AI Sentinel
Jeder KI-Anwendungsfall klassifiziert, begründet und freigegeben – mit einem Nachweis, der sich bewährt.
AI Sentinel bewertet KI-Anwendungsfälle – und die KI-Agenten dahinter – nach EU AI Act, DORA und DSGVO. Die Plattform stellt die entscheidenden Fragen, wendet freigegebene Regeln an, leitet die daraus folgenden Anforderungen ab, ordnet sie Ihren bestehenden Kontrollen zu und führt einen vollständigen Prüfpfad. Die Entscheidung selber bleibt bei Ihren Fachexperten.
Wo Entscheidungen zur KI-Governance scheitern
Wenn ein KI-Anwendungsfall eingeführt oder wesentlich geändert wird, muss eine Institution schnell wissen, welche Regeln gelten, auf welche Sachverhalte sie sich beziehen und wer sie genehmigt hat. Jede Zeile unten ist ein Punkt, an dem das nicht mehr funktioniert.
Was die Entscheidung braucht
Anwendungsfall, System, Rolle, Zweck und Einsatzkontext in einer einheitlichen Struktur erfasst.
Was heute passiert
Von jedem Fachbereich anders beschrieben, in manuellen Dokumenten mit impliziten Annahmen.
Was die Entscheidung braucht
Gleiche Fakten und gleiche Regeln führen zur gleichen Klassifizierung.
Was heute passiert
Das Ergebnis hängt davon ab, wer bewertet. Vergleichbare Fälle werden nicht zwingend vergleichbar entschieden.
Was die Entscheidung braucht
Jeder KI-Anwendungsfall ist mit den Kontrollen verknüpft, die Sie bereits betreiben; echte Lücken werden sichtbar.
Was heute passiert
Manuell abgebildet, Fall für Fall, oder in einem separaten KI-Prozess neben Ihrem Rahmenwerk behandelt.
Was die Entscheidung braucht
Quellen, Annahmen, Regelversionen und Freigaben werden als Teil des Prozesses festgehalten.
Was heute passiert
Mit zusätzlichem Aufwand im Nachhinein rekonstruiert, kurz vor Audit oder Prüfung.
Was die Entscheidung braucht
Regulatorische Änderungen fließen in bereits bewertete Fälle ein.
Was heute passiert
Jede Änderung muss auf bestehende Fälle erneut angewendet werden, einzeln.
Was die Entscheidung braucht
Ein klarer Prüfstatus und benannte Freigebende über alle Stakeholder hinweg, etwa Fachbereiche, Compliance, Risiko, Recht und Informationssicherheit.
Was heute passiert
Die Bewertung verteilt sich auf viele Funktionen. Die Freigabe stockt, weil sich niemand zutraut, sie allein abzuschließen.
Ein Entscheidungsprozess – von der Erfassung bis zur Freigabe
AI Sentinel führt deine Teams durch die entscheidenden Fragen, wendet genehmigte regulatorische Logik auf die bestätigten Antworten an und dokumentiert jeden Schritt. Wo die Logik nicht ausreicht, weist das System darauf hin und leitet den Fall weiter.
Erfassen
Strukturierte Fragen beschreiben Anwendungsfall, System, Rolle, Zweck, betroffene Personen und Einsatzkontext – einschließlich beteiligter KI-Agenten. Die Vollständigkeit wird geprüft; extrahierte Fakten bestätigt ein Mensch.
Bewerten
Die Inferenzmaschine wendet die bestätigten Fakten auf freigegebene Regeln zu EU AI Act, DORA und DSGVO an. Gleiche Eingaben und gleiche Regelversion führen immer zum gleichen Ergebnis.
Zwischenprüfung
Nicht abgedeckte, widersprüchliche oder auslegungsabhängige Fälle werden mit nachvollziehbarer Begründung markiert – nie einfach durchgewunken.
Pflichten & Kontrollen
Die anwendbaren Pflichten ergeben sich aus der Bewertung – jeweils verknüpft mit Rechtsquelle und Regel – und werden Ihren bestehenden Kontrollen zugeordnet.
Freigeben & dokumentieren
Prüfende geben im Workflow frei. Fakten, Regelpfad, Annahmen, Version und Freigabe liegen in einem exportierbaren Entscheidungsnachweis – bereit für kommende Prüfungen.
Der Entscheidungsnachweis macht aus einer Bewertung etwas, das Compliance vertreten, die Interne Revision nachvollziehen und eine Aufsicht lesen kann.
- ＋Ersetzt die manuelle Sammlung des KI-Inventars durch strukturierte Erfassung
- ＋Gibt vergleichbaren Fällen eine einheitliche, regelbasierte Bewertung
- ＋Dokumentiert Quelle, Regel, Version und Entscheidungspfad zu jedem Befund
- ＋Zeigt einen klaren Prüfstatus über Fachbereich, Compliance, Risiko und Recht hinweg
- ＋Nutzt Ihre bestehenden Kontrollen weiter und markiert nur echte Lücken
Eine Plattform, auf der Ihre Teams täglich arbeiten
AI Sentinel ist ein menschlich beaufsichtigtes, regelbasiertes Expertensystem, das als Abonnement bereitgestellt wird. Es ist so gebaut, dass sich jedes Ergebnis einer Prüfung erklären lässt.
Zuordnung zu Ihren bestehenden Kontrollen
Pflichten werden dem Kontrollrahmen zugeordnet, den Sie bereits betreiben. Wo eine Kontrolle eine Anforderung abdeckt, wird sie wiederverwendet – ohne neue Zuordnung. Wo nichts sie abdeckt, wird die Lücke mit einer Begründung markiert.
Deterministische Engine
Regeln wendet eine deterministische Inferenzmaschine an. Ein Sprachmodell unterstützt Erfassung und Erklärung; es verändert nie das Ergebnis der Engine und liefert keine freie Rechtsauslegung.
Fachexperten einbeziehen statt raten
„Vollständig“ gilt nur innerhalb eines ausdrücklich freigegebenen Abdeckungsbereichs. Außerhalb dieses Bereichs bindet AI Sentinel Ihre Fachexperten ein und nennt die Begründung dafür. Es gibt keinen probabilistischen Konfidenzwert.
Regelpakete, die aktuell bleiben
Rechtsquellen, Bedingungen, Ausnahmen und Pflichten sind versioniert, mit Gültigkeitsdatum versehen, nach dem Vier-Augen-Prinzip freigegeben und werden bei Rechtsänderungen aktualisiert. Frühere Entscheidungen bleiben rekonstruierbar.
KI-Agenten im Blick
Werden Agenten innerhalb eines Anwendungsfalls eingesetzt, werden sie zusammen mit ihm erfasst und in dem Kontext bewertet, in dem sie laufen.
Ein Workflow deckt alle Rollen ab
Fachbereiche, Compliance, Risiko, Recht, Informationssicherheit und Revision arbeiten am selben Fall mit gemeinsamem Prüfstatus.
Standardmäßig prüfbereit
Eingaben, Quellen, Regelpfad, Versionen, Prüfungen und Freigaben werden automatisch protokolliert und als Entscheidungsnachweis exportierbar.
Ein KI-Agenten-Anwendungsfall, Schritt für Schritt bewertet
Ein Software-Developer-Agent auf Basis eines lokalen Sprachmodells. Die Beispielanalyse folgt dem Workflow aus Abschnitt 02: dem Prüfpfad des EU AI Act (Schritt 02) und danach den daraus folgenden Anforderungen samt Zuordnung zu Ihren Kontrollen (Schritt 04).
Kernaussagen
Die Risikoklasse folgt dem Anwendungsfall
Derselbe Agent kann je nach Prozess, in dem er eingesetzt wird, in eine andere Risikoklasse fallen – von minimalem bis zu hohem Risiko.
Die Umsetzung zählt
Ob das Modell von einem Anbieter stammt, offene Gewichte hat oder selbst trainiert wurde, wirkt sich darauf aus, ob das Institut als Betreiber oder als Anbieter auftritt – und damit auf die geltenden Pflichten.
Ein lokales Modell ist kein geringeres Risiko
Wer ein eigenes Agenten-Setup aufbaut und betreibt, kann damit Anbieter dieses KI-Systems werden – nicht nur Betreiber.
Der Anwendungsfall
Ihre Softwareentwicklung setzt mehrere Open-Source-Agenten ein, die Code schreiben und prüfen. Der Code wird in einer Anwendung verwendet, die das Kreditrisiko Ihrer Kunden bei Baufinanzierungen für Einfamilienhäuser bewertet.
Die IT-Abteilung nutzt ein Open-Source-Agenten-Framework und betreibt Modelle mit offenen Gewichten, die sie von einer öffentlichen Modellplattform heruntergeladen hat.
Analysten beschreiben Codeänderungen in Tickets. Diese werden einem Coding-Agenten zugewiesen. Sein Code wird von einem weiteren Agenten geprüft. Die Agenten iterieren. Eine Person nimmt die abschließende Prüfung und die Bereitstellung vor.
Wo dieses Beispiel im Workflow steht
Teil des Plattform-Workflows, in diesem Beispiel nicht gezeigt ausgewählter Teilschritt
Ist es ein KI-System?
Ein maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und aus den erhaltenen Eingaben ableitet, wie Ausgaben zu erzeugen sind. Systeme, die allein auf von natürlichen Personen festgelegten Regeln beruhen, sind nicht erfasst (Erwägungsgrund 12).
Beide eingesetzten Agententypen sind Maschinen, die Ausgaben ableiten und erhebliche Autonomie bei der Erzeugung ihrer Ausgabe haben.
Ist es verboten?
Gegenprüfung, dass keine der nach Art. 5(1) verbotenen Praktiken ausgeübt wird. Die Agenten werden gegen jede davon geprüft:
- Manipulative, unterschwellige oder täuschende Techniken, die erheblichen Schaden verursachenNein
- Ausnutzen von Schwächen (Alter, Behinderung, soziale oder wirtschaftliche Situation)Nein
- Social ScoringNein
- Bewertung des Risikos von Straftaten allein auf Grundlage von ProfilingNein
- Ungezieltes Auslesen von GesichtsbildernNein
- Emotionserkennung am Arbeitsplatz und in BildungseinrichtungenNein
- Biometrische Kategorisierung zum Ableiten sensibler MerkmaleNein
- Biometrische Echtzeit-Fernidentifizierung zu Strafverfolgungszwecken im öffentlichen RaumNein
- Nicht einvernehmliche intime Darstellungen (gilt ab 2. Dezember 2026)Nein
- Darstellungen sexuellen Kindesmissbrauchs (gilt ab 2. Dezember 2026)Nein
Ist es Hochrisiko?
Wir gehen diesen Schritt gemeinsam an Ihren eigenen KI-Anwendungsfällen durch.
Demo anfragenMuss ich die KI-Nutzung kennzeichnen?
Art. 50 enthält Transparenzpflichten, die unabhängig von der Risikoklasse gelten. Sie gelten seit dem 2. August 2026; für Art. 50(2) haben früher in Verkehr gebrachte Systeme bis zum 2. Dezember 2026 Zeit.
Anbieter müssen Systeme, die direkt mit Menschen interagieren, so gestalten, dass diese darüber informiert werden, dass sie es mit einem KI-System zu tun haben – es sei denn, das ist für eine angemessen informierte Person offensichtlich. Die Entwickler, die den Agenten Tickets zuweisen, wissen, dass sie mit KI arbeiten.
Anbieter von KI-Systemen, die synthetische Texte erzeugen, müssen die Ausgaben in einem maschinenlesbaren Format kennzeichnen, sodass sie als KI-generiert erkennbar sind. Ausnahmen gelten etwa für Assistenzfunktionen bei der Standardbearbeitung. Diese Analyse behandelt Quellcode als Text. Ist das Institut Anbieter seines Agenten-Setups, kann diese Pflicht bei ihm liegen.
Quellcode sollte Header tragen, die die KI-Nutzung ausweisen.
Diese gelten hier nicht. Sie betreffen Emotionserkennung, biometrische Kategorisierung, Deepfakes und Texte, die veröffentlicht werden, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren.
Wer die prüfenden Entwickler darüber informiert, dass der Code von KI geschrieben wurde, unterstützt die Sorgfalt, etwa im Hinblick auf Halluzinationen oder veränderte Anforderungen wie Berechnungen der Kreditwürdigkeit. Das ist keine Pflicht nach Art. 50 für internen Code.
Ausgabe als KI-erzeugt kennzeichnen, z. B. über die Benennung des Nutzers.
Wird das lokale Modell für andere Zwecke genutzt, ist es an den Regeln für KI-Modelle mit allgemeinem Verwendungszweck zu messen.
Anforderungen
Wir gehen diesen Schritt gemeinsam an Ihren eigenen KI-Anwendungsfällen durch.
Demo anfragenWürde gelten, wenn ein System in diesem Anwendungsfall als Hochrisiko eingestuft wird (siehe Schritt 2.3)
Die Anforderungen an Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027.
- Nutzung gemäß der Betriebsanleitung des Anbieters (Art. 26)
- Menschliche Aufsicht kompetenten, geschulten Personen übertragen (Art. 26)
- Soweit Sie die Eingabedaten kontrollieren, sicherstellen, dass sie relevant und ausreichend repräsentativ sind (Art. 26)
- Den Betrieb überwachen und bei einem Risiko die Nutzung aussetzen und informieren (Art. 26, bei schwerwiegenden Vorfällen mit Art. 73)
- Die von Ihnen kontrollierten Protokolle mindestens sechs Monate aufbewahren (Art. 26)
- Arbeitnehmervertreter, betroffene Beschäftigte und Personen, die Entscheidungen unterliegen, informieren (Art. 26)
- Grundrechte-Folgenabschätzung vor der ersten Nutzung, bei Kreditscoring sowie bei Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung (Art. 27)
- Transparenzinformationen des Anbieters für die DSGVO-Datenschutz-Folgenabschätzung nutzen (Art. 26)
- Recht betroffener Personen auf Erläuterung von Entscheidungen, die auf Grundlage der Ausgabe des Systems getroffen wurden (Art. 86)
- Risikomanagementsystem über den gesamten Lebenszyklus (Art. 9)
- Daten-Governance, einschließlich Prüfung auf Verzerrungen (Art. 10)
- Technische Dokumentation nach Anhang IV (Art. 11)
- Automatische Ereignisprotokollierung (Art. 12)
- Transparenz und Betriebsanleitung (Art. 13)
- Menschliche Aufsicht durch Technikgestaltung (Art. 14)
- Genauigkeit, Robustheit und Cybersicherheit (Art. 15)
- Qualitätsmanagementsystem (Art. 17)
- Dokumentation 10 Jahre und Protokolle mindestens sechs Monate aufbewahren (Art. 18, 19)
- Konformitätsbewertung, Konformitätserklärung und CE-Kennzeichnung (Art. 43, 47, 48)
- Registrierung in der EU-Datenbank (Art. 49)
- Kontaktdaten am System oder in seiner Dokumentation (Art. 16)
- Korrekturmaßnahmen (Art. 20), Meldung schwerwiegender Vorfälle (Art. 73), Zusammenarbeit mit Behörden (Art. 21)
- Plan zur Beobachtung nach dem Inverkehrbringen (Art. 72)
Kontrollanalyse
Die Anforderungen aus Schritt 4.1 werden den Kontrollen zugeordnet, die Sie bereits betreiben.
- Art. 4 KI-Kompetenz: gezielte Schulung, die Softwareentwickler für die technischen und rechtlichen Risiken sensibilisiert→ Ihre Kontrolle zur Nachverfolgung der verpflichtenden Schulungsteilnahme muss aktualisiert werdenAktualisierung erforderlich
Wir gehen diesen Schritt gemeinsam an Ihren eigenen KI-Anwendungsfällen durch.
Demo anfragenBeispielanalyse auf Grundlage der Verordnung (EU) 2024/1689 (EU AI Act) [6] in der durch den AI Omnibus geänderten Fassung [7]; Artikelverweise wie in der Analyse. Geltungsdaten: Art. 50 ab 2. August 2026, die Verbote nicht einvernehmlicher intimer Darstellungen und von Darstellungen sexuellen Kindesmissbrauchs ab 2. Dezember 2026, Anforderungen für Hochrisiko-Systeme nach Anhang III ab 2. Dezember 2027 [4][5]. Die Einstufung in Schritt 2.3 ist von der Rechtsabteilung des Instituts zu bestätigen.
Gebaut für die Teams, die KI-Governance tragen
AI Sentinel richtet sich an Fintechs und Finanzinstitute im DACH-Raum, die bereits KI einsetzen. Wir öffnen die Plattform für eine erste Gruppe von Design-Partnern.
Geschäftsleitung
Ein steuerbarer Governance-Prozess, weniger Spezialistenaufwand und belastbare Berichte.
AI-Governance-Verantwortliche
Ein einheitlicher Entscheidungsprozess über Abteilungen und Fälle hinweg.
Fachbereich, Compliance, Risiko, Recht, InfoSec
Geführte Datenerfassung, klare Rückfragen und nachvollziehbare Ergebnisse.
Interne und externe Revision
Ein reproduzierbarer Regelpfad mit Eingaben, Quellen, Versionen und Freigaben.
Zwei Werdegänge, eine gemeinsame Sicht aus der Branche
Beide Mitbegründer haben aus erster Hand erlebt, wie Finanzinstitute davon profitieren würden, KI innerhalb des bereits bestehenden Kontrollrahmens zu steuern. AI Sentinel vereint ihre Erfahrungen.
Erleben Sie AI Sentinel an Ihren eigenen KI-Anwendungsfällen
Sagen Sie uns, welche KI-Anwendungsfälle und Agenten Sie bewerten müssen. Wir zeigen Ihnen, wie die Plattform damit umgeht.
Making AI Compliance work for you. Agents & beyond.