzmaßnahmen und Zugriffe. Einkauf und Vertragsmanagement sichern prüfbare Leistungs- und Vertragsbedingungen ab.

Je nach Einsatzfall können weitere regulatorische Anforderungen hinzukommen. Für den EU AI Act ist entscheidend, welche Rolle das Unternehmen einnimmt und wie das System eingesetzt wird. Datenschutzrechtliche Fragen betreffen unter anderem Zwecke, Rechtsgrundlagen, Auftragsverarbeitung und internationale Datenübermittlungen. Die rechtliche Einordnung sollte frühzeitig an die technische Konzeption gekoppelt werden, nicht erst an die Vertragsunterschrift. Soweit erforderlich, kann die rechtlich eigenständige Quteco Rechtsanwaltsgesellschaft mbH diese Fragen rechtlich bewerten.

Revisionssicheres Reporting verlangt außerdem, dass Entscheidungen nachvollziehbar bleiben. Unternehmen sollten dokumentieren, welche Version eines Systems produktiv eingesetzt wird, welche Datenquellen angebunden sind, welche Tests durchgeführt wurden und wer Änderungen freigegeben hat. Bei generativer KI gehört dazu auch die Frage, wie Quellenbezüge, Sicherheitsfilter und menschliche Kontrollschritte ausgestaltet sind.

Anbieter nicht nur nach Modellleistung bewerten

Die Modellleistung ist sichtbar, aber sie ist nur ein Teil der Entscheidung. Ein Anbieter kann im Demonstrationstermin überzeugen und dennoch ungeeignet sein, wenn Schnittstellen fehlen, Rollenmodelle nicht abbildbar sind oder vertragliche Regelungen zum Datenumgang unklar bleiben.

Für eine vergleichbare Bewertung sollten Unternehmen vier Perspektiven zusammenführen:

• Fachlicher Nutzen: Erfüllt die Lösung die definierten Abnahmekriterien mit realistischen Testdaten und nachvollziehbaren Ergebnissen?

• Technische Einbettung: Lassen sich Datenquellen, Identitäten, Berechtigungen und Zielsysteme kontrolliert integrieren?

• Betriebliche Steuerbarkeit: Sind Monitoring, Support, Release-Prozesse, Protokollierung und Rückfallverfahren ausreichend beschrieben?

• Governance und Vertrag: Sind Datenverarbeitung, Verantwortlichkeiten, Prüf- und Nachweispflichten sowie Exit-Szenarien klar geregelt?

Die Gewichtung hängt vom Einsatzfall ab. Für einen internen Wissensassistenten kann die Qualität der Suche und Berechtigungssteuerung im Vordergrund stehen. Bei einer KI-gestützten Prozessentscheidung sind Testnachweise, Freigaben und die Nachvollziehbarkeit einzelner Ergebnisse meist höher zu gewichten. Ein einheitlicher Kriterienkatalog ohne Bezug zum Risiko des Anwendungsfalls führt selten zu guten Entscheidungen.

Vertragsbedingungen müssen den Betrieb abbilden

Bei Standardsoftware sind Leistungsgrenzen häufig klarer beschrieben als bei KI-Diensten. Gerade deshalb sollten Unternehmen präzisieren, welche Leistungen verbindlich geschuldet sind. Dazu gehören verfügbare Schnittstellen, zugesagte Servicezeiten, Datenstandorte, Unterauftragnehmer, Änderungsankündigungen und Möglichkeiten zur Datenrückgabe oder -löschung.

Besondere Aufmerksamkeit verdienen Änderungen an Modellen und Funktionen. Wenn ein Anbieter Modelle austauscht oder Sicherheitsmechanismen verändert, können sich Qualität und Risikoprofil im laufenden Betrieb verschieben. Ein geregeltes Change-Verfahren mit Information, Testmöglichkeit und dokumentierter Freigabe schützt vor Überraschungen in produktiven Prozessen.

Vom Pilot zur produktiven Einführung

Der häufigste Fehler liegt nicht in der Auswahl, sondern im Übergang vom Test in den Regelbetrieb. Ein Pilot wird erfolgreich bewertet, weil erste Nutzer zufrieden sind. Offen bleiben jedoch Verantwortlichkeiten, Schulung, Support, Datenpflege und die Frage, wer Qualitätsabweichungen systematisch auswertet.

Planen Sie den Produktionsübergang deshalb wie einen fachlich und technisch kontrollierten Go-Live. Dazu gehören ein abgestimmtes Rollenmodell, definierte Testfälle, ein Cutover-Plan, Freigaben für Datenquellen und Schnittstellen sowie ein Berichtswesen für Nutzung, Qualität und Vorfälle. Bei KI-Anwendungen muss dieses Reporting nicht nur technische Kennzahlen enthalten. Relevant sind auch fachliche Korrekturen, wiederkehrende Fehlerbilder und Fälle, in denen Mitarbeitende das Ergebnis übersteuern.

Der Nutzen wird messbar, wenn Unternehmen vorab eine Ausgangsbasis erfassen. Bearbeitungszeiten, Fehlerquoten, manueller Prüfaufwand oder Durchlaufzeiten lassen sich dann gegen den produktiven Betrieb vergleichen. Nicht jede Verbesserung zeigt sich sofort in Kosten. In regulierten oder hochkritischen Prozessen kann der entscheidende Wert auch in besser dokumentierten Entscheidungen, konsistenteren Prüfungen und einem belastbaren Kontrollnachweis liegen.

KI Beschaffung als steuerbarer Projektpfad

Eine gute KI Beschaffung reduziert nicht nur Auswahlrisiken. Sie schafft die Voraussetzungen dafür, dass Fachbereiche, IT und Governance gemeinsam entscheiden können, ohne den Betrieb aus dem Blick zu verlieren. Der richtige Zeitpunkt für Architektur-, Daten- und Compliance-Fragen ist vor der Anbieterfestlegung, nicht nach dem Pilotprojekt.

Nächster Schritt: Anforderungen belastbar machen

Quteco unterstützt Unternehmen mit Quick Checks und Workshops dabei, KI-Anwendungsfälle, Datenflüsse, Rollen und Betriebsanforderungen vor einer Beschaffungsentscheidung zu strukturieren. Für die produktionsnahe Einführung können daraus ein Governance-Konzept, ein nachvollziehbarer Kriterienkatalog und eine operative Projektsteuerung für Tests, Integration und Go-Live entstehen.

Wer den Beschaffungsprozess an realen Daten, klaren Verantwortlichkeiten und prüfbaren Betriebsanforderungen ausrichtet, schafft keine zusätzliche Bürokratie. Er schafft eine Entscheidungsgrundlage, die auch unter Zeitdruck trägt.