Wer heute in einem Finanzunternehmen die Kommunikations-Compliance verantwortet, steht oftmals unter zunehmendem Druck, KI in die täglichen Arbeitsabläufe zu integrieren. Für viele Unternehmen stellt sich damit die Frage, wie KI Warnmeldungen prüfen und Entscheidungen so mitprägen kann, dass dies den regulatorischen Anforderungen entspricht.
Compliance-Verantwortliche, die KI bereits einsetzen, haben Antworten auf diese Frage. An einem privaten Roundtable, den Luware diesen Monat am RegTech Summit London hielt, teilten Führungskräfte von Banken, Vermögensverwaltern und weiteren Finanzdienstleistern ihre Erfahrungen mit uns. Ergänzt um Erkenntnisse aus Vorträgen des Gipfels liefert dieser Artikel sechs Tipps für den Einsatz von KI in der Kommunikations-Compliance. Sie erfahren, welche Voraussetzungen erfüllt sein müssen, damit KI einen Mehrwert schaffen kann, und was Ihre Kommunikationsaufzeichnungen belegen müssen.
Kommunikations-Compliance bezeichnet die Erfassung, Aufbewahrung und Aufsicht geschäftlicher Kommunikation, damit ein reguliertes Unternehmen nachweisen kann, wie seine Mitarbeitenden Geschäfte getätigt haben. Sie umfasst regulierte Kommunikation auf allen Kanälen, die Mitarbeitende nutzen (von Anrufen über Videomeetings bis zu Chats) sowie die davon erstellten Transkripte.
Welche Kommunikation Unternehmen erfassen und wie lange sie diese aufbewahren müssen, hängt vom jeweiligen Rechtsraum ab. Die folgende Tabelle fasst die zentralen Aufzeichnungsvorschriften für Finanzdienstleister in der EU, im Vereinigten Königreich und in den USA zusammen:
| Rechtsraum | Aufsichtsbehörde | Zentrale Vorschrift | Aufzeichnungspflichten | Aufbewahrungsfrist |
| EU | Europäische Wertpapier- und Marktaufsichtsbehörde (ESMA) | MiFID II, Artikel 16 Abs. 7 | Wertpapierfirmen müssen Telefongespräche und elektronische Nachrichten zu Transaktionen aufzeichnen, auch wenn kein Geschäft zustande kommt. | Fünf Jahre; auf Verlangen einer Aufsichtsbehörde bis zu sieben Jahre |
| GB | Financial Conduct Authority (FCA) | SYSC 10A, FCA Handbook | Unternehmen müssen Telefongespräche aufzeichnen und elektronische Kommunikation im Zusammenhang mit Geschäften mit Finanzinstrumenten aufbewahren. | Fünf Jahre; auf Verlangen der FCA bis zu sieben Jahre |
| USA | Securities and Exchange Commission (SEC); Financial Industry Regulatory Authority (FINRA) | SEC Rule 17a-4; FINRA Rule 3110 | Broker-Dealer müssen Geschäftsunterlagen einschliesslich Gesprächen aufbewahren und die Kommunikation überwachen. | Je nach Art der Unterlagen unterschiedlich; mindestens 3 Jahre |
| Financial Industry Regulatory Authority (FINRA) | FINRA Rule 4511 | Broker-Dealer müssen Unterlagen gemäss Securities Exchange Act und FINRA-Regeln aufbewahren. | 6 Jahre, sofern nicht anders festgelegt |
KI macht diese Pflichten komplexer. Unternehmen müssen heute nicht nur belegen, was gesagt wurde, sondern auch, was ihre KI mit einer Aufzeichnung gemacht hat. Die folgenden sechs Tipps zeigen, wie führende Finanzunternehmen mit dieser zusätzlichen Ebene umgehen.
KI übernimmt bereits repetitive Aufgaben in der Level-1-Überwachungsprüfung, dem ersten Prüfschritt, in dem Compliance-Verantwortliche entscheiden, welche Warnmeldungen Aufmerksamkeit erfordern. Genau hier staut sich der Aufsichtsaufwand, wenn die Zahl der Kommunikationskanäle und das Nachrichtenvolumen wachsen: Jede Warnmeldung muss von einem Menschen gesichtet und bearbeitet werden.
Viele Finanzdienstleister setzen KI inzwischen genau an diesem Engpass ein. In einer Publikumsumfrage am RegTech Summit London gab die Hälfte der Befragten an, KI in produktiven Compliance-Workflows zu skalieren. Weitere 35% führen Pilotprojekte durch. Nur 3% bezeichneten KI als festen Bestandteil des Tagesgeschäfts. Das deutet darauf hin, dass die meisten Unternehmen zwar über die Experimentierphase hinaus sind, aber nur wenige KI fest in ihre reguläre Compliance-Arbeit integriert haben.
Luwares privater Roundtable am Gipfel zeigte, wie der Effizienzgewinn durch KI in der Prüfarbeit in der Praxis aussehen kann. Ein Finanzinstitut setzt KI auf Level 1 ein und hat Fehlalarme bereits um 64% reduziert; bis Anfang 2027 sind 90% angestrebt. Die Teilnehmenden stellten zudem fest, dass Modelle Zusammenhänge in grossen und komplexen Datensätzen immer besser erfassen. Bei einem Roundtable-Unternehmen deckte KI in einem Verdachtsfall auf Datenabfluss versteckte Änderungen in einer umfangreichen Tabellenkalkulation auf, die bei manueller Prüfung wahrscheinlich übersehen worden wären.
Diese präzisere automatisierte Prüfung von Warnmeldungen ist durch einen Fortschritt in der Analysemethodik möglich. Ältere, lexikonbasierte Regeln kennzeichnen jede Nachricht, die einen gelisteten Begriff enthält. Dadurch kann auch eine harmlose Formulierung eine Warnmeldung auslösen (ein sogenannter falsch-positiver Befund). Kontextbezogene KI-Modelle hingegen lesen den gesamten Austausch, bevor sie entscheiden, ob ein Compliance-Risiko besteht.
| Lexikonbasiertes Monitoring | Kontextbezogene Modelle | |
| Auslösung von Warnmeldungen | Gleicht gelistete Schlüsselwörter und Phrasen ab | Interpretieren die Bedeutung über das gesamte Gespräch hinweg |
| Grösster Schwachpunkt | Übersieht Absichten, die mit nicht gelisteten Wörtern ausgedrückt werden | Benötigen auditierbare Inputs und Outputs |
| Auswirkung auf das Analyseteam | Viele Warnmeldungen, die manuell abgearbeitet werden müssen; möglicherweise übersehene Verstösse | Priorisierte Warteschlangen, sodass sich das Team auf echte Risiken konzentrieren kann |
KI unterstützt auch die nächste Prüfstufe. Ein weiterer Roundtable-Teilnehmender nutzt KI beispielsweise, um kurze Zusammenfassungen zur Fallentscheidung für die Level-2-Triage zu entwerfen, und berichtete von hoher Genauigkeit.
Die meisten Finanzdienstleister setzen KI in den ersten Phasen der Überwachung ein: bei der Erkennung und der Triage. In einer Gipfel-Umfrage zur Aufsicht von Handel und Marktmissbrauch gaben 40% der Befragten an, KI zur Erstellung und Erkennung von Warnmeldungen zu nutzen, 27% für deren Triage. Zusammen sind das zwei Drittel der genannten Einsatzbereiche.
Tiefergehende Analysen sind noch selten: 13% wenden KI auf Nachrichten, Social Media und andere externe Daten an. Zudem nutzen jeweils nur 7% KI zur Verhaltens- oder Anomalie-Erkennung oder zur Verknüpfung von Handels- und Kommunikationsdaten.
Die Erkenntnis: Setzen Sie KI zuerst in der Level-1-Prüfung ein, messen Sie die eingesparte Analysezeit und stellen Sie sicher, dass jeweils das vollständige Gespräch von jeder Warnmeldung aus mit einem Klick erreichbar ist.
KI gelangt oft in die Kommunikation eines Unternehmens, bevor Compliance-Teams davon wissen. Mitarbeitende nutzen öffentliche KI-Tools für ihre Arbeit, und KI-Assistenten sind in Meetings inzwischen an der Tagesordnung. Diese Tools bergen ein höheres Risiko als die meisten anderen, weil sie Gespräche erfassen und verarbeiten. Das bedeutet: Daten können das Unternehmen verlassen.
Die Roundtable-Teilnehmenden beschrieben vier Kanäle, welche die Grenzen von Unternehmen auf die Probe stellen. Diese reichen von bewussten Geschäftsentscheidungen bis zu Tools, die Mitarbeitende eigenständig einführen:
Videomeetings wurden während der jüngsten Pandemie zu einem Kundenkanal und warfen Fragen zu Aufzeichnung, Vertraulichkeit und Transkription auf.
Social Media ist gefragt, da Teams diese Kanäle für die Kundenakquise nutzen möchten.
Bei Messaging-Apps reichen Unternehmens-Richtlinien von vollständigen Verboten bis zur genehmigten Nutzung mit entsprechenden Kontrollen.
KI-Meeting-Assistenten nehmen inzwischen an Kunden- und internen Meetings teil. Unternehmen müssen entscheiden, wie sie mit den erfassten Inhalten umgehen.
Öffentliche KI-Tools lassen sich am schwersten managen, da sie sogar vorhanden sein können, ohne dass sich jemand bewusst dafür entschieden hat. Eine Gipfel-Präsentation zum Drittparteienrisiko bezeichnete dies als Abdrift: die Lücke zwischen dem, was ein Unternehmen genehmigt hat, und dem, was tatsächlich im Einsatz ist. So kann ein genehmigtes Kollaborationstool durch ein routinemässiges Software-Update beispielsweise KI-Funktionen einführen. Die ursprüngliche Bewertung des Unternehmens deckt dann nicht mehr vollumfänglich ab, was das Tool tut.
Die Erkenntnis: Erfassen Sie jeden Kanal, den Mitarbeitende nutzen, wofür sie ihn nutzen, was er darf und wer dafür verantwortlich ist. Überprüfen Sie diese Liste nach jedem Software-Update und kennzeichnen Sie jeden Kanal erneut als genehmigt, erfasst oder gesperrt.
KI in der Kommunikations-Compliance muss sowohl auditierbar als auch erklärbar sein. Auditierbarkeit dokumentiert die Inputs, Outputs und die menschliche Freigabe hinter jeder KI-gestützten Entscheidung. Erklärbarkeit zeigt, warum ein KI-Modell zu einem bestimmten Ergebnis gelangt ist. Etwas, das Aufsichtsbehörden zunehmend erwarten.
| Auditierbarkeit | Erklärbarkeit | |
| Beantwortete Frage | Was ist passiert, und wer hat entschieden? | Warum ist das Modell zu diesem Ergebnis gekommen? |
| Heutige Umsetzbarkeit | Gegeben, mit Audit-Logging und vollständigen Aufzeichnungen | Möglich, aber schwieriger, je komplexer die Modelle werden |
| Erzeugter Nachweis | Inputs, Outputs, Modellversionen und Freigaben | Begründung des Modells, oft noch durch Menschen interpretiert |
Die regulatorischen Erwartungen an KI unterscheiden sich je nach Rechtsraum. Laut Roundtable-Teilnehmenden stehen britische Aufsichtsbehörden der KI-Entwicklung durch Unternehmen recht offen gegenüber, sofern die richtigen Kontrollen vorhanden sind. Anderswo verfolgen Aufsichtsbehörden möglicherweise einen stärker präskriptiven oder durchsetzungsorientierten Ansatz.
Zwei interne Grundlagen machen KI auditierbar. Erstens sollte jedes KI-System einer namentlich benannten Person zugeordnet sein, wie am RegTech Summit London angesprochen wurde. Ein Unternehmen, das KI einsetzt, bleibt für deren Nutzung verantwortlich und kann diese Verantwortung nicht an den Modellanbieter abgeben. Zweitens müssen die Richtlinien zur Kommunikations-Compliance konsistent sein. Die Roundtable-Teilnehmenden stellten fest, dass widersprüchliche oder schlecht strukturierte Richtlinien ebenso inkonsistente KI-Ergebnisse hervorbringen. Die Vorbereitung auf KI kann daher bedeuten, Richtlinien zu überarbeiten und zu vereinheitlichen, Informationen zu klassifizieren und regulatorische Pflichten den internen Kontrollen gegenüberzustellen, bevor ein Modell live geht.
Teilnehmende am privaten Roundtable von Luware zeigten, wie auditierbare KI in der Praxis aussehen kann. In einem Finanzunternehmen durchlief das KI-System vor dem Go-live den Model-Risk-Management-Prozess des Unternehmens. Auch die interne Revision passt sich an: Prüfende bei Roundtable-Unternehmen setzen inzwischen KI ein, um Compliance-KI zu testen.
In der EU wird Erklärbarkeit zur gesetzlichen Anforderung. Das EU-KI-Gesetz verlangt, dass Hochrisiko-KI-Systeme so transparent sind, dass Betreiber ihre Ergebnisse interpretieren können (Artikel 13). Zudem räumt es betroffenen Personen ein Recht auf Erläuterung von Entscheidungen ein, die auf diesen Ergebnissen beruhen (Artikel 86).
Die Roundtable-Teilnehmenden stellten fest, dass die Erklärung eines KI-Ergebnisses häufig noch menschliche Interpretation erfordert. Ein Roundtable-Unternehmen ging Erklärbarkeit und Auditierbarkeit direkt auf Systemebene an: Vor dem Go-live erklärte es seine KI-Architektur den Aufsichtsbehörden.
Die Erkenntnis: Protokollieren Sie jeden KI-Input sowie -Output, jede Modellversion und jede Freigabe. Verlangen Sie, dass jedes KI-System seine Ergebnisse so erklärt, dass Prüfende und Aufsichtsbehörden sie nachvollziehen können. Benennen Sie für jedes System eine verantwortliche Person.
Entscheidend in der KI-gestützten Kommunikations-Compliance ist, dass die zugrundeliegenden Kommunikationsaufzeichnungen vollständig, unveränderbar und nachweisbar sind. Denn Aufsichtsbehörden beurteilen eine KI-Entscheidung anhand der zugehörigen Beweise. Hat die KI eine Warnmeldung auf Basis einer unvollständigen oder veränderten Aufzeichnung gekennzeichnet oder geschlossen, kann das Unternehmen dieses Ergebnis nicht verteidigen. Dies unabhängig davon, wie leistungsfähig das Modell war.
Zwei Trends verschärfen die Lage. Deepfakes machen es notwendig, die Echtheit und Herkunft einer Aufnahme nachzuweisen. Ad-hoc-Aufzeichnungen, welche Transkripte für Kundenservice und Schulungen verwenden, führen dazu, dass sich mehr Personen auf dieselben Aufnahmen stützen.
Da es den meisten Finanzdienstleistungsunternehmen jedoch an einer einheitlichen Datenquelle mangelt, ist es schwierig sicherzustellen, ob eine Aufzeichnung vollständig und unverändert ist. In einer Publikumsumfrage am RegTech Summit London bezeichneten 38% der Befragten ihre Datenarchitektur als fragmentiert, 46% als teilweise konsolidiert und nur 13% als zentralisiert.
Nur wenige erwarten, dass eine Zentralisierung dieses Problem löst. Zur Verbesserung der Datenkonsistenz sprachen sich 42% für KI-gestützte Datenqualitäts-Tools und 42% für eine stärkere Governance sowie klare Datenverantwortung aus. Dies gegenüber 8% für eine zentralisierte Datenarchitektur.
Referierende am Gipfel argumentierten ebenso: KI kann als Intelligenzschicht über Silos hinweg fungieren, statt alle Daten in ein einziges Repository zu zwingen. Anrufe, Meetings, Nachrichten und Transkripte können also auf verschiedene Plattformen verteilt bleiben. Das ist besonders hilfreich, da sich Vorschriften und Daten laufend ändern. Es funktioniert jedoch nur, wenn jede Ebene ihre Aufgabe erfüllt. Jede Aufzeichnung muss vollständig, unverändert und bis zu ihrer Quelle rückverfolgbar sein. Jede Schlussfolgerung braucht nachvollziehbare Inputs und Outputs.
Ich möchte jedoch argumentieren, dass die Prüfebene, auf der Compliance-Verantwortliche arbeiten, anders zu beurteilen ist. Auch sie kann fragmentiert sein, doch das kostet die Verantwortlichen den Überblick und zwingt sie, zwischen Systemen zu wechseln. Ein zentraler Ort zum Suchen, Prüfen und Bereitstellen von Nachweisen macht die Prüfung effizienter.
Luware Recording, Luwares Multi-Plattform-Lösung für die Compliance-Aufzeichnung, ist darauf ausgelegt, diese massgeblichen Aufzeichnungen bereitzustellen. Die Lösung erfasst und archiviert regulierte Kommunikation, sodass Compliance-Verantwortliche Nachweise auf Anfrage der Aufsichtsbehörden über eine einzige Plattform abrufen können.
Regelkonforme Aufzeichnungen in der Kommunikations-Compliance müssen mindestens die sieben untenstehenden Anforderungen erfüllen. Nutzen Sie diese Liste, um jede Plattform für Kommunikations-Compliance zu evaluieren:
Unveränderbare Originale, damit eine als Nachweis vorgelegte Aufzeichnung mit dem Gesagten übereinstimmt.
Vollständige Erfassung, damit Sie die Abdeckung aller erforderlichen Kanäle belegen und nachweisen können, dass ein bestimmter Anruf, ein bestimmtes Meeting oder eine bestimmte Nachricht aufgezeichnet wurde.
Erkennung von Erfassungsfehlern, damit Lücken gefunden und behoben werden, bevor eine Prüfung sie aufdeckt.
Audit-Trails, damit jeder Zugriff, jede Änderung und jeder Export einer Person zugeordnet werden kann.
Aufbewahrungskontrollen, damit Aufzeichnungen für die vorgeschriebene Dauer aufbewahrt und fristgerecht gelöscht werden.
Schneller Abruf und Export, damit Sie die Fristen der Aufsichtsbehörden mühelos einhalten können.
Klare Datenherkunft, damit Sie zeigen können, was ein KI-Tool gelesen hat und woher diese Daten stammen.
Weitere Informationen finden Sie in diesem Leitfaden zur Auswahl einer Compliance-Aufzeichnungssoftware für Finanzdienstleistende.
Die Erkenntnis: Stellen Sie sicher, dass jede Quelle vollständige, unveränderte und rückverfolgbare Aufzeichnungen enthält. Prüfen Sie Ihre bestehenden Kommunikationsaufzeichnungen anhand der erwähnten sieben Kritierien, bevor Sie KI auf dieser Grundlage Entscheidungen treffen lassen.
Viele Compliance-Kontrollen werden über Nacht zwischen Handel und Abwicklung durchgeführt, also bevor Käufer und Verkäufer Wertpapiere oder Geld austauschen. Eine Keynote am RegTech Summit London zeigte auf, was geschieht, wenn diese Zeitspanne schrumpft: Jeder kürzere Zyklus beseitigt ein nächtliches Zeitfenster. Mit 24/7-Handel und sofortiger Abwicklung bleibt überhaupt kein Zeitfenster mehr. Zu den Prozessen, die von schrumpfenden nächtlichen Zeitfenstern betroffen sind, zählen Abgleiche, die Überprüfung von Warnmeldungen, erneute Sanktionsprüfungen und das Ausnahmemanagement.
Den Wandel hin zu Märkten, die rund um die Uhr geöffnet sind, haben Überwachungsteams bereits im Blick. Auf die Frage, was die Wirksamkeit der Überwachung im kommenden Jahr am stärksten beeinträchtigen wird, nannten 22% der Befragten einer Publikumsumfrage am Gipfel 24-Stunden-Märkte. Dies wurde nur übertroffen von Prognosemärkten mit 56%, die ebenfalls rund um die Uhr handeln. Auf Tokenisierung und sonstige Antworten entfielen jeweils 11%. KI erhielt keine Stimmen. Das deutet darauf hin, dass die Befragten KI inzwischen als angewandtes Werkzeug betrachten, dessen disruptive Phase vorbei ist.
Lange Aufbewahrungsfristen schaffen ein zweites Zeitproblem. Im Rahmen des Ansatzes harvest now, decrypt later können Angreifer verschlüsselte Daten heute sammeln und sie entschlüsseln, sobald Quantencomputer ausgereift sind. Manche heute aufgezeichnete Kommunikation wird sich noch innerhalb ihrer Aufbewahrungsfrist befinden, wenn die Migration auf Post-Quanten-Kryptografie notwendig wird. Dieselbe Keynote bezeichnete dies als eine Konvergenz, mit der niemand gerechnet hat.
Die Erkenntnis: Erfassen Sie alle Kontrollen, die auf einen nächtlichen Batch-Lauf angewiesen sind, und planen Sie, wie sie künftig kontinuierlich laufen können. Fragen Sie Ihre Anbieter für Aufzeichnung und Archivierung, wann sie Post-Quanten-Verschlüsselungsstandards für Aufzeichnungen mit langen Aufbewahrungsfristen unterstützen werden.
Die wichtigste Schutzmassnahme in der KI-gestützten Überwachung ist ein «Human in the Loop»: ein Mensch, der weiterhin erkennen kann, wann die KI falsch liegt. Diese Kompetenz ist gefährdet, weil KI genau die Junior-Aufgaben übernimmt, an denen Analystinnen und Analysten sie früher aufgebaut haben.
Eine Publikumsumfrage am RegTech Summit London unterstreicht dies: 57% der Befragten nannten Compliance-Überwachung und -Monitoring als die Funktion, die KI am stärksten neu definieren wird. Es folgten regulatorische Compliance mit 21% und Informationstechnologie mit 14%.
Ein zweites Risiko für den Erhalt menschlichen Urteilsvermögens ist das Durchwinken, bei dem Prüfende KI-Empfehlungen akzeptieren, ohne sie ernsthaft zu hinterfragen. Eine der Referierenden am Gipfel schlug vor, KI wie eine neue Arbeitskraft zu behandeln, deren Autonomie erst wächst, wenn sie sich als zuverlässig erweist. Ebenso brauchen Unternehmen Prüfende und Governance-Verantwortliche, die kontinuierlich dazulernen, statt eines einmaligen Schulungsprogramms. Denn KI entwickelt sich schneller als die meisten Governance-Zyklen. Was heute als Fachwissen gilt, kann innerhalb eines Jahres überholt sein.
Alexander Grafetsberger, der seitens Luware am privaten Roundtable teilnahm, kommentierte dies wie folgt:
Gespräche am privaten Roundtable von Luware und am Gipfel zeigten drei Wege auf, menschliches Urteilsvermögen auf Trab zu halten:
Obligatorische KI-Schulungen: Ein Roundtable-Unternehmen verpflichtet alle Mitarbeitenden, pro Quartal zwei Stunden KI-Schulung zu absolvieren. Zudem verfolgt das Unternehmen, wie genehmigte Tools genutzt werden.
Erfolgskriterien vor Pilotprojekten: Kennzahlen wie eingesparte Stunden manueller Arbeit, weniger falsch-positive Befunde und die Qualität von Untersuchungen werden festgelegt, bevor Ergebnisse vorliegen.
Analoge Tage: eine am Gipfel vorgestellte Idee, bei der Unternehmen ihre KI-Systeme vorübergehend abschalten, um sicherzustellen, dass kritische Abläufe auch ohne sie funktionieren.
Die Erkenntnis: Binden Sie bei jeder folgenreichen Entscheidung einen Menschen ein und schulen Sie diese Person jedes Quartal im Umgang mit KI. Testen Sie regelmässig, ob kritische Abläufe auch ohne KI ausgeführt werden können.
Der beste Ausgangspunkt für KI in der Kommunikations-Compliance sind die Kommunikationsaufzeichnungen selbst: Prüfen Sie, ob jeder aufgezeichnete Anruf, jedes Meeting und jede Nachricht vollständig, unverändert, abrufbar und bis zur Quelle rückverfolgbar ist. KI-Effizienz, Auditierbarkeit und menschliche Prüfung hängen allesamt von diesen Aufzeichnungen ab.
Die Aufzeichnungen sind allerdings nur der Ausgangspunkt. Die sechs oben genannten Tipps machen deutlich, dass für den Einsatz von KI im Bereich der Kommunikations-Compliance in jedem Schritt Sicherheitsvorkehrungen getroffen werden müssen. Wählen Sie Ihre Modelle sorgfältig aus, halten Sie vertrauliche Daten aus öffentlichen KI-Tools heraus und überwachen Sie jedes Modell, das eingesetzt wird.