Compliance-Infrastruktur
Compliance-Infrastruktur ist die Summe aus Software, Abläufen und Zuständigkeiten, mit der ein Unternehmen nachweist, dass es sich an Gesetze und eigene Regeln hält. Bei KI-Produkten gehören dazu etwa Protokolle über Trainingsdaten, Prüfungen von Ausgaben und dokumentierte Freigaben.
Jedes größere Unternehmen muss sich an Regeln halten: an Gesetze, an Auflagen von Aufsichtsbehörden und an eigene interne Vorgaben. Der englische Begriff dafür ist Compliance, wörtlich « Einhaltung ». Es genügt aber nicht, sich einfach regelkonform zu verhalten. Das Unternehmen muss es auch belegen können, oft Jahre später und gegenüber Prüfern von außen. Compliance-Infrastruktur ist alles, was dafür dauerhaft eingerichtet ist: Programme, festgelegte Arbeitsschritte, Protokolle und benannte Verantwortliche. Man kann sie sich vorstellen wie das Buchhaltungssystem einer Firma, nur für Regeln statt für Geld.
Was auf dem Spiel steht: Bußgelder, Zulassungen, Vertrauen
Ohne belastbare Nachweise wird jede Prüfung zum Risiko. Behörden können Bußgelder verhängen, die sich an einem Prozentsatz des weltweiten Jahresumsatzes bemessen. Bei der europäischen Datenschutz-Grundverordnung sind es bis zu vier Prozent. Solche Summen erreichen bei Großkonzernen leicht mehrere Milliarden Euro.
Für Anbieter von KI-Systemen ist das seit Kurzem noch wichtiger geworden. Die EU-Verordnung über künstliche Intelligenz, der AI Act, teilt Anwendungen in Risikoklassen ein. Wer ein System in einem sensiblen Bereich anbietet, etwa in der Personalauswahl oder bei Kreditentscheidungen, muss Dokumentation, Risikoanalysen und menschliche Aufsicht nachweisen. Fehlt diese Infrastruktur, darf das Produkt in Europa gar nicht verkauft werden.
Dazu kommt ein wirtschaftlicher Grund. Große Kunden und Banken verlangen von Zulieferern Zertifikate und Prüfberichte, bevor sie einen Vertrag schließen. Ein Start-up ohne nachweisbare Prozesse verliert solche Aufträge, selbst wenn seine Technik überzeugt. Compliance ist damit weniger Bürokratie als Marktzugang.
Von der Regel zum Protokoll: die Bauteile
Am Anfang steht die Übersetzungsarbeit. Juristische Vorgaben werden in konkrete, prüfbare Anforderungen zerlegt. Aus « personenbezogene Daten sind zu schützen » wird zum Beispiel: Nur drei benannte Personen dürfen auf diese Datenbank zugreifen, und jeder Zugriff wird gespeichert. Erst in dieser Form kann Software eine Regel überwachen.
Dann folgt die technische Seite. Systeme schreiben Logs, also fortlaufende Protokolldateien über jede Aktion. Rechteverwaltungen regeln, wer was sehen darf. Freigaben laufen über feste Wege, sodass niemand allein eine wichtige Änderung ausrollen kann. Bei KI-Modellen kommt hinzu, welche Datenquellen ins Training eingingen und welche Tests das Modell vor der Veröffentlichung durchlaufen hat.
Ein häufiger Irrtum ist, Compliance-Infrastruktur sei nur ein Software-Einkauf. Der größere Teil sind Menschen und Abläufe: eine zuständige Abteilung, regelmäßige Schulungen, interne Prüfungen, ein Meldeweg für Verdachtsfälle. Wichtig ist außerdem der Unterschied zur Sicherheit. Sicherheitstechnik soll Angriffe verhindern, Compliance-Infrastruktur soll Einhaltung beweisen. Beides überschneidet sich, ist aber nicht dasselbe.
Wo der Begriff in Nachrichten auftaucht
In Quartalsberichten von Banken und Versicherern erscheint er als Kostenpunkt. Konzerne beschäftigen dort teils tausende Menschen allein für Regelfragen, etwa zur Geldwäschebekämpfung. Wenn eine Bank nach einem Skandal « Investitionen in die Compliance-Infrastruktur » ankündigt, sind meist neue Prüfsysteme und zusätzliches Personal gemeint.
In der Tech-Branche ist daraus ein eigener Markt geworden, oft RegTech genannt, von Regulatory Technology. Anbieter verkaufen Software, die Vorgaben automatisch überwacht und Prüfberichte erzeugt. Auch die großen Cloud-Anbieter werben damit, dass ihre Rechenzentren bestimmte Standards erfüllen. Kunden übernehmen damit einen Teil der Nachweise, ohne sie selbst aufzubauen.
Für Anleger ist das Thema aus zwei Richtungen interessant. Schwache Compliance ist ein Risiko, das plötzlich als Strafzahlung sichtbar wird. Gute Compliance-Infrastruktur ist umgekehrt ein Vorteil, weil sie regulierte Märkte überhaupt erst öffnet. Genau darum tauchen KI-Anbieter mit sauberer Dokumentation häufiger in Ausschreibungen von Behörden und Kliniken auf.
