Fünfzehn Fragen an Ihren KI-Anbieter

Souveränität — F1 bis F3

F1 — Wo werden meine Daten physisch gehostet?

Erwartete Antwort: Ein oder zwei konkrete Rechenzentren in Frankreich, betrieben von einem französischen oder europäischen Akteur. Spricht die Antwort von „Europa” oder „Partner-Rechenzentren”, ist sie zu vage.

F2 — Welche Staatsangehörigkeit hat Ihre Muttergesellschaft?

Erwartete Antwort: französisches oder europäisches Kapital, ohne ausländische Kontrolle, die dem Cloud Act oder Vergleichbarem ausgesetzt wäre. Siehe Warum eine souveräne KI wählen.

F3 — Welchem Recht unterliegt der Vertrag?

Erwartete Antwort: französisches Recht, französische Gerichte. Keine Schiedsklausel im Ausland.

Daten — F4 bis F7

F4 — Werden meine Daten zum Trainieren oder Verbessern des Modells verwendet?

Erwartete Antwort: „Niemals, unter keinen Umständen, das steht im Vertrag.” Lautet sie „nicht ohne Ihre Zustimmung”, fragen Sie, wo das versteckte Opt-out liegt.

F5 — Wer kann bei Ihnen auf meine Daten zugreifen?

Erwartete Antwort: niemand, außer namentlich und mit Audit-Log. Kein stiller Operator-Zugriff.

F6 — Wie lange werden meine Daten aufbewahrt?

Erwartete Antwort: von Ihnen parametrierbare Dauer, mit dokumentierten Standardwerten (typischerweise 6–24 Monate für Konversationen).

F7 — Wie erhalte ich meine Daten zurück und lasse sie löschen, wenn ich gehe?

Erwartete Antwort: Vollständiger Export in 7 Tagen, vollständige Löschung in 30 Tagen, systematische Vernichtungsbescheinigung.

Modell — F8 bis F10

F8 — Welches KI-Modell setzen Sie ein?

Erwartete Antwort: Name und genaue Version (Open-Source-Modelle wie Mistral, Llama, oder proprietär — Sie müssen es wissen). Lautet die Antwort „unsere proprietäre KI”, fragen Sie, was das konkret bedeutet.

F9 — Läuft das Modell bei Ihnen oder über eine Drittanbieter-API?

Erwartete Antwort: bei uns, in unserer Infrastruktur. Ist die Antwort eine Drittanbieter-API (OpenAI, Anthropic), gehen Ihre Daten durch diese API, was den Souveränitätsperimeter verändert.

F10 — Wie wird das Modell aktualisiert und wie wirkt sich das auf meine Assistenten aus?

Erwartete Antwort: geplante Updates, Nicht-Regressions-Phase, Möglichkeit, eine Version für kritische Anwendungen einzufrieren.

Vertrag — F11 bis F13

F11 — Haben Sie einen Auftragsverarbeitungsvertrag gemäß Artikel 28 DSGVO?

Erwartete Antwort: ja, vor der ersten Einspielung unterzeichnet, mit expliziter Liste der weiteren Unterauftragnehmer. Siehe DSGVO und KI-Assistenten.

F12 — Welche Verfügbarkeitszusagen (SLA) gibt es?

Erwartete Antwort: mindestens 99,5 %, mit Kompensation bei Nichteinhaltung. Kein „best effort”.

F13 — Welche Ausstiegsbedingungen und welche Mindestlaufzeit?

Erwartete Antwort: maximal jährliche Bindung, 60 bis 90 Tage Kündigungsfrist, keine unangemessenen Ausstiegsstrafen.

Support — F14 bis F15

F14 — Wer begleitet mich bei der Einrichtung und danach?

Erwartete Antwort: ein menschlicher Ansprechpartner in Frankreich, erreichbar. Kein Chatbot, kein 48-Stunden-Ticket.

F15 — Haben Sie produktive Referenzen in meiner Branche?

Erwartete Antwort: ja, und der Anbieter kann den Kontakt herstellen (mit Einverständnis des Kunden). Wenn nein, sind Sie das Pilotprojekt — das ist akzeptabel, aber als solches zu verhandeln.

Für die Forgeron3-Zusagen zu diesen fünfzehn Punkten siehe unsere Seite Sicherheit & DSGVO.