Das Modell dahinter
Das Analytic Ascendancy Model von Gartner (2012) beschreibt vier Analytics-Stufen: Descriptive, Diagnostic, Predictive und Prescriptive. Mit jeder Stufe steigt der Geschäftswert — und der Entscheidungsanteil wandert schrittweise vom Menschen zur Maschine. Genau dieser wandernde Entscheidungsanteil ist der regulatorische Hebel.
Unsere These: Die regulatorische Last steigt im Gleichschritt mit der Autonomie. Die Analytics-Stufen folgen Gartner; das Compliance-Mapping ist ein Eigenformat von Mag. Eiler & Partner OG.
Stufe 1 — Descriptive: „Was ist passiert?"
- Typische Systeme: Meldewesen-Reports, BI-Dashboards (Power BI/Fabric), Bestands-/Schadenreports.
- Pflichten: meist noch kein KI-System i. S. v. Art. 3 KI-VO; DSGVO-Grundsätze, Datenqualität (BCBS-239-Logik), NIS2/DORA-Basishygiene.
- Kernfrage: Ist die Datengrundlage belastbar genug, um später Modelle darauf zu bauen?
Stufe 2 — Diagnostic: „Warum ist es passiert?"
- Typische Systeme: KI-Assistenten/Chatbots (intern/Kunde), Copilot-Nutzung, RAG über interne Dokumente.
- Pflichten: Art. 50 KI-VO (ab 02.08.2026, vom Digital Omnibus NICHT verschoben) — Kennzeichnung der KI-Interaktion; Art. 4 KI-VO (seit 02.02.2025) — KI-Kompetenz; Shadow-KI-Inventarisierung; DSGVO bei Kundendaten.
- Kernfrage: Wissen Nutzer, dass (und mit welchen Grenzen) sie mit KI sprechen?
Stufe 3 — Predictive: „Was wird passieren?"
- Typische Systeme: Scoring, Fraud Detection, Churn-/Schadenprognosen, Self-Service-Analytics.
- Pflichten: Validierungs-Governance (Modellrisiko, Methoden-Logging, Drift-Monitoring); Anhang-III-Prüfung je Anwendungsfall — Kreditwürdigkeitsprüfung und Lebens-/Krankenversicherungs-Pricing sind explizit Hochrisiko (Anhang III Nr. 5); Einstufung seit Digital Omnibus dokumentationspflichtig; Frist 02.12.2027; ISO/IEC 42001/23894/42005; Art. 10 Daten-Governance bei Hochrisiko; DORA; ArbVG bei HR-nahen Prognosen.
- Kernfrage: Wer validiert die Modelle — und wer erkennt Fehlprognosen, wenn Fachanwender ohne Methodenkompetenz analysieren?
Stufe 4 — Prescriptive: „Was soll geschehen?" (autonome Entscheidung)
- Typische Systeme: automatisierte Kreditentscheidung, dynamisches Underwriting/Pricing, automatisierte Schadenregulierung, agentische Workflows.
- Pflichten (Regime-Wechsel): Hochrisiko-Vollprogramm Art. 9–15, 17, 26 (Frist 02.12.2027); Art. 14 — menschliche Aufsicht als Design, ausdrückliche Vorkehrung gegen Automation Bias (Abs. 4 lit. b); Art. 22 DSGVO (automatisierte Einzelentscheidung); FMA-Modell-Governance; Vorstandshaftung AktG § 84 / BWG § 39; ggf. FRIA (Art. 27).
- Kernfrage: Ist die Aufsicht wirksam designt und belegt — oder nur organisatorisch behauptet?
Die Treppe ist ein Zeitstrahl
Die Stufenfolge ist zugleich eine Fristenfolge: Je höher die Autonomie, desto später greifen die Programm-Pflichten — die Sofort-Pflichten der unteren Stufen gelten aber bereits.
| Datum | Was gilt | Treppen-Bezug |
|---|---|---|
| 02.02.2025 | Art. 4 KI-VO (KI-Kompetenz), Verbote bestimmter KI-Praktiken | Sofort-Pflicht ab Stufe 2 — gilt bereits. |
| 02.08.2026 | Art. 50 KI-VO (Kennzeichnung der KI-Interaktion), Durchsetzung Art. 4 | Sofort-Pflicht der Stufe 2 — vom Digital Omnibus NICHT verschoben. |
| 02.12.2027 | Hochrisiko-Pflichten nach Anhang III (Art. 9–15, 17, 26) | Programm-Pflichten der Stufen 3–4. |
Stufe 1–2 = Sofort-Pflichten (2025/2026), Stufe 3–4 = Programm-Pflichten (bis 02.12.2027). Die Treppe ist zugleich ein Zeitstrahl.
Der Digital Omnibus wurde final beschlossen (Rat 29.06.2026); die Amtsblatt-Veröffentlichung ist ausstehend.
Auf welcher Stufe steht Ihr Institut?
Beantworten Sie wenige Fragen zu Einsatz und Compliance-Abdeckung — Sie erhalten Ihre Position auf der Treppe, Ihre Compliance-Lücke und die Pflichten, die als Nächstes greifen.