„Enterprise GPT" ist 2026 das wohl überbenutzteste Label am KI-Markt. Was steckt wirklich dahinter, was ist nur Marketing, und worauf müssen Sie im Einkauf achten, um nicht in zwei Jahren teuer wieder rauszumigrieren? Hier die 12 echten Kriterien.
Was Enterprise GPT überhaupt meinen sollte
Eine Enterprise-taugliche KI-Plattform unterscheidet sich von einem ChatGPT-Abo in vier Kerndimensionen:
- Datenhoheit: Daten bleiben unter Kontrolle des Unternehmens, kein Modell-Training auf Kundendaten.
- Compliance: DSGVO, EU AI Act, branchenspezifische Anforderungen (BaFin, KRITIS, etc.).
- Integration: Sauberer Einbau in bestehende IT-Landschaft (SSO, AD, IT-Service-Management).
- Governance: Klare Verantwortlichkeiten, Audit-Logs, Rollen-Konzept, Mandantentrennung.
Die 12 Kriterien, die wirklich zählen
1. Wo werden meine Daten gehostet?
EU? Wo genau? Auf welcher Cloud (AWS Frankfurt, Azure Germany West Central, eigene Rechenzentren)? Steht das im AVV? Lassen Sie sich den Hosting-Vertrag der Subunternehmer zeigen — die Lieferkette ist hier entscheidend.
2. Werden meine Daten zum Modell-Training verwendet?
Das ist die absolute K.O.-Frage. Antwort muss schriftlich „Nein" sein — bei allen Modellen, auch wenn die Plattform Drittanbieter-Modelle (OpenAI, Anthropic) im Backend nutzt. Bei Cortexion: vertraglich ausgeschlossen.
3. Welche Modelle stehen zur Auswahl?
Monomodel-Plattformen (nur OpenAI, nur Anthropic) sind 2026 ein Risiko. Sie brauchen die Wahl pro Use Case — sonst zahlen Sie teuer, wo es günstig ginge, oder bekommen Qualitätsprobleme, wo Spitzenmodell nötig wäre.
4. Anmeldung und Kontenverwaltung
Mitarbeitende dürfen kein eigenes Passwort anlegen müssen: Die Anmeldung gehört an die vorhandenen Unternehmenskonten gekoppelt — bei Cortexion an das Google- oder Microsoft-Konto, abgesichert mit Zwei-Faktor-Authentisierung. Ebenso wichtig: Ein Konto muss sich zentral und sofort entziehen lassen, wenn jemand das Unternehmen verlässt.
5. Rollen- und Rechtekonzept
Granular bis auf Wissensdatenbank- und Assistenten-Ebene. Plus Mandantentrennung, wenn Sie Tochtergesellschaften haben.
6. Audit-Logs
Wer hat wann was gefragt, welche Wissensquelle wurde gezogen, welche Modell-Antwort ist herausgegangen? Logs müssen exportierbar sein (CSV, JSON) und mindestens 12 Monate verfügbar.
7. Wissensdatenbank-Governance
Wer darf Dokumente hochladen, wer darf indexieren, gibt es Freigabe-Prozesse? Bei sensiblen Quellen (HR, Vertragswesen) ist das Pflicht.
8. EU AI Act-Readiness
Klassifiziert der Anbieter seine Use Cases nach Risiko-Kategorien? Bietet er die Dokumentationsstrukturen, die Sie für Audit-Reports brauchen? Fragen Sie konkret nach.
9. Daten-Export und Vendor-Lock-in
Kann ich meine Wissensdatenbank, Assistenten-Konfigurationen, Automatisierungen in einem offenen Format exportieren? Wenn nein: gefährlich. Sie wollen nach 18 Monaten wechseln können, falls die Plattform nicht performt.
10. SLA und Support
Verfügbarkeits-SLA (mindestens 99,5 % monatlich), Reaktionszeit bei kritischen Tickets, deutschsprachiger Support, dedizierter Customer Success Manager bei größeren Verträgen.
11. Sub-Processor-Liste
Alle Sub-Verarbeiter (Modell-Anbieter, Hosting, Monitoring) müssen offen liegen, mit Wechselankündigungsfrist (typisch 30 Tage).
12. Kündigung und Daten-Mitnahme
Was passiert mit meinen Daten bei Kündigung? Wie lange werden sie aufbewahrt, wann gelöscht? Wie lange habe ich Zeit für den Export? Standard: 30 Tage Export-Frist, dann sichere Löschung mit Bestätigung.
Was nur Marketing ist (und Sie ignorieren können)
- „Made in Germany": ist ein Trust-Signal, aber kein Funktionsmerkmal. Was zählt, ist das AVV-Detail.
- „KI-Sicher": bedeutet nichts. Fragen Sie nach konkreten Kontrollen.
- „Modellunabhängig": klingt gut, ist aber wertlos, wenn nur 2 Modelle drinhängen. Lassen Sie sich die Liste zeigen.
- „Air-Gapped Enterprise Edition": meist Etikettenschwindel. Echtes Air-Gap heißt eigene Hardware, eigenes Netz — und kostet ab 250.000 € im Jahr.
Der typische Auswahlprozess in 60 Tagen
- Tag 1–7: Use-Case-Inventur, Anforderungs-Katalog
- Tag 8–14: Long-List (5–8 Anbieter), Vorab-Fragebogen mit den 12 Kriterien
- Tag 15–25: Short-List (3 Anbieter), Live-Demos an Ihrem konkreten Use Case
- Tag 26–40: Proof-of-Concept (4 Wochen) mit 2 Anbietern parallel
- Tag 41–50: Bewertung, AVV-Verhandlung, Sicherheits-Review
- Tag 51–60: Vertragsunterschrift, Onboarding-Kickoff
Roter-Faden-Empfehlung
Wenn Sie Enterprise-KI einkaufen, fokussieren Sie sich auf drei Dinge: (1) DSGVO-Konformität bis ins Detail, (2) Multi-Modell-Auswahl, (3) Daten-Export ohne Lock-in. Alles andere ist verhandelbar. Diese drei sind nicht.
Cortexion ist genau auf diese drei Punkte ausgelegt. Wir zeigen Ihnen in 30 Minuten, wie die 12 Kriterien bei uns konkret abgebildet sind — buchen Sie eine Demo.