Finanzdienstleister kennen Risikomanagement als Fachgebiet. Es bestehen bereits Rahmenwerke für Kreditrisiko, operationelles Risiko, Modellrisiko und Compliance. Genau deshalb liegt AI-Governance hier anders als in Branchen, die mit einem unbeschriebenen Blatt beginnen: Die Frage ist nicht, ob es eine Risikostruktur gibt, sondern ob AI darin bereits aufgenommen ist oder daneben gewachsen ist. Modelle für Kreditscoring, Betrugserkennung oder Kundensegmentierung bestehen oft schon länger, als das Label 'AI' darauf geklebt wurde. Die Governance-Frage ist dann nicht: Bauen wir etwas Neues, sondern: Passt die bestehende Aufsicht noch auf das, was inzwischen läuft.
Das Verhältnis zwischen dem, was einem Modellrisikoausschuss oder der Compliance-Abteilung bekannt ist, und dem, was tatsächlich in Gebrauch ist, unterscheidet sich stark je Institut. Bei dem einen ist praktisch alles jemals durch einen Validierungsprozess gegangen, bei dem anderen laufen neben den genehmigten Modellen auch Tools, die einzelne Mitarbeiter oder Teams selbst zu verwenden begonnen haben, ohne dass jemand sie hat prüfen lassen. Welches Verhältnis für eine bestimmte Organisation gilt, lässt sich nicht angeben, ohne dies untersucht zu haben.
Ein Institut mit einem ausgereiften Modellrisikorahmen geht manchmal davon aus, dass AI damit abgedeckt ist. Modellrisikomanagement ist auf statistische Modelle mit festem Input und Output aufgebaut. Ein Sprachmodell, das Kundenanfragen zusammenfasst, ein Tool, das Konzepttext für ein Beratungsschreiben generiert, oder ein System, das Verträge durchsucht, fällt nicht immer unter diese Definition und rutscht dadurch durch das bestehende Netz. Die Governance-Frage ist also nicht nur, welche Modelle es gibt, sondern auch, welche Tools als AI erkannt werden und welche nicht.
Daneben ist die Rolle der AI im Prozess entscheidend. Ein Tool, das einen Berater bei der Erstellung einer Beratung unterstützt, ist etwas anderes als ein Tool, das die Beratung selbst generiert oder eine Annahmeentscheidung beeinflusst. Dieselbe Technologie kann in der einen Anwendung ein Hilfsmittel sein und in der anderen ein Glied, das direkt eine Entscheidung gegenüber einem Kunden berührt. Eine Klassifizierung nach Rolle und Risikoniveau ist daher notwendig, bevor ein Institut sagen kann, welches Aufsichtsniveau zu welcher Anwendung passt.
Die IT-Liste genehmigter Anwendungen ist nicht das, was tatsächlich verwendet wird. Mitarbeiter in der Finanzdienstleistung arbeiten mit Kundendossiers, Transaktionsdaten und vertraulichen Beratungsinformationen, und gerade diese Gruppe ist nicht immun dagegen, einen Text in ein kostenloses Chatfenster einzufügen, um schneller eine Zusammenfassung oder einen Antwortentwurf zu erhalten. Wie sich dieses Risiko konkret zeigt und was dagegen zu tun ist, steht beschrieben in dem Ansatz gegen Unternehmensdaten in einem kostenlosen Chatfenster.
Der Grund, warum diese Nutzung unsichtbar bleibt, ist selten Widerwilligkeit. Es ist häufiger eine Folge von Unklarheit darüber, was erlaubt ist und was nicht, kombiniert mit Zeitdruck. Wer wissen will, was tatsächlich genutzt wird, muss direkt danach fragen, und das funktioniert nur, wenn Mitarbeiter keine Sanktion für die Antwort fürchten müssen. Ein Ansatz, der dies berücksichtigt, wird erläutert auf der Seite über das Sichtbarmachen von Tools, die niemand genehmigt hat.
Was die Finanzdienstleistung außerdem auszeichnet, ist die Gewohnheit, Rechenschaft abzulegen. Ein Risikomanager oder General Counsel in dieser Branche ist es gewohnt, einer Aufsichtsbehörde oder dem Aufsichtsrat zeigen zu können, wie ein Risiko beurteilt wurde und welche Maßnahmen daraus folgen. Für AI bedeutet das, dass ein Inventar nicht losgelöst vom bestehenden Risikorahmenwerk stehen kann; es muss darin passen, mit derselben Einteilung in Risikoklassen und denselben Berichtslinien, die bereits für andere Risikokategorien gelten. Ein Governance-Paket, das neben das bestehende Rahmenwerk gelegt wird, anstatt darin aufgenommen zu werden, bringt bei der nächsten Prüfungsrunde zusätzliche Arbeit statt Halt.
Der Inhalt der Regeln, die auf AI anwendbar sind, ändert sich und wird anderswo aktuell gehalten. Diese Seite beschreibt den Mechanismus: inventarisieren, was läuft, klassifizieren nach Rolle und Risiko, und das Ergebnis in bestehende Governance-Strukturen einbetten, sodass ein Institut bei einer Frage der Aufsichtsbehörde oder des Vorstands eine Antwort hat, die anschließt an die Art, wie Risiko bereits gemanagt wird.
Die Spannung zwischen bestehender Aufsicht und neuer Nutzung von AI ist nicht einzigartig für die Finanzdienstleistung. Vergleichbare Muster sind zu erkennen in der Art, wie Governance rund um AI im Energiesektor eingerichtet wird, in der Art, wie die Bauindustrie mit AI-Anwendungen auf der Baustelle und im Entwurfsprozess umgeht, und in der Art, wie der Immobiliensektor auf AI bei Bewertung und Verwaltung blickt. Was sich unterscheidet, ist nicht der Mechanismus, sondern der Ort, an dem das Risiko landet: bei einer Bank oder einem Versicherer ist das oft eine Entscheidung, die direkt einen Kunden betrifft.
Ein Inventar der AI-Nutzung und die zugehörige Risikoklassifizierung zeigen, was läuft und unter welche Aufsicht das fallen sollte. Sie zeigen nicht, was diese Nutzung für die Einteilung der Arbeit selbst bedeutet: welcher Teil einer Aufgabe, wie das Erstellen eines Beratungsberichts, das Durchleuchten eines Dossiers oder das Zusammenfassen eines Kundengesprächs, dafür in Frage kommt, von AI übernommen zu werden, und welcher Teil bei einem Mitarbeiter bleibt. Diese Frage liegt außerhalb der Reichweite eines Governance-Scans und wird beantwortet durch den Arbeitsscan von FTE TO AI, der pro Aufgabe berechnet, welcher Teil der Arbeit an AI übertragen werden kann.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.