Was die Umsetzung anspruchsvoll macht, ist nicht primär die Technologie. Es ist das Zusammenspiel von Regulierung, Governance und täglichen Abläufen. Betrachtet man die Leitlinien europäischer und schweizerischer Behörden sowie die Erfahrungen von Organisationen, die bereits KI-Systeme einsetzen, wird deutlich, worauf es tatsächlich ankommt.

1. Mit dem Umfeld beginnen, nicht mit dem Modell

Eine wiederkehrende Botschaft von Aufsichtsbehörden und Forschungseinrichtungen lautet, dass Aufsicht beim Kontext beginnt. Ob Europäischer Datenschutzausschuss, Eidgenössischer Datenschutz und Öffentlichkeitsbeauftragter oder sektorspezifische Institutionen wie FINMA oder die Europäische Arzneimittelagentur, der Schwerpunkt ist vergleichbar.

Zuerst muss geklärt werden, wie ein System in bestehende Prozesse eingebettet ist, wo sensible Daten verarbeitet werden und welche Entscheidungen beeinflusst werden.

In Recht, Finanzdienstleistungen und Gesundheitswesen hat dieser Kontext besonderes Gewicht. Diese Branchen unterliegen strengen Vorgaben zu Vertraulichkeit, Nachvollziehbarkeit und Umgang mit personenbezogenen oder klinischen Daten. KI-Systeme müssen sich an diese Realität anpassen. Nicht umgekehrt.

2. Eine erklärbare und auditierbare Architektur aufbauen

Ob ein KI-System regulatorischer Prüfung standhält, hängt wesentlich von seiner Architektur ab. Leitlinien aus Europa und der Schweiz betonen wiederkehrende Anforderungen:

• Datenflüsse müssen nachvollziehbar sein.

• Zugriffe müssen kontrolliert werden.

• Systemverhalten muss durch Logging sichtbar sein.

Im Finanzbereich wird dies durch Anforderungen an ICT Risiko und Modell Governance verstärkt. Im Gesundheitswesen liegt der Fokus darauf, wie Daten verarbeitet werden und wie Empfehlungen zustande kommen.

In der Praxis bedeutet das, dass Organisationen Infrastruktur benötigen, die transparent macht, woher Daten stammen, wie sie verarbeitet wurden und wie Outputs generiert wurden. Ohne diese Transparenz wird selbst ein technisch gut funktionierendes System schwer vertretbar.

3. Governance als operativen Bestandteil verstehen

Governance bedeutet mehr als das Verfassen von Richtlinien. Regulatoren erwarten, dass Unternehmen darlegen können, wie Aufsicht tatsächlich funktioniert.

Dazu gehört:

• Wer ist für welche Entscheidungen verantwortlich.

• Wie werden Ausnahmen behandelt.

• Wie werden Risiken kontinuierlich überwacht.

Untersuchungen von OECD, Stanford und Branchenverbänden zeigen, dass viele Organisationen die Prinzipien verstehen, jedoch Schwierigkeiten haben, sie in den operativen Alltag zu integrieren.

In regulierten Branchen muss Governance Teil der täglichen Abläufe sein. Gremien benötigen klare Mandate. Verantwortliche für KI-Systeme müssen ihre Zuständigkeiten kennen. Eskalationswege dürfen nicht implizit bleiben.

Fehlt diese Klarheit, verlieren selbst formal korrekte Richtlinien ihre Wirksamkeit.

4. Umsetzung an branchenspezifische Regeln anpassen

Auch wenn KI-Regulierung zunehmend harmonisiert wird, unterscheiden sich Anforderungen je nach Branche.

Banken müssen KI im Einklang mit FINMA Vorgaben zu ICT Risiko, Outsourcing und operativer Resilienz einsetzen.

Gesundheitsorganisationen orientieren sich an Erwartungen von Arzneimittelbehörden und internationalen ethischen Leitlinien.

Juristische Organisationen müssen sicherstellen, dass KI-Lösungen Vertraulichkeit, Datenschutz und nachvollziehbare Entscheidungsfindung gewährleisten.

In der Schweiz kommt das Datenschutzgesetz hinzu sowie branchenspezifische Erwartungen, etwa im Hinblick auf Datenlokalisierung.

Diese Vorgaben verhindern Innovation nicht. Sie gestalten sie. Erfolgreiche Implementierungen berücksichtigen Regulierung bereits im Design.

5. Schrittweise vorgehen und Systeme weiterentwickeln

Umfassende Transformationen scheitern in regulierten Umfeldern häufig, weil sie mehr Veränderung verlangen, als Organisationen gleichzeitig bewältigen können.

Deshalb betonen viele Aufsichtsbehörden eine iterative Umsetzung. KI-Systeme entwickeln sich weiter. Daten verändern sich. Anwendungsbereiche verschieben sich. Auch die Aufsicht muss sich entsprechend anpassen.

Dokumentation darf kein einmaliger Akt sein. Monitoring sollte reale Nutzung abbilden. Wenn weitere Bereiche KI einsetzen, müssen Governance und Prozesse mitwachsen, damit Transparenz organisationsweit erhalten bleibt.

Organisationen, die erfolgreich sind, gehen strukturiert und transparent vor. Sie schaffen zunächst ein stabiles Fundament, testen in kontrollierten Umgebungen und skalieren erst, wenn Reife vorhanden ist.

Ein anspruchsvoller, aber praktikabler Weg

Die Einführung von KI in regulierten Branchen ist anspruchsvoll, weil die Konsequenzen von Fehlern erheblich sind.

Die Leitlinien der Regulatoren und die Erfahrungen früher Anwender zeigen jedoch konsistente Muster:

• Das operative Umfeld verstehen.

• Systeme bauen, die erklärbar und verteidigbar sind.

• Governance in den Alltag integrieren.

• Branchenspezifische Regeln von Beginn an berücksichtigen.

• Systeme kontinuierlich weiterentwickeln.

  
  
  
  

Regulierung verhindert Innovation nicht. Sie definiert, wie Innovation verantwortungsvoll eingesetzt werden kann, insbesondere dort, wo Vertrauen, Nachvollziehbarkeit und menschliche Auswirkungen zentral sind.