KI-Governance by Design: Revisionssichere KI in der Kundenkommunikation nach der KI-Verordnung

KI-Initiativen scheitern selten an der Technologie. Sie bleiben in der Freigabe stecken. Das Projekt funktioniert in der Demo, die Fachbereiche sind überzeugt, dann stoppt die Compliance-Prüfung den Übergang in den Produktivbetrieb: Wer freigeben muss, verlangt den Nachweis, dass jedes Ergebnis nachvollziehbar und überprüfbar ist. In Banken, Versicherungen, Versorgungsunternehmen und der öffentlichen Verwaltung hält die Idee, Kontrollen später nachzuziehen, der Prüfung durch Risk und Compliance nicht stand.

Seit dem 2. August 2026 gilt die KI-Verordnung allgemein, und die Behörden setzen sie durch. Der Unterschied zwischen einem genehmigten und einem blockierten KI-Projekt liegt daher nicht in der Leistungsfähigkeit des Modells, sondern in den dokumentierten Nachweisen zu jeder Kontrolle. Deshalb muss KI-Governance von Anfang an mitgedacht werden, statt sie nachträglich aufzusetzen. Genau dieser Schritt macht Compliance von einer Last zu einem Wettbewerbsvorteil.

Was ist KI-Governance und warum ist sie für Unternehmen wichtig?

KI-Governance ist die Gesamtheit von Regeln, Rollen, Prozessen und technischen Kontrollen, die den Einsatz künstlicher Intelligenz nachvollziehbar, überprüfbar und konform machen. Dazu gehören das Inventar der KI-Systeme, die Risikoklassifizierung, die Versionierung von Modellen und Inhalten, die Validierung von Ergebnissen, die Steuerung von Datenzugriffen und die menschliche Aufsicht.

Für Unternehmen ist sie aus drei Gründen wichtig. Regulatorisch: KI-Verordnung, DSGVO und branchenspezifische Vorgaben (DORA, MaRisk, BaFin-Aufsicht) verlangen den Nachweis, wie KI eingesetzt wird. Operativ: Ohne Governance beginnt die Diskussion mit Risk und Compliance bei jedem neuen Anwendungsfall von vorn. Reputativ: Eine fehlerhafte Mitteilung an Tausende Kunden ist ein Risiko, das kein Vorstand ohne nachweisbare Kontrollen akzeptiert. Im Unternehmenskontext ist KI-Governance Teil der digitalen Architektur, gleichrangig mit Sicherheit und Betriebskontinuität.

Wozu brauchen Unternehmen eine KI-Governance?

Vor allem, um KI-Projekte überhaupt in Produktion zu bringen. Wer eine KI-Initiative in einem regulierten Umfeld freigibt (Risk, Compliance, Einkauf, Enterprise Architecture), stellt immer dieselben Fragen: Wer hat diesen Inhalt erstellt und wann? Mit welchem Modell? Wo liegen die Daten? Wer hat das Ergebnis vor dem Versand freigegeben? Ohne strukturierte Antworten wird ein Projekt, auch wenn es nicht abgelehnt wird, fast immer verschoben. KI-Governance liefert diese Antworten automatisch, als Teil des Workflows.

Was regelt die KI-Verordnung (AI Act) für Unternehmen?

Die KI-Verordnung (Verordnung (EU) 2024/1689, international AI Act) ist der erste umfassende Rechtsrahmen für künstliche Intelligenz. Sie folgt einem risikobasierten Ansatz: Bestimmte Praktiken sind verboten, Hochrisiko-Systeme unterliegen strengen Anforderungen, Systeme, die mit Menschen interagieren oder Inhalte erzeugen, haben Transparenzpflichten, und KI-Modelle mit allgemeinem Verwendungszweck sind eigens geregelt.

Für Unternehmen sind vor allem diese Pflichten relevant:

• KI-Kompetenz: Mitarbeitende, die KI nutzen, müssen ausreichend geschult sein (Art. 4, seit dem 2. Februar 2025, ebenso wie die Verbote nach Art. 5).
• Inventar und Klassifizierung: alle eingesetzten KI-Systeme erfassen, auch solche in Software von Drittanbietern, und einer Risikoklasse zuordnen.
• Transparenz: Personen informieren, wenn sie mit einem KI-System interagieren, und KI-generierte oder veränderte Inhalte kennzeichnen (Art. 50).
• Hochrisiko-Anforderungen: Risikomanagement, Daten-Governance, technische Dokumentation, automatische Protokollierung und menschliche Aufsicht. Dazu zählen etwa die Kreditwürdigkeitsprüfung und die Prämienberechnung in der Lebens- und Krankenversicherung.
• Betreiberpflichten: Wer ein Hochrisiko-System einsetzt, muss die Gebrauchsanweisung befolgen, die Aufsicht kompetenten Personen übertragen und die Protokolle aufbewahren.

Welche Pflichten gelten ab dem 2. August 2026 nach der KI-Verordnung?

Am 2. August 2026 ist die KI-Verordnung in die allgemeine Anwendung gegangen. Seitdem können das KI-Büro der Europäischen Kommission und die nationalen Behörden die Regeln durchsetzen, und die Transparenzpflichten nach Artikel 50 gelten: Chatbots und virtuelle Assistenten müssen offenlegen, dass Kunden mit einer KI kommunizieren, und KI-generierte oder veränderte Inhalte müssen erkennbar sein, auch über maschinenlesbare Kennzeichnungen. Für die Umsetzung der Kennzeichnungslösungen gilt eine Übergangsfrist bis zum 2. Dezember 2026.

Der im Sommer 2026 verabschiedete Digital Omnibus zur KI hat die Hochrisiko-Pflichten verschoben: auf den 2. Dezember 2027 für eigenständige Systeme nach Anhang III wie das Kredit-Scoring und auf den 2. August 2028 für KI in regulierten Produkten. Das ist kein Grund zu warten. Technische Dokumentation, Risikomanagement und Audit Trail brauchen Monate, und wer heute beginnt, hat die Nachweise zum Stichtag bereit.

Wie stellen Banken und Versicherungen KI-Compliance in der Kundenkommunikation sicher?

In der Kundenkommunikation (Kontoauszüge, Policen, Rechnungen, Mahnungen, regulatorische Mitteilungen) stützt sich KI-Compliance auf vier konkrete Grundpfeiler. Es sind dieselben, die eine Compliance-Abteilung vor der Freigabe prüft.

1. Was ist ein Audit Trail für KI und warum ist er revisionssicher wichtig?

Ein Audit Trail für KI ist die strukturierte Aufzeichnung, die für jeden Inhalt festhält, wer ihn erstellt hat, wann, mit welchem Modell und welchen Daten, wer ihn geprüft und wer ihn freigegeben hat. Jedes Dokumentenartefakt, von der Vorlage bis zur einzelnen Mitteilung, bewahrt seine eigene Historie.

Revisionssicher heißt: vollständig, unveränderbar, nachvollziehbar und jederzeit prüfbar, so wie man es aus der Archivierung nach GoBD kennt. Nur ein revisionssicherer Audit Trail hält einer internen Revision, einer Wirtschaftsprüfung oder einer Prüfung durch die Aufsicht stand. Ohne ihn kann ein Unternehmen zwar erklären, die Transparenzpflicht nach Artikel 50 zu erfüllen, es aber nicht belegen.

2. Governance-Modell

Der zweite Grundpfeiler umfasst Versionierung, Validierung und Überwachung von Systemen und Inhalten. Ein rollenbasiertes Governance-Modell legt fest, wer entwirft, wer freigibt und wer veröffentlicht. Es führt IT, Legal, Compliance und Fachbereich in einer einzigen Verantwortungskette zusammen und ersetzt eine zwischen den Funktionen zersplitterte Governance.

3. Datenkontrolle, Datensouveränität und DSGVO

Der dritte Grundpfeiler betrifft Datenresidenz, Zugriffskontrolle und Datenminimierung. Datensouveränität, also die Kontrolle darüber, wo Daten verarbeitet werden und wer darauf zugreifen kann, ist für regulierte Kommunikation eine DSGVO-Anforderung, die weit über ein technisches Detail hinausgeht.

4. Was bedeutet Human in the Loop bei künstlicher Intelligenz?

Human in the Loop bedeutet, dass ein Mensch eingreift, bevor ein KI-Ergebnis wirksam wird: Er prüft, korrigiert und gibt Inhalte mit hoher Tragweite frei, bevor sie den Kunden erreichen. Anders als eine nachträgliche Kontrolle bleibt die finale Entscheidung beim Menschen. Die KI-Verordnung verlangt eine wirksame menschliche Aufsicht für Hochrisiko-Systeme (Art. 14). Wird die Freigabe im Audit Trail dokumentiert, kann das Unternehmen nachweisen, dass die Entscheidung nicht allein dem KI-System überlassen wurde. Genau das macht den Inhalt gegenüber Behörde und Kunde vertretbar.

Wie setzt man KI-Governance im Bankwesen um?

Banken verfügen bereits über ausgereifte Kontrollsysteme nach MaRisk und DORA. Der häufigste Fehler ist ein Parallelprozess nur für KI. Bewährt hat sich dieser Weg:

1. Inventar: alle KI-Anwendungsfälle erfassen, auch KI in Produkten von Drittanbietern.
2. Klassifizierung: Hochrisiko-Anwendungen (Kreditwürdigkeitsprüfung, Pricing in Lebens- und Krankenversicherung) von Anwendungen mit begrenztem Risiko wie der KI-gestützten Erstellung von Kundenmitteilungen trennen.
3. Verantwortlichkeiten: Use-Case-Owner, Kontrollfunktion und Freigabeinstanz benennen und IT, Legal, Compliance und Fachbereich verbinden.
4. Kontrollen in die Plattform: Audit Trail, Versionierung, Datenresidenz und menschliche Freigabe als Funktionen des Kommunikations-Workflows, nicht als Excel-Listen.
5. Laufendes Monitoring: Qualitätskennzahlen, Anomaliebehandlung und regelmäßige Überprüfung, mit Nachweisen für Prüfungen der Aufsicht und der internen Revision.

Wie funktioniert KI-Risikomanagement in regulierten Branchen?

KI-Risikomanagement in regulierten Branchen kombiniert mehrere Ebenen. Die KI-Verordnung legt die gesetzlichen Pflichten fest. Die ISO/IEC 42001, veröffentlicht 2023, ist der erste zertifizierbare internationale Standard für KI-Managementsysteme und strukturiert Rollen, Prozesse und kontinuierliche Verbesserung. Das NIST AI Risk Management Framework ist ein freiwilliges Rahmenwerk mit vier Funktionen (Govern, Map, Measure, Manage), das Teams hilft, Risiken in der Praxis zu identifizieren und zu behandeln. Hinzu kommen DORA und DSGVO.

Alle verlangen Nachverfolgbarkeit, Daten-Governance und Prozesskontrolle. Eine Architektur, die diese Elemente von Grund auf integriert, liefert die Nachweise, die Prüfer suchen, statt sie kurz vor dem Stichtag rekonstruieren zu müssen.

Governance Debt: das Risiko, KI-Governance aufzuschieben

Jede KI-Implementierung ohne Kontrollrahmen erzeugt Governance Debt, eine regulatorische Schuld, die mit jedem Deployment wächst. Der Mechanismus gleicht der technischen Schuld, nur mit anderem Gläubiger: einer Behörde, einem Prüfer, einem Kunden. Hunderte Legacy-Vorlagen nachträglich in kontrollierte Schemata zu migrieren, nie erfasste Nachverfolgbarkeit zu rekonstruieren und nie formalisierte menschliche Kontrollen nachzuweisen kostet weit mehr als Governance von Anfang an. Hinzu kommen Bußgelder nach der KI-Verordnung von bis zu 15 Mio. Euro oder 3 % des weltweiten Jahresumsatzes für die meisten Verstöße und bis zu 35 Mio. Euro oder 7 % für verbotene Praktiken.

Wie gelingt vertrauenswürdige KI im Unternehmen?

Vertrauenswürdige KI ist nicht die KI, die in der Demo am besten abschneidet, sondern die, deren Verhalten im Produktivbetrieb überprüfbar ist. Neben den vier Grundpfeilern entscheiden Architekturfragen.

Vendor Lock-in zu vermeiden, also die schwer umkehrbare Abhängigkeit von einem Anbieter, ist zuerst eine Governance-Entscheidung und dann eine Frage des Einkaufs. Eine LLM-agnostische Plattform, die an kein einzelnes Modell gebunden ist, erlaubt die Wahl des passenden LLM je Anwendungsfall (OpenAI, Mistral, Google Gemini, DeepL oder ein proprietäres Modell), abhängig von Region, Regulierung und internen Richtlinien.

Für regulierte Branchen ist der Vorteil greifbar: Ein souveränes Modell, trainiert und gehostet in der EU, kann Kommunikation mit hohem Risiko übernehmen, während übliche Cloud-Dienste für Inhalte mit geringem Risiko genutzt werden. In besonders sensiblen Branchen lassen sich ausschließlich die Analysemodule aktivieren, die generativen Funktionen bleiben deaktiviert. Das Unternehmen entscheidet nach eigenen Richtlinien, welche Funktionen im Einzelfall aktiv sind.

Welche Lösungen bieten vertrauenswürdige KI in einer deutschen bzw. europäischen Cloud?

Entscheidend sind drei Kriterien: Hosting und Betrieb vollständig in der EU, keine Abhängigkeit von außereuropäischen Hyperscalern für sensible Daten und freie Wahl des Betriebsmodells. Für eine Bank, eine Versicherung oder eine Behörde kann der On-Premise-Betrieb im eigenen Rechenzentrum in Deutschland ein Projekt genehmigungsfähig machen, das sonst abgelehnt würde. Sensible Daten bleiben in einem überprüfbaren, DSGVO-konformen Perimeter, eine Bedingung, die in Lastenheften dieser Branchen oft nicht verhandelbar ist.

Welche Plattformen für Kundenkommunikation bieten KI-Governance und DSGVO-konforme KI?

Vorab: Es gibt keine Zertifizierung nach der KI-Verordnung für eine Plattform. Konformität hängt davon ab, wie das Unternehmen KI einsetzt, und die Plattform muss die Kontrollen liefern, um sie nachzuweisen. Beim Vergleich von CCM-Plattformen lohnt der Blick auf diese Kriterien:

• Nativer, revisionssicherer Audit Trail für jeden Inhalt, jede Vorlage und jede Aktion von KI-Agenten.
• Konfigurierbare menschliche Freigabe für Inhalte mit hoher Tragweite.
• KI-Aktivierung je Mandant und je Funktion, inklusive reiner Analysemodi.
• LLM-agnostische Architektur mit Zugang zu europäischen souveränen Modellen.
• Hosting und Betrieb in der EU, wahlweise als SaaS, Private Cloud, On-Premise oder hybrid.
• Rollenbasierte Berechtigungen und Versionierung von Vorlagen und Inhalten.
• Revisionssichere Langzeitarchivierung und Vertrauensdienste nach eIDAS.

Doxee integriert diese Kontrollen direkt in die Doxee Platform, statt sie als Zusatzmodul aufzusetzen. KI-Agenten handeln innerhalb der Mandantenberechtigungen, jede Aktion wird protokolliert und ist nachvollziehbar, zentrale Aktionen durchlaufen eine menschliche Freigabe, und die KI-Governance lässt sich je Mandant aktivieren oder deaktivieren. Die Plattform wird in der EU gehostet und betrieben und ist Any-prem verfügbar: SaaS, Private Cloud, On-Premise oder hybrid. Doxee ist seit 2015 ein von AgID akkreditierter Vertrauensdiensteanbieter.

Jede Funktion hinterlässt eine überprüfbare Spur: die Migration von Legacy-Vorlagen zu standardisierten Schemata, das an der XML/XSL-FO-Logik ausgerichtete Content Acceleration, die Erkennung von Anomalien vor dem Versand, Workflows mit menschlicher Validierung sowie das Digital Archive MCP, das das rechtliche Archiv mit KI-Agenten verbindet und jeden Vorgang prüffähig hält.

Sie müssen eine KI-Initiative in einem regulierten Umfeld freigeben lassen?

Der schnellste Weg zur Freigabe beginnt mit den Nachweisen, die Risk und Compliance verlangen werden. Laden Sie das Executive Brief Kundenkommunikation im Zeitalter der KI-Verordnung: von der Compliance zum Wettbewerbsvorteil herunter und vertiefen Sie das Framework. Vereinbaren Sie ein Gespräch mit dem Doxee-Team für eine Demo zu Ihren Hochrisiko-Anwendungsfällen.

FAQ