Nutzen Sie KI in der Angebotsarbeit? Das sollten Sie über Ihre Daten wissen

Künstliche Intelligenz ist für viele ein selbstverständlicher Teil der Angebotsarbeit geworden. Wenn Sie aber ein früheres Angebot mit Preiskalkulationen und geschäftssensiblen Prozessbeschreibungen hochladen, ist die Frage berechtigt: wo landen diese Daten eigentlich? Wir beantworten das in Ruhe, zeigen, welche Regeln aktuell tatsächlich gelten, und was Sie prüfen sollten, bevor Sie einem Werkzeug vertrauen.

Was Sie tatsächlich teilen

Es lohnt sich, zwei Arten von Dokumenten zu unterscheiden. Die Vergabeunterlagen des Auftraggebers sind öffentlich, und sie in ein Werkzeug einzustellen, ist selten ein Problem.

Ihr eigenes Material ist eine andere Sache. Preiskalkulationen und Margen, Methodik und Prozessbeschreibungen, an denen Sie jahrelang gearbeitet haben, interne Einschätzungen der eigenen Kapazität und in der Regel auch personenbezogene Daten: Namen, Positionen und Lebensläufe der Personen, die Sie anbieten.

Wenn Sie ein KI-Werkzeug nutzen, verlassen diese Informationen Ihr Haus. Das muss nicht gefährlich sein. Aber es lohnt sich zu wissen, wo sie landen, wie lange sie dort liegen und was der Anbieter damit tun darf.

Zwei Regelwerke, nicht eines

Hier werden leicht zwei Dinge vermischt, die zusammenhängen, aber nicht gleich gelten.

Die Datenschutzregeln (DSGVO) gelten schon jetzt, im gesamten EWR. Verarbeitet das Werkzeug personenbezogene Daten, gelten sie vollständig. Die Verordnung lässt Raum für einzelne nationale Anpassungen, die Grundpflichten sind aber dieselben. Das macht die Beurteilung leichter, wenn Sie in mehreren Ländern verkaufen: Sie können einem Anbieter dieselben Fragen stellen, egal ob Sie in Deutschland, Österreich oder den Niederlanden anbieten.

Die KI-Verordnung gilt bereits. Das KI-Regelwerk der EU wird seit dem 2. August 2026 durchgesetzt, zugleich sind neue Transparenzpflichten in Kraft getreten. Dabei geht es unter anderem darum, dass Nutzerinnen und Nutzer erfahren müssen, wenn sie mit einer KI und nicht mit einem Menschen sprechen, und dass KI-generierte Inhalte gekennzeichnet werden. Die schwersten Anforderungen, jene an sogenannte Hochrisikosysteme, sind auf den 2. Dezember 2027 und den 2. August 2028 verschoben.

Norwegen, von wo aus wir schreiben, ist eine Ausnahme. Dort ist die Verordnung noch nicht in das EWR-Abkommen übernommen, und das nationale Gesetz ist nicht beschlossen. Das zeigt einen Punkt, der für alle gilt: welches Regelwerk Sie trifft, hängt davon ab, wo Sie und Ihr Anbieter sitzen.

Die Fragen, die Sie Ihrem Anbieter stellen sollten

Bevor Sie ein Werkzeug einsetzen, stellen Sie einige einfache Fragen. Sie sind nicht technisch, und Sie müssen kein Fachmensch sein, um die Antworten zu beurteilen.

• Wo werden die Daten gespeichert und verarbeitet? Innerhalb des EWR oder woanders? Eine Speicherung außerhalb des EWR ist nicht per se unzulässig, sie braucht aber eine eigene Rechtsgrundlage. Lassen Sie sich vom Anbieter sagen, welche.
• Werden die Daten zum Trainieren des Modells genutzt? Oder bleiben sie getrennt und werden nur für Sie verwendet? Das gehört in den Vertrag, nicht nur in einen Marketingtext.
• Wer hat Zugriff, und wie lange bleiben die Daten liegen? Fragen Sie konkret nach Löschung und nach Unterauftragsverarbeitern.
• Gibt es einen Auftragsverarbeitungsvertrag? Verarbeitet der Anbieter personenbezogene Daten in Ihrem Auftrag, ist ein schriftlicher Vertrag nach Artikel 28 Absatz 3 DSGVO Pflicht. Das ist keine Formalie, die Sie überspringen können.
• Können sie ihre Sicherheitsarbeit dokumentieren? Zum Beispiel durch eine Zertifizierung wie ISO 27001 oder eine offene Übersicht über Unterauftragsverarbeiter und Sicherheitsmaßnahmen.

Gute Anbieter antworten darauf klar und haben die Antworten parat. Sind die Antworten vage oder schwer zu bekommen, ist das selbst ein Signal.

Kurz zur Speicherung außerhalb des EWR

Viele KI-Werkzeuge sind amerikanisch. Die Übermittlung personenbezogener Daten in die USA erfolgt heute überwiegend auf Grundlage des Angemessenheitsbeschlusses der EU, des EU-US Data Privacy Framework. Er gilt weiterhin. Das Gericht der EU wies eine Klage dagegen im September 2025 ab, die Entscheidung ist jedoch angefochten, und der Europäische Datenschutzausschuss bat die EU-Kommission im Juli 2026, erneut zu prüfen, ob die Grundlage trägt.

Unsere Einschätzung: darüber müssen Sie nicht den Schlaf verlieren. Es ist aber ein guter Grund zu wissen, wo Ihr Anbieter steht, und zu fragen, was der Plan ist, falls sich der Rahmen ändert.

So sieht die Beschaffungsseite das

Das ist nicht nur Ihre Fragestellung. Öffentliche Beschaffungsstellen erhalten inzwischen recht detaillierte Leitlinien zum selben Thema. Das folgende Beispiel stammt aus Norwegen, von wo aus wir schreiben.

DFØ, die norwegische Behörde für öffentliche Verwaltung und Finanzmanagement, schreibt in ihrem Leitfaden zu Sicherheit und Informationsverarbeitung beim Einsatz von KI, dass Organisationen Informationen klassifizieren müssen, bevor sie in einen KI-Dienst gegeben werden. Offene und interne Informationen können in vielen Fällen in kommerziellen Cloud-Diensten verarbeitet werden, sensible Informationen erfordern eine gesonderte Prüfung, und eingestufte Informationen sollen überhaupt nicht in kommerzielle KI-Dienste eingegeben werden. Informationen, die einer Geheimhaltungspflicht unterliegen, fallen in dieselbe Kategorie. Der Leitfaden sagt außerdem, dass Daten grundsätzlich innerhalb des EWR verarbeitet werden sollen und dass die Organisation aktiv prüfen muss, ob der Dienst tatsächlich so eingerichtet ist.

So wie wir das lesen, ist es für Sie als Anbieter bemerkenswert. Die Kundenseite am anderen Ende des Tisches wird gebeten, genau dieselben Fragen zu durchdenken, die Sie Ihrem eigenen Anbieter stellen sollten. Dann kann es ein Vorteil sein, die Antworten parat zu haben, bevor jemand fragt. Beschaffungsstellen in anderen Ländern arbeiten nach entsprechenden Grundsätzen, die konkreten Leitlinien unterscheiden sich jedoch, und die nationale Praxis variiert.

Was Sie tun sollten

• Formulieren Sie eine einfache interne Spielregel. Was darf in welches Werkzeug? Es ist unbillig, diese Abwägung jedes Mal der einzelnen Person zu überlassen, die das Angebot schreibt.
• Prüfen Sie, ob für die Werkzeuge, die Sie schon nutzen, ein Auftragsverarbeitungsvertrag vorliegt. Oft lautet die Antwort nein, einfach weil niemand gefragt hat.
• Halten Sie die Dokumentation zusammen. Zertifizierungen, Verfahren und Verträge sollten an einer Stelle liegen, bereit zum Vorzeigen.
• Fragen Sie den Anbieter direkt. Sie haben Anspruch auf eine verständliche Antwort, und Sie müssen keine akzeptieren, die es nicht ist.

Zum Schluss

Sie müssen kein Fachmensch für Datensicherheit sein, um in der öffentlichen Beschaffung gute Entscheidungen zu treffen. Es genügt zu wissen, welche Regeln tatsächlich gelten, die richtigen Fragen zu stellen und Werkzeuge zu wählen, die darauf klar antworten.

Bei Cobrief haben wir unsere eigene Dokumentation offen in einem Trust Center veröffentlicht, damit Sie uns an denselben Punkten prüfen können, an denen wir Sie bitten, andere zu prüfen. Sprechen Sie uns gern an, wenn Sie darüber reden möchten, wie Sie KI in der Angebotsarbeit mit gutem Gewissen einsetzen.