KI-Modellversion einfrieren genügt der Compliance nicht

Eine eingefrorene Modellversion beweist für sich genommen nichts. Sie schließt aus, dass der Anbieter Ihnen unbemerkt ein anderes Modell unterschiebt, mehr nicht. Nachweisbar wird ein KI-Ergebnis erst, wenn eine zweite, unabhängige Instanz es gegen die fachliche Anforderung prüft und dieser Prüfweg protokolliert ist. Alles andere ist ein Versionsstring in einer Konfigurationsdatei.

Warum ein KI-Agent sein eigenes Ergebnis nicht freigeben darf

Die Governance-Frage bei KI-Agenten lautet: Wer prüft das Ergebnis unabhängig? Nicht: Wie viel schafft der Agent allein? In Demo-Videos stellen sich vollautonome Pipelines ihre Aufgaben selbst und nehmen sie selbst ab. In einem 2025 auf heise online veröffentlichten Erfahrungsbericht beschreibt Testmanager Luca Ortiz dagegen einen Workflow, der über sechs Monate rund 140 echte User-Storys verarbeitet und daraus Testfälle in Jira erzeugt hat⁠¹. Dieser Workflow ist an genau einer Stelle bewusst nicht autonom⁠¹.

Wenn Sie eine KI-gestützte Prüfung gegenüber der internen Revision, einem Wirtschaftsprüfer oder einer Aufsicht erklären müssen, ist die Modellauswahl die zweitwichtigste Frage. Die wichtigste: Was können Sie in sechs Monaten noch über einen einzelnen Lauf sagen?

Das Risiko ist die fehlende Spur, nicht die falsche Antwort

Zum Compliance-Problem wird jede Agentenantwort, die im Nachhinein niemand mehr zuordnen kann. Der Fehler ist alt, neu ist das Tempo. Die im Bericht beschriebene ausgelagerte Testautomatisierung produzierte über Jahre Masse ohne Aussagekraft: rund 1.000 Testfälle, wöchentliche Pipeline-Läufe, hunderte False Positives, kein einziger echter Bug⁠¹. Ein Agent liefert dieselbe Masse in Stunden.

Das konkrete Risiko sieht unspektakulär aus. Ein Agent formuliert aus einer User-Story einen Testfall, der Testfall läuft grün. Nur war die Anforderung falsch interpretiert, plausibel falsch, nicht offensichtlich. Auffallen wird das beim Kundenvorfall. Dann steht die Frage im Raum, wer das freigegeben hat und auf welcher Grundlage.

Das Ergebnis allein beantwortet sie nicht. Dafür brauchen Sie Modell-ID, Modellversion, den verwendeten Prompt, die Kontextdokumente in ihrem damaligen Stand und die Prüfentscheidung.

Die KI-Modellversion einfrieren hilft der Compliance nur zur Hälfte

Eine feste Modellversion ist notwendig und als alleinige Maßnahme wirkungslos. Was sie leistet: Sie schließt stille Modellwechsel des Anbieters aus. Erst dadurch wird eine Abweichung zwischen zwei Läufen überhaupt interpretierbar, weil eine Variable weniger im Spiel ist.

Dazu kommt der Abkündigungszeitplan des Anbieters. Die eingefrorene Version ist nicht ewig verfügbar, und das Enddatum bestimmen Sie nicht. Wer eine Modellversion einfriert, kauft befristete Stabilität, kein Archiv.

Gleiche Modellversion, andere Antwort: was bei einem LLM reproduzierbar bleibt

Gleiche Modellversion heißt nicht gleiche Antwort. Sampling, Kontextlänge, die Reihenfolge der übergebenen Dokumente, Rückgaben aufgerufener Tools, Treffer aus dem Retrieval: Jeder dieser Punkte verändert das Ergebnis, ohne dass sich an der Versionsnummer etwas ändert. Wer wortgleiche Reproduzierbarkeit zusagt, sagt etwas zu, das ein LLM technisch nicht hergibt.

In Freigabegesprächen geht die Verschiebung meist unter, die daraus folgt: Reproduzierbar ist in der Praxis die Prüfentscheidung über die Antwort, nicht deren Formulierung. Das ist eine organisatorische Zusage, keine kryptografische. Wer sie geben will, braucht zwei Instanzen mit unterschiedlicher Blickrichtung. Eine prüft gegen die fachliche Anforderung, eine gegen Code und Implementierung⁠¹.

Was der Erfahrungsbericht aus sechs Monaten Projektalltag hergibt

Alle belastbaren Zahlen dieses Artikels stammen aus einer einzigen Quelle, dem 2025 auf heise online erschienenen Bericht von Luca Ortiz: sechs Monate Projektalltag, rund 140 verarbeitete User-Storys, daraus erzeugte Testfälle in Jira, eine bewusst nicht autonome Stelle im Ablauf⁠¹. Die Kontrastzahl aus demselben Bericht: die ausgelagerte Testsuite mit rund 1.000 Testfällen und hunderten False Positives pro Woche, ohne echten Bugfund⁠¹. Autonomie war dort nie das Problem, fehlender fachlicher Kontext schon.

Ortiz ist Testmanager und Team Lead bei der NELTA GmbH in Hamburg und verantwortet Teststrategie und Testautomatisierung in Kundenprojekten⁠¹. Ein Erfahrungsbericht aus einem Projekt, keine kontrollierte Studie. Für eine Hochrechnung taugt er nicht, als Realitätsabgleich gegen Demo-Videos sehr wohl.

Daneben liegen die regulatorischen Anker. Die Verordnung (EU) 2024/1689 über künstliche Intelligenz enthält Vorgaben zu Protokollierung und menschlicher Aufsicht für Hochrisiko-Systeme⁠². ISO/IEC 42001:2023 beschreibt ein Managementsystem für künstliche Intelligenz⁠³. Beides setzt eine Spur voraus, die ein Agentenlauf von sich aus nicht hinterlässt. Ein LLM-Aufruf schreibt kein Protokoll. Das müssen Sie bauen.

So bauen Sie die Kontrolle in den Agenten-Workflow ein

Erzwingen Sie die Rollentrennung technisch, nicht per Hausregel. Ein Agent darf sein eigenes Ergebnis nicht prüfen. Die zweite Instanz bekommt eine andere Blickrichtung und eigenen Kontext, und an der Stelle, an der ein Fehler teuer wird, entscheidet ein Mensch⁠¹. Diese Stelle zu benennen ist die eigentliche Arbeit, nicht das Prompting.

Vor dem ersten produktiven Lauf müssen die Protokollfelder feststehen:

• Modellname und Modellversion
• Aufrufparameter (unter anderem Temperatur, Kontextfenster)
• Prompt-Version mit Änderungsstand
• verwendete Kontextdokumente mit Datum und Fundstelle
• Zeitstempel, prüfende Person oder prüfende Instanz, Entscheidung mit Begründung

Fehlt eines dieser Felder, ist jede spätere Nachfrage unbeantwortbar. Nachträglich rekonstruieren lässt sich das nicht.

Zwei Abnahmekriterien gehören ebenfalls vor den Produktivgang: der Anteil der Agentenergebnisse, die in der zweiten Instanz korrigiert werden, und die False-Positive-Rate der erzeugten Tests. Steigt die Korrekturquote über die Zeit, steigt der Prüfaufwand und nicht die Qualität. Irgendwann prüfen drei Leute, was ein Agent in Sekunden ausgeschüttet hat. Dann gehört der Workflow abgeschaltet.

Totalprüfung ist auf Dauer unbezahlbar. Legen Sie fest, welcher Anteil der freigegebenen Ergebnisse zusätzlich stichprobenartig nachgeprüft wird, und dokumentieren Sie diese Stichprobe genauso sorgfältig wie die Freigabe. Jeder Modellwechsel ist eine Änderung: Eine neue Modellversion läuft erst gegen einen festen Satz Referenzfälle, deren Soll-Ergebnis Sie kennen.

Fünf Fragen für das nächste Freigabegespräch

1. Welche Modellversion lief am Tag X?
2. Wer oder was hat das Ergebnis geprüft, und mit welchem Kontext?
3. Liegt der Prüfweg schriftlich vor, inklusive Prompt und Quelldokumenten?
4. Was passiert, wenn der Anbieter die Modellversion abkündigt?
5. An welcher Stelle im Ablauf entscheidet ein Mensch, und warum genau dort?

Wer alle fünf beantworten kann, hat keine halluzinationsfreie Qualitätssicherung. Sie haben dann eine erklärbare. Mehr ist derzeit nicht zu haben, und wer Ihnen mehr verspricht, hat die Frage nicht verstanden.

Ohne eigene Messwerte bleibt jede Bewertung eines Agenten-Workflows Gefühlssache. Die Korrekturquote aus dem menschlichen Review und die Liste der tatsächlich gespeicherten Protokollfelder sind Angaben, die Sie in Ihrem eigenen Betrieb erheben müssen. Aus fremden Erfahrungsberichten lassen sie sich nicht übernehmen, auch nicht aus diesem.

Nehmen Sie sich in dieser Woche einen einzigen produktiven Agentenlauf vor und beantworten Sie die fünf Fragen schriftlich. Was offen bleibt, ist Ihre Lücke in der Protokollierung, und genau diese Liste ist die Agenda für das nächste Freigabegespräch.