KI-Beschaffung im Mittelstand: RFP-Methodik und Vendor-Selection fuer CIOs

Q: Welche Kriterien gehoeren in ein KI-Lastenheft?

Ein belastbares KI-Lastenheft umfasst sieben Bloecke: erstens Use-Case-Beschreibung mit messbaren Erfolgskriterien, zweitens funktionale Anforderungen inklusive LLM-Agnostik und MCP-Standard, drittens Datenarchitektur mit Berechtigungsmanagement (ACL) im Benutzerkontext, viertens DSGVO- und EU-AI-Act-Klauseln mit EU-Hosting oder On-Premise-Option und Zero Data Retention, fuenftens Token-Pricing- und Total-Cost-of-Inference-Modell, sechstens Service-Level mit Latenz- und Verfuegbarkeitswerten, siebtens Exit-Klauseln mit Datenexport in maschinenlesbarem Format. Jedes Kriterium wird gewichtet und im Vendor-Scoring quantitativ bewertet, nicht nur per Demo-Eindruck.

Q: Wie vermeide ich Vendor-Lock-in bei KI-Plattformen?

Vendor-Lock-in vermeidet, wer drei Hebel im RFP verankert. Erstens LLM-Agnostik: Die Plattform muss den Wechsel zwischen Sprachmodellen verschiedener Anbieter ohne Neuentwicklung der Integration ermoeglichen, idealerweise ueber den MCP-Standard. Zweitens Multi-Provider-Routing: Mindestens zwei Inference-Anbieter werden parallel angebunden, sonst fehlt der Verhandlungsanker – der Ausstieg dauert sonst sechs bis neun Monate. Drittens Vertragsklauseln zu Datenexport, Modellportabilitaet und Exit-Fristen in Tagen statt Monaten. Hyperscaler-Stacks ohne diese Vorkehrungen sind Pfadabhaengigkeitsfallen.

Q: Wie kalkuliere ich Token-Pricing in einem KI-RFP?

Klassische Per-Seat-Lizenzlogik scheitert bei KI, weil Inferenzkosten variabel sind und mit Nutzung skalieren. Ein Total-Cost-of-Inference-Modell setzt auf drei Groessen: durchschnittliche Token pro Anfrage (Input plus Output), erwartete Anfrage-Volumina pro Use-Case und Monat sowie eine Routing-Klausel, die preisguenstigere Modelle fuer einfache Anfragen zulaesst. Im Vertrag werden Mengenstaffeln, Cap-Klauseln und Reporting-Pflichten verankert. Pilotphasen liefern reale Verbrauchsdaten – ohne diese Datenbasis ist jede Hochrechnung Spekulation und entgleitet im Q4-Closing.

Q: Welche DSGVO-Klauseln muss ein KI-Vendor-Vertrag enthalten?

Pflicht im KI-Vendor-Vertrag sind sechs Klauseln. Erstens EU-Hosting oder On-Premise-Option mit dokumentierter Datenlokation. Zweitens Zero Data Retention, also keine Speicherung von Prompts und Outputs ueber die Verarbeitung hinaus. Drittens vertragliche Trainings-Restriktion: Kundendaten duerfen nicht zur Modellverbesserung genutzt werden. Viertens Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit klaren Subunternehmerketten. Fuenftens granulares Berechtigungsmanagement, das die KI im ACL-Kontext des Anwenders haelt. Sechstens Audit- und Loeschrechte mit dokumentierten Fristen. Bei US-Hyperscalern sind diese Klauseln Verhandlungssache, nicht Standard.

Q: Make or Buy: Wann lohnt eine eigene KI-Plattform?

Make-or-Buy-Entscheidungen brauchen einen belastbaren ROI-Vergleich, doch 81 Prozent der KMU messen ihn nicht systematisch. Eigenentwicklung lohnt nur, wenn drei Bedingungen zutreffen: Der Use-Case ist Kernprozess mit klarer Differenzierung, das Datenvolumen rechtfertigt eigene Inferenz-Infrastruktur, und das Inhouse-Team verfuegt ueber MLOps- und Plattform-Kompetenz. In allen anderen Faellen ist eine LLM-agnostische Plattform mit EU-Hosting wirtschaftlicher. Im Mittelstand mit 0,35 Prozent Investitionsquote vom Umsatz ist Buy-and-Configure die Regel, nicht Build-from-Scratch.

Q: Wie definiere ich Erfolgskriterien fuer einen KI-Proof-of-Concept?

Ein PoC ohne klare Erfolgskriterien wird zu PoC-Theater. Nur 7 Prozent der Unternehmen weltweit haben KI vollstaendig produktiv skaliert. Belastbare Kriterien sind quantitativ und in vier Dimensionen formuliert: fachliche Qualitaet (Treffergenauigkeit, Halluzinationsrate gegen Goldstandard-Datensatz), wirtschaftliche Wirkung (Zeitersparnis pro Vorgang in Minuten, Token-Kosten pro Vorgang in Cent), Compliance (DSGVO-Audit-Test bestanden, ACL-Test bestanden) und technische Reife (Latenz P95, Verfuegbarkeit). Vor PoC-Start werden die Schwellenwerte schriftlich fixiert – sonst gewinnt das schoenste Demo, nicht der beste Anbieter.

Q: Für welche Unternehmensgröße ist sensified ai-os gedacht?

Primär für den Mittelstand mit 50-500 Mitarbeitern, die über Einzeltools hinausgewachsen sind und eine kontrollierte, skalierbare AI-Infrastruktur brauchen. Aber auch größere Unternehmen nutzen die Plattform für spezifische Geschäftsbereiche.

Q: Was passiert mit meinen Daten?

Ihre Daten bleiben in Ihrem Tenant. Die Plattform nutzt standardisierte Connectoren für den Zugriff auf Ihre Systeme, speichert Wissen in Ihrer dedizierten Knowledge-Instanz und verarbeitet KI-Anfragen über den kontrollierten AI Gateway mit klarer Provider- und Policy-Steuerung.

AI-native Plattformbasis

Kostenloses Lastenheft mit DSGVO-Klauseln, LLM-Agnostik-Kriterien und Token-Pricing-Modell – fuer eine strukturierte KI-Vendor-Auswahl ohne Lock-in.

33 %

der DACH-Unternehmen ueberschreiten KI-Budget

42 Kriterien

im pruefbaren KI-Lastenheft

EU-Hosting

und Zero Data Retention vertraglich verankert

<6 Wo

vom RFP-Start zur Vendor-Shortlist

EU-AI-Act

Klauselwerk fuer KI-Vendor-Vertraege

Das Problem

Die typischen Stolperfallen im KI-RFP

Vier Schmerzpunkte tauchen in fast jedem KI-Beschaffungsprojekt im Mittelstand auf – und sie haben handfeste Folgen fuer Budget und Compliance.

Token-Kosten ausser Kontrolle

Per-Seat-Lizenzlogik bildet Inferenzkosten nicht ab – 33 Prozent der DACH-Unternehmen ueberschreiten ihr KI-Budget signifikant.

Hyperscaler-Lock-in

Ohne zweiten Inference-Anbieter im Setup fehlt der Verhandlungsanker – der Ausstieg dauert sechs bis neun Monate.

RFP ohne Zielbild

54 Prozent der KMU wissen nicht, welche KI-Use-Cases relevant sind – Lastenhefte werden ohne Use-Case-Priorisierung geschrieben.

DSGVO-Klauseln fehlen

EU-Hosting, Zero Data Retention und Trainings-Restriktion sind bei US-Hyperscalern Verhandlungssache, nicht Standard – K.O.-Risiko nach Vertragsschluss.

Plattform-Architektur

6 Ebenen. Ein System.

sensified ai-os ist kein einzelnes Tool, sondern eine Plattformbasis aus aufeinander abgestimmten Shared Planes. Jede Ebene löst einen konkreten Bedarf.

Was fehlt, ist kein weiteres Tool. Was fehlt, ist eine gemeinsame Betriebsbasis, die Identität, Wissen, Prozesse, Integrationen und KI-Steuerung in einer kontrollierten Architektur verbindet.

Identity Plane

SSO, Rollen, Tenant-Trennung, sichere Session-Übergabe. Die Basis für alles.

Policy & Approval Plane

Freigabelogik, Guardrails für kritische Aktionen, Eskalationsregeln. Compliance by Design.

Audit & Evidence Plane

Nachvollziehbare Entscheidungen, Ausführungsnachweise, revisionssichere Protokolle.

Connector & MCP Plane

50+ Connectoren, einheitliche Tool-Oberfläche, API-/Webhook-/Batch-Integration.

AI Gateway Plane

Kontrolliertes Modellrouting, Provider-Steuerung, Policy-nahe KI-Nutzung.

Knowledge & RAG Plane

Dokumentenintegration, semantische Suche, Master Share als persistente Wissensbasis.

Vergleich

Punktloesung vs. KI-Plattform fuer den Mittelstand

Kriterium

LLM-Agnostik

Token-Pricing-Transparenz

DSGVO-Hosting

Berechtigungsmanagement

Vendor-Lock-in-Risiko

RFP-Methodik

EU-AI-Act-Konformitaet

ROI-Messung

Single-Vendor-Stack

Fest verdrahtetes Modell, Wechsel erfordert Neuintegration der gesamten Pipeline.

Pauschale Per-Seat-Logik, Inferenzkosten erst im Q4-Closing sichtbar.

US-Hosting Standard, EU-Region nur als kostenpflichtige Option, oft ohne Zero Data Retention.

KI sieht alle indizierten Daten, ACL-Mapping nur rudimentaer oder als Custom-Projekt.

Datenexport nur in proprietaeren Formaten, Ausstieg dauert sechs bis neun Monate.

Vendor liefert Praesentation und Pilot, Erfolgskriterien bleiben unscharf.

Risikoklassifizierung Sache des Kunden, keine Audit-Unterstuetzung im Vertrag.

Kein systematisches Tracking, 81 Prozent der KMU messen ROI gar nicht.

sensified Procurement-OS

Multi-LLM ueber MCP-Standard, Modellwechsel ohne Integrationsbruch in wenigen Tagen.

Total-Cost-of-Inference-Modell mit Cap-Klauseln und monatlichem Verbrauchs-Reporting.

EU-Hosting oder On-Premise als Default, Zero Data Retention vertraglich verankert.

Granulares ACL im Benutzerkontext, KI haelt sich an bestehende Berechtigungsstruktur.

Exit-Klauseln in Tagen, Datenexport in offenen Formaten vertraglich garantiert.

42-Kriterien-Lastenheft mit gewichtetem Scoring und schriftlichen PoC-Schwellenwerten.

Klauselwerk nach EU-AI-Act-Risikoklasse mit Audit- und Dokumentationspflichten.

Quartalsweise ROI-Reviews mit Token-Kosten pro Vorgang und Zeitersparnis pro Use-Case.

Konfiguration

Definieren Sie Ihren individuellen Arbeitsraum.

Jedes Unternehmen hat andere Prozesse, andere Systeme, andere Regeln. sensified ai-os zwingt Sie nicht in eine starre Oberfläche. Stattdessen definieren Sie Ihren Arbeitsraum: Welche Connectoren? Welche Freigabelogik? Welches Wissen? Welche Oberflächen?

Die Plattform liefert die Shared Planes. Sie liefern die Domäne. Das Ergebnis ist kein generisches Tool, sondern Ihr AI-natives Betriebssystem.

So funktioniert es

RFP-Methodik: Vom Use-Case zum unterschriftsreifen Vertrag

Ein KI-RFP im Mittelstand startet mit einer Use-Case-Priorisierung, definiert Erfolgskriterien fuer den Proof of Concept und enthaelt ein vollstaendiges Lastenheft mit DSGVO-Klauseln, LLM-Agnostik-Anforderung, Berechtigungsmanagement und einem Total-Cost-of-Inference-Modell. Die Vendor-Bewertung folgt einer gewichteten Matrix, nicht der Verkaufspraesentation.

1 Use-Case- und Datenreife-Check

Bevor der RFP startet: Zielbild, Datenqualitaet und Skill-Lage ehrlich bewerten

2 Lastenheft und Klauselwerk

Pruefbares RFP-Dokument mit 42 Kriterien, DSGVO-Klauseln und TCO-Modell

Funktionale Anforderungen mit LLM-Agnostik und MCP-Standard
DSGVO-Klauselwerk mit EU-Hosting und Zero Data Retention
Total-Cost-of-Inference-Modell mit Routing-Klausel
Berechtigungsmanagement und ACL-Anforderung im Benutzerkontext
Exit-Klauseln und Datenexport in maschinenlesbarem Format

3 Vendor-Scoring und PoC

Gewichtete Bewertungsmatrix und Proof of Concept mit fixierten Erfolgskriterien

4 Vertrag und Rollout-Governance

Unterschriftsreife Klauseln und ein produktiver Rollout mit Kostenkontrolle

FAQ

Häufig gestellte Fragen.

Welche Kriterien gehoeren in ein KI-Lastenheft?

Ein belastbares KI-Lastenheft umfasst sieben Bloecke: erstens Use-Case-Beschreibung mit messbaren Erfolgskriterien, zweitens funktionale Anforderungen inklusive LLM-Agnostik und MCP-Standard, drittens Datenarchitektur mit Berechtigungsmanagement (ACL) im Benutzerkontext, viertens DSGVO- und EU-AI-Act-Klauseln mit EU-Hosting oder On-Premise-Option und Zero Data Retention, fuenftens Token-Pricing- und Total-Cost-of-Inference-Modell, sechstens Service-Level mit Latenz- und Verfuegbarkeitswerten, siebtens Exit-Klauseln mit Datenexport in maschinenlesbarem Format. Jedes Kriterium wird gewichtet und im Vendor-Scoring quantitativ bewertet, nicht nur per Demo-Eindruck.

Wie vermeide ich Vendor-Lock-in bei KI-Plattformen?

Vendor-Lock-in vermeidet, wer drei Hebel im RFP verankert. Erstens LLM-Agnostik: Die Plattform muss den Wechsel zwischen Sprachmodellen verschiedener Anbieter ohne Neuentwicklung der Integration ermoeglichen, idealerweise ueber den MCP-Standard. Zweitens Multi-Provider-Routing: Mindestens zwei Inference-Anbieter werden parallel angebunden, sonst fehlt der Verhandlungsanker – der Ausstieg dauert sonst sechs bis neun Monate. Drittens Vertragsklauseln zu Datenexport, Modellportabilitaet und Exit-Fristen in Tagen statt Monaten. Hyperscaler-Stacks ohne diese Vorkehrungen sind Pfadabhaengigkeitsfallen.

Wie kalkuliere ich Token-Pricing in einem KI-RFP?

Klassische Per-Seat-Lizenzlogik scheitert bei KI, weil Inferenzkosten variabel sind und mit Nutzung skalieren. Ein Total-Cost-of-Inference-Modell setzt auf drei Groessen: durchschnittliche Token pro Anfrage (Input plus Output), erwartete Anfrage-Volumina pro Use-Case und Monat sowie eine Routing-Klausel, die preisguenstigere Modelle fuer einfache Anfragen zulaesst. Im Vertrag werden Mengenstaffeln, Cap-Klauseln und Reporting-Pflichten verankert. Pilotphasen liefern reale Verbrauchsdaten – ohne diese Datenbasis ist jede Hochrechnung Spekulation und entgleitet im Q4-Closing.

Welche DSGVO-Klauseln muss ein KI-Vendor-Vertrag enthalten?

Pflicht im KI-Vendor-Vertrag sind sechs Klauseln. Erstens EU-Hosting oder On-Premise-Option mit dokumentierter Datenlokation. Zweitens Zero Data Retention, also keine Speicherung von Prompts und Outputs ueber die Verarbeitung hinaus. Drittens vertragliche Trainings-Restriktion: Kundendaten duerfen nicht zur Modellverbesserung genutzt werden. Viertens Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit klaren Subunternehmerketten. Fuenftens granulares Berechtigungsmanagement, das die KI im ACL-Kontext des Anwenders haelt. Sechstens Audit- und Loeschrechte mit dokumentierten Fristen. Bei US-Hyperscalern sind diese Klauseln Verhandlungssache, nicht Standard.

Make or Buy: Wann lohnt eine eigene KI-Plattform?

Make-or-Buy-Entscheidungen brauchen einen belastbaren ROI-Vergleich, doch 81 Prozent der KMU messen ihn nicht systematisch. Eigenentwicklung lohnt nur, wenn drei Bedingungen zutreffen: Der Use-Case ist Kernprozess mit klarer Differenzierung, das Datenvolumen rechtfertigt eigene Inferenz-Infrastruktur, und das Inhouse-Team verfuegt ueber MLOps- und Plattform-Kompetenz. In allen anderen Faellen ist eine LLM-agnostische Plattform mit EU-Hosting wirtschaftlicher. Im Mittelstand mit 0,35 Prozent Investitionsquote vom Umsatz ist Buy-and-Configure die Regel, nicht Build-from-Scratch.

Wie definiere ich Erfolgskriterien fuer einen KI-Proof-of-Concept?

Ein PoC ohne klare Erfolgskriterien wird zu PoC-Theater. Nur 7 Prozent der Unternehmen weltweit haben KI vollstaendig produktiv skaliert. Belastbare Kriterien sind quantitativ und in vier Dimensionen formuliert: fachliche Qualitaet (Treffergenauigkeit, Halluzinationsrate gegen Goldstandard-Datensatz), wirtschaftliche Wirkung (Zeitersparnis pro Vorgang in Minuten, Token-Kosten pro Vorgang in Cent), Compliance (DSGVO-Audit-Test bestanden, ACL-Test bestanden) und technische Reife (Latenz P95, Verfuegbarkeit). Vor PoC-Start werden die Schwellenwerte schriftlich fixiert – sonst gewinnt das schoenste Demo, nicht der beste Anbieter.

Für welche Unternehmensgröße ist sensified ai-os gedacht?

Primär für den Mittelstand mit 50-500 Mitarbeitern, die über Einzeltools hinausgewachsen sind und eine kontrollierte, skalierbare AI-Infrastruktur brauchen. Aber auch größere Unternehmen nutzen die Plattform für spezifische Geschäftsbereiche.

Was passiert mit meinen Daten?

Ihre Daten bleiben in Ihrem Tenant. Die Plattform nutzt standardisierte Connectoren für den Zugriff auf Ihre Systeme, speichert Wissen in Ihrer dedizierten Knowledge-Instanz und verarbeitet KI-Anfragen über den kontrollierten AI Gateway mit klarer Provider- und Policy-Steuerung.

Termin buchen

Strategiegespräch buchen – 60 Minuten

In 60 Minuten klären wir gemeinsam, wo eine Enterprise-KI-Plattform für Sie den größten Hebel bringt. Konkrete Architektur, kein Verkaufsgespräch.

Hinweis zu KI-Inhalten: Texte und Bilder dieser Seite wurden teilweise mit Hilfe Künstlicher Intelligenz erstellt und durch unser Team redaktionell geprüft. Gezeigte Szenen sind symbolische, ki-generierte Darstellungen und zeigen keine realen Standorte oder existierende Personen. Mehr zu unserer KI-Nutzung in der Transparenz-Erklärung.

KI-Beschaffung im Mittelstand: RFP-Methodik und Vendor-Selection fuer CIOs

AI-native Plattformbasis