Auf welchem Modell beruht die KI-Compliance-Treppe?
Die Treppe beruht auf dem Analytic Ascendancy Model von Gartner (2012) mit vier Analytics-Stufen: Descriptive, Diagnostic, Predictive und Prescriptive. Mit jeder Stufe steigt der Geschäftswert — und der Entscheidungsanteil wandert schrittweise vom Menschen zur Maschine. Genau dieser wandernde Entscheidungsanteil ist der regulatorische Hebel.
Unsere Beobachtung: Mit steigender Autonomie wächst typischerweise der Governance-Aufwand. Die Analytics-Stufen folgen Gartner; das Compliance-Mapping ist ein Eigenformat von Mag. Eiler & Partner OG. Die Treppe ist ein Reifegrad- und Orientierungsmodell, keine rechtliche Klassifikation: Ob ein System Hochrisiko-KI ist, bestimmen bestimmungsgemäßer Zweck, Rolle (Anbieter oder Betreiber), Anhang-III-Kategorie und die Ausnahmen des Art. 6 Abs. 3 – nicht der Autonomiegrad. Auch ein Empfehlungssystem mit menschlicher Letztentscheidung kann Hochrisiko-KI sein; ein autonomer Workflow muss es nicht sein. Die je Stufe genannten Punkte sind deshalb getrennt zu lesen als gesetzliche Pflichten, freiwillige Normen (etwa ISO/IEC 42001) und Governance-Empfehlungen.
Stufe 1 — Descriptive: „Was ist passiert?"
Reports und Dashboards sind meist noch kein KI-System im Sinne der KI-VO; es gelten DSGVO, Datenqualität nach BCBS-239-Logik und NIS2/DORA-Basishygiene.
- Typische Systeme: Meldewesen-Reports, BI-Dashboards (Power BI/Fabric), Bestands-/Schadenreports.
- Pflichten: meist noch kein KI-System i. S. v. Art. 3 KI-VO; DSGVO-Grundsätze, Datenqualität (BCBS-239-Logik), NIS2/DORA-Basishygiene.
- Kernfrage: Ist die Datengrundlage belastbar genug, um später Modelle darauf zu bauen?
Stufe 2 — Diagnostic: „Warum ist es passiert?"
Für Chatbots und Copilot gelten die KI-Kompetenz nach Art. 4 (seit 02.02.2025) und die Kennzeichnung nach Art. 50 (seit 02.08.2026).
- Typische Systeme: KI-Assistenten/Chatbots (intern/Kunde), Copilot-Nutzung, RAG über interne Dokumente.
- Pflichten: Art. 50 KI-VO (seit 02.08.2026, vom Digital Omnibus NICHT verschoben) — Kennzeichnung der KI-Interaktion; Art. 4 KI-VO (seit 02.02.2025) — KI-Kompetenz; Shadow-KI-Inventarisierung; DSGVO bei Kundendaten.
- Kernfrage: Wissen Nutzer, dass (und mit welchen Grenzen) sie mit KI sprechen?
Stufe 3 — Predictive: „Was wird passieren?"
Scoring und Prognosen brauchen Validierungs-Governance und eine Anhang-III-Prüfung je Anwendungsfall; Hochrisiko-Pflichten gelten ab 02.12.2027.
- Typische Systeme: Scoring, Fraud Detection, Churn-/Schadenprognosen, Self-Service-Analytics.
- Pflichten: Validierungs-Governance (Modellrisiko, Methoden-Logging, Drift-Monitoring); Anhang-III-Prüfung je Anwendungsfall — Kreditwürdigkeitsprüfung und Lebens-/Krankenversicherungs-Pricing sind explizit Hochrisiko (Anhang III Nr. 5); Einstufungsentscheidung je Anwendungsfall dokumentieren (für Anbieter Pflicht nach Art. 6 Abs. 4, für Betreiber Governance-Empfehlung); Hochrisiko-Pflichten ab 02.12.2027; ISO/IEC 42001/23894/42005; Art. 10 Daten-Governance bei Hochrisiko; DORA; ArbVG bei HR-nahen Prognosen.
- Kernfrage: Wer validiert die Modelle — und wer erkennt Fehlprognosen, wenn Fachanwender ohne Methodenkompetenz analysieren?
Stufe 4 — Prescriptive: „Was soll geschehen?" (autonome Entscheidung)
Bei Hochrisiko-Einstufung gelten ab 02.12.2027 Art. 9–15, 17 und 26 KI-VO, dazu Art. 22 DSGVO und gegebenenfalls eine FRIA.
- Typische Systeme: automatisierte Kreditentscheidung, dynamisches Underwriting/Pricing, automatisierte Schadenregulierung, agentische Workflows.
- Pflichten (bei Hochrisiko-Einstufung): Hochrisiko-Programm Art. 9–15, 17, 26 (ab 02.12.2027), soweit das konkrete System nach Art. 6 und Anhang III tatsächlich Hochrisiko-KI ist; Art. 14 — menschliche Aufsicht als Design, ausdrückliche Vorkehrung gegen Automation Bias (Abs. 4 lit. b); Art. 22 DSGVO (automatisierte Einzelentscheidung); FMA-Modell-Governance; Vorstandshaftung § 84 AktG / § 39 BWG; ggf. FRIA (Art. 27).
- Kernfrage: Ist die Aufsicht wirksam designt und belegt — oder nur organisatorisch behauptet?
Warum ist die Treppe auch ein Zeitstrahl?
Die Sofort-Pflichten der unteren Stufen gelten bereits: Art. 4 seit 02.02.2025, Art. 50 seit 02.08.2026. Die Hochrisiko-Pflichten greifen für Anhang-III-Systeme ab 02.12.2027 — unabhängig davon, auf welcher Stufe ein Hochrisiko-System steht. Die Treppe ordnet die Reihenfolge der Themen; die rechtliche Einstufung entscheidet den Umfang.
| Datum | Was gilt | Treppen-Bezug |
|---|---|---|
| 02.02.2025 | Art. 4 KI-VO (KI-Kompetenz), Verbote bestimmter KI-Praktiken | Sofort-Pflicht ab Stufe 2 — gilt bereits. |
| 02.08.2026 | Art. 50 KI-VO (Kennzeichnung der KI-Interaktion), Durchsetzung Art. 4 | Sofort-Pflicht der Stufe 2 — vom Digital Omnibus NICHT verschoben. |
| 02.12.2027 | Hochrisiko-Pflichten nach Anhang III (Art. 9–15, 17, 26) | Programm-Pflichten für Hochrisiko-Systeme — typischerweise, aber nicht nur, auf den Stufen 3–4. |
Stufe 1–2: Sofort-Pflichten gelten bereits (2025/2026). Stufe 3–4: Hochrisiko-Programm ab 02.12.2027, sofern die rechtliche Einstufung Hochrisiko ergibt. Die Treppe ordnet die Reihenfolge, die Einstufung entscheidet den Umfang.
Der Digital Omnibus zur KI wurde als Verordnung (EU) 2026/1744 am 24. Juli 2026 im Amtsblatt veröffentlicht und ist seit 27. Juli 2026 in Kraft. Für die Einstufung auf den Stufen 3 und 4 hat die EU-Kommission am 19. Mai 2026 den Entwurf ihrer Leitlinien zu Art. 6 veröffentlicht (Konsultation verlängert bis 23. Juli 2026); die Kommission plant die finale Fassung bis Ende 2026, auf ihrer Fachseite wurde der Text am 20. Oktober 2026 weiterhin als Entwurf geführt.
Auf welcher Stufe steht Ihr Institut?
Beantworten Sie wenige Fragen zu Einsatz und Compliance-Abdeckung — Sie erhalten Ihre Position auf der Treppe, Ihre Compliance-Lücke und die Pflichten, die als Nächstes greifen.
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).