Wie in vielen anderen Unternehmensbereichen ist künstliche Intelligenz (KI) auch in Complianceabteilungen längst Teil des Arbeitsalltags. Mitarbeiter greifen dabei häufig auf frei verfügbare oder generische KI-Tools zurück, die schnelle Unterstützung bei komplexen Aufgaben versprechen. Diese Werkzeuge bergen jedoch Risiken für Transparenz, Nachvollziehbarkeit und wirksame Kontrollen – insbesondere dann, wenn ihr Einsatz keinen klaren Regeln folgt. Um Schatten-KI zu beherrschen, braucht es mehr als Verbote: klare Rahmenbedingungen und KI-Lösungen, die den Anforderungen regulierter Prozesse standhalten.
Für viele Beschäftigte in Complianceabteilungen sind frei verfügbare KI-Anwendungen zunächst eine pragmatische Abkürzung: Ein generischer Chatbot fasst einen langen Meldungstext in Sekunden zusammen, strukturiert umfangreiche Dokumente oder unterstützt bei ersten Recherchen. Mit „Vibe Coding“ lassen sich zudem innerhalb weniger Stunden eigene Werkzeuge zur Klassifizierung und Priorisierung von Risiken entwickeln. Was nach Effizienzgewinn aussieht, kann schnell zum Risiko für das gesamte Complianceprogramm werden. Denn unter Umständen beeinflussen die Anwendungen, welche Fälle priorisiert, welche Personen überprüft oder welche Geschäftspartner als risikoreich eingestuft werden – ohne dass die zugrundeliegenden Prozesse ausreichend dokumentiert oder kontrolliert werden.
Wie verbreitet der Griff zu nicht freigegebenen Werkzeugen ist, zeigt eine YouGov-Erhebung: 77% der MINT-Fachkräfte in Deutschland nutzen demnach KI-Anwendungen ohne ausdrückliche Freigabe. Gleichzeitig liegen die durchschnittlichen Kosten von Datenschutzvorfällen mit Schatten-KI-Bezug laut IBM bei 4,63 Millionen US-Dollar. Unternehmen müssen den Einsatz von KI also nachvollziehbar gestalten, bevor aus vermeintlichen Effizienzgewinnen neue Risiken entstehen.
Warum Compliance besonders betroffen ist
Besonders kritisch wird diese Entwicklung dort, wo sensible Informationen verarbeitet und weitreichende Entscheidungen vorbereitet werden. Genau das trifft auf Complianceabteilungen zu. Sie arbeiten regelmäßig mit personenbezogenen Daten, vertraulichen Hinweisen, internen Untersuchungsergebnissen, Sanktions- und Screeningdaten oder Informationen über mögliche Interessenkonflikte. Für Beschäftigte, Geschäftspartner und Unternehmensentscheidungen haben diese Bewertungen unmittelbare Konsequenzen. Werden solche Informationen in nicht freigegebene KI-Systeme eingegeben, entstehen nicht nur IT- und Datenschutzrisiken: Auch Vertraulichkeit, Verfahrensfairness und die Nachvollziehbarkeit fachlicher Entscheidungen können leiden.
Die niedrige Eintrittsschwelle macht Schatten-KI zudem schwer beherrschbar. Mitarbeiter benötigen weder lange Einführungsprojekte noch umfangreiche IT-Ressourcen, um neue Anwendungen einzusetzen oder einfache Workflows zu entwickeln. So entstehen Anwendungen, die Hinweisgebermeldungen priorisieren oder Geschäftspartner bewerten – und die damit nicht mehr nur die Textarbeit unterstützen, sondern zunehmend in fachliche Bewertungs- und Priorisierungsprozesse eingreifen.
Verschärft wird das Problem durch „Vibe Coding“. Damit lassen sich auch ohne Kenntnisse in der Softwareentwicklung Anwendungen für Complianceaufgaben in kürzester Zeit erstellen. Häufig ungeklärt bleibt dabei, ob Zugriffsrechte, Datenschutzvorgaben, Protokollierung und fachliche Qualitätskontrollen berücksichtigt wurden.
Wenn KI an den Kontrollmechanismen vorbeiwächst
Diese Risiken zeigen sich häufig erst dann, wenn ein Fall überprüft wird. Complianceverantwortliche müssen Entscheidungen gegenüber der Geschäftsleitung, der internen Revision oder Aufsichtsbehörden begründen können. Gelingt das nicht, entstehen praktische und regulatorische Probleme: Untersuchungen verzögern sich, Kontrollsysteme lassen sich nur eingeschränkt überprüfen, und Unternehmen können ihre Sorgfaltspflichten nicht lückenlos nachweisen. Gerade in sensiblen Verfahren wird fehlende Transparenz schnell zu einem Governance- und möglicherweise auch zu einem Haftungsrisiko.
Das betrifft nicht nur Systeme, die eigenständig Entscheidungen treffen. Gerade in der Compliance prägen bereits vorgelagerte Arbeitsschritte den weiteren Verlauf eines Falls. Eine KI, die Meldungen zusammenfasst oder erste Risikokategorien vergibt, entscheidet möglicherweise nicht selbst über das Ergebnis – sie beeinflusst aber, was Menschen zuerst sehen und welchen Sachverhalten sie besondere Aufmerksamkeit schenken.
Was KI ausmacht, die „Compliance-ready“ ist
Je stärker KI in fachliche Bewertungen und Entscheidungen eingreift, desto wichtiger ist die Frage, unter welchen Bedingungen sie innerhalb bestehender Compliancekontrollen eingesetzt werden kann. Ein Werkzeug, das in anderen Abteilungen gute Dienste leistet, erfüllt noch lange nicht die Anforderungen regulierter Prozesse. In der Compliance müssen die besonderen Ansprüche an Vertraulichkeit, Nachvollziehbarkeit und fachliche Qualität erfüllt sein.
Woran lässt sich erkennen, ob eine KI tatsächlich für regulierte Prozesse geeignet ist? Fünf Prinzipien aus der Praxis können dabei als Orientierung dienen:
- Der Mensch bleibt verantwortlich. KI beschleunigt die Arbeit, doch bei mehrdeutigen, komplexen und weitreichenden Entscheidungen bleibt die fachliche Beurteilung durch einen Menschen unverzichtbar. Die KI schlägt vor – die Verantwortung trägt weiterhin die zuständige Person.
- Vertrauen braucht Validierung. Bevor KI-Ergebnisse in sensiblen Abläufen genutzt werden, müssen sie an realen Aufgaben getestet werden. Wie sich das objektivieren lässt, zeigt etwa der EQS AI Benchmark, der gemeinsam mit dem Berufsverband der Compliance-Manager (BCM) entstanden ist: Er misst führende Modelle an 120 Aufgaben aus zehn Compliancebereichen und schafft so eine Grundlage, um Leistungsfähigkeit belastbar einzuschätzen.
- Die richtige KI für die richtige Aufgabe. Verschiedene KI-Modelle liefern je nach Aufgabe unterschiedlich gute Ergebnisse. Die Auswahl des passenden Modells ist ein wichtiger Faktor für Qualität und Zuverlässigkeit.
- Erst Vertrauen aufbauen, dann skalieren. KI entfaltet ihren Nutzen am besten, wenn Teams mit strukturierten, wiederkehrenden Aufgaben beginnen und den Einsatz ausweiten, sobald Erfahrung und Sicherheit gewachsen sind.
- KI schafft den größten Wert, wenn sie richtig eingebettet wird. Die größte Wirkung entsteht nicht durch ein isoliertes Werkzeug neben dem Prozess, sondern wenn KI in bestehende Workflows integriert ist und dort mehrstufige Aufgaben unter menschlicher Aufsicht unterstützt. Dazu gehört, dass sie innerhalb definierter Berechtigungen arbeitet, nur auf freigegebene Informationen zugreift und Arbeitsschritte nachvollziehbar dokumentiert.
Was generische KI nicht leisten kann
Ein generischer Chatbot kennt weder die internen Richtlinien eines Unternehmens noch den fachlichen Kontext eines Falls – und genau das wird im Ernstfall zum Problem. Wenn eine Aufsichtsbehörde oder die interne Revision nachfragt, warum ein Hinweis niedrig priorisiert oder ein Geschäftspartner als unauffällig eingestuft wurde, bleibt ohne belastbare Nachweiskette offen, ob die Entscheidung sachgerecht zustande kam. Die Verantwortung für die Nutzung und Prüfung des Ergebnisses verbleibt grundsätzlich beim Unternehmen und den zuständigen Personen.
Compliancespezifische KI unterscheidet sich vor allem in diesem Punkt: Entscheidend ist ein Governance-first-Ansatz – die KI muss innerhalb geregelter Workflows, Berechtigungen und Kontrollmechanismen arbeiten, so dass ihre Bewertungen erklärbar und gegenüber Dritten belegbar bleiben.
Von Schatten-KI zu kontrollierter KI-Nutzung
KI wird aus der Arbeit von Complianceabteilungen künftig nicht mehr wegzudenken sein. Die Frage ist nicht, ob und wo sie eingesetzt wird, sondern unter welchen Rahmenbedingungen das geschieht. Wer diese Nutzung in geordnete Bahnen lenkt, verwandelt ein unkontrolliertes Risiko in einen kontrollierten Vorteil.
Der Weg dorthin führt über Transparenz und auditierbare Alternativen. Wer den Überblick über Anwendungen und Datenflüsse behält, Zuständigkeiten klar definiert, menschliche Kontrolle fest verankert und auf KI setzt, die für regulierte Prozesse gebaut ist, kann die Technologie produktiv nutzen – ohne Vertraulichkeit, Fairness und Nachvollziehbarkeit zu gefährden.
Diese Selbstverpflichtung ist seit August 2026 Rechtspflicht. Der EU AI Act stuft KI-Systeme, die über Beschäftigung entscheiden – etwa Bewertungen von Mitarbeitern oder Auswahlprozesse – in Anhang III explizit als Hochrisiko ein. Für Systeme, die Geschäftspartner oder Hinweisgebermeldungen bewerten, ist die Einordnung noch nicht in jedem Fall abschließend geklärt. Die Richtung ist jedoch eindeutig:
Bewertungslogiken mit Wirkung auf reale Personen und Entscheidungen geraten zunehmend unter Dokumentations-, Aufsichts- und Nachweispflichten. Wer heute schon auf nachvollziehbare, eingebettete KI setzt, verschiebt lediglich den Zeitpunkt, an dem aus Kür Pflicht wird, in die Vergangenheit
