Glossar: Begriffe beim Kauf von KI-Software

Der Vertrag, den die DSGVO immer verlangt, wenn ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet. Artikel 28 Absatz 3 legt den Inhalt fest: Gegenstand, Dauer und Zweck der Verarbeitung, Art der Daten und Kreis der Betroffenen, Verarbeitung nur auf Ihre dokumentierte Weisung, Vertraulichkeit, Sicherheitsmaßnahmen, Regeln für Unterauftragsverarbeiter, Unterstützung bei Betroffenenanfragen, Löschung oder Rückgabe der Daten am Ende und die Informationen, die Sie für Prüfungen brauchen.

Auf ai-toolfinder: Die Profile zeigen, ob der Anbieter seinen AVV veröffentlicht, ihn zum Teil der Vertragsbedingungen macht oder auf Anfrage schickt.

Quellen: GDPR, Article 28

Ein Unternehmen, das Ihr Anbieter mit der Verarbeitung Ihrer personenbezogenen Daten beauftragt, etwa sein Cloud-Hoster oder der Anbieter des KI-Modells hinter einer Funktion. Nach Artikel 28 Absatz 2 DSGVO braucht der Anbieter dafür Ihre vorherige schriftliche Genehmigung, einzeln oder allgemein. Bei einer allgemeinen Genehmigung muss er Sie informieren, bevor er einen Unterauftragsverarbeiter hinzunimmt oder ersetzt, damit Sie widersprechen können.

Auf ai-toolfinder: Wo der Anbieter eine Liste seiner Unterauftragsverarbeiter veröffentlicht, verlinkt das Profil sie.

Quellen: GDPR, Article 28

Kundendaten liegen in Rechenzentren innerhalb der Europäischen Union. Damit bleiben die Daten unter der DSGVO, der Zugriff von außerhalb der EU ist aber eine eigene Frage. Womöglich kann ein Unternehmen außerhalb der EU auf die Daten zugreifen, etwa der Mutterkonzern des Anbieters oder ein Unterauftragsverarbeiter. Nach dem Europäischen Datenschutzausschuss kann dieser Zugriff eine Übermittlung nach Kapitel V der DSGVO sein, auch wenn die Daten nur für den Support am Bildschirm erscheinen.

Auf ai-toolfinder: Wir kennzeichnen ein Tool mit EU-Datenhaltung, wenn der Anbieter angibt, Kundendaten in der EU oder in Deutschland zu speichern, oder eine EU-Region zur Wahl stellt.

Quellen: EDPB Guidelines 05/2021 on the interplay between Article 3 and Chapter V GDPR

Ein Angemessenheitsbeschluss der Europäischen Kommission, in Kraft seit dem 10. Juli 2023. Personenbezogene Daten dürfen aus der EU an US-Unternehmen gehen, die sich nach dem Rahmen zertifiziert haben, ohne weitere Garantien wie Standardvertragsklauseln. Die offizielle Liste auf dataprivacyframework.gov zeigt, ob ein Unternehmen zertifiziert ist. Sie zeigt auch, ob die Zertifizierung HR-Daten umfasst, für die der Rahmen einen eigenen Grundsatz hat.

Auf ai-toolfinder: Bei US-Anbietern, die Beschäftigtendaten verarbeiten, auf der offiziellen Liste prüfen, ob die Zertifizierung HR-Daten einschließt.

Quellen: Data Privacy Framework, program overview, Data Privacy Framework, Supplemental Principle 9: Human Resources Data

Ein Prüfbericht einer US-Wirtschaftsprüfungsgesellschaft über die Kontrollen eines Dienstleisters, gemessen an den Trust Services Criteria des AICPA für Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Die Prüfer bewerten, wie die Kontrollen gestaltet sind und ob sie wirksam sind. Berichte gibt es als Typ 1 oder Typ 2, und das AICPA veröffentlicht für beide eigene Vorlagen.

Auf ai-toolfinder: Die Profile nennen SOC 2, wenn der Anbieter es auf seinen eigenen Seiten angibt. Den Bericht selbst gibt es meist nur gegen eine Geheimhaltungsvereinbarung. Fordern Sie ihn an und prüfen Sie, welcher Typ es ist und welchen Zeitraum er abdeckt.

Quellen: AICPA, SOC 2 guide

Die internationale Norm für ein Managementsystem für Informationssicherheit. Eine Zertifizierungsstelle prüft das Unternehmen danach. ISO weist darauf hin, dass ein Zertifikat einer akkreditierten Stelle mehr Gewicht hat, weil eine Akkreditierungsstelle die Kompetenz des Zertifizierers bestätigt hat. Die aktuelle Ausgabe ist ISO/IEC 27001:2022.

Auf ai-toolfinder: Fragen Sie, wer das Zertifikat ausgestellt hat, und prüfen Sie, ob es das Produkt abdeckt, das Sie kaufen.

Quellen: ISO, ISO/IEC 27001:2022

Die internationale Norm für ein KI-Managementsystem, erschienen im Dezember 2023, nach ISO die erste ihrer Art weltweit. Sie stellt Anforderungen an Unternehmen, die KI-basierte Produkte oder Dienste anbieten oder nutzen, auch daran, wie sie Risiken und Chancen von KI steuern.

Auf ai-toolfinder: Die Profile nennen ISO/IEC 42001, wenn der Anbieter die Zertifizierung auf seinen eigenen Seiten angibt.

Quellen: ISO, ISO/IEC 42001:2023

Beschäftigte melden sich mit ihrem Firmenkonto bei einem Identitätsanbieter wie Microsoft Entra ID, Okta oder Google Workspace an, statt mit einem eigenen Passwort für das Tool. Zwei verbreitete Protokolle sind SAML 2.0 und OpenID Connect, ein Anmeldeprotokoll auf Basis von OAuth 2.0.

Auf ai-toolfinder: Die Profile zeigen, ob SSO in allen Tarifen, in bezahlten Tarifen, nur in höheren Tarifen oder als Zusatzoption enthalten ist.

Quellen: OpenID Foundation, OpenID Connect

Ein Standardprotokoll, festgelegt in RFC 7643 und RFC 7644, mit dem Ihr Identitätsanbieter Benutzerkonten im Tool automatisch anlegt, ändert und löscht. SSO regelt, wie sich jemand anmeldet. SCIM regelt, wer überhaupt ein Konto hat.

Auf ai-toolfinder: Unsere Profile haben dafür noch kein Feld. Fragen Sie danach, wenn Konten im Tool Eintritten und Austritten in Ihrem HR-System folgen sollen.

Quellen: IETF, RFC 7644

Verordnung (EU) 2024/1689, das KI-Gesetz der EU. Sie ordnet KI nach Risiko: Manche Praktiken sind verboten, Hochrisiko-Systeme tragen strenge Pflichten, und Systeme, die mit Menschen sprechen, müssen offenlegen, dass es sich um KI handelt. Sie gilt für Anbieter, die ein KI-System entwickeln oder unter eigenem Namen auf den Markt bringen, und für Betreiber, also Unternehmen, die es einsetzen.

Auf ai-toolfinder: Die Profile geben die Aussage des Anbieters zum AI Act wieder, wo er eine veröffentlicht hat.

Quellen: Regulation (EU) 2024/1689

KI-Systeme, die in Anhang III der KI-Verordnung stehen. Nummer 4 betrifft die Arbeitswelt: KI, die Menschen einstellt oder auswählt, über Beförderung oder Kündigung entscheidet, Aufgaben nach Verhalten oder persönlichen Merkmalen zuteilt oder Beschäftigte überwacht und bewertet. Nach dem Digital-Omnibus, Verordnung (EU) 2026/1744, gelten diese Pflichten ab dem 2. Dezember 2027. Arbeitgeber, die solche Systeme einsetzen, müssen unter anderem geschulte menschliche Aufsicht bestimmen, die Protokolle mindestens sechs Monate aufbewahren und die Arbeitnehmervertretung vor dem Einsatz informieren.

Auf ai-toolfinder: Die Profile tragen im Abschnitt zu DSGVO und AI Act einen Hinweis, ob KI in der Kategorie des Tools als Hochrisiko-KI nach Anhang III gelten kann. EU AI Act für HR in Deutschland: Hochrisiko-Pflichten, Verbote, Schulungspflicht und Aufsicht

Quellen: Regulation (EU) 2024/1689, Annex III and Article 26, Regulation (EU) 2026/1744 (Digital Omnibus on AI)

Nach § 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz muss der Betriebsrat zustimmen, bevor ein Unternehmen technische Einrichtungen einführt oder anwendet, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Das Bundesarbeitsgericht legt das weit aus: Es genügt, dass ein System solche Daten objektiv erfassen kann. Deshalb braucht HR- und KI-Software in einem Betrieb mit Betriebsrat vor der Einführung meist eine Betriebsvereinbarung.

Auf ai-toolfinder: Wo ein Anbieter Material für Betriebsräte veröffentlicht, verlinkt das Profil es.

Quellen: BetrVG, section 87, Federal Labour Court, 1 ABR 7/15

Ein offener Standard, den Anthropic im November 2024 als Open Source veröffentlicht hat, um KI-Assistenten mit den Systemen zu verbinden, in denen Daten liegen. Ein MCP-Server bietet Funktionen an, etwa die Suche in einem CRM, die passende KI-Clients aufrufen können.

Auf ai-toolfinder: MCP-Server haben im Verzeichnis einen eigenen Eintragstyp. ai-toolfinder betreibt selbst einen: Verbinden Sie Ihren Client mit https://ai-toolfinder.com/mcp.

Quellen: Anthropic, Introducing the Model Context Protocol

Ein Verfahren, bei dem die KI zuerst Ihre Dokumente durchsucht und ihre Antwort dann aus den gefundenen Stellen schreibt, statt sich nur auf das zu stützen, was das Modell im Training gelernt hat. Der Begriff stammt aus einem Fachartikel von Patrick Lewis und Kollegen aus dem Jahr 2020. Wie gut die Antworten sind, hängt stark davon ab, wie die Dokumente ausgelesen, zerlegt und durchsucht werden.

Auf ai-toolfinder: Unser Ratgeber vergleicht Dokument-Parser für RAG bei Tabellen, Scans und Kosten je Seite. PDF-Parser für RAG: was Dokumentparser mit Tabellen und Scans machen und was eine Seite kostet

Quellen: Lewis et al., Retrieval-Augmented Generation for Knowledge-Intensive NLP Tasks (2020)