KI in der Compliance rückt näher an die Entscheidungsfindung

KI rückt immer näher an Compliance-Entscheidungen heran, und die meisten Programme können nicht nachweisen, wer sie getroffen hat.

S-RM, eine Unternehmensberatung für Intelligence und Cybersecurity, hat 225 Fachleute aus den Bereichen Compliance, Beschaffung, Lieferantenmanagement und Third-Party-Risiko befragt. Die Ergebnisse wurden im 2026-Bericht From Screening to Decision-Making: The Next Phase of AI in Compliance veröffentlicht. Die Schlagzeile ist weniger der Anstieg der Nutzung als vielmehr die Verschiebung des Einsatzbereichs von KI.

Der heutige Einsatz konzentriert sich auf das Screening. Geplante Anwendungen zielen auf die Sorgfaltspflicht. Screening erkennt ein Signal, Sorgfaltspflicht bewertet, was das Signal bedeutet – das sind unterschiedliche Aufgaben mit unterschiedlichen Haftungsprofilen.

Für einen CISO oder Chief Compliance Officer verschiebt sich damit die Fragestellung. Geschwindigkeit ist nicht mehr das Kriterium. Entscheidend ist, ob Sie für einen Prüfer oder eine Aufsichtsbehörde rekonstruieren können, was das Tool erkannt hat, zu welchem Schluss eine Person gekommen ist und welche Daten zwischen beiden geflossen sind. Kiteworks Secure Data Exchange sitzt an der letzten Stelle dieser Kette: der gesteuerte Austausch von Dokumenten und der gesteuerte Zugriff von KI-Assistenten darauf. Dieser Beitrag zeigt, woher der Nachweis stammen muss. Ein Hinweis vorab: S-RM vertreibt ein eigenes KI-basiertes Sorgfaltstool, und alle Zahlen stammen aus Selbstauskünften von 225 Befragten – sie sind also als Tendenz zu verstehen.

Wichtige Erkenntnisse

1. Breite Einführung verschleiert geringe Skalierung.

Die S-RM-Umfrage 2026 ergab, dass 68 Prozent der Befragten KI in der Compliance eingeführt haben, aber nur 20 Prozent berichten von einem umfassenden Einsatz über mehrere Prozesse hinweg.

2. Die nächste Welle liegt nahe an der Entscheidungsfindung.

Geplante KI-Anwendungen verschieben sich vom Screening negativer Medien und Sanktionsprüfungen hin zu Third-Party-Due-Diligence, Customer Due Diligence und Enhanced Due Diligence, bei denen eine Person bewerten muss, was ein Ergebnis bedeutet.

3. Menschen bleiben verantwortlich – ihre Arbeit muss dokumentiert werden.

Nur 12 Prozent der Befragten erwarten, dass KI den Großteil der Due Diligence mit begrenzter menschlicher Kontrolle übernimmt. Damit wird die Prüfung und Freigabe durch Analysten zum entscheidenden Nachweis.

4. Vertrauen überholt Reife.

Eine separate Schellman-Umfrage ergab, dass 74 Prozent angeben, eine KI-Compliance-Prüfung bestehen zu können, während nur 27 Prozent ihre Governance als voll ausgereift bezeichnen. In dieser Lücke entstehen Audit-Feststellungen.

5. Verteidigungsfähigkeit ist ein Datenproblem.

Ein Entscheidungsnachweis ist nur so gut wie die Dokumentation hinter den Dokumenten, dem KI-Zugriff und den Reviewer-Aktionen. Diese Dokumentation muss an einem revisionssicheren Ort liegen – nicht verteilt auf Postfächer, geteilte Laufwerke und Anbieter-Dashboards.

Breite Einführung, Skalierung bleibt Ausnahme

S-RM fand heraus, dass 68 Prozent der Befragten KI selektiv oder umfassend in ihren Compliance-Prozessen einsetzen, während die übrigen 32 Prozent noch Pilotprojekte oder Proofs of Concept durchführen. Nur 20 Prozent berichten von einem umfassenden Einsatz über mehrere Prozesse hinweg. 48 Prozent befinden sich im Mittelfeld, mit KI in ausgewählten Prozessen.

„Ausgewählt“ trägt in diesem Satz viel Bedeutung.

Man könnte es die Deployment-Fata Morgana nennen. Aus der Ferne wirken zwei Drittel der Compliance-Teams, als würden sie auf KI setzen. Bei näherer Betrachtung nutzen nur ein Fünftel KI in mehr als einem Prozess, der Rest setzt KI punktuell bei etablierten Screening-Aktivitäten ein.

Dieser Unterschied ist für den Nachweis wichtiger als für die Technologie. Ein vollständig manueller Prozess erzeugt eine Datei, die eine Person geschrieben hat. Ein vollautomatisierter Prozess – falls es ihn je gibt – erzeugt ein Protokoll, das eine Maschine erstellt hat. Ein hybrider Prozess produziert beides, in unterschiedlichen Systemen, mit einer Übergabe in der Mitte, die niemand dokumentiert hat. Programme, die KI in ausgewählten Prozessen einsetzen, sind Hybridmodelle – und genau bei der Übergabe fehlt der Nachweis.

Stellen Sie sich eine regulatorische Anfrage zu einer einzelnen Sorgfaltsentscheidung vor. Der Analyst erinnert sich, was passiert ist. Das Tool-Ergebnis liegt im Dashboard. Die E-Mail, die beides verknüpft, befindet sich im Postfach einer Person, die inzwischen eine andere Rolle hat. Nichts wurde versteckt – aber auch nichts wurde zusammengeführt.

Das Budget Eilt Den Kontrollen Voraus

Fast vier von fünf Unternehmen erwarten laut S-RM, ihre Investitionen in KI-gestützte Compliance- und Due-Diligence-Technologien in den nächsten zwei Jahren zu erhöhen. Abbildung 2 teilt das auf: 22 Prozent erwarten eine deutliche Steigerung, 56 Prozent eine moderate, 18 Prozent keine Veränderung und 4 Prozent einen moderaten Rückgang. Die durchschnittlichen jährlichen Ausgaben sollen um rund 24 Prozent steigen.

Das Geld kommt. Die Frage ist, was es bewirkt.

Tools erhalten ein Budget, weil sie einen Anbieter und eine Demo haben. Der Entscheidungsnachweis hat selten beides, und nichts in den Budgetdaten von S-RM deutet darauf hin, dass ein Teil der 24 Prozent dafür vorgesehen ist. Ein Team kann seine KI-Ausgaben für Due Diligence verdoppeln und trotzdem die erste Frage eines Prüfers nicht beantworten: Wie wurde ein bestimmtes Ergebnis erzielt – und von wem?

Das gleiche Muster zeigt sich auch in KI-Datengovernance-Programmen allgemein. Die Ausgaben folgen der Funktionalität, die Governance hinkt ein oder zwei Budgetzyklen hinterher. Eine nachgelagerte Kontrolle hat eine Schwäche: Das Audit wartet nicht darauf.

Wo KI Heute Eingesetzt Wird – Und Wohin Sie Geht

Tabelle 1 von S-RM ist der aufschlussreichste Teil des Berichts, weil sie die Entwicklung zeigt. Der aktuelle Einsatz konzentriert sich auf etabliertes Screening. Geplante Anwendungen gehen darüber hinaus.

Lesen Sie die rechte Spalte: Third-Party-Due-Diligence, Customer Due Diligence, Enhanced Due Diligence, Untersuchungen und Fallmanagement. Jeder Punkt ist ein Bereich, in dem eine Person Beweise abwägen und entscheiden muss.

S-RM formuliert es klar: Screening soll potenzielle Risikosignale identifizieren, während umfassendere Due-Diligence- und Untersuchungsprozesse Teams erfordern, die Relevanz und Glaubwürdigkeit dieser Signale bewerten, den Kontext herstellen, ihre Bedeutung bestimmen und Maßnahmen ableiten. Dann folgt der entscheidende Satz: „KI rückt damit näher an den Punkt, an dem Compliance-Entscheidungen getroffen werden – auch wenn sie diese Entscheidungen nicht selbst trifft.“

Lesen Sie das noch einmal: Näher an der Entscheidung – aber nicht die Entscheidung selbst.

In dieser Lücke liegt die Verantwortlichkeit, und sie wird mit jeder Verbesserung der Tools kleiner. Denken Sie an eine KI-Zusammenfassung, die die Eigentümerstruktur eines Drittanbieters als unbedenklich einstuft. Die KI entscheidet nichts. Ein Reviewer, der diese Einstufung in Sekunden übernimmt – ein Punkt in einer langen Warteschlange – entscheidet. Wenn der Nachweis nur die Einstufung und die Freigabe zeigt, kann ein Prüfer die beiden Vorgänge nicht unterscheiden – und Sie auch nicht.

Regulierung Treibt Sorgfaltspflicht Über Das Match Hinaus

S-RM führt die Verschiebung teilweise auf ein verändertes regulatorisches Umfeld zurück. Genannt werden die EU-Verordnung über Zwangsarbeit und die Corporate Sustainability Due Diligence Directive, die beide in den nächsten drei Jahren in Kraft treten sollen. Ich gebe hier die Sichtweise von S-RM wieder und nehme keine rechtliche Bewertung vor; die Auslegung und Anwendbarkeit obliegt Ihrem Legal-Team.

Die praktische Schlussfolgerung von S-RM: Die Identifikation eines Sanktionsmatches, einer politisch exponierten Person oder eines negativen Medienergebnisses reicht möglicherweise nicht mehr aus. Effektive Sorgfaltspflicht kann einen umfassenderen Blick auf Eigentümerstrukturen, Aktivitäten, geografische Präsenz und Geschäftsbeziehungen eines Unternehmens erfordern – inklusive Kontext und Glaubwürdigkeit der gefundenen Informationen.

Setzen Sie das in Relation zu einer Zahl: Unternehmen in der S-RM-Studie überwachen durchschnittlich 2.837 Drittparteien.

Nur wenige Teams können Enhanced Due Diligence für 2.837 Beziehungen manuell durchführen. S-RM bestätigt, dass KI dabei hilft, die Lücke zu schließen, die traditionell durch manuelle, personalintensive Enhanced Due Diligence entstand. Die Prüfung pro Drittpartei nimmt zu, die Anzahl der Drittparteien bleibt gleich – Automatisierung ist der logische Weg, beides zu vereinen.

Deshalb ist das Third-Party-Risk-Management der erste Bereich, in dem Compliance-Verantwortliche erwarten sollten, dass KI eine Entscheidung beeinflusst – nicht nur ein Screening. Deshalb werden auch Supply-Chain-Risk-Management-Programme künftig ihre Arbeitsweise nachweisen müssen, nicht nur ihre Ergebnisse, da die Compliance-Anforderungen für vorgelagerte Beziehungen steigen.

58 Prozent Sagen, Die Tools Haben Probleme Mit Dem Kontext

Der Ehrgeiz hat eine Grenze, und die Befragten erkennen sie. Mehr als die Hälfte – 58 Prozent – gaben an, dass KI-gestützte Due-Diligence-Lösungen Schwierigkeiten haben, Kontext, Glaubwürdigkeit oder Relevanz von Informationen zu bewerten.

Die Hindernisse für eine vollständige Einführung verdienen Aufmerksamkeit, denn keines betrifft das Modell selbst. 54 Prozent nannten fragmentierte Informationen aus Online-Quellen, 46 Prozent schlechte oder inkonsistente Ausgangsdaten, 40 Prozent eingeschränkten Zugang zu geschlossenen oder vertraulichen Quellen. Jede dieser Antworten ist eine Kritik an den Informationen, die der KI zur Verfügung stehen.

Damit ist dies ebenso ein Data-Governance– wie ein Technologieproblem. Ein Sorgfaltsurteil, das auf fragmentierten, inkonsistenten oder unvollständigen Daten basiert, ist nur so verteidigungsfähig wie Ihre Fähigkeit, die verwendeten Quellen zu benennen. Welche Quellen hat das Tool genutzt? Welche waren nicht verfügbar? Welche hat der Analyst nachträglich ergänzt, weil das Tool nicht ausreichte?

S-RM zieht eine klare Linie zwischen Informationsbeschaffung und Bewertung. KI kann mehr von der initialen, datenintensiven Recherche übernehmen. Menschliche Expertise ist dort entscheidend, wo Beweise unvollständig, widersprüchlich oder schwer zu verifizieren sind: Analysten hinterfragen unklare Ergebnisse, bewerten Quellen, suchen Bestätigungen und entscheiden, ob die Information die Risikoeinschätzung verändert.

Jede dieser Handlungen sollte dokumentiert werden. Ein Analyst, der eine Bestätigung sucht und findet, liefert einen Nachweis. Ein Analyst, der sie nicht findet und ein Ergebnis herabstuft, liefert etwas noch Wertvolleres: eine dokumentierte Begründung. Bleibt diese Begründung in einem Chat oder im Kopf, existiert sie für einen Prüfer nicht.

Der Fünfjahresblick: Mensch Im Mittelpunkt – Mit Einschränkung

S-RM fragte nach der Entwicklung von KI-gestützter Due Diligence in den nächsten fünf Jahren. Die Antworten lassen sich keinem Lager klar zuordnen. Nur 12 Prozent glauben, dass KI künftig die meisten Due-Diligence-Aufgaben mit begrenzter menschlicher Kontrolle übernimmt, sobald Datenqualität und -abdeckung steigen. 48 Prozent erwarten, dass KI viele Aufgaben übernimmt, während Experten für komplexe Entscheidungen, Urteile und Hochrisikofälle unverzichtbar bleiben. 33 Prozent erwarten, dass KI vor allem Recherche und Informationsbeschaffung beschleunigt, Menschen aber weiterhin die Arbeit führen. 7 Prozent erwarten, dass KI auf Screening und Rechercheunterstützung beschränkt bleibt, weil Datenqualität und -verfügbarkeit den Einsatz begrenzen.

Zählt man die mittleren beiden Antworten zusammen, erwarten 81 Prozent, dass Menschen weiterhin unverzichtbar oder führend bleiben. Diese Summe stammt von mir, nicht von S-RM.

Blockieren Sie KI, verbringen Analysten Zeit mit Recherche – die Aufgabe, die laut S-RM KI gut erledigt – während die Zahl der Drittparteien weiter wächst. Überlassen Sie KI die Entscheidung, entsteht ein Prozess, den niemand erklären kann – in einem Bereich, in dem S-RM selbst sagt, dass die Tools mit Kontext kämpfen. Kein Extrem hält einer Prüfung stand. S-RM zieht das Fazit: Unternehmen sollten das richtige Maß an menschlicher Kontrolle am Risiko der Entscheidung ausrichten und nachvollziehbare, vertrauenswürdige und verteidigungsfähige Ergebnisse schaffen.

Beachten Sie, was dieser Satz verlangt: Menschliche Kontrolle entsprechend dem Risiko ist eine Frage der Policy. Verteidigungsfähige Ergebnisse sind eine Frage des Nachweises. Die meisten Programme haben die erste Frage beantwortet – und die zweite ausgelassen.

Das Versäumnis, das benannt werden muss, ist „Oversight Theater“: Es sieht aus wie menschliche Kontrolle, ist aber ein Reviewer, der eine KI-Zusammenfassung abnickt, ohne zu dokumentieren, was geprüft, hinterfragt oder geändert wurde. Die Kontrolle existiert auf dem Organigramm, aber nicht in der Akte. Wird das Ergebnis später angefochten, entpuppt sich der Mensch in der Schleife als Checkbox – und das Unternehmen hat sowohl für das Tool als auch für den Reviewer bezahlt, ohne den Nachweis, dass einer von beiden etwas getan hat.

Governance-Optimismus Überholt Governance-Reife

S-RM ist nicht die einzige Umfrage, in der Unternehmen glauben, weiter zu sein, als ihre Programme zeigen. Der Schellman-Bericht „2026 State of AI Governance“ befragte 525 US-Fachleute in Unternehmen mit mehr als 500 Mitarbeitern und mindestens 100 Millionen Dollar Umsatz. 74 Prozent sagen, ihr Unternehmen könne heute ein KI-Compliance-Audit bestehen, aber nur 27 Prozent beschreiben ihre KI-Governance als voll ausgereift – also vollständig operationalisiert und kontinuierlich überwacht. Schellman bietet KI-Governance-Assessments und Zertifizierungen an, die Stichprobe ist US-only, ungewichtet und basiert auf Selbstauskünften.

Beide Zahlen können nur stimmen, wenn das Audit vorgestellt und nicht angesetzt ist.

Vertrauen ist billig, bis jemand die Akte anfordert. Die Lücke zwischen 74 und 27 Prozent ist die Lücke zwischen dem Glauben, Ihr GRC-Programm decke KI ab, und der Fähigkeit, die Nachweise dafür zu liefern. Teams, die in dieser Lücke leben, entdecken sie meist erst im Audit – dem teuersten Zeitpunkt.

Speziell beim Third-Party-Risiko fand dieselbe Schellman-Umfrage, dass nur 36 Prozent angaben, dass Vorstand oder Geschäftsleitung formell über Third-Party- oder Vendor-KI-Risiken gesprochen haben. Das ist relevant, weil S-RM-Befragte diejenigen sind, die diese Beziehungen managen. Wenn der Vorstand das Risiko nicht diskutiert, trägt das Sorgfaltsteam es allein – mit Tools, die der Vorstand nicht geprüft hat.

Eine weitere Perspektive kommt aus der Security: Der ISACA-Bericht „State of Cybersecurity 2026″ basiert auf 1.888 ISACA-Mitgliedern und Zertifikatsträgern, die im zweiten Quartal 2026 befragt wurden. Nur 9 Prozent verfügen über ein ausgereiftes, formales Programm für Third-Party-KI-Risiken mit KI-spezifischen Policies, Assessments und Monitoring. Weitere 17 Prozent verlassen sich auf allgemeine Third-Party-Risiko-Prozesse. Die Stichprobe ist auf Security-Profis ausgerichtet und nicht repräsentativ für Unternehmen insgesamt – also als Tendenz zu verstehen.

Die 17 Prozent, die den alten Prozess weiterverwenden, sind die stille Zahl. Ein Fragebogen, der einen Vendor-Firewall prüft, fragt nicht, wie dessen KI Ihre Geschäftspartner bewertet. Ein Review-Zyklus, der auf jährlichen SOC-Reports basiert, erfasst kein Modell, das sich quartalsweise ändert.

Finanzdienstleister Zeigen, Wie Operative KI Aussieht

S-RM betrachtet die Finanzdienstleistungsbranche als Vorreiter für andere Sektoren. Die Größe der Teilstichprobe wird nicht genannt – daher ist auch dieser Abschnitt als Tendenz zu verstehen.

Fast ein Drittel der Finanzdienstleister, 32 Prozent, berichten von umfassendem KI-Einsatz über mehrere Compliance-Prozesse hinweg – gegenüber 20 Prozent im Gesamtsample. Weitere 49 Prozent setzen KI in ausgewählten Prozessen ein, sodass 81 Prozent KI operativ nutzen.

Der aktuelle Einsatz ist ähnlich, aber etwas tiefer: Screening negativer Medien bei 51 Prozent, Customer Due Diligence und KYC bei 48 Prozent, Sanktions- und PEP-Screening bei 48 Prozent, Transaktionsüberwachung bei 41 Prozent. Die nächste Stufe entspricht dem Gesamtsample: Third-Party-Due-Diligence, bei der 59 Prozent der Finanzdienstleister KI innerhalb von 12 Monaten einführen wollen – gegenüber 48 Prozent im Gesamtsample.

Für Compliance-Verantwortliche anderer Branchen ist die Lehre klar: Die am weitesten fortgeschrittene Gruppe zieht sich nicht aus KI-naher Entscheidungsarbeit zurück – sie geht weiter voran. Unabhängig von Ihrer Branche kommt die Frage, wie Sie KI-unterstützte Sorgfalt nachweisen, schneller auf Sie zu, als es die Nachzügler bestimmen.

Eine gute Data-Compliance-Praxis beginnt hier damit, die Sorgfaltsakte von Anfang an prüfungsbereit zu führen – und nicht erst, wenn das Prüfschreiben eintrifft.

Die Verteidigungsfähigkeitslücke Ist Das Eigentliche Risiko

Fasst man die Erkenntnisse zusammen, ergibt sich eine Lücke: die Verteidigungsfähigkeitslücke. Sie ist der Abstand zwischen den Entscheidungen, die KI Ihrem Team ermöglicht hat, und Ihrer Fähigkeit, auf Nachfrage zu zeigen, wie jede einzelne zustande kam.

S-RM verwendet diesen Begriff nicht, aber das Fazit weist direkt darauf hin. Die Unternehmen, die am meisten profitieren, sind laut S-RM nicht unbedingt jene, die auf maximale Automatisierung setzen, sondern die, die KI in Workflows integrieren, das richtige Maß an menschlicher Kontrolle anwenden und nachvollziehbare, vertrauenswürdige und verteidigungsfähige Ergebnisse schaffen.

Nachvollziehbar, vertrauenswürdig, verteidigungsfähig. Ein Anbieter kann Ihnen eines davon als Feature liefern. Die anderen beiden sind Eigenschaften Ihrer Dokumentation.

Ein verteidigungsfähiger Sorgfaltsnachweis muss fünf Fragen beantworten – ohne das Gedächtnis Einzelner: Welche Inputs wurden verwendet? Was sagte das KI-Ergebnis? Wer hat es geprüft und was wurde betrachtet? Was wurde geändert, akzeptiert oder eskaliert? Und was geschah mit den zugrundeliegenden Dokumenten währenddessen?

Die ersten beiden Antworten liegen meist in der Sorgfaltsplattform. Die dritte und vierte können in Tickets, Tabellen oder E-Mails dokumentiert sein. Die fünfte Frage bleibt oft unbeantwortet: Eigentumsnachweise, Fragebögen und Zertifikate wandern zwischen Ihrem Team, Drittparteien und externen Analysten über beliebige Kanäle – und der Audit-Trail für diese Vorgänge ist über Tools verstreut, die nie für diesen Zweck gebaut wurden.

Hier entscheidet sich alles: Ist Ihr Nachweis über mehrere Systeme verteilt, dauert die Zusammenstellung Wochen – während die Regulierungsfrist in Tagen läuft. Ein Audit-Trail, der existiert, aber nicht schnell und konsolidiert vorgelegt werden kann, ist kein Nachweis – sondern Rohmaterial.

Die Nachweislücke ist kein Technologiedefizit. Es ist eine Architekturentscheidung, die niemand getroffen hat, weil diese Prozesse entstanden, bevor jemand KI an die Entscheidungsfindung gesetzt hat.

Wo Kiteworks In Einen Verteidigungsfähigen Sorgfaltsworkflow Passt

Seien Sie präzise, was eine Plattform hier leisten kann – und was nicht. Kiteworks trifft keine Sorgfaltsentscheidung und kann nicht beurteilen, ob eine KI-Zusammenfassung eines Drittanbieters korrekt ist. Es steuert die Daten, die um diese Entscheidungen herum bewegt werden, und dokumentiert, wer sie berührt hat.

Sorgfalt basiert auf Dokumenten, die wandern: Eigentumsnachweise, Fragebögen, Zertifikate und Analystenberichte bewegen sich zwischen Ihrem Team, den geprüften Drittparteien und externen Spezialisten. Kiteworks Secure Data Exchange steuert diese Bewegungen über sichere E-Mails, sicheres Filesharing, SFTP, Managed File Transfer und sichere Datenformulare – unter einer Policy Engine und einem konsolidierten Audit-Log. Für den CCO wird aus der fünften Frage oben – was mit den Dokumenten geschah – so ein Bericht statt einer Rekonstruktion.

KI-Assistenten eröffnen einen zweiten Zugriffspfad auf dieselben Inhalte. Der Kiteworks Secure MCP Server ermöglicht es KI-Assistenten wie Claude und Copilot, mit Inhalten in Kiteworks zu arbeiten. Jede Aktion wird anhand der rollen- und attributbasierten Zugriffsrichtlinien geprüft, die für die Person hinter dem Assistenten gelten, und im selben Audit-Log dokumentiert wie deren sonstige Aktivitäten. Menschen und KI-Assistenten unterliegen einer Policy und einem Audit-Trail – das ist das richtige Modell, solange die Verantwortung beim Menschen bleibt. Kiteworks Compliant AI beschreibt, wie dieser gesteuerte Zugriff an der Schnittstelle zwischen Ihren Daten und Ihren KI-Tools funktioniert.

Der Ansatz folgt dem zero trust data exchange-Prinzip. Eine Anfrage eines Assistenten über den Secure MCP Server wird authentifiziert, gemäß Policy autorisiert und protokolliert – ohne implizites Vertrauen in das KI-Tool selbst. Für Sorgfaltsteams stammt der Nachweis, wer auf welche Drittparteiendatei wann und über welchen Kanal zugegriffen hat, aus dem System – nicht aus einer Rekonstruktion durch Analysten.

Die Grenzen sind klar: Eine gesteuerte Datenschicht dokumentiert nicht die Begründung des Analysten und ersetzt keinen Entscheidungsnachweis. Sie benötigen weiterhin die Begründung des Reviewers. Was sie beseitigt, ist die Diskussion darüber, ob die zugrundeliegenden Dokumente gemäß Policy gehandhabt und abgerufen wurden.

Was Sie Am Montag Tun Sollten

Hören Sie auf zu fragen, ob Ihr KI-Sorgfaltstool genau genug ist. Die entscheidende Frage ist: Wenn ein Prüfer Sie morgen bittet, eine Third-Party-Entscheidung aus dem letzten Quartal zu reproduzieren – könnten Sie das?

Testen Sie das diese Woche an einer einzigen Akte – und beheben Sie, was nicht funktioniert. Vier Schritte bringen Sie fast ans Ziel.

Kartieren Sie die Entscheidungspunkte. Listen Sie jeden Schritt Ihres Third-Party-Due-Diligence-Prozesses auf, bei dem KI beteiligt ist. Markieren Sie, welche Schritte ein Ergebnis liefern und welche ein Urteil erfordern. S-RM-Daten zeigen: Die nächste KI-Welle konzentriert sich auf die zweite Kategorie. Ordnen Sie jedem Schritt zu, was passiert, wenn er falsch ist.

Legen Sie Review-Schwellen fest, bevor das Tool sie für Sie setzt. Menschliche Kontrolle muss mit dem Risiko der Entscheidung skalieren. Legen Sie fest, welche Ergebnisse ein Reviewer akzeptieren darf, welche eine zweite Quelle erfordern und welche an eine benannte Person gehen müssen. Dokumentieren Sie, was der Reviewer jedes Mal festhalten muss.

Erstellen Sie einen Entscheidungsnachweis, der Personalwechsel übersteht. Für jedes Sorgfaltsergebnis erfassen Sie die verwendeten Inputs, das KI-Ergebnis, den Reviewer, Änderungen oder Rückfragen und die Begründung für die finale Entscheidung. Dauert das Ausfüllen länger als wenige Minuten pro Akte, kürzen Sie die Vorlage, bis sie genutzt wird.

Führen Sie die Datenspur an einem Ort zusammen. Entscheiden Sie, wo Sorgfaltsdokumente ausgetauscht werden und wo KI-Assistenten darauf zugreifen dürfen. Prüfen Sie, ob Ihre Audit-Logs beides abdecken. Wo das nicht der Fall ist, haben Sie die Lücke gefunden – bevor es der Prüfer tut.

Stellen Sie dieselbe Frage auch Ihren Anbietern: Bitten Sie jeden KI-Sorgfaltsanbieter – auch die, deren Tools S-RM-Befragte kaufen – zu zeigen, wie ein früheres Ergebnis reproduziert werden kann und welche Nachweise sie zu den genutzten Quellen führen.

Wenn Sie mehr darüber erfahren möchten, wie Sie eine verteidigungsfähige Nachweiskette für KI-gestützte Third-Party-Due-Diligence aufbauen, vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag
  Zero‑Trust-Strategien für bezahlbaren KI-Datenschutz
• Blogbeitrag
  Wie 77 % der Unternehmen bei der KI-Datensicherheit scheitern
• eBook
  KI-Governance-Lücke: Warum 91 % der kleinen Unternehmen 2025 russisches Roulette mit Datensicherheit spielen
• Blogbeitrag
  Es gibt kein „–dangerously-skip-permissions“ für Ihre Daten
• Blogbeitrag
  Regulierungsbehörden fragen nicht mehr, ob Sie eine KI-Policy haben. Sie wollen den Nachweis, dass sie funktioniert.