Die Beschaffung eines KI-Coding-Tools ist gleichzeitig eine Produkt-, Security-, Datenschutz- und Betriebsentscheidung. Eine reine Feature-Demo reicht nicht aus.
1. Datenfluss und Verantwortlichkeiten
Fordert ein aktuelles Datenflussdiagramm an und klärt:
- Welche Daten verlassen Gerät oder Repository?
- Welche Anbieter und Unterauftragsverarbeiter erhalten sie?
- Welche Modelle und Regionen können ausgewählt oder erzwungen werden?
- Welche Metadaten, Prompts und Outputs werden wie lange gespeichert?
- Welche Verarbeitung erfolgt für Abuse Monitoring oder Support?
Das Security & Trust Center und die Modellübersicht sollten diese Angaben für Lurus Code nachvollziehbar verbinden.
2. Vertragliche Unterlagen
Prüft AVV/DPA, Liste der Unterauftragsverarbeiter, Transfermechanismen, Löschfristen und Änderungsmitteilungen. „EU-Region verfügbar“ ist keine vollständige Aussage über Betreiber, Rechtsraum oder tatsächliches Routing.
Bei personenbezogenen Daten sind insbesondere Verantwortlichkeiten nach Art. 28 DSGVO und Drittlandtransfers relevant. Diese Checkliste ersetzt keine Rechtsberatung; sie strukturiert die technische und organisatorische Vorprüfung.
3. Training, Retention und Produktfeatures trennen
Stellt getrennte Fragen:
- Werden Kundendaten für Modelltraining genutzt?
- Gilt Zero Data Retention für jeden angebotenen Route?
- Speichern Produktfeatures wie History, Memory oder Logs Daten unabhängig vom Modellanbieter?
- Welche Einstellungen können Administratoren erzwingen?
Eine einzelne „No Training“-Aussage beantwortet nicht automatisch Retention oder Produktpersistenz.
4. Berechtigungen und Systemgrenzen
Prüft Permission-Modes, Secret-Zugriff, Shell-Befehle, externe Tools und MCP-Transporte. Für jede Aktion sollte klar sein, ob sie erlaubt, bestätigungspflichtig oder blockiert ist.
5. Qualität und Security im Pilot
Definiert vor Vertragsabschluss:
- Repositories und Aufgaben im Scope,
- bestehende Test- und Review-Gates,
- messbare Akzeptanzkriterien,
- Owner für Findings und Freigaben,
- Abbruchkriterien.
Die Rollout-Checkliste und Engineering-Team-Lösung führen in den kontrollierten Pilot.
6. Exit und Nachweisbarkeit
Klären Sie Export, Löschung, Audit-Logs, Vertragsende und den Umgang mit gespeicherten Sessions. Ein Tool ist erst enterprise-fähig, wenn seine Nutzung nicht nur gestartet, sondern auch kontrolliert beendet werden kann.
Entscheidungsmatrix
Bewertet jedes Kriterium als belegt, teilweise belegt, offen oder nicht akzeptabel. Verlinkt für jede Bewertung die Quelle und das Prüfdatum. So bleibt die Entscheidung nachvollziehbar, wenn Anbieter, Modelle oder Verträge sich ändern.
Quellen zum Nachprüfen
Lurus Redaktion · Technische Redaktion
KI-gestützte Softwareentwicklung, Codequalität und sichere Entwicklungsworkflows
Fachlich geprüft von Lurus Compliance Review · Fachprüfung Datenschutz & Governance
Unser redaktioneller Standard
