Sobald Ihr SaaS einen Copilot, einen Chatbot, Scoring oder einen Agenten ausspielt, kommen die KI-Fragen in den Vendor Security Review. Wir inventarisieren und klassifizieren Ihre KI-Funktionen nach dem EU AI Act, klären Transparenz- und GPAI-Pflichten, testen die LLM-, RAG- und Agent-Ebene und verzahnen alles mit GDPR/nDSG und Ihrer DPA.
Für SaaS-Product-Owner mit KI-Funktionen: Copilots, Chatbots, Scoring, Agenten
Ihre Enterprise-Kunden fragen heute nicht nur nach ISO 27001, DPA und Pentest. Sie fragen, was Ihre KI-Funktionen tun, mit welchen Daten sie trainiert und betrieben werden und wie Sie den EU AI Act erfüllen.
KI-Fragen wandern in die Sicherheitsfragebögen: Welche Modelle nutzen Sie, werden Kundendaten für Training verwendet, gibt es eine menschliche Kontrolle, wie ist die Datenresidenz, und greift der EU AI Act. Wer hier keine sauberen Antworten liefert, bleibt im Einkauf hängen.
Unter dem EU AI Act tragen die meisten SaaS-KI-Funktionen Transparenzpflichten nach Art. 50: Nutzer müssen erkennen, dass sie mit einem KI-System interagieren, und KI-generierte oder manipulierte Inhalte sind zu kennzeichnen. Das betrifft Chatbots, Assistenten und Generatoren breit.
Einige Funktionen können in den Hochrisiko-Bereich nach Annex III fallen, etwa KI im Einsatz bei Bonität, Personalauswahl, Bildung oder kritischen Diensten. Dort gelten deutlich strengere Pflichten: Risikomanagement, Datenqualität, Protokollierung, menschliche Aufsicht und technische Dokumentation. Die Klassifizierung erfolgt fallbezogen.
Bauen Sie auf einem eigenen oder feinabgestimmten Modell auf, können zusätzlich Pflichten für Anbieter von KI-Modellen mit allgemeinem Verwendungszweck (GPAI) greifen, von technischer Dokumentation bis zu Urheberrechts- und Trainingsdaten-Transparenz. Sie können zugleich Anbieter und Betreiber sein, je nachdem, ob Sie ein Modell bereitstellen oder ein fremdes nur einsetzen. Wir klären Ihre Rolle pro Funktion.
Die Geltungstermine für Hochrisiko-Pflichten liegen ab 2026/2027 und sind über den Digital Omnibus politisch in Revision. Wir prüfen die für Sie geltenden Fristen im Einzelfall und richten die Massnahmen daran aus.
Ein durchgängiger Pfad von der Inventur über die Klassifizierung bis zum Test und zur laufenden Governance, mit klaren Festpreisen am Einstieg.
Wir starten mit dem AI Governance Check (ab CHF 3'900): KI-Use-Case-Inventur und Klassifizierung jeder Funktion nach dem EU AI Act, Rollenbestimmung (Anbieter und Betreiber), Transparenz- und GPAI-Prüfung sowie ein priorisierter Massnahmenplan, den Sie direkt im Vendor Review zitieren können.
Für die laufende Steuerung übernimmt unser AI Officer (ab CHF 500/Monat) die KI-Governance als fester Ansprechpartner: Pflege des KI-Inventars, Begleitung neuer Features, Aktualisierung bei sich ändernden Fristen und Antworten auf die KI-Fragen Ihrer Kunden, wiederverwendbar im Trust Center.
Auf der technischen Seite testet AI Security (ab CHF 8'000) Ihre LLM-, RAG- und Agent-Ebene gegen Prompt Injection, Jailbreaks, Datenabfluss aus dem Kontext, unsichere Tool- und Agent-Aktionen sowie Modell- und Trainingsdaten-Risiken, methodisch entlang OWASP Top 10 für LLM-Anwendungen und MITRE ATLAS. Das Ergebnis ist ein Bericht, den Sie Ihren Sicherheitsprüfern vorlegen können.
Alle drei Bausteine sind mit Ihrem Datenschutz verzahnt. Wo KI personenbezogene Daten verarbeitet, ziehen wir GDPR und nDSG sowie Ihre DPA und Sub-Processor-Liste sauber durch, inklusive Datenresidenz und der Frage, ob Kundendaten zum Training verwendet werden. So passen Rechts-, Governance- und Technikschicht zusammen.
Beim EU AI Act entscheidet die rechtliche Einordnung über die Pflicht. Genau dort setzen wir an, gestützt auf drei dedizierte KI-Services und ein eigenes Technik-Team.
Ihre KI-Klassifizierung führen promovierte Juristinnen und Juristen mit CIPP/E. Ob eine Funktion unter Art. 50, Annex III oder GPAI fällt und ob Sie Anbieter oder Betreiber sind, ist zuerst eine Rechtsfrage. Wir beantworten sie belastbar und dokumentiert.
AI Governance Check, AI Officer und AI Security greifen ineinander: Klassifizierung, laufende Steuerung und technischer Test der LLM-, RAG- und Agent-Ebene. Sie erhalten Recht, Governance und Sicherheit aus einer Hand, ohne Reibung zwischen mehreren Anbietern.
Wir testen entlang OWASP Top 10 für LLM-Anwendungen und MITRE ATLAS, von Prompt Injection bis zu unsicheren Agent-Aktionen. Der Bericht ist so aufgebaut, dass Sie ihn ohne Übersetzung in den Vendor Review geben können.
Wo KI personenbezogene Daten verarbeitet, ziehen wir GDPR, nDSG, Ihre DPA und die Sub-Processor-Liste konsistent durch. So widersprechen sich Ihre KI-Antworten und Ihre Datenschutz-Antworten im Fragebogen nicht.
Wir liefern Ihre KI-Antworten in einer Form, die Deals beschleunigt: klassifizierte Use Cases, dokumentierte Massnahmen und ein Testbericht, die direkt in Trust Center und Fragebogen wandern. Compliance wird so zum Verkaufsargument, nicht zum Kostenblock.
Wir arbeiten in Deutsch, Französisch und Englisch, passend zu Kunden in CH, EU und UK. Da wir kein eigenes SOC verkaufen, bleiben unsere Empfehlungen zu Modellen, Hosting und Massnahmen unabhängig.
AI Governance Check
ab CHF 3'900 Festpreis
Einmalige Inventur und Klassifizierung Ihrer KI-Funktionen nach dem EU AI Act, mit board-tauglichem Ergebnisbericht.
AI Officer
ab CHF 500/Monat laufend
Fester Ansprechpartner für Ihre KI-Governance, der das Inventar pflegt und neue Features begleitet.
AI Security
ab CHF 8'000 Festpreis
Technischer Sicherheitstest Ihrer LLM-, RAG- und Agent-Ebene entlang OWASP-LLM und MITRE ATLAS.
Unser Werkzeug: LexCommand
LexCommand ist unsere hauseigene, zitatgestützte Rechts-KI für das Recht der Schweiz, Deutschlands, Österreichs und der EU. Entwickelt und souverän in der Schweiz betrieben von der Priverion GmbH, dem Unternehmen hinter SIDD. Datensouveränität und Belegbarkeit predigen wir nicht nur, wir haben sie in unser Werkzeug eingebaut, ergänzend zur Priverion-Plattform.
Die KI läuft selbst gehostet auf Schweizer Infrastruktur, ohne externe Cloud-LLMs. Als unabhängiges Schweizer Unternehmen ohne ausländische Muttergesellschaft verarbeiten wir Ihre Unterlagen in einer Umgebung, die wir kontrollieren.
Jede rechtliche Aussage ist auf eine abrufbare Primärquelle rückführbar, oder sie erscheint nicht. So werden unsere Empfehlungen auditierbar und nachvollziehbar, statt nur plausibel zu klingen.
LexCommand übernimmt das Suchen, Abgleichen und Belegen. Das verkürzt Durchlaufzeiten und gibt unseren Senior-Beratenden Zeit für Urteil und Mandantengespräch, bei gleichbleibender Sorgfalt.
Datenschutz, Informationssicherheit und KI-Sicherheit betrachten wir auf einer geteilten Quellenbasis mit Framework-Crosswalk. So sehen Sie überschneidende Pflichten in einem konsolidierten Bild statt in drei isolierten Analysen.
Konkret für den AI Governance Check: LexCommand belegt jede Einordnung Ihrer KI-Funktion unter Art. 50, Annex III oder GPAI mit der Fundstelle im EU AI Act, liest die Frist im Digital-Omnibus-Stand des gewählten Datums und legt GDPR-, nDSG- und DPA-Pflichten daneben, sodass der zitierfähige Massnahmenplan im Vendor Review konsistent ist.
Zeitlich deterministisch (Stand heute oder zu jedem Stichtag), mit Jurisdiktions-Isolation (CH/DE/AT/EU) und einem Zitat-Verifizierer am Ende jeder Antwort.
Sehr wahrscheinlich ja. Wer ein KI-System einsetzt, ist Betreiber und kann zum Beispiel Transparenzpflichten nach Art. 50 erfüllen müssen. Je nachdem, wie Sie das Modell einbinden, anpassen oder unter eigenem Namen ausspielen, kommen weitere Pflichten dazu. Ihre genaue Rolle bestimmen wir pro Funktion im AI Governance Check.
Die Geltungstermine für Hochrisiko-Pflichten liegen ab 2026/2027 und sind über den Digital Omnibus politisch in Revision. Wir framen das bewusst vorsichtig und prüfen die für Sie geltenden Fristen im Einzelfall. Transparenz- und Inventur-Massnahmen lohnen sich unabhängig davon, weil Ihre Kunden die KI-Fragen schon heute stellen.
GPAI steht für KI-Modelle mit allgemeinem Verwendungszweck. Bauen Sie auf einem eigenen oder feinabgestimmten Modell auf, können Anbieterpflichten greifen, etwa technische Dokumentation sowie Transparenz zu Urheberrecht und Trainingsdaten. Setzen Sie nur ein fremdes Modell ein, liegen diese Pflichten primär beim Modellanbieter. Welche Rolle Sie tragen, klären wir im Check.
Für die rechtliche und organisatorische Seite ja: Sie erhalten klassifizierte Use Cases, dokumentierte Rollen und einen Massnahmenplan, die Sie direkt in Fragebögen und Trust Center geben können. Verlangen Kunden zusätzlich einen technischen Nachweis der KI-Schicht, ergänzen wir AI Security mit einem vorlegbaren Prüfbericht.
Eng. Wo KI personenbezogene Daten verarbeitet, müssen Ihre Aussagen zu Training, Datenresidenz und Sub-Processoren mit Ihrer DPA und Ihrer Sub-Processor-Liste übereinstimmen. Wir ziehen GDPR und nDSG konsistent durch, damit KI-Antworten und Datenschutz-Antworten im Fragebogen widerspruchsfrei sind. Bei Bedarf führt unser DPO das Mandat.
KI-Compliance ist ein Teil der Antwort. Diese Themen runden Ihren Vendor Review ab:
Signierfähige DPA, Sub-Processor-Liste und Datenresidenz für den Enterprise-Einkauf.
Die Zertifikate und Nachweise, nach denen Ihre Kunden im Review zuerst fragen.
Aktuelle Pentest-Berichte für Web, API und Netzwerk, vorlegbar im Vendor Review.
Wir inventarisieren und klassifizieren Ihre KI-Funktionen nach dem EU AI Act und liefern Antworten, die Ihren Vendor Security Review beschleunigen.