KI in Banken und Versicherungen: Wenn Scheitern richtig teuer ist
KI in Banken, Versicherungen und Kanzleien beschleunigt die Wissensarbeit – und holt in Sekunden ans Licht, was jahrelang im Verborgenen lag: zu breite Freigaben, vergessene Projektordner, vererbte Zugriffsrechte. Microsoft nennt das Oversharing, und im regulierten Umfeld ist daraus automatisch ein meldepflichtiger Datenschutzvorfall. Die KI macht dabei nichts kaputt, sie aktiviert vorhandene Organisationsfehler, weil plötzlich jede Ablage in Alltagssprache durchsuchbar wird. Vier Fragen entscheiden darüber, ob euer Projekt die erste Prüfung übersteht – und keine einzige handelt vom Modell.In dieser FolgeOversharing bedeutet, dass ein KI-Assistent Dateien zutage fördert, die jemand technisch öffnen kann, aber nie hätte sehen sollen – die Berechtigungsfehler von Jahren werden mit einer einzigen Frage durchsuchbar.In Banken, Versicherungen, Kanzleien und Medizintechnik hat dieselbe Panne einen völlig anderen Preis: Was in einer normalen Firma peinlich ist, ist dort ein meldepflichtiges Ereignis mit Bußgeld-, Klage- und Aufsichtsfolgen.Frage 1 lautet: Wer darf was sehen? Eine korrekt implementierte KI-Anwendung erbt die bestehende Rechtelandschaft samt aller Löcher – vergessener Projektfreigaben, nie zurückgenommener Berechtigungen nach Abteilungswechseln, unklarer Vererbung zwischen Ordnern.Frage 2 lautet: Dürfen diese Daten überhaupt so verarbeitet werden? Personenbezogene Daten dürfen nach DSGVO nur für den Zweck verwendet werden, für den sie erhoben wurden – dreißig Jahre nicht anonymisierter Schadenakten ins Modell zu kippen, ist kein Effizienzprojekt, sondern ein Rechtsverstoß. Für Gesundheits-, Bonitäts- und Mandantendaten gelten dabei die strengsten Regeln, die es überhaupt gibt.Bei automatisierten Entscheidungen, die Menschen erheblich betreffen – Kredit abgelehnt, Police gekündigt, Leistung verweigert –, hat der Betroffene das Recht darauf, dass am Ende ein Mensch eingreift.Frage 3 lautet: Kann ich nachweisen, was die KI getan hat? Die EU-KI-Verordnung verlangt für hochriskante Systeme Protokollierung, Dokumentation, menschliche Aufsicht, Transparenz und ein Recht auf Erklärung der Einzelfallentscheidung. Nachvollziehbarkeit ist kein Feature zum Nachrüsten, sondern eine architektonische Entscheidung.Frage 4 lautet: Wer haftet? Der Fall Air Canada zeigt, dass die Aussage eines Chatbots dem Unternehmen zugerechnet wird. Die EU-KI-Verordnung liefert die Preisliste: bis zu 35 Millionen Euro oder 7 % Weltjahresumsatz für verbotene Praktiken, bis zu 15 Millionen oder 3 % für vernachlässigte Pflichten bei Hochrisikoanwendungen, 7,5 Millionen für Falschangaben gegenüber der Aufsicht.Ein Praxisfall aus der NEOMO-Arbeit: Bei einem Anbieter von Compliance-Software war die erste Entscheidung eine Organisationsentscheidung, keine Modellentscheidung. Kundendaten verlassen die europäische Cloud-Umgebung nicht, Zugriff läuft über ein Rollenmodell, alles ist Ende-zu-Ende verschlüsselt – und das System sagt lieber „steht nicht in den Unterlagen“, als zu raten. Genau das ist der Unterschied zwischen Pilot und Produktion.QuellenMicrosoft 365 Copilot Blog — Mitigate Oversharing to Govern Microsoft 365 Copilot and Agents. Microsofts eigene Definition von Oversharing und die Werkzeuge dagegen: SharePoint Advanced Management, Purview, Restricted Content Discovery. https://techcommunity.microsoft.com/blog/microsoft-copilot-blog/mitigate-oversharing-to-govern-microsoft-365-copilot-and-agents/4448744Microsoft Learn — Microsoft 365 Copilot Blueprint: Oversharing. Die operative Anleitung hinter dem Blog-Beitrag, mit den empfohlenen Schritten für Pilot, Rollout und Betrieb. https://learn.microsoft.com/en-us/copilot/microsoft-365/microsoft-365-copilot-blueprint-oversharingComputerworld — Microsoft moves to stop M365 Copilot from 'oversharing' data. Enthält die Gartner-Erhebung, nach der 40 % der befragten IT-Verantwortlichen ihren Copilot-Rollout wegen Oversharing um drei Monate oder länger verschoben haben. https://www.computerworld.com/article/3616459/microsoft-moves-to-stop-m365-copilot-from-oversharing-data.htmlEU-KI-Verordnung, Artikel 99 — Bußgelder: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis 15 Mio. € oder 3 % für verletzte Pflichten bei hochriskanten Systemen, bis 7,5 Mio. € oder 1 % für falsche Angaben gegenüber der Aufsicht. https://artificialintelligenceact.eu/article/99/EU-KI-Verordnung, Volltext mit Artikelnavigation — die vier Fragen der Folge als Artikel gelesen: Daten-Governance (Art. 10), technische Dokumentation (Art. 11), Protokollierung (Art. 12), Transparenz (Art. 13), menschliche Aufsicht (Art. 14), Recht auf Erklärung einer Einzelfallentscheidung (Art. 86). Die Verbote gelten seit dem 2. Februar 2025, die Bußgeldvorschriften seit dem 2. August 2025, die letzte Stufe tritt im August 2026 in Kraft. https://artificialintelligenceact.eu/DSGVO, Verordnung (EU) 2016/679, amtlicher Volltext auf EUR-Lex — Zweckbindung (Art. 5) und Recht auf menschliches Eingreifen bei rein automatisierten Einzelentscheidungen (Art. 22). https://eur-lex.europa.eu/eli/reg/2016/679/ojMoffatt v. Air Canada, 2024 BCCRT 149 — Entscheidung des Civil Resolution Tribunal of British Columbia vom 14. Februar 2024: 650,88 CAD Schadenersatz, weil die Auskunft des Chatbots dem Unternehmen zugerechnet wurde. Rückbezug auf Folge 1. https://www.ctvnews.ca/vancouver/article/air-canadas-chatbot-gave-a-bc-man-the-wrong-information-now-the-airline-has-to-pay-for-the-mistake/Wenn ihr einen schnellen Realitätscheck wollt – welche Stelle kippt bei euch am ehesten? Unser kostenloser Check zeigt die sechs üblichen Verdächtigen: https://neomo.link/check
