Beschaffungscheckliste für KI-Coding-Tools

Die Beschaffung eines KI-Coding-Tools ist gleichzeitig eine Produkt-, Security-, Datenschutz- und Betriebsentscheidung. Eine reine Feature-Demo reicht nicht aus.

1. Datenfluss und Verantwortlichkeiten

Fordert ein aktuelles Datenflussdiagramm an und klärt:

• Welche Daten verlassen Gerät oder Repository?
• Welche Anbieter und Unterauftragsverarbeiter erhalten sie?
• Welche Modelle und Regionen können ausgewählt oder erzwungen werden?
• Welche Metadaten, Prompts und Outputs werden wie lange gespeichert?
• Welche Verarbeitung erfolgt für Abuse Monitoring oder Support?

Das Security & Trust Center und die Modellübersicht sollten diese Angaben für Lurus Code nachvollziehbar verbinden.

2. Vertragliche Unterlagen

Prüft AVV/DPA, Liste der Unterauftragsverarbeiter, Transfermechanismen, Löschfristen und Änderungsmitteilungen. „EU-Region verfügbar“ ist keine vollständige Aussage über Betreiber, Rechtsraum oder tatsächliches Routing.

Bei personenbezogenen Daten sind insbesondere Verantwortlichkeiten nach Art. 28 DSGVO und Drittlandtransfers relevant. Diese Checkliste ersetzt keine Rechtsberatung; sie strukturiert die technische und organisatorische Vorprüfung.

3. Training, Retention und Produktfeatures trennen

Stellt getrennte Fragen:

• Werden Kundendaten für Modelltraining genutzt?
• Gilt Zero Data Retention für jeden angebotenen Route?
• Speichern Produktfeatures wie History, Memory oder Logs Daten unabhängig vom Modellanbieter?
• Welche Einstellungen können Administratoren erzwingen?

Eine einzelne „No Training“-Aussage beantwortet nicht automatisch Retention oder Produktpersistenz.

4. Berechtigungen und Systemgrenzen

Prüft Permission-Modes, Secret-Zugriff, Shell-Befehle, externe Tools und MCP-Transporte. Für jede Aktion sollte klar sein, ob sie erlaubt, bestätigungspflichtig oder blockiert ist.

5. Qualität und Security im Pilot

Definiert vor Vertragsabschluss:

• Repositories und Aufgaben im Scope,
• bestehende Test- und Review-Gates,
• messbare Akzeptanzkriterien,
• Owner für Findings und Freigaben,
• Abbruchkriterien.

Die Rollout-Checkliste und Engineering-Team-Lösung führen in den kontrollierten Pilot.

6. Exit und Nachweisbarkeit

Klären Sie Export, Löschung, Audit-Logs, Vertragsende und den Umgang mit gespeicherten Sessions. Ein Tool ist erst enterprise-fähig, wenn seine Nutzung nicht nur gestartet, sondern auch kontrolliert beendet werden kann.

Entscheidungsmatrix

Bewertet jedes Kriterium als belegt, teilweise belegt, offen oder nicht akzeptabel. Verlinkt für jede Bewertung die Quelle und das Prüfdatum. So bleibt die Entscheidung nachvollziehbar, wenn Anbieter, Modelle oder Verträge sich ändern.