Leistung
Bevor Sie Budget in eine Umsetzung stecken, verschaffen Sie sich eine strukturierte, anbieterneutrale Einschätzung, was sich wirklich zu automatisieren lohnt, was Ihre Daten hergeben und welche regulatorischen Anforderungen vor dem Go-live zu erfüllen sind.
Was es ist
Die meisten KI-Initiativen bei Finanzunternehmen beginnen mit einer Anbieter-Demo oder einem Auftrag des Vorstands, nicht mit einer strukturierten Bewertung dessen, was die Daten und Arbeitsabläufe der Organisation tatsächlich hergeben. Das Ergebnis ist entweder ein Pilotprojekt, das nie in Produktion geht, oder ein System, das in Produktion geht und sechs Monate später an einem internen Modellrisiko-Review scheitert. Ein KI-Strategie-Audit ist der Schritt, den die meisten Teams überspringen: eine strukturierte, engineering-geführte Bewertung Ihrer bestehenden Systeme, Ihrer Datenqualität und der infrage kommenden Use Cases, bevor auch nur eine Zeile Produktionscode geschrieben wird.
Wir verbringen zwei bis drei Wochen mit Ihrem Team: Architektur-Reviews, Stichproben zur Datenqualität, Interviews mit den Analysten oder Ops-Mitarbeitern, die das System später nutzen würden, sowie eine Einschätzung Ihrer bestehenden Modellrisiko- und Compliance-Aufstellung. Das Ergebnis ist keine Folienpräsentation voller Möglichkeiten, sondern eine priorisierte Liste von Use Cases, jeweils mit einer klaren Build-vs-Buy-Empfehlung, einer realistischen Einschätzung, was Ihre Daten heute bereits hergeben und wo zunächst nachgebessert werden muss, sowie einer Compliance-Map, die zeigt, welche der infrage kommenden Systeme unter die Hochrisiko-Pflichten der EU-KI-Verordnung (EU AI Act), die DORA-IKT-Risikoanforderungen oder Ihr bestehendes Modellrisiko-Governance-Framework fallen würden.
Das Audit ist bewusst anbieterneutral. Wir verkaufen weder eine Plattform noch ein Modell-Abonnement. Ein Use Case, der eigentlich zurückgestellt gehört, wird im Bericht auch zurückgestellt und nicht schöngerechnet in ein Pilotprojekt gepresst. Wo sich ein Use Case lohnt, wird die aus dem Audit hervorgehende Roadmap zum Scope-Dokument für einen Prototyp oder eine vollständige Umsetzung, mit bereits identifizierter Risikoklassifizierung und identifizierten Datenlücken, statt diese erst mitten im Projekt zu entdecken.
Was wir bauen
Wir kartieren Ihre bestehenden Datenplattformen, Kernsysteme und Integrationspunkte, um zu verstehen, worauf ein KI-System tatsächlich aufsetzen würde, und wo die eigentlichen Beschränkungen liegen: Latenz, Zugriffskontrolle, Datenresidenz.
Stichproben und Profiling der Daten hinter jedem infrage kommenden Use Case: Vollständigkeit, zeitpunktbezogene Korrektheit (Point-in-Time Correctness) und ob die Daten überhaupt abfragbar sind oder in PDFs und Netzlaufwerken gefangen liegen.
Jeder infrage kommende Use Case wird nach Aufwand, Datenreife, regulatorischer Exponierung und erwarteter Wirkung bewertet und in eine Reihenfolge gebracht, statt in eine bloße Wunschliste.
Eine Einschätzung, welche Systeme unter die Hochrisiko-Pflichten der EU-KI-Verordnung (EU AI Act), die Anforderungen der DSGVO an die Datenverarbeitung oder die DORA-Regeln zum IKT-Drittparteirisiko fallen würden, erstellt, bevor der Scope festgelegt wird, nicht erst, nachdem ein internes Audit darauf hinweist.
Für jeden priorisierten Use Case eine klare Empfehlung, ob ein Standardtool, eine Anbieter-API oder eine individuelle Entwicklung die richtige Wahl ist, mit den Gesamtkosten und dem Lock-in-Risiko jeder Option im Detail.
Eine Bewertung Ihres bestehenden Modellrisikomanagement-Frameworks, oder der Lücke, wo eigentlich eines sein sollte, damit jedes System, das wir mit Ihnen aufbauen, von Tag eins an einen Platz in Ihrem Governance-Prozess hat.
Strukturierte Gespräche mit den Analysten, Underwritern oder Ops-Mitarbeitern, die das System tatsächlich nutzen würden. Sie bringen die Realität der Arbeitsabläufe ans Licht, die eine reine Systemüberprüfung übersehen würde.
So arbeiten wir
Abstimmung der zwei bis drei geschäftlichen Fragen, die das Audit beantworten muss, sowie der Systeme und Datenquellen im Scope.
Architektur-Walkthroughs, Datenstichproben und Zugriffsüberprüfungen über alle Systeme im Scope hinweg.
Strukturierte Sitzungen mit den Personen, die das entstehende System nutzen oder steuern würden.
Abgleich der infrage kommenden Use Cases mit den Risikostufen der EU-KI-Verordnung (EU AI Act), den DSGVO-Pflichten und Ihrer internen Modellrisikorichtlinie.
Eine priorisierte Roadmap, eine Build-vs-Buy-Empfehlung je Use Case und eine gemeinsame Präsentation vor Ihrer Führungsebene und den technischen Stakeholdern.
Was Sie erwarten können
2‑3 Wochen
vom Kickoff bis zur Abschlusspräsentation, kein monatelanges Engagement
8‑15
infrage kommende Use Cases werden pro Audit typischerweise bewertet und priorisiert
1 Roadmap
in Reihenfolge gebracht, mit Build-vs-Buy-Empfehlung und Compliance-Klassifizierung zu jedem Punkt
Anbieterbewertungen sind darauf ausgelegt, Ihnen die Plattform dieses Anbieters zu verkaufen. Wir verkaufen weder eine Plattform noch ein Modell-Abonnement, weshalb ein Use Case, der eigentlich zurückgestellt gehört, im Bericht auch tatsächlich zurückgestellt wird. Wenn die richtige Antwort „ein Tool kaufen" lautet, sagen wir Ihnen welches und warum, ohne dass eine Lizenzgebühr an dieser Antwort hängt.
Ja. Kreditwürdigkeitsprüfung (Credit Scoring) sowie die Risikobepreisung in der Lebens- und Krankenversicherung fallen gemäß Anhang III als Hochrisiko-Anwendungen, mit einem Detail, das häufig übersehen wird: Die Verordnung nimmt Betrugserkennungssysteme ausdrücklich aus dieser Credit-Scoring-Kategorie aus, sodass ein AML- oder Betrugserkennungsmodell in der Regel nicht als Hochrisiko im Sinne von Anhang III gilt, auch wenn weiterhin DSGVO- und DORA-Pflichten bestehen. Wir ordnen jeden infrage kommenden Use Case der tatsächlichen Klassifizierung zu, nicht der populären, aber ungenauen Version, damit Sie die reale Compliance-Last kennen, bevor Sie sich zur Umsetzung entschließen.
Nein. Wir arbeiten mit Lesezugriff auf Schemata, mit Stichproben aus anonymisierten Datenextrakten und mit Systemdokumentation. Für Unternehmen mit strengen Anforderungen an die Datenresidenz kann das gesamte Audit auch anhand einer anonymisierten Stichprobe oder innerhalb Ihrer eigenen VPC durchgeführt werden.
Das kommt vor und ist ein durchaus nützliches Ergebnis. Damit ist ein Quartal spekulativer Arbeit von Ihrer Roadmap ferngehalten worden, statt es hineinzustecken. Die meisten Audits fördern ein oder zwei wirklich starke Kandidaten zutage und schließen mehrere andere aus, die in einem Anbieter-Pitch vielversprechend wirkten.
Ja, das von uns erstellte Compliance-Mapping ist so aufbereitet, dass es an die verantwortliche Stelle für diese Überprüfung übergeben werden kann, und wir erläutern es gern direkt Ihrem Sicherheits- oder Risikoteam.
Weiterführend
Ein 30-minütiges Gespräch, um zu skizzieren, wie eine erste Version für Ihre eigenen Daten und Systeme aussehen würde.
30-minütiges Erstgespräch buchen