Bewertung und Überwachung von Drittanbietern von KI-Komponenten oder -Dienstleistungen zur Identifizierung und Minderung potenzieller Compliance-, Sicherheits- oder ethischer Risiken.
Ein Lebenszyklusprozess der Lieferanten-Due-Diligence umfasst die Ausgabe von Sicherheits- und Ethikfragebögen, die Prüfung von Auditberichten Dritter (SOC-2, ISO-Zertifizierungen), die Durchführung von Vor-Ort- oder virtuellen Assessments sowie die Integration von Lieferantenrisikoprofilen in ein unternehmensweites Register. Die laufende Überwachung umfasst regelmäßige Neubewertungen, leistungs- und compliancebezogene SLAs sowie eine Notfallplanung (Ersatzlieferanten), um auf Lieferantenausfälle oder Nichteinhaltung von Vorgaben zu reagieren.
Ein Versicherungsunternehmen bindet einen Drittanbieter für Model-Hosting ein. Vor Vertragsabschluss prüft es den SOC-2-Bericht des Anbieters, führt einen Sicherheitsfragebogen durch und nimmt ein Ethik-Audit der für das Modelltraining verwendeten Daten vor. Der Anbieter wird als „mittleres Risiko“ eingestuft, wodurch vierteljährliche Neubewertungen sowie ein vertraglich verankertes Prüfungsrecht ausgelöst werden. So wird eine kontinuierliche Aufsicht über KI-Services von Drittanbietern sichergestellt.
