Inhaltsverzeichnis
- Die Frage kommt garantiert
- Ohne Quelle kein Ergebnis
- Wer hat entschieden?
- Nachvollziehbare Entscheidungen
- KI auf dem Prüfstand
- Fünf Fragen vor dem Start
- Fazit
Die Frage kommt garantiert
Setzen Sie künstliche Intelligenz (KI) in den Bereichen Governance, Risk und Compliance (GRC) ein, merken Sie schnell, wie viel Zeit sich sparen lässt. Verträge lassen sich schneller vorprüfen, Informationen gezielt extrahieren und Bewertungen vorbereiten.
Doch der Zeitgewinn allein sagt wenig darüber aus, ob ein Ergebnis einer Prüfung standhält. Entscheidend ist eine andere Frage: Wie ist es zustande gekommen? Interne Revision, Wirtschaftsprüfer und Aufsicht müssen nachvollziehen können, worauf Ihre Bewertung beruht und wer sie verantwortet. Fehlen diese Informationen, beginnt Ihre Arbeit im Prüfungstermin von vorn.
Eine typische Frage lautet: „Warum wurde diese Dienstleistung als unkritisch eingestuft und wer hat das entschieden?“ Der Hinweis „Das hat die KI vorgeschlagen“ hilft dann wenig.
Hinter einer solchen Einstufung steht eine regulatorische Definition. Nach Artikel 3 Nummer 22 des Digital Operational Resilience Act (DORA) gilt eine Funktion als kritisch oder wichtig, wenn ihre Störung die Finanzleistung eines Finanzunternehmens oder die Solidität und Fortführung seiner Dienstleistungen erheblich beeinträchtigen würde. Ob eine konkrete Dienstleistung darunterfällt, ist damit immer eine Bewertung und genau diese Bewertung muss später begründbar sein.
Nachvollziehbar wird die Entscheidung erst, wenn die verwendeten Informationen, die Bewertungskriterien und die fachliche Freigabe dokumentiert sind.
Ohne Quelle kein Ergebnis
Für uns ist das ein zentraler Grundsatz: Jede inhaltliche Aussage der KI muss sich überprüfen lassen. Bewertet sie eine Vertragsklausel als ausreichend, um eine bestimmte DORA-Anforderung abzudecken, etwa eine der vertraglichen Schlüsselbestimmungen aus Artikel 30 der Verordnung (EU) 2022/2554, muss sie die relevante Passage nennen, möglichst mit Seite und Abschnitt. Schlägt sie eine Klassifikation vor, braucht es eine verständliche Begründung anhand der zugrunde liegenden Informationen und Kriterien.
Fehlt ein belastbarer Beleg, bleibt die Bewertung offen. Eine überzeugende Formulierung ersetzt keine fachliche Grundlage. Auch eine Quellenangabe allein genügt nicht. Die genannte Passage muss die Aussage tatsächlich stützen. Genau das ist Teil der fachlichen Prüfung: Steht dort wirklich, was die KI behauptet? Und reicht die Passage aus, um die Bewertung zu begründen?
Wer hat entschieden?
KI schlägt vor, ein Mensch entscheidet. Damit dieser Grundsatz im Alltag trägt, muss der Prozess ihn abbilden. Bei aixom haben wir das in unserer GRC-Plattform Leno so umgesetzt: Ein KI-Vorschlag wird erst als Bewertung übernommen, wenn die zuständige Person ihn bestätigt oder angepasst hat.
