Souveräne KI für regulierte Branchen: Was ein Finanzdienstleister wirklich umgesetzt hat

Souveräne KI für regulierte Branchen entsteht nicht durch einen Auftragsverarbeitungsvertrag, sondern durch eine Architektur, die Datenflüsse kontrollierbar macht. Das zeigt die anonymisierte Fallstudie eines deutschen Finanzdienstleisters, der KI für die Bearbeitung von Kreditunterlagen einsetzen wollte, ohne Kunden- und Bonitätsdaten unkontrolliert an externe Modellanbieter zu senden.

Der Fall ist typisch für viele Häuser: Die Fachbereiche hatten längst öffentliche KI-Tools ausprobiert. Ein Sachbearbeiter wollte lange E-Mail-Verläufe zusammenfassen, die Marktfolge suchte nach Abweichungen in Unterlagen, Compliance wollte Antworten auf interne Richtlinien schneller finden. Der Nutzen war greifbar. Gleichzeitig enthielten fast alle Dokumente Namen, Kontonummern, Einkommensangaben oder Informationen über Zahlungsrückstände. Ein Browser-Tab beim KI-Anbieter war damit keine tragfähige Lösung.

Ausgangslage: Die Schattennutzung war das eigentliche Risiko

Der Finanzdienstleister beschäftigte rund 430 Mitarbeitende und verarbeitet täglich mehrere hundert Anträge und Nachreichungen. Vor dem Projekt gab es keine freigegebene KI-Plattform. Es gab nur einzelne Team-Lizenzen, private Accounts und eine Richtlinie, die personenbezogene Daten in öffentlichen KI-Tools untersagte.

Diese Richtlinie wurde nicht bewusst ignoriert. Sie passte schlicht nicht zum Arbeitsalltag. Wer vor 18 Seiten Korrespondenz sitzt und in zehn Minuten eine Entscheidungsvorlage braucht, sucht einen Weg. In einer internen Stichprobe fand das Unternehmen 27 verschiedene KI-Zugänge auf Unternehmensgeräten. Keiner davon lieferte einen vollständigen Audit-Trail, also ein nachvollziehbares Protokoll darüber, wer welche Daten verarbeitet hat.

Der Datenschutzbeauftragte verlangte zu Recht Antworten auf einfache Fragen: Welche Daten verlassen das Unternehmen? Welche Verarbeitungstätigkeit liegt vor? Wer darf auf die Eingaben zugreifen? Der Informationssicherheitsbeauftragte stellte eine weitere Frage: Was passiert, wenn ein externer Anbieter seinen Dienst ändert, Preise anhebt oder einen Standort verlagert? Genau an diesem Punkt wird aus einem KI-Projekt ein Architekturthema.

Die Entscheidung: Kein Verbot, sondern ein kontrollierter KI-Zugang

Das Unternehmen entschied sich gegen ein pauschales Verbot. Verbote funktionieren bei Werkzeugen, die in Sekunden erreichbar sind, selten länger als ein Quartal. Stattdessen wurde ein zentraler KI-Zugang aufgebaut, über den jede Anfrage läuft.

Dieser KI-Gateway trennt Benutzeroberfläche, Datenprüfung und Modellzugang. Mitarbeitende verwenden einen internen Chat im Unternehmens-Login. Das Gateway prüft jede Eingabe, ordnet den Vorgang einer Datenklasse zu und leitet ihn erst dann an ein freigegebenes Modell weiter. Direkte Zugriffe auf öffentliche KI-Dienste wurden für die betroffenen Teams über den Unternehmensbrowser gesperrt.

Ein konkreter Fall aus der Kreditprüfung zeigt, warum diese Trennung zählt: Eine Sachbearbeiterin lädt eine E-Mail mit einer Bitte um Ratenanpassung hoch. Das Dokument enthält Namen, Vertragsnummer, Adresse, Monatsnettoeinkommen und eine medizinisch begründete Arbeitsunfähigkeit. Das System erkennt diese Angaben vor der Modellanfrage. Vertragsnummer und Name werden pseudonymisiert; die medizinische Information löst eine Sperre für externe Modellzugriffe aus. Die Zusammenfassung läuft dann auf einem intern betriebenen Modell in europäischer Cloud-Infrastruktur.

Das ist kein perfekter Automatismus. Die Erkennung personenbezogener Daten hat Fehlerraten, besonders bei frei formulierten E-Mails und eingescannten Dokumenten. Deshalb enthielt die erste Ausbaustufe einen Freigabe-Dialog für Grenzfälle. Das kostet Sekunden. Es ist trotzdem deutlich billiger als ein Datenschutzvorfall, dessen Ursache später nicht mehr sauber rekonstruiert werden kann.

Die Architektur: Datenklasse entscheidet über das Modell

Souveräne KI für regulierte Branchen braucht keine Ideologie über europäische oder amerikanische Modelle. Sie braucht eine klare Regel: Die Sensibilität der Daten entscheidet über die Route.

Der Finanzdienstleister definierte vier Datenklassen. Öffentliche Inhalte wie Gesetzestexte oder Produktinformationen durften an einen externen, vertraglich freigegebenen Modellanbieter gehen. Interne Arbeitsanweisungen ohne Personenbezug wurden über eine Retrieval-Augmented-Generation-Anwendung verarbeitet. Bei diesem Verfahren beantwortet das Modell Fragen auf Basis freigegebener Dokumente, ohne das Modell selbst mit Unternehmenswissen nachzutrainieren. Personenbezogene Daten und Kreditakten blieben auf einem Open-Weights-Modell, dessen Modellgewichte verfügbar sind und das in einer europäischen Umgebung betrieben wurde. Besonders geschützte Informationen waren für generative KI zunächst gesperrt.

Das Routing war bewusst regelbasiert und nicht allein dem Modell überlassen. Ein Sprachmodell kann Daten klassifizieren, aber es darf nicht die letzte Instanz darüber sein, ob sensible Daten eine geschützte Umgebung verlassen. Die verbindlichen Regeln lagen im Gateway: Datenklasse, Nutzerrolle, erlaubter Zweck und Modellfreigabe.

Für den Betrieb bedeutete das auch: Das Unternehmen brauchte keine Datenkopien in fünf Fachanwendungen. Die KI-Anwendung erhielt über APIs nur den Zugriff, der für den jeweiligen Vorgang erforderlich war. Eine Anfrage zur Zusammenfassung einer Akte bekam genau diese Akte und keine pauschale Leseberechtigung auf den gesamten Dokumentenbestand. Dieses Prinzip wirkt unspektakulär. In Audits trennt es eine belastbare Lösung von einer hübschen Demo.

DSGVO-Konformität entsteht aus Nachweisen, nicht aus Zusagen

Ein Auftragsverarbeitungsvertrag bleibt notwendig, sobald ein Dienstleister personenbezogene Daten im Auftrag verarbeitet. Der Vertrag beantwortet aber nicht, ob eine konkrete Eingabe zulässig war oder ob das Unternehmen Datenminimierung eingehalten hat. Diese Nachweise muss die KI-Architektur liefern.

Im Projekt wurden daher jede Anfrage und jede Modellantwort revisionssicher protokolliert: Nutzerkennung, Zeitstempel, verwendete Datenklasse, gewähltes Modell, Freigabeentscheidung und technische Kennung des Vorgangs. Die Inhalte selbst speicherte das Unternehmen nur in einer gekürzten, geschützten Form, weil ein Protokoll nicht zum zweiten Datenleck werden darf.

Für die Datenschutz-Folgenabschätzung wurden die Verarbeitungsschritte nicht abstrakt beschrieben, sondern an echten Arbeitsfällen geprüft. Beim Antragsservice ging es um Zusammenfassungen. In Compliance ging es um die Suche in Richtlinien. Die Marktfolge wollte auffällige Klauseln in Dokumenten markieren. Jeder Fall bekam einen Zweck, eine Rechtsgrundlage, eine Aufbewahrungsregel und eine technische Route.

Der Aufwand war spürbar. Die erste produktive Version dauerte knapp fünf Monate, weil Berechtigungskonzepte und Dokumentenqualität mehr Arbeit machten als die Auswahl des Modells. Wer verspricht, eine belastbare KI-Architektur für ein reguliertes Unternehmen in zwei Wochen einzuführen, verkauft meist einen Pilotzugang, keinen Betrieb.

Was nach dem Go-live besser lief und was nicht

Nach sechs Monaten nutzten 146 Mitarbeitende den zentralen KI-Zugang. Die Bearbeitungszeit für die Erstzusammenfassung umfangreicher Korrespondenz sank im Pilotbereich von durchschnittlich 14 auf 6 Minuten. Das ist ein brauchbarer Effekt, aber kein Freifahrtschein für automatisierte Kreditentscheidungen. Die fachliche Prüfung blieb beim Menschen, und das musste auch so bleiben.

Die größte Verbesserung lag an anderer Stelle: Das Unternehmen konnte erstmals nachvollziehen, welche KI-Anwendungen im Einsatz waren und welche Datenklassen verarbeitet wurden. Bei einer internen Prüfung dauerte die Zusammenstellung der Nachweise zwei Tage statt mehrerer Wochen. Compliance musste nicht mehr auf Selbstauskünfte aus den Fachbereichen hoffen.

Nicht jeder Anwendungsfall lohnte sich. Ein Versuch, eingescannte Altakten automatisch zu strukturieren, scheiterte zunächst an schlechten OCR-Ergebnissen. Bei schief eingescannten Seiten und handschriftlichen Ergänzungen produzierte das System zu viele Fehler. Der Dienstleister stoppte den Rollout und investierte erst in Dokumentenqualität. Das war die richtige Entscheidung. KI repariert keine chaotischen Eingangsdaten.

FAQ

Reicht ein Auftragsverarbeitungsvertrag für den DSGVO-konformen Einsatz von KI?

Nein. Ein Auftragsverarbeitungsvertrag regelt die Verarbeitung durch einen Dienstleister, ersetzt aber weder eine passende Rechtsgrundlage noch technische Schutzmaßnahmen. Unternehmen brauchen außerdem eine Dokumentation der Verarbeitung, Zugriffskontrollen, Löschregeln und bei hohem Risiko häufig eine Datenschutz-Folgenabschätzung.

Müssen Finanz- und Logistikunternehmen eigene Sprachmodelle trainieren?

In den meisten Fällen nein. Ein eigenes Training ist teuer, schwer zu kontrollieren und für viele Aufgaben unnötig. Häufig reicht ein betriebenes Open-Weights-Modell zusammen mit einer Retrieval-Augmented-Generation-Anwendung, die nur auf freigegebene interne Dokumente zugreift.

Können externe KI-Modelle in einer souveränen KI-Architektur eingesetzt werden?

Ja, sofern keine unzulässigen Daten übertragen werden und der konkrete Anwendungsfall freigegeben ist. Für öffentliche Inhalte, Entwürfe ohne Personenbezug oder allgemeine Recherche können externe Modelle wirtschaftlich sinnvoll sein. Entscheidend ist, dass der KI-Gateway die Anfrage vor dem Versand prüft und die Route dokumentiert.

Was bedeutet der EU AI Act für diese Architektur?

Der EU AI Act ergänzt die DSGVO und bringt je nach KI-System weitere Pflichten, etwa zu Risikomanagement, Dokumentation und menschlicher Aufsicht. Eine Architektur mit zentralem Zugang, nachvollziehbaren Datenflüssen und klaren Freigaben schafft dafür eine brauchbare Grundlage. Die rechtliche Einordnung des einzelnen Einsatzfalls bleibt Aufgabe von Compliance und Rechtsberatung.

Fazit

CIOs und Compliance-Verantwortliche in Frankfurt und im Rhein-Main-Gebiet sollten KI nicht als Einkaufsthema behandeln, sondern als Teil ihrer geschäftskritischen IT-Architektur. Prüfen Sie in einem 90-minütigen Workshop zuerst drei reale Arbeitsfälle, ihre Datenklassen und die heutigen Datenwege; anschließend können Sie die KI-Potenziale für Ihr Unternehmen besprechen und entscheiden, welcher kontrollierte Einstieg wirtschaftlich trägt.