Die KI-Compliance-Treppe: Ihr Pflichten-Fahrplan von der Auswertung zur autonomen Entscheidung

Das Modell dahinter

Das Analytic Ascendancy Model von Gartner (2012) beschreibt vier Analytics-Stufen: Descriptive, Diagnostic, Predictive und Prescriptive. Mit jeder Stufe steigt der Geschäftswert — und der Entscheidungsanteil wandert schrittweise vom Menschen zur Maschine. Genau dieser wandernde Entscheidungsanteil ist der regulatorische Hebel.

Unsere These: Die regulatorische Last steigt im Gleichschritt mit der Autonomie. Die Analytics-Stufen folgen Gartner; das Compliance-Mapping ist ein Eigenformat von Mag. Eiler & Partner OG. Die Treppe ist ein Orientierungsmodell und keine rechtliche Klassifikation: Maßgeblich sind im Einzelfall insbesondere Rolle (Anbieter oder Betreiber), bestimmungsgemäßer Zweck, konkrete Nutzung sowie Art. 6 in Verbindung mit Anhang III des EU AI Act. Genannte Normen wie ISO/IEC 42001 sind freiwillige Standards und keine gesetzlichen Pflichten.

Stufe 1 — Descriptive: „Was ist passiert?"

• Typische Systeme: Meldewesen-Reports, BI-Dashboards (Power BI/Fabric), Bestands-/Schadenreports.
• Pflichten: meist noch kein KI-System i. S. v. Art. 3 KI-VO; DSGVO-Grundsätze, Datenqualität (BCBS-239-Logik), NIS2/DORA-Basishygiene.
• Kernfrage: Ist die Datengrundlage belastbar genug, um später Modelle darauf zu bauen?

Stufe 2 — Diagnostic: „Warum ist es passiert?"

• Typische Systeme: KI-Assistenten/Chatbots (intern/Kunde), Copilot-Nutzung, RAG über interne Dokumente.
• Pflichten: Art. 50 KI-VO (ab 02.08.2026, vom Digital Omnibus NICHT verschoben) — Kennzeichnung der KI-Interaktion; Art. 4 KI-VO (seit 02.02.2025) — KI-Kompetenz; Shadow-KI-Inventarisierung; DSGVO bei Kundendaten.
• Kernfrage: Wissen Nutzer, dass (und mit welchen Grenzen) sie mit KI sprechen?

Stufe 3 — Predictive: „Was wird passieren?"

• Typische Systeme: Scoring, Fraud Detection, Churn-/Schadenprognosen, Self-Service-Analytics.
• Pflichten: Validierungs-Governance (Modellrisiko, Methoden-Logging, Drift-Monitoring); Anhang-III-Prüfung je Anwendungsfall — Kreditwürdigkeitsprüfung und Lebens-/Krankenversicherungs-Pricing sind explizit Hochrisiko (Anhang III Nr. 5); Einstufung seit Digital Omnibus dokumentationspflichtig; Frist 02.12.2027; ISO/IEC 42001/23894/42005; Art. 10 Daten-Governance bei Hochrisiko; DORA; ArbVG bei HR-nahen Prognosen.
• Kernfrage: Wer validiert die Modelle — und wer erkennt Fehlprognosen, wenn Fachanwender ohne Methodenkompetenz analysieren?

Stufe 4 — Prescriptive: „Was soll geschehen?" (autonome Entscheidung)

• Typische Systeme: automatisierte Kreditentscheidung, dynamisches Underwriting/Pricing, automatisierte Schadenregulierung, agentische Workflows.
• Pflichten (Regime-Wechsel): Hochrisiko-Vollprogramm Art. 9–15, 17, 26 (Frist 02.12.2027); Art. 14 — menschliche Aufsicht als Design, ausdrückliche Vorkehrung gegen Automation Bias (Abs. 4 lit. b); Art. 22 DSGVO (automatisierte Einzelentscheidung); FMA-Modell-Governance; Vorstandshaftung § 84 AktG / § 39 BWG; ggf. FRIA (Art. 27).
• Kernfrage: Ist die Aufsicht wirksam designt und belegt — oder nur organisatorisch behauptet?

Die Treppe ist ein Zeitstrahl

Die Stufenfolge ist zugleich eine Fristenfolge: Je höher die Autonomie, desto später greifen die Programm-Pflichten — die Sofort-Pflichten der unteren Stufen gelten aber bereits.

Auf welcher Stufe steht Ihr Institut?

Beantworten Sie wenige Fragen zu Einsatz und Compliance-Abdeckung — Sie erhalten Ihre Position auf der Treppe, Ihre Compliance-Lücke und die Pflichten, die als Nächstes greifen.