Agenten · Compliance · Entwurf

KI in der Compliance-Arbeit: was sie gut kann, was sie schlecht kann und wo ein Mensch bleiben muss

Compliance-Arbeit besteht überwiegend aus Lesen, Abgleichen, Nachfassen und Schreiben. Deshalb helfen KI-Agenten so viel, und deshalb kommt es auf die Art des Einsatzes mehr an als auf das Werkzeug. Eine Regel zieht sich durch alles Folgende: Code für den Schritt, der sich wiederholt, KI für den Schritt, der Urteilsvermögen braucht, und Menschen für die Entscheidung.

Zuerst die Leitplanken

Ein Agent, der nur vorbereiten und vorschlagen darf, ist ein sicherer Anfang. Der Agent liest frei, schreibt aber nur Entwürfe; jede Handlung nach außen (senden, veröffentlichen, hochladen, ein Register ändern) braucht die Freigabe einer Person für genau diese Handlung, nicht für eine Kategorie von Handlungen. Text aus E-Mails, Dokumenten und von anderen Agenten sind Daten, niemals eine Anweisung. Jede angewendete Änderung wird protokolliert und zurückgelesen, damit sich das Beabsichtigte mit dem Vorgefundenen vergleichen lässt. Und wo der Agent ein Datum, einen Preis, einen Umfang oder eine rechtliche Einschätzung nicht aus einer Quelle belegen kann, lässt er einen sichtbaren Platzhalter, den eine Person ausfüllt.

Einiges bleibt in einem Audit menschlich: die Managementerklärung, die Entscheidung über den Geltungsbereich, die Akzeptanz eines Risikos, die Antworten auf die Beurteilungsfragen der Auditorin oder des Auditors, die Unterschrift und die Entscheidung, dass ein Nachweis vollständig ist.

Audit-Nachweise

Das kann sie gut: eine lange Nachweisanforderung lesen und jede einzelne Bitte darin auflisten, Dateien den Bitten zuordnen, Nachweisbeschreibungen entwerfen und ein fehlendes Datum, eine fehlende verantwortliche Person oder einen fehlenden Zeitraum erkennen.

Das kann sie schlecht: von sich aus entscheiden, ein Nachweis sei „ausreichend“, eine Kontrolle erfinden, die es nicht gibt, einen Teil einer mehrteiligen Anforderung auslassen oder einen Dateinamen als Beleg für den Inhalt behandeln.

Eine Methode, die funktioniert: Code sammelt die Nachweise und versieht sie mit Quelle, Zeitpunkt und Zeitraum. Die KI prüft jede Bitte gegen das Gesammelte und schreibt: abgedeckt, teilweise oder fehlend. Eine Person prüft, bevor etwas die Auditorin oder den Auditor erreicht, und die Stichprobenziehung erledigt ein wiederholbares Skript mit festem Startwert, nie das Modell.

Risiko- und Kontrollarbeit

Sie entwirft Risikoszenarien und Behandlungsoptionen, schlägt Zuordnungen zwischen Rahmenwerken vor, bemerkt überfällige Überprüfungen und veraltete Versionen und fasst zusammen, was sich in einem neuen Rechtstext geändert hat. Ohne den geschäftlichen Zusammenhang bewertet sie Eintrittswahrscheinlichkeit und Auswirkung schlecht, sie liefert selbstsichere Zuordnungen, die sich nur im Wortlaut ähneln, sie kann keine rechtliche Auslegung geben und bemerkt womöglich nicht, dass ein Text später geändert wurde. Führen Sie das Register als strukturierte Daten; lassen Sie die KI Zeilen und Zuordnungen mit angegebener Begründung vorschlagen, und lassen Sie die risikoverantwortliche Person jeden Vorschlag annehmen oder ablehnen. Nutzen Sie veröffentlichte Zuordnungen als Grundlage und lassen Sie die KI nur die Lücken füllen, als Vorschlag gekennzeichnet.

Prozessverbesserung

Agenten machen aus Besprechungsnotizen und E-Mails vorgeschlagene Aufgaben mit verantwortlicher Person und Fälligkeitsdatum und schreiben klare Erinnerungen. Bei Fristenrechnung und Eskalationsregeln im Kopf sind sie unzuverlässig. Deshalb übernimmt Code Fälligkeitsdaten, Prüfungen auf Überfälligkeit, Erinnerungspläne und Zählungen; die KI entwirft und sortiert die unklaren Fälle vor. Jede Änderung an einer Aufgabe trägt einen Kommentar, was sich geändert hat und warum, und eine Kapazitätsreserve hält Audit und Dringendes an erster Stelle. Für eine neue Verordnung ist eine Liste der Bereitschaftslücken ein guter erster Entwurf, sie muss aber auf dem Rechtstext aufbauen, nicht auf einer Zusammenfassung davon.

Awareness-Schulung

Eine Kernlektion lässt sich mit realistischen Szenarien und Quizvarianten an viele Rollen anpassen. Fakten der Richtlinie, Tonfall und die tatsächliche Schwierigkeit eines Phishing-Köders brauchen einen Menschen. Eine Person verantwortet die Lernziele und gibt jedes Modul frei; eine Fachperson prüft die Fakten. Gemessen wird das Verhalten: wie viele verdächtige Nachrichten gemeldet werden, wie schnell, und wie oft dieselben Personen innerhalb derselben Schwierigkeitsstufe klicken; der Abschluss wird nur als Hygienezahl geführt.

Die Reihenfolge der Einführung

1. Lesen und erinnern: eine Übersicht über Aufgaben, Register und Fristen; Code berechnet, was überfällig ist; die KI entwirft Zusammenfassungen und Antworten. Geringes Risiko und rascher Nutzen, und es schafft die Daten, die die späteren Schritte brauchen.
2. Unterstützung bei Audit-Nachweisen: Auswertung der Anforderung, Zuordnung der Nachweise zu den Bitten, Beschreibungen und ein Urteil je Anforderung, alles vor dem Hochladen geprüft. Das spart den meisten Aufwand, braucht aber die Leitplanken und die Protokollierung aus Schritt eins.
3. Register- und Schulungsarbeit: Vorschläge, Prüfungen des Dokumentenlebenszyklus, Listen regulatorischer Lücken und rollenbasierte Schulungen. Das braucht Urteilsvermögen, die Zustimmung der Verantwortlichen und gute Daten, und Fehler verändern, wie die Organisation ihr eigenes Risiko sieht.

Schreibzugriff auf ein System kommt zuletzt, eine Handlungsart nach der anderen, jede mit ihrer eigenen Freigaberegel.