Procurement Manager für KI: KI-Lösungen rechtssicher beschaffen und Vendoren steuern.

Tag 1 – KI-Anbieterbewertung und strukturierte Due Diligence 

KI-Anbieterlandschaft strukturiert erfassen 

• Marktüberblick zu Kategorien, Geschäftsmodellen und Positionierungslogiken von Hyperscalern, Spezialanbietern, Open-Source-Stacks und Middleware-Layern. 

• Mindestwissen für Beschaffungsentscheidungen: LLMs, ML-Pipelines, API-Architekturen, Modellversionen und Update-Zyklen. 

• Beschaffungsrelevante Leistungsgrenzen und Risiken: Halluzination, Modellversagen, mangelnde Erklärbarkeit, Bias und Qualitätsdrift. 

Technische und sicherheitsrelevante Bewertungskriterien 

• Funktionsvergleich nach Modellqualität, Skalierbarkeit, Integrationsfähigkeit, Auditierbarkeit und Anbieterreife. 

• Hosting-Modelle: Public Cloud, Private Cloud, On-Premises und Sovereign Cloud – mit Blick auf Datensouveränität, Latenz und Compliance. 

• Sicherheitszertifizierungen und Nachweispflichten: ISO 27001, SOC 2, C5 und BSI-Grundschutz. 

Abhängigkeiten, Lock-in-Risiken und Vendor-Risk-Assessment 

• Technischer, datenbezogener, vertraglicher und ökonomischer Lock-in. 

• Vendor-Risk-Assessment zu Finanzstabilität, Marktabhängigkeit, Supportmodell, Roadmap-Transparenz und geopolitischen Risiken. 

• Konzentrations- und Klumpenrisiken im KI-Stack erkennen und vertraglich adressieren. 

EU Blue Guide und Rollen in der KI-Lieferkette 

• Wirtschaftsakteursrollen des EU Blue Guide – Hersteller, Bevollmächtigter, Importeur und Händler – als Auslegungsraster für die produktsicherheitsrechtliche Logik des AI-Act. 

• Abgrenzung reiner Software-/API-Beschaffung von KI-Systemen in physischen Produkten wie Maschinen, Medizinprodukten oder Robotik. 

• Einordnung, wann Anpassung, Fine-Tuning oder eine „wesentliche Veränderung“ dazu führen kann, dass ein Unternehmen selbst Hersteller beziehungsweise Provider wird. 

Praxis-Deliverable Tag 1 

Sie entwickeln eine strukturierte KI-Vendor-Bewertungsmatrix anhand von drei realen oder anonymisierten Anbieterprofilen aus dem eigenen Unternehmenskontext. Bewertet werden Technik, Sicherheit, Regulatorik einschließlich Blue-Guide-Rollenzuordnung und strategische Abhängigkeit. 

Tag 2 – Vertragsgestaltung, Regulatorik und Vendor Governance 

SLA-Strukturen und Haftung bei KI-Systemen 

• Typische SLA-Architektur mit Verfügbarkeit, Performance-Metriken und Output-Qualität. 

• Haftungsklauseln, Regressregelungen und Haftungsausschlüsse sowie relevante Verhandlungshebel. 

• Auditrechte, Transparenzpflichten und Meldepflichten bei KI-bedingten Schäden. 

Regulatorische Anforderungen: EU AI-Act, EU Blue Guide und DSGVO 

• EU AI-Act: Pflichten für Provider und Deployer, Hochrisiko-Klassifikation, Konformitätsbewertungen und Dokumentationspflichten im Beschaffungsprozess. 

• DSGVO im KI-Kontext: Datenverarbeitungsverträge, Drittlandtransfers mit SCCs oder Angemessenheitsbeschlüssen sowie Datenschutzfolgenabschätzung. 

• Zusammenspiel von AI-Act und DSGVO: Konfliktfelder, Doppelpflichten und Prüfroutinen. 

• EU Blue Guide als amtliche Auslegungshilfe des New Legislative Framework und seine Relevanz für die Vertragsgestaltung mit Anbietern außerhalb der EU. 

• Importeur- und Bevollmächtigten-Pflichten nach Blue-Guide-Logik bei der Beschaffung von KI-Systemen aus Drittstaaten. 

• Der Blue-Guide-Begriff der „wesentlichen Veränderung“ als Prüfmaßstab für Vertragsklauseln zu Anpassung, Integration und Weiterentwicklung beschaffter KI-Systeme einschließlich General-Purpose-AI-Modelle. 

• Einordnung der im Ausgangsmaterial genannten Digital-Omnibus-Verordnung (EU) 2026/1744 und ihrer Auswirkungen auf die Abgrenzung von Provider- und Deployer-Pflichten in Beschaffungsverträgen. 

Exit-Strategien und Vendor-Monitoring 

• Datenportabilität, Migrationspfade, Kündigungsarchitektur und Übergangssicherung. 

• Vendor-Monitoring mit KPIs, Eskalationsstufen, Review-Zyklen und Frühwarnindikatoren. 

• Governance-Modell mit Rollen, Zuständigkeiten, Entscheidungsebenen und Dokumentationspflichten im laufenden Betrieb. 

Abschlussprojekt Tag 2 

Sie erstellen einen KI-Beschaffungsleitfaden für das eigene Unternehmen mit Bewertungsmatrix, Due-Diligence-Checkliste, SLA-Analysegrundlage, Third-Party-Risk-Framework, Blue-Guide-Rollenmatrix, Governance-Rollenmodell und Exit-Strategie-Template.