Ki Beschaffung Ai Act Daten Cloud Klotzkette

---
name: ki-beschaffung-ai-act-daten-cloud-klotzkette
title: KI-, Cloud- und Datenbeschaffung strukturieren
description: 'KI-, Cloud- und Datenbeschaffung der Vergabestelle strukturieren: verbindet funktionale Leistungsbeschreibung, AI-Act-Rollen, Datenschutz, Sicherheit, Datenrechte, Interoperabilität, Exit, Abnahme und qualitätsbezogene Zuschlagswertung.'
author: Klotzkette
author_url: https://github.com/Klotzkette/claude-fuer-deutsches-recht/tree/main/vergaberecht-werkstatt/vergabestelle-behoerden/skills/ki-beschaffung-ai-act-daten-cloud
license: Apache-2.0
version: 0.1.1
execution_mode: open
jurisdiction: de
practice: government-contracts
language: de
---

# KI-, Cloud- und Datenbeschaffung strukturieren

<!-- BEGIN output-format-block (autogen) -->

## Output-Format (verbindlich)

Schriftart Times New Roman, Schriftgrad 11 pt. Dezimalgliederung 1, 1.1, 1.1.1, 2, 2.1 fortlaufend ohne Lücken, maximal vier Ebenen. Aufzählungen mit Spiegelstrich oder Bullet. Hervorhebung nur durch Kursivsetzung bei Gesetzes- und Aktenzeichenfundstellen, kein Fettdruck, keine Unterstreichung. Vollständige Regeln in [`references/OUTPUT-FORMAT.md`](../../references/OUTPUT-FORMAT.md). Bei abweichenden Vorgaben der Stelle (Portal, Gericht, Kammer) gilt die Stelle.

<!-- END output-format-block (autogen) -->

## System- und Datenkarte

Vor dem Vergabetext erfassen:

- fachlicher Zweck, Nutzer, Entscheidungen und Schadensfolgen;
- Bestandsdaten, Schutzbedarf, Rechtsgrundlage, Qualität und Datenhalter;
- bestehende Schnittstellen, Identitäten, Protokolle und Legacy-Formate;
- Trainings-, Eingabe-, Ausgabe-, Telemetrie- und Supportdaten;
- Betriebsmodell, Unterauftragnehmer, Regionen, Exit und Löschweg.

## Regime- und Rollenweiche

1. Auftraggeberrolle nach der KI-Verordnung für jeden Anwendungsfall bestimmen: insbesondere Betreiber, Anbieter, Einführer oder Händler nicht aus Produktbezeichnungen ableiten.
2. Verbotene Praxis, Hochrisiko-Einstufung nach Art. 6 und Anhang III, Transparenzpflichten sowie anwendbare Übergangs- und Geltungsdaten anhand der aktuellen amtlichen Fassung prüfen.
3. Bei Hochrisiko-Systemen Anforderungen unter anderem aus Art. 9, 10, 12 bis 15 und Betreiberpflichten aus Art. 26 der KI-Verordnung in überprüfbare Liefer-, Abnahme- und Betriebsleistungen übersetzen. Keine pauschale Hochrisiko-Klausel für jedes KI-System verwenden.
4. DSGVO-Rollen, Rechtsgrundlage, Datenschutz-Folgenabschätzung, Art. 28 DSGVO, internationale Übermittlung, Löschkonzept und Betroffenenrechte separat schließen.
5. BSI-, Geheimschutz-, NIS2-, KRITIS- oder sektorspezifische Pflichten nach Organisation und Einsatzfall in aktueller Fassung prüfen.

## Vergabedesign

- Leistungsbeschreibung nach § 31 VgV funktional und produktneutral auf messbare Ergebnisse, Fehlertoleranzen, Erklärbarkeit, menschliche Eingriffsmöglichkeiten und Schnittstellen ausrichten.
- Mindestanforderung, Eignung, Zuschlagskriterium und Ausführungsbedingung strikt trennen.
- Qualitätswertung nach § 58 VgV an Testfälle, Latenz, Robustheit, Barrierefreiheit, Portabilität, Sicherheitsniveau, Service und Total Cost of Ownership binden. Testdaten und Bewertungsstufen vorab festlegen.
- Offene, dokumentierte Export- und Importformate, API-Spezifikation, Datenmodell, Versionspolitik und Migrationsunterstützung verlangen. Marken- oder Plattformbindungen nur mit § 31 Abs. 6 VgV tragfähig begründen.
- Rechte an Daten, Modellen, Prompts, Konfiguration, Protokollen und Arbeitsergebnissen einzeln zuordnen. Keine pauschale Eigentumsformel.

## Abnahme und Exit

Abnahmefälle bilden für Normalbetrieb, Grenzfall, fehlerhafte Daten, Berechtigung, Ausfall, Modellwechsel und Export. Jede Zusage mit Messmethode, Grenzwert, Testdaten, Verantwortlichem und Rechtsfolge verknüpfen. Exit umfasst vollständigen Export, Metadaten, Protokolle, Löschbestätigung, Übergabehilfe und fortbestehende Nutzbarkeit ohne Herstellerzugang.

## Pflichtoutput

1. System-, Daten- und Rollenkarte mit Quellenstatus.
2. Muss-/Wertung-/Vertragsmatrix einschließlich AI-Act- und DSGVO-Zuordnung.
3. Schnittstellen- und Legacy-Anschlussblatt mit Ein- und Ausgabeformaten.
4. Test-, Abnahme- und Monitoringplan.
5. Preis-Qualitäts-Matrix einschließlich Lebenszyklus- und Exitkosten.
6. Vertragsanhang für Datenrechte, Sicherheit, Änderungssteuerung, Audit und Exit.