KI-Fragen im Lieferantenfragebogen: was gefragt wird und wie Sie antworten

Der häufigste Anlass, sich mit der KI-Verordnung zu befassen, ist keine Behörde. Es ist ein Fragebogen, der aus dem Einkauf eines Geschäftskunden kommt, zwölf Fragen enthält und eine Frist von zehn Tagen. Hier steht, was dort steht — und was Sie vorbereitet haben sollten, bevor er eintrifft.

Warum diese Fragen jetzt kommen

Drei Entwicklungen treffen aufeinander. Erstens sind seit dem 2. August 2026 die Transparenzpflichten der KI-Verordnung in Kraft, und größere Unternehmen geben ihre eigenen Pflichten die Lieferkette hinunter weiter. Zweitens verlangen Managementsysteme und Prüfungen, dass die Einbindung von Dienstleistern dokumentiert ist. Drittens hat die Rechtsabteilung des Kunden gemerkt, dass Ihre KI-Nutzung auf seine Daten durchschlägt.

Der Effekt: Der Fragebogen ist in den meisten Branchen inzwischen Standard, auch bei Aufträgen unter fünfzigtausend Euro. Und anders als eine Marktaufsicht meldet er sich nicht an.

Die zwölf Fragen, die tatsächlich kommen

Die Formulierungen unterscheiden sich, der Kern wiederholt sich. In der Reihenfolge, in der sie üblicherweise stehen:

1. „Wer ist bei Ihnen für den KI-Einsatz verantwortlich?“

Steht fast immer an erster Stelle und ist die einzige Frage, die man nicht kurzfristig nachliefern kann. Antworten Sie mit Name, Funktion und Datum der Bestellung. Wie die Rolle zugeschnitten wird, steht unter KI-Verantwortliche:r benennen.

2. „Führen Sie ein Verzeichnis der eingesetzten KI-Systeme?“

Antworten Sie mit Ja, Anzahl der Einträge und Datum der letzten Überprüfung. Legen Sie das Verzeichnis nicht ungefragt bei — es enthält Ihre Werkzeuglandschaft. Bieten Sie stattdessen einen Auszug an. Aufbau und Pflichtfelder: KI-Inventar erstellen.

3. „Existiert eine interne Richtlinie zum KI-Einsatz?“

Ja, Datum der aktuellen Fassung, Versionsnummer. Ob Sie die Richtlinie selbst herausgeben, ist eine Abwägung — meist genügt eine Inhaltsübersicht. Aufbau unter KI-Richtlinie schreiben.

4. „Wie stellen Sie KI-Kompetenz Ihrer Beschäftigten sicher?“

Diese Frage zielt auf Artikel 4 der KI-Verordnung. Antworten Sie mit dem System, nicht mit einer Zahl: Grundschulung für alle KI-Nutzenden, vertiefte Schulung der verantwortlichen Person, jährliche Auffrischung, Onboarding neuer Mitarbeitender, dokumentiert mit Datum und Inhalt. Hintergrund: KI-Schulungspflicht.

5. „Setzen Sie Hochrisiko-KI-Systeme im Sinne der Verordnung ein?“

Antworten Sie nur mit Ja oder Nein, wenn Sie geprüft haben. Ein ungeprüftes Nein ist eine Zusage, die Sie nicht halten können. Sauber ist: „Nein. Geprüft am [Datum] anhand Artikel 5, Anhang III und Artikel 6 Absatz 3; die Einstufungen sind im KI-Verzeichnis dokumentiert.“ Systematik unter Risikoklassen einstufen.

6. „Wie kennzeichnen Sie KI-erzeugte Inhalte?“

Nennen Sie die Regel und ein Beispiel: Chatfenster, KI-Bilder, synthetische Stimmen. Kostenlose Kennzeichen in drei Sprachen finden Sie unter KI-Kennzeichen; die Reichweite und die Grenzen der Pflicht stehen unter Kennzeichnungspflicht nach Artikel 50.

7. „Werden unsere Daten in KI-Systeme eingegeben?“

Die heikelste Frage im ganzen Bogen, weil hier eine falsche Antwort später auffällt. Antworten Sie differenziert: welche Kategorien, in welche Werkzeuge, auf welcher vertraglichen Grundlage, mit welcher Einstellung zur Modellverbesserung. Ein pauschales Nein ist nur dann richtig, wenn Sie es kontrollieren können.

8. „Bestehen Auftragsverarbeitungsverträge mit den KI-Anbietern?“

Ja/Nein je Werkzeug, mit Anbieter und Vertragspartner. Hintergrund unter ChatGPT im Unternehmen.

9. „Werden Ihre Eingaben zum Training der Modelle verwendet?“

Prüfen Sie das je Werkzeug in den Vertragsbedingungen und in den Kontoeinstellungen, nicht aus dem Gedächtnis. Die Antwort unterscheidet sich zwischen Produktlinien desselben Anbieters.

10. „Gibt es einen Freigabeprozess für neue KI-Werkzeuge?“

Ja, mit kurzer Beschreibung: wer beantragt, wer entscheidet, welche Prüfschritte, welche Frist. Aufbau unter Freigabeprozess für KI-Tools.

11. „Wie gehen Sie mit KI-bezogenen Vorfällen um?“

Beschreiben Sie den Meldeweg, die Bewertung nach Datenschutzrecht und die Dokumentation. Wenn Sie eine Informationspflicht gegenüber dem Kunden zusagen, prüfen Sie vorher die Frist. Vorgehen unter Kundendaten im KI-Tool.

12. „Setzen Ihre Unterauftragnehmer KI ein?“

Die am häufigsten unterschätzte Frage. Artikel 4 der KI-Verordnung erfasst ausdrücklich auch Personen, die in Ihrem Auftrag tätig sind. Praktisch lösen Sie das nicht durch Schulung, sondern durch eine Vertragsklausel und eine Abfrage bei den relevanten Dienstleistern.

Die Unterlagen, die Sie vorlegen können müssen

Sechs Dokumente decken den gesamten Fragebogen ab. Halten Sie sie in einem Ordner zusammen, mit Datum im Dateinamen.

Unterlage	Deckt ab	Herausgeben?
Bestellschreiben der KI-Verantwortlichen	Frage 1	Auszug mit Name und Aufgaben genügt
KI-Verzeichnis	Fragen 2, 5, 8, 9	Auszug, nicht das vollständige Verzeichnis
KI-Richtlinie	Fragen 3, 6, 7, 10, 11	Inhaltsübersicht, auf Nachfrage das Dokument
Schulungsnachweis	Frage 4	Übersicht ohne Namensliste
Einstufungsdokumentation	Frage 5	Zusammenfassung mit Prüfdatum
Dienstleisterübersicht mit KI-Klausel	Frage 12	Bestätigung genügt meist

Wie Sie antworten, wenn etwas fehlt

Das ist der wichtigste Abschnitt, weil er den häufigsten Fall betrifft. Drei Wege stehen offen, und nur einer trägt.

• Falsch: beschönigen. „Ja, vorhanden“ bei einem Dokument, das nicht existiert, ist eine vertragliche Zusicherung. Wenn es auffällt — und es fällt bei der ersten Nachfrage auf —, verlieren Sie mehr als den Auftrag.
• Falsch: leer lassen. Unbeantwortete Felder werden im Einkauf als Nein gewertet, ohne Rückfrage.
• Richtig: Stand plus Termin. „In Arbeit, Fertigstellung bis [konkretes Datum].“ Ein Einkauf, der zwischen einer Lücke mit Termin und einer beschönigten Angabe wählen kann, nimmt fast immer die Lücke mit Termin — vorausgesetzt, der Termin liegt in Wochen, nicht in Monaten.

Die drei Formulierungsfallen

1. „Wir setzen keine KI ein.“ Diese Aussage ist heute fast immer unzutreffend. KI steckt in Office-Paketen, Übersetzungswerkzeugen, Kundendienstsystemen und Rechtschreibhilfen. Wer das zusichert und ein Werkzeug übersieht, hat eine falsche Erklärung abgegeben. Antworten Sie stattdessen: „Wir setzen KI ausschließlich als Betreiber in folgenden Bereichen ein: …“
2. „Wir werden Sie unverzüglich informieren.“ Ohne Frist ist das unbestimmt, mit zu kurzer Frist unhaltbar. Prüfen Sie, was Sie organisatorisch schaffen, bevor Sie unterschreiben.
3. „Alle unsere Mitarbeitenden sind geschult.“ Nur zusagen, wenn Sie es für alle nachweisen können — einschließlich derer, die letzte Woche angefangen haben. Sicherer: „Alle KI-nutzenden Beschäftigten erhalten eine dokumentierte Grundschulung; neue Beschäftigte innerhalb der ersten [X] Wochen.“

Die Vertragsklauseln, die mit dem Fragebogen kommen

Häufig folgt auf den Bogen ein Zusatz zum Rahmenvertrag. Vier Klauseln lohnen eine genaue Prüfung, bevor Sie unterschreiben:

• Weitergabepflicht an Unterauftragnehmer. Können Sie das durchsetzen? Wenn nicht, verhandeln Sie eine Beschränkung auf Dienstleister, die mit Daten des Kunden arbeiten.
• Auditrecht. Vor-Ort-Prüfungen sind aufwendig. Bieten Sie stattdessen Auskunft und Dokumentenvorlage an, mit Vorankündigung.
• Kennzeichnungszusage. Prüfen Sie, ob sie über die gesetzliche Pflicht hinausgeht — manche Kunden verlangen die Kennzeichnung aller KI-gestützten Arbeitsergebnisse, auch von Texten. Das ist zulässig zu vereinbaren, aber es ist eine vertragliche Zusatzpflicht und keine gesetzliche.
• Verbot bestimmter Werkzeuge. Manche Kunden schließen namentlich Anbieter aus. Prüfen Sie, ob Sie das im laufenden Betrieb einhalten können.

Was Sie selbst abfragen sollten

Der Fragebogen läuft in beide Richtungen. Wer KI-Compliance zugesichert hat, muss dieselben Fragen an die eigenen Dienstleister stellen — sonst steht die Zusage auf Sand. Vier Fragen genügen für die Dienstleister, die mit Daten Ihrer Kunden arbeiten:

1. Setzen Sie bei der Erbringung unserer Leistung KI-Systeme ein? Wenn ja, welche und wofür?
2. Gelangen dabei Daten, die wir Ihnen überlassen, in KI-Werkzeuge Dritter? Auf welcher vertraglichen Grundlage?
3. Werden unsere Inhalte zur Modellverbesserung verwendet?
4. Kennzeichnen Sie KI-erzeugte Inhalte, die Sie für uns erstellen?

Die vierte Frage ist die, die am häufigsten fehlt. Wenn eine Agentur für Sie fotorealistische Bilder erzeugt und Sie sie veröffentlichen, trifft die Offenlegungspflicht nach Artikel 50 Absatz 4 Sie als Betreiber — nicht die Agentur. Regeln Sie im Vertrag, wer die Kennzeichnung setzt, und prüfen Sie es stichprobenweise.

Vorbereitung in einem halben Tag

1. Die sechs Unterlagen zusammentragen und prüfen, welche fehlen.
2. Fehlende Punkte mit realistischem Termin versehen — und den Termin einhalten.
3. Standardantwort auf einer Seite formulieren, in eigener Sprache.
4. Festlegen, wer im Haus Fragebögen beantwortet. Zwei Personen, die unabgestimmt antworten, erzeugen Widersprüche, die auffallen.
5. Quartalstermin setzen: Standardantwort und Verzeichnis gemeinsam durchsehen.

Welche der abgefragten Punkte bei Ihnen bereits stehen, zeigt der kostenlose Quick-Check in zwei Minuten — er ist an genau diesen Fragen ausgerichtet.

Häufige Fragen

Was fragen Geschäftskunden zur KI-Compliance ab?

Regelmäßig zwölf Punkte: verantwortliche Person, KI-Verzeichnis, interne Richtlinie, Schulungsstand, Einsatz von Hochrisiko-Systemen, Kennzeichnung, Umgang mit Kundendaten, Auftragsverarbeitungsverträge, Nutzung der Eingaben zum Training, Freigabeprozess, Vorfallmanagement und KI-Einsatz bei Unterauftragnehmern.

Was tun, wenn wir einzelne Punkte nicht erfüllen?

Schreiben Sie den Stand und einen konkreten Termin. Beschönigen ist riskant, weil die Angabe eine vertragliche Zusicherung ist und bei der ersten Nachfrage auffällt. Leerlassen wird im Einkauf als Nein gewertet. Eine Lücke mit Termin in wenigen Wochen ist in der Bewertung fast immer akzeptabel.

Sollen wir unser KI-Verzeichnis herausgeben?

In der Regel nicht vollständig — es zeigt Ihre gesamte Werkzeuglandschaft. Nennen Sie Anzahl der Einträge und Datum der letzten Überprüfung und bieten Sie einen Auszug für die Bereiche an, die den Auftrag betreffen. Das genügt in fast allen Fällen.

Brauchen wir eine ISO/IEC-42001-Zertifizierung?

Für kleine und mittlere Unternehmen in aller Regel nicht. Sie kostet einen fünfstelligen Betrag und mehrere Monate und wird nur selten zur Ausschlussbedingung gemacht. Antworten Sie ehrlich mit Nein und legen Sie Ihre eigene Dokumentation vor. Ein offizielles EU-Siegel für KI-Konformität gibt es nicht.

Dürfen wir angeben, dass wir keine KI einsetzen?

Nur wenn es zutrifft, und das ist heute selten der Fall. KI steckt in Office-Paketen, Übersetzungsdiensten, Rechtschreibhilfen und Kundendienstsystemen. Eine unzutreffende Zusicherung ist vertraglich riskant. Formulieren Sie besser positiv, in welchen Bereichen Sie KI als Betreiber einsetzen.

Gilt die Abfrage auch für unsere Dienstleister?

In der Regel ja, und viele Fragebögen fragen ausdrücklich danach. Artikel 4 der KI-Verordnung erfasst auch Personen, die in Ihrem Auftrag KI einsetzen. Praktisch lösen Sie das über eine Vertragsklausel und eine Abfrage bei den Dienstleistern, die mit Daten des Kunden arbeiten.

Wie lange dauert die Vorbereitung?

Wenn die Grundlagen stehen — benannte Person, Verzeichnis, Richtlinie, Schulungsnachweis, Einstufungen, Dienstleisterübersicht — etwa ein halber Tag für Nachweisordner und Standardantwort. Fehlen die Grundlagen, ist der Fragebogen nicht das Problem, sondern das Symptom.