Welche Nachweise Bid-Teams bei KI-gestützten Tenderantworten prüfen sollten. Mit klarer Abgrenzung zu Rechtsberatung und Produktzusagen.
KI-gestützte Tenderarbeit wirft Fragen zu Richtigkeit, Datenschutz und Nachvollziehbarkeit auf. Welche Pflichten gelten, hängt vom konkreten Verfahren, den verarbeiteten Daten, der Rolle des Unternehmens und dem anwendbaren Recht ab. Dieser Beitrag ist eine Prüfliste und keine Rechtsberatung.
Audit-Trails sind nicht primär Compliance-Theater. Sie sind die Versicherung gegen drei reale Risiken:
Audit-Trails sind ausserdem die Grundlage, überhaupt von KI-Wirkung zu lernen. Ohne Logs kann ein Bid-Team nicht beurteilen, ob die KI bei Compliance-Antworten stärker oder schwächer abschneidet als bei Methodologieantworten.
Prüfen Sie die konkrete Ausschreibung und die einschlägigen Bestimmungen mit Legal. Für KI-gestützte Antworten sind mindestens folgende Kontrollfragen sinnvoll:
Die Nutzung eines Modells verschiebt die Verantwortung für eingereichte Angaben nicht automatisch. Konkrete Haftungsfolgen müssen anhand von Verfahren, Vertrag und anwendbarem Recht beurteilt werden.
Enthalten Tender-Dokumente personenbezogene Daten, müssen Zweck, Rollen, Empfänger, Aufbewahrung und mögliche Übermittlungen anhand des [revidierten Schweizer Datenschutzgesetzes](https://www.edoeb.admin.ch/de/datenschutz) und der konkreten Verarbeitung geprüft werden. Mögliche Prüfpunkte sind:
Lassen Sie für jede Datenkategorie Speicher- und Verarbeitungsort, Anbieter, Support-Zugriff und Vertragsgrundlage offenlegen. Die passende Grenze ergibt sich aus der konkreten Anforderung, nicht aus einer pauschalen Länderregel.
Welche Felder erforderlich sind, wird mit Security und Legal festgelegt. Als Ausgangspunkt eignen sich:
**1. Eingabekontext**: Klären Sie, ob und in welchem Umfang Eingaben und verwendete Quellen protokolliert werden dürfen und müssen.
**2. Modellbezug**: Prüfen Sie, ob Anbieter und Modellversion für den vorgesehenen Nachweis erfasst werden müssen.
**3. Quellenbezug**: Legen Sie fest, wie verwendete Wissensbausteine und Fundstellen am Entwurf sichtbar gemacht werden.
**4. Freigabe**: Definieren Sie, wer Inhalte fachlich prüft, welche Entscheidung dokumentiert wird und welche Aufbewahrung dafür gilt.
Welche dieser Felder Tendaro protokolliert, wer darauf zugreifen kann, ob ein Export verfügbar ist und wie lange Daten aufbewahrt werden, wird für die gewählte Produktstufe vor Vertragsschluss im Sicherheitsreview bestätigt.
Die Einordnung nach dem EU AI Act hängt unter anderem vom System, dem Verwendungszweck, der Rolle des Unternehmens und dem Einsatzkontext ab. Ein interner Tender-Workflow darf nicht allein aufgrund einer allgemeinen Produktbeschreibung einer Risikokategorie zugeordnet werden.
Klären Sie mit Legal, ob der EU AI Act anwendbar ist, welche Rolle Ihr Unternehmen hat und welche Transparenz-, Dokumentations- oder Kontrollpflichten daraus folgen. Berücksichtigen Sie zusätzlich Ausschreibungsbedingungen, Verträge und interne Richtlinien.
Dokumentieren Sie vor dem Einsatz die fachliche Freigabe, die zulässigen Daten, den vertraglichen Trainingsausschluss sowie Protokollierung, Zugriff, Export und Aufbewahrung. Lassen Sie die rechtliche Bewertung für das konkrete Verfahren bestätigen.
Das hängt von Ausschreibungsunterlagen, Vertrag, internen Richtlinien und anwendbarem Recht ab. Prüfen Sie die konkrete Vorgabe mit Legal oder externer Rechtsberatung und dokumentieren Sie die Entscheidung.
Der Anbieter bleibt für die eingereichten Angaben verantwortlich. Haftungsfolgen hängen vom konkreten Verfahren, Vertrag und anwendbaren Recht ab und müssen juristisch geprüft werden. Eine fachliche Freigabe vor Einreichung bleibt erforderlich.
Es gibt keinen universellen Feldsatz für jedes Verfahren. Definieren Sie erforderliche Ereignisse, Zugriff, Export und Aufbewahrung mit Security und Legal anhand der Ausschreibung, des Vertrags und der internen Kontrollanforderungen.
Tendaro verwendet Kundeninhalte nicht zum Training von Modellen für Dritte; der Ausschluss wird vertraglich festgehalten. Bei anderen Diensten sind der aktuelle Vertrag, die Datenflüsse und die Einstellungen des gewählten Kontos zu prüfen.
Die Frist hängt von Zweck, Verfahren, Vertrag, internen Vorgaben und anwendbarem Recht ab. Legen Sie sie nicht pauschal fest, sondern lassen Sie sie von Legal und Datenschutz bestätigen und dokumentieren Sie die Löschregel.