Souveränität & Compliance

Regulierung wird oft als Papierschicht behandelt, die über dem „eigentlichen“ System liegt. In der Praxis bestehen jene Systeme Prüfungen mühelos, deren Anforderungen von den Menschen verstanden wurden, die sie gebaut haben. Meine Arbeit in diesem Feld ist es, Recht in Architektur zu übersetzen — und dafür zu sorgen, dass die Nachweise, die die Aufsicht sehen will, automatisch aus der Betriebsweise des Systems entstehen.

Warum das jetzt zählt

Der Digital Operational Resilience Act gilt seit Januar 2025 für Finanzunternehmen und ihre kritischen IKT-Dienstleister, und der Aufsichtsfokus hat sich von Richtlinien zu nachweisbarer Praxis verschoben: Vertragsregister, getestete Wiederherstellung, Vorfallchronologien, Konzentrationsrisiken. Parallel dazu führt der EU AI Act stufenweise Pflichten für Anbieter und Betreiber ein, und die Frage, wo europäische Daten rechtlich und praktisch liegen dürfen, ist ein Vorstandsthema geworden — keine IT-Präferenz mehr.

Organisationen außerhalb der Finanzbranche spüren das ebenfalls. Öffentliche Stellen, Forschungseinrichtungen und Mittelständler stehen vor Vergaberegeln, Förderbedingungen und Kundenverträgen, die zunehmend souveränes Hosting und nachweisbare Datenintegrität verlangen.

Wie ich vorgehe

Ich lese die Regulierung und ich lese Ihre Architektur, dann bilde ich beides aufeinander ab. Für jede Pflicht entscheiden wir, ob sie durch Design, durch eine Kontrolle oder durch Dokumentation erfüllt wird — in genau dieser Reihenfolge der Präferenz. Souveränität wird als technische Eigenschaft behandelt: Datenflüsse werden inventarisiert, Rechtsräume explizit gemacht, Ausstiegspfade entworfen, bevor ein Vertrag unterschrieben wird.

Datenintegrität bekommt besondere Aufmerksamkeit, weil KI-Systeme sie verstärken: Ein beschädigtes oder manipuliertes Quelldokument erzeugt nicht nur einen falschen Datensatz, sondern selbstbewusst falsche Antworten in großer Zahl. Herkunfts-, Verifikations- und Unveränderbarkeitskontrollen sind deshalb Teil jeder KI-Architektur, die ich empfehle.

Wo es üblicherweise beginnt

Ein Gap-Assessment eines Systems oder einer Domäne, vier Wochen, mit priorisiertem Maßnahmenplan. Viele Kunden behalten mich anschließend beratend für Anbieterbewertungen, Vertragsprüfungen und die wiederkehrenden Fragen, die jeder neue KI-Anwendungsfall mit sich bringt.