AI-native Compliance

Von Dokumenten zu einem strukturierten Compliance-Arbeitsbereich

KI-native Compliance bedeutet, KI innerhalb eines strukturierten, überprüfbaren Compliance-Prozesses einzusetzen – nicht einfach einen Chatbot zu einer Dokumentenablage hinzuzufügen. Das Arbeitsprinzip ist einfach: KI beschleunigt Vorbereitung und Analyse, Menschen genehmigen folgenreiche Entscheidungen, und Nachweise bleiben mit jeder durch sie gestützten Aussage verknüpft.

Für einen CTO stellt sich aus architektonischer Sicht die Frage, ob das System die tatsächlichen Kontrollen der Organisation abbilden kann. Eine Richtlinie beschreibt das beabsichtigte Verhalten. Ein Konfigurationsexport zeigt eine Einstellung. Eine abgeschlossene Überprüfung von Zugriffsrechten belegt eine durchgeführte Tätigkeit. Das sind unterschiedliche Arten von Nachweisen, und die Erzeugung flüssiger Texte macht sie nicht austauschbar.

Ein sinnvoller Arbeitsbereich verknüpft Anforderungen, Kontrollen, Systeme, Nachweise, Verantwortliche, Aufgaben und Entscheidungen. Diese Struktur ermöglicht es Teams, belegte Informationen über mehrere Rahmenwerke hinweg wiederzuverwenden, ohne ähnliche Anforderungen mit gleichwertigen Verpflichtungen zu verwechseln.

Warum getrennte Rahmenwerkprojekte technische Schulden erzeugen

Organisationen verwalten Richtlinien häufig in Dokumenten, Nachweise in Ordnern, Risiken in Tabellenkalkulationen und Behebungsaufgaben in Projektwerkzeugen. Die Darstellungen für Audits werden anschließend aus diesen verstreuten Quellen neu zusammengestellt. Ein zusätzliches Rahmenwerk führt häufig zu einer weiteren Kopie derselben Informationen.

Die Folgen gehen über den administrativen Aufwand hinaus. Getrennte Teams können technischen Mitarbeitenden widersprüchliche Anweisungen zu demselben Zugriffskontrollprozess geben. Eine Bewertung verwendet möglicherweise eine veraltete Architekturbeschreibung, während eine andere die aktuelle Fassung nutzt. Ein professionell aufbereiteter Bericht kann eine ungelöste Umsetzungslücke verdecken.

Die praktische Alternative ist ein gemeinsames Kontrollmodell mit rahmenwerkspezifischen Ansichten. Pflegen Sie die Umsetzung einmal, verknüpfen Sie geeignete Nachweise und bewerten Sie getrennt, welche Anforderungen dadurch unterstützt werden. Das reduziert doppelte Anfragen, ohne Unterschiede beim Geltungsbereich, bei Bewertungszeiträumen oder bei gesetzlichen Pflichten zu verwischen.

Bestimmen Sie die Anwendbarkeit, bevor Sie KI Kontrollen zuordnen lassen

Beginnen Sie mit der organisatorischen Abgrenzung: Welcher Dienst, welche juristische Person, welche Systeme, Standorte und Anbieter sind einbezogen? Erfassen Sie die Version des Rahmenwerks und den Grund, weshalb jede Verpflichtung gilt. Andernfalls kann KI plausible Zuordnungen für Anforderungen erzeugen, die außerhalb des tatsächlichen Geltungsbereichs liegen.

Die Unterschiede sind wesentlich:

• BSI IT-Grundschutz, ein zentraler Schwerpunkt der dokumentierten Arbeitsabläufe von Secani, verbindet eine Methodik für Informationssicherheit mit einem Kompendium von Bausteinen. Modellieren Sie die Zielobjekte im Geltungsbereich und wählen Sie die anwendbaren Bausteine aus, statt das Kompendium als universelle Checkliste zu behandeln.
• ISO/IEC 27001 betrifft ein Informationssicherheitsmanagementsystem mit definiertem Geltungsbereich. Die Anforderungen an das Managementsystem, die Risikobehandlung, die Erklärung zur Anwendbarkeit, das interne Audit und die Managementbewertung bleiben eigenständige Ergebnisse.
• NIS2 wird durch nationales Recht umgesetzt. Die Anwendbarkeit hängt von Sektor, Größe, Diensten und den Regeln zur Einbeziehung ab; eine Zertifizierung belegt keine Compliance.
• DORA erfasst in erster Linie bestimmte Finanzunternehmen. Für IKT-Anbieter können vertragliche Verpflichtungen entstehen, während für als kritisch eingestufte Anbieter ein separates Überwachungsregime gilt.
• Die Verpflichtungen aus der DSGVO hängen von der Verarbeitung und den Rollen der Organisation ab. Sicherheitsnachweise allein belegen keine Einhaltung der Verordnung.

Behandeln Sie die Anwendbarkeit als genehmigte Eingabe, nicht als Schlussfolgerung, die das Modell stillschweigend zieht. Legen Sie bei unklaren Fällen eine ausdrückliche Aufgabe zur Auslegung mit einer verantwortlichen prüfenden Person an.

Erstellen Sie das Nachweismodell, bevor Sie Dokumente generieren

Ein praktikables Mindestmodell sollte zwischen Anforderung, umgesetzter Kontrolle, unterstützendem Nachweis und Prüfentscheidung unterscheiden. Eine hochgeladene Datei ist nicht selbst eine Kontrolle, und eine genehmigte Richtlinie ist kein Beweis dafür, dass das Verfahren durchgängig funktioniert.

Auch Abhängigkeiten gehören in das Modell. Eine kundenorientierte Anwendung kann von einem Identitätsanbieter, einer Cloud-Infrastruktur und einem extern betriebenen Supportteam abhängen. Nachweise zu einer einzelnen Abhängigkeit dürfen nicht automatisch als Beleg für den gesamten Dienst behandelt werden.

Diese Struktur macht eine unzureichende Abdeckung sichtbar: Eine Zugriffsrichtlinie kann aktuell sein, während die Prüfprotokolle fehlen, oder ein Screenshot der Konfiguration kann nur eine Umgebung abdecken.

Nutzen Sie KI für Zuordnungsvorschläge, nicht für automatische Gleichsetzungen

KI kann dabei helfen, relevante Passagen zu extrahieren, Beziehungen vorzuschlagen, fehlende Belege zu identifizieren und Kontrollbeschreibungen zu entwerfen. Stellen Sie ihr eindeutig bezeichnete Quellversionen und die tatsächliche Umsetzung bereit – nicht nur die Titel der Kontrollen.

Ein sinnvoller Zuordnungsvorschlag erläutert, welcher Teil sich überschneidet, welche Nachweise diese Überschneidung stützen und was unberücksichtigt bleibt. Beziehungen sind häufig Viele-zu-viele-Beziehungen: Eine Kontrolle unterstützt mehrere Anforderungen, während eine Anforderung mehrere Kontrollen benötigt.

Der Umgang mit Sicherheitsvorfällen veranschaulicht diese Grenze. Ein gemeinsamer Reaktionsprozess kann mehrere Rahmenwerke unterstützen, doch Meldeschwellen, Empfänger, Auslöser und Fristen können sich unterscheiden. Die Wiederverwendung des operativen Prozesses erfüllt nicht jede Meldepflicht.

Prüfende Personen sollten vor der Genehmigung einer Wiederverwendung auf fehlende Abdeckung, widersprüchliche Quellen, veraltete Verweise und unbelegte Aussagen achten. Bewahren Sie die Begründung zusammen mit der Beziehung auf, damit spätere Änderungen am Rahmenwerk oder an der Umsetzung fundiert bewertet werden können. Unser Leitfaden für ein operatives Risikoregister wendet dasselbe Prinzip der überprüften Unterstützung auf Szenarien und Entscheidungen zur Risikobehandlung an.

Nachweiserhebung und Dokumentenentwurf benötigen unterschiedliche Schutzmaßnahmen

Erheben Sie Nachweise über einen kontrollierten Prozess aus maßgeblichen Systemen, unabhängig davon, ob Sie dafür manuelle Exporte oder einen geprüften Erhebungsmechanismus verwenden. Erfassen Sie, wer sie wann erhoben hat und welche Grundgesamtheit sie abdecken. Gehen Sie nicht davon aus, dass ein KI-gestütztes Produkt automatisch Zugriff auf operative Systeme hat.

Bei der KI-gestützten Extraktion sollte die Quellpassage oder der Datensatz erhalten bleiben, auf die oder den sich jede Schlussfolgerung stützt. Prüfen Sie besonders sorgfältig, wenn Dokumente widersprüchliche Aussagen enthalten, Screenshots keine Datumsangaben aufweisen oder exportierte Daten bestimmte Konten ausschließen. Fehlende Nachweise sollten zu einer Frage oder Aufgabe führen – nicht zu einer erfundenen Behauptung, dass die Kontrolle funktioniert.

Verwenden Sie für generierte Dokumentation ein einheitliches Entwurfsmuster: Zweck, Geltungsbereich, Umsetzung, Verantwortlicher, Nachweise, Ausnahmen und Prüfstatus. Unterscheiden Sie zwischen vorgesehenen Verfahren und beobachtetem Betrieb. Berichte sollten überprüfte Kontrollen verwenden und wesentliche Lücken offenlegen, statt Entwurfsvorschläge in endgültige Zusicherungen umzuwandeln.

Auch hochgeladenes Material muss als nicht vertrauenswürdige Eingabe behandelt werden. In Dokumenten eingebettete Anweisungen dürfen weder den Prüfablauf außer Kraft setzen noch Handlungen autorisieren. Lesezugriff für die Analyse darf keine Berechtigung implizieren, Kontrollen zu ändern, Entscheidungen zu genehmigen oder Berichte zu verteilen.

Praxisbeispiel: eine Zugriffsprüfung, mehrere Verwendungen

Betrachten wir beispielhaft ein SaaS-Team, das einen Produktionsdienst dokumentiert. Angenommen, es verfügt über eine genehmigte Zugriffsrichtlinie, einen datierten Export des Identitätsanbieters, Aufzeichnungen über vierteljährliche Prüfungen und eine offene Aufgabe zur Entfernung von zwei nicht benötigten Administratorkonten. Einsparungen oder eine bestimmte Produktleistung werden nicht vorausgesetzt.

Das Team definiert zunächst die Abgrenzung: Produktionskonten sind einbezogen; eine separate Forschungsumgebung ist ausgeschlossen. Anschließend verknüpft es die Richtlinie mit dem vorgesehenen Prüfprozess und die abgeschlossenen Aufzeichnungen mit der Prüftätigkeit.

Die KI schlägt eine Beschreibung der Zugriffskontrolle und mögliche Rahmenwerkzuordnungen vor. Die prüfende Person stellt drei Probleme fest:

• Der Export deckt Benutzerkonten von Personen ab, jedoch keine Dienstidentitäten.
• Die Prüfaufzeichnungen zeigen Entscheidungen, aber für die zwei Administratorkonten fehlen Nachweise über die Entfernung.
• Die Richtlinie sieht vierteljährliche Prüfungen vor, während eine abgeschlossene Prüfung verspätet erfolgte.

Die prüfende Person genehmigt die belegte Beschreibung, lehnt die Aussage ab, dass sämtliche privilegierten Zugriffe überprüft werden, und erstellt Aufgaben zur Abdeckung von Dienstidentitäten sowie zur Verifizierung der Entfernung. In den rahmenwerkspezifischen Zuordnungen bleiben diese Einschränkungen erhalten.

Das Ergebnis ist ein überprüfter Kontrolldatensatz mit klar begrenzten Nachweisen und offenen Behebungsmaßnahmen. Er ist nützlicher als mehrere selbstsicher formulierte Darstellungen, weil technische Mitarbeitende wissen, was zu beheben ist, und Auditoren prüfen können, worauf die Aussage beruht.

Gestalten Sie die Compliance-Pflege ereignisgesteuert

Kontinuierliche Compliance sollte bedeuten, Nachweise und Entscheidungen bei relevanten Änderungen aktuell zu halten. Sie sollte nicht implizieren, dass KI fortlaufend die Wirksamkeit jeder Kontrolle beweist.

Als praktische Empfehlung sollten Sie planmäßige Prüfungen mit Änderungsauslösern kombinieren: einem neuen Anbieter, einem geänderten Authentifizierungsdesign, einem überarbeiteten Rahmenwerk, einem abgelaufenen Nachweiszeitraum oder einem erheblichen Sicherheitsvorfall. Identifizieren Sie die betroffenen Kontrollen, Zuordnungen, Verantwortlichen und Berichte und fordern Sie bei Bedarf neue Nachweise an.

Halten Sie Statusangaben getrennt: vorgeschlagen, auf Nachweise wartend, überprüft, genehmigt und Behebung offen dürfen nicht zu einer einzigen grünen Anzeige zusammenfallen. Verfolgen Sie Kennzahlen wie überfällige Prüfungen, unbelegte Aussagen, ungelöste Ausnahmen und das Alter der Nachweise. Diese zeigen Arbeitsaufwand und Qualität der Absicherung deutlicher als die Anzahl der Dokumente.

Schützen Sie den Compliance-Arbeitsbereich selbst

Compliance-Unterlagen legen Architektur, Schwachstellen, interne Prozesse und manchmal personenbezogene Daten offen. Bewerten Sie den Hosting-Standort zusammen mit Anbieterzugriffen, Unterauftragsverarbeitern, Aufbewahrung, Löschung, Bedingungen zur Modellnutzung und anwendbaren Regelungen für Datenübermittlungen. Ein Datenstandort in der EU oder in Deutschland allein begründet weder Souveränität noch DSGVO-Konformität.

Wenden Sie das Prinzip der minimalen Berechtigungen an und trennen Sie Entwurf und Genehmigung. Schützen Sie Zugangsdaten und nicht benötigte personenbezogene Informationen, bevor Sie Nachweise hochladen. Verlangen Sie Nachvollziehbarkeit für wesentliche Änderungen und legen Sie fest, wie prüfende Personen eine KI-Schlussfolgerung hinterfragen können. Menschliche Genehmigung muss bedeuten, Belege zu prüfen und Unsicherheit zu klären, nicht eine Warteschlange durchzuklicken.

Beginnen Sie mit einem überprüfbaren Arbeitsablauf

Secani unterstützt einen fokussierten Einstieg: Modellieren Sie einen Dienst oder eine Organisationseinheit anhand realer Zielobjekte, verknüpfen Sie die zugehörigen Systeme und externen Anbieter und benennen Sie Verantwortliche und prüfende Personen. Laden Sie vorhandene Richtlinien, Exporte, Screenshots und Beschreibungen hoch; verknüpfen Sie diese mit den Anforderungen, Kontrollen, Systemen oder Entscheidungen, die sie unterstützen. Verwenden Sie KI-gestützte Vorschläge als Entwürfe, prüfen Sie deren Quellen und bewahren Sie Kommentare, Genehmigungen und Zeitstempel auf. Machen Sie aus fehlenden oder veralteten Nachweisen Aufgaben, statt sie in Dokumenten verborgen zu lassen.

Wählen Sie für den ersten Zyklus eine Kontrollfamilie und einen kurzen Prüfturnus. Verlangen Sie eine klare Umsetzungsbeschreibung, aktuelle unterstützende Nachweise, überprüfte Zuordnungen und zugewiesene Lücken, bevor Sie den Umfang erweitern. Die Secani-Dokumentation erläutert diesen Einstiegsablauf. Erfolg ist eine nachvollziehbare Entscheidung, die die nächste prüfende Person reproduzieren kann – nicht bloß eine größere Sammlung generierter Texte.