Was diese Woche passiert ist
Die FAZ hat eine Vergleichsstudie veröffentlicht, die KI-Modelle von OpenAI und Google in typischen Compliance-Szenarien testet. Das Ergebnis in zwei Sätzen: Die Modelle sind erstaunlich kompetent geworden, wenn es um regulatorische Fragen, Sanktionslisten-Logik oder AML-Standardprozesse geht. Aber in den Unternehmen, die diese Tools einsetzen wollen, fehlen die internen Leitplanken.
Die Studie adressiert Compliance-Abteilungen breit. Für die Finanzbranche ist die Aussage besonders heikel. Wer in einer Bank, einem Vermögensverwalter oder einem Zahlungsdienstleister sitzt, kennt die Aufsichtsanforderungen an Auditierbarkeit, Nachvollziehbarkeit und Vier-Augen-Prinzip. Genau dort wird der Einsatz generativer KI ohne Governance zum Problem.
Konkret nennt die Studie drei Lücken, die mir aus meiner Beratungspraxis bekannt vorkommen:
- Es gibt keine Freigabeprozesse, welche Modelle für welche Compliance-Aufgabe genutzt werden dürfen.
- Es gibt keine dokumentierte Trennung zwischen KI-Vorschlag und menschlicher Entscheidung.
- Es gibt keine systematische Erfassung von Halluzinationen oder Falschauskünften bei regulatorischen Fragen.
Warum das jetzt für Finanzdienstleister zählt
Der EU-AI-Act ist seit August 2024 in Kraft. Die Pflichten für Hochrisiko-Systeme greifen gestaffelt. Parallel laufen DORA für IKT-Resilienz und die etablierten MaRisk-, BaFin- und FMA-Anforderungen weiter. Wer KI in Compliance einsetzt, bewegt sich in einem dichten Regulierungsfeld. Das ist nicht neu. Neu ist, dass die Modelle jetzt gut genug sind, dass Mitarbeitende sie ohne Freigabe verwenden.
Typisches Muster aus meiner Beratungspraxis: Der Compliance-Officer eines mittelgroßen Vermögensverwalters tippt eine MiFID-II-Frage in ChatGPT, weil die Antwort schneller kommt als die Rückfrage bei der Rechtsabteilung. Die Antwort ist zu 80 Prozent richtig. Die 20 Prozent, die falsch sind, betreffen genau die Detailauslegung, die im Audit interessant wird. Niemand im Haus weiß, dass diese Anfrage stattgefunden hat. Niemand prüft sie nach.
Das ist kein KI-Problem. Das ist ein Governance-Problem. Aber es wird durch die Verfügbarkeit guter Modelle akut.
Aus meiner Sicht greift die häufigste Reaktion zu kurz. Viele Häuser reagieren mit einem pauschalen Verbot von ChatGPT oder Gemini am Arbeitsplatz. Das funktioniert nicht. Die Tools werden trotzdem verwendet, nur eben über das private Handy. Damit verschwindet die Spur vollständig. Wer Schatten-IT vermeiden will, muss Wege anbieten, nicht Mauern bauen.
Gleichzeitig sehe ich die andere Übertreibung: KI-Agenten, die autonom AML-Fälle priorisieren oder Verdachtsmeldungen vorformulieren, ohne dass die regulatorische Verantwortlichkeit sauber dokumentiert ist. Das ist haftungstechnisch heikel. Die Verdachtsmeldung nach Geldwäschegesetz ist ein hoheitlicher Vorgang. Wenn ein LLM den Vorschlag formuliert und der Compliance-Beauftragte ihn ungeprüft unterzeichnet, ist nicht klar, wer im Schadensfall gehaftet hat.
Drei konkrete Schritte für die nächsten 90 Tage
Mein Rat an Geschäftsführer und Compliance-Verantwortliche in Banken, Vermögensverwaltungen, Zahlungsdienstleistern und Wertpapierfirmen ist pragmatisch. Sie brauchen keine 80-seitige KI-Richtlinie, bevor Sie loslegen. Sie brauchen drei Dinge.
Schritt 1: Bestandsaufnahme in 14 Tagen. Fragen Sie Ihre Compliance-, Geldwäsche- und KYC-Teams ehrlich: Wer nutzt heute schon KI-Tools? Welche? Wofür? Anonym, ohne Konsequenzen. Sie werden überrascht sein. In den meisten Häusern, die ich begleite, liegt die tatsächliche Nutzung bei 40 bis 70 Prozent der Mitarbeitenden in Compliance-Funktionen. Offiziell genehmigt ist meist nichts davon.
Schritt 2: Whitelist statt Verbot. Definieren Sie zwei oder drei Anwendungsfälle, in denen KI-Nutzung explizit erlaubt ist, und benennen Sie das Tool. Beispiele aus meinen Projekten: Recherche zu regulatorischen Updates (KI darf, Quellen werden geprüft), Vorformulierung von Schulungsunterlagen (KI darf, fachliche Freigabe pflichtig), Übersetzung englischer ESMA-Texte (KI darf, Fachterminologie wird gegengelesen). Drei klare Use-Cases sind besser als zwanzig schwammige Regeln.
Daneben benennen Sie zwei oder drei No-Gos: Keine Klardaten zu Kunden in öffentliche LLMs. Keine direkte Übernahme von KI-Output in regulatorische Meldungen. Keine KI-gestützte Entscheidung über die Einstufung von Verdachtsfällen ohne dokumentierte menschliche Prüfung.
Schritt 3: Logging und Vier-Augen-Prinzip technisch verankern. Wenn Sie produktiv mit KI in Compliance arbeiten wollen, brauchen Sie ein Tool, das jede Anfrage protokolliert und das Vier-Augen-Prinzip abbildet. Microsoft Copilot for Microsoft 365 mit einer entsprechend konfigurierten Compliance-Boundary kann das. Eine eigene Azure-OpenAI-Instanz mit Logging in Ihre bestehende SIEM-Lösung auch. Reine Konsumer-Accounts können das nicht. Das ist der Investitionspunkt, an dem viele Häuser sparen, und an dem die Aufsicht später nachhakt.
Was ich nicht empfehle
KI für die finale Bewertung von AML-Verdachtsfällen einzusetzen, halte ich derzeit für zu früh. Die Modelle sind in der Mustererkennung stark, in der juristischen Subsumtion unter den konkreten Tatbestand des Geldwäschegesetzes aber nicht zuverlässig genug. Hier braucht es weiter die menschliche Letztentscheidung, sauber dokumentiert.
Genauso skeptisch bin ich bei vollautomatisierten Sanktionslisten-Treffer-Bewertungen ohne Mensch im Loop. Die False-Positive-Raten sind beherrschbar, aber die False-Negatives bei Namensvarianten und Transliterationen sind das Risiko, das Sie nicht in einem Audit erklären wollen.
Fazit
Die FAZ-Studie bestätigt, was viele in der Branche längst wissen: Die Modelle sind bereit, die Häuser sind es oft nicht. Wer jetzt drei Monate in eine schlanke Governance investiert, ist in zwölf Monaten produktiv. Wer wartet, bis die Aufsicht fragt, fängt unter Druck an. Das ist der teurere Weg.