Automatisierung der Compliance-Nachweiserfassung mit KI

Das Beweisproblem

Die im EU-KI-Gesetz festgelegten Verpflichtungen für Hochrisikoprodukte verursachen einen hohen Verwaltungsaufwand: technische Unterlagen, Protokollaufzeichnungen, Überwachung nach dem Inverkehrbringen, Meldungen von Vorfällen, Protokolle zur menschlichen Aufsicht. Bei den meisten Organisationen scheitert die manuelle Sammlung von Nachweisen bereits innerhalb von sechs Monaten.

Wo sich Automatisierung bezahlt macht

• Modellprotokolle (Artikel 12) — Daten aus den MLOps-Tools in einen versionierten, manipulationssicheren Speicher übertragen.
• Datenherkunft (Artikel 10) — Erstellen von Momentaufnahmen der Datensatzschemata und Validierungsberichten bei jedem Trainingsdurchlauf.
• Änderungshistorie — Jede Modellversion mit einem Commit, einem Ticket und einer Freigabe verknüpfen.
• Nachweise des Anbieters — planmäßige Abrufe aktualisierter Modellkarten und Konformitätserklärungen.
• Unterlagen zur Lese- und Schreibkompetenz (Artikel 4) — LMS-Webhook in ein zentrales Register.

Muster: An der Quelle erfassen, unveränderlich speichern, zur Abfrage indexieren.

Wo Automatisierung die Lage verschlimmert

• Risikoklassifizierung — Das ist eine rechtmäßige Entscheidung.
• Freigaben durch menschliche Überprüfung bei Entscheidungen mit hohem Risiko.
• Ursachenanalyse — Die Datenerfassung automatisieren, die Analyse jedoch in menschlicher Hand belassen.

Eine Referenzarchitektur

1. Aufnahmeschicht — Webhooks aus MLOps, HRIS, LMS, ITSM und Anbieterportalen.
2. Beweismittelarchiv — Objektspeicher mit „Write-Once“-Semantik.
3. Metadaten-Diagramm — jedes Artefakt, das mit einem System, einer Verpflichtung und einer verantwortlichen Person verknüpft ist.
4. Abfrageebene — Dashboards sowie ein für Aufsichtsbehörden geeigneter Export.
5. Kundenbindung — Artikel 12: Aufbewahrung der Protokolle für mindestens sechs Monate.

KI im Regelkreis (mit Bedacht)

LLMs eignen sich gut für das Verfahren „Erst entwerfen, dann prüfen“: Abschnitte in technischen Unterlagen, Zusammenfassungen von Vorfällen, Clusterbildung bei Beschwerden. Jeder Entwurf wird von einer namentlich genannten Person geprüft, bevor er in den Speicher aufgenommen wird.

Erfolgskennzahl

Beantwortung einer Informationsanfrage einer Aufsichtsbehörde in Stunden, nicht Wochen.

---

Siehe auch: Maßgeschneiderte Automatisierung der Compliance · Überblick über das EU-KI-Gesetz · Kostenlose Eignungsprüfung