Souveränität als Betriebseigenschaft: Warum Banken ihre KI-Governance im Audit nicht beweisen können

Ob KI-Governance im Finanzsektor nur dokumentiert, oder auch prüfbar ist, entscheidet sich an der Datenarchitektur. Hitachi Vantara hat gemeinsam mit dem Fachmedium FStech untersucht, wie Finanzinstitute mit Objektspeicher mehr Wert aus ihren Daten herausholen können (Website).

von Petra-Maria Grohs, Deutschland-Geschäftsführerin von Hitachi Vantara

Die Erhebung unter 100 Entscheidern aus Banking, Investment und Zahlungsverkehr fördert einen Widerspruch zutage, der weniger mit Speicher zu tun hat als mit Governance: Datensouveränität und richtliniengesteuerte Governance rangieren als zweithöchste strategische Priorität der kommenden zwölf Monate (30 Prozent), direkt hinter dem Management des Datenwachstums (35 Prozent). Bemerkenswert ist, was nicht priorisiert wird – KI-fähige Datenplattformen erreichen 10 Prozent, ein zentraler Data-Hub-Layer für Governance und Wiederverwendung 9 Prozent, die Performance für aktive Workloads 4 Prozent.

Die Zahlen stammen aus einer Mehrfachauswahl. Dass die zukunftsgerichteten Optionen selbst bei freier Nennung im einstelligen Bereich bleiben, verschärft den Befund: Souveränität wird als Anspruch formuliert, die architektonische Voraussetzung dafür jedoch nicht geschaffen. Genau dort, wo Objektspeicher vom Archiv zur aktiven Datengrundlage für KI wird, entscheidet sich, ob dieser Anspruch einlösbar ist. Die Erhebung ist global und enthält keinen europäischen Teilschnitt. Für regulierte Institute in Deutschland verschärfen DORA und der EU AI Act aber den Widerspruch zur Haftungsfrage.

Wo Governance im Betrieb bricht

Klassifizierungs­richtlinien, Aufbewahrungsvorgaben und Zugriffskonzepte existieren in den meisten Häusern. Was fehlt, ist ihre Durchsetzbarkeit zur Laufzeit.

Governance ist dokumentiert, nicht durchsetzbar. Eine Klassifizierung, die nur in einem Richtliniendokument steht, gibt es für ein Speichersystem nicht. Sie wird erst wirksam, wenn sie als Metadatum am Objekt persistiert.

Hybride Umgebungen erzeugen inkompatible Policy-Domänen. Mindestens 38 Prozent der Institute betreiben Objektspeicher parallel on-premises und in der Cloud. Damit existieren zwei Durchsetzungsebenen mit unterschiedlichen Primitiven: providerspezifische IAM-Rollen, Bucket-Policies, Schlüsselverwaltungen. Sie sind nicht ineinander übersetzbar, sondern müssen abgebildet werden – meist manuell, selten synchron nachgeführt. Das Ergebnis ist Policy-Drift: Zwei Umgebungen, die dieselbe Richtlinie zu erfüllen glauben, tun es nicht mehr.

Ableitungen erben keine Klassifizierung. Hier liegt die folgenreichste Bruchstelle. Eine RAG-Pipeline – etwa zur Auswertung von Kreditakten – liest ein klassifiziertes Quelldokument, zerlegt es in Chunks, erzeugt Vektorrepräsentationen und schreibt diese in ein separates Datenbanksystem. Dabei gehen die Metadaten-Tags des Quellobjekts und dessen Zugriffskontrolllisten verloren. Ein internes Rating oder eine Verdachtsmeldung erzeugt Embeddings, die im Vektorindex neben denen öffentlicher Dokumente liegen und für jede Zugriffskontrolle auf Objektebene nicht mehr unterscheidbar sind. Wer die Klassifizierung nicht in den Payload-Attributen des Vektorindex mitführt, hat sie verloren. Ihr Mitführen ist kein Systemverhalten, sondern eine Designentscheidung.

Pilot-Governance skaliert nicht. 36 Prozent der Institute befinden sich in Pilotphasen, 35 Prozent berichten von einem unternehmensweiten Einsatz. In Pilotumgebungen ist Governance oft implizit: Der Datensatz ist bekannt, der Nutzerkreis überschaubar, die Ausnahme erfolgt auf Zuruf. Was im Innovationslabor funktioniert, wird im regulierten Kernbankbetrieb zum Prüfungsrisiko.

Was in der Architektur fehlt

Die 9 Prozent, die einen zentralen Data-Hub-Layer priorisieren, benennen eine Lücke, ohne sie zu füllen. Genau hier entscheidet sich, ob Objektspeicher Archiv bleibt oder zur verwalteten Datengrundlage wird: Eine durchsetzende Datenschicht muss Klassifizierung am Objekt persistieren statt in der Applikation, Richtlinien erzwingen statt Verstöße zu protokollieren, und die Kette vom Objekt im Speicher über Chunk und Embedding bis in den Vektorindex und das Kontextfenster in beide Richtungen begehbar halten: vorwärts, um zu wissen, wohin ein klassifiziertes Datum gewandert ist; rückwärts, um zu rekonstruieren, welche Quelldokumente in eine automatisierte Kreditentscheidung eingegangen sind.

Die Grundentscheidung dahinter ist die durchgehende Trennung von Steuerungs- und Datenebene. In der Control Plane liegen Richtliniendefinition und -durchsetzung, Lebenszyklusregeln, Identitätsverwaltung, Orchestrierung von Platzierung und Replikation. In der Data Plane liegen Lesen und Schreiben, Verschlüsselung, Datenreduktion, Fehlerkorrektur. Eine Architektur, die beide Ebenen sauber trennt, kann Richtlinien zentral definieren und über heterogene Speicherorte hinweg identisch durchsetzen.

Dabei geht es nicht in erster Linie um architektonische Eleganz, sondern um Fragen der Souveränität.

Wer seine Governance-Definitionen in der Steuerungsebene eines Cloud-Anbieters ablegt, macht sie von dessen Plattform abhängig.“

Und Souveränität, die auf einer Partnerschaft ruht, hält nur so lange wie diese besteht. Ein 2021 als Symbolprojekt angekündigtes deutsches Cloud-Vorhaben zwischen einem Hyperscaler und einem Tele­kommunikations­konzern steht nach fünf Jahren vor der Ablösung durch einen anderen Partner.

Wie Souveränität prüfbar wird

Mit den „Criteria enabling Cloud Computing Autonomy” (C3A) hat das BSI im April 2026 einen Kriterienkatalog vorgelegt. Bemerkenswert ist die Bedrohungsanalyse: Neben Cyber Crime und Cyber Conflict benennt das BSI eine dritte Kategorie – Cyber Dominance, die Möglichkeit von Anbietern digitaler Produkte und Dienste, dauerhaft Zugriff auf Systeme und Daten ihrer Kunden zu behalten. Die C3A sind nicht verbindlich, der Audit-Leitfaden ist angekündigt, aber nicht veröffentlicht. Und der Katalog adressiert Cloud-Dienste, nicht Datenarchitekturen: Für den prüfungsrelevanten Vorgang innerhalb einer produktiven KI-Pipeline existiert bislang kein Kriterienkatalog.

Drei Nachweise müssen dennoch geführt werden. Der Aufenthaltsnachweis – nicht, wo die Daten liegen sollten, sondern wo sie zum Zeitpunkt der Inferenz lagen. Die Erhebung zeigt, dass Institute bereits handeln: 23 Prozent beschränken KI-Workloads regional, 21 Prozent trainieren zentral bei lokalen Daten, 19 Prozent halten Daten zwingend on-premises, 16 Prozent trennen Training und Inferenz räumlich; 19 Prozent berichten von messbaren Leistungseinbußen. Das sind vollzogene Architektur­entscheidungen. Ob sie zur Laufzeit eingehalten wurden, ist eine andere Frage.

Der Ableitungsnachweis: Die Löschung eines personenbezogenen Datensatzes lässt sich für das Quellobjekt belegen. Für dessen Embeddings, Vektorindizes und Caches nur dann, wenn die Ableitungsbeziehung protokolliert wurde. Und der Zugriffsnachweis: Ein Modell oder Agent greift als Service-Identität zu; der Audit-Trail vermerkt den Service-Principal. In wessen Auftrag der Zugriff erfolgte, lässt sich nur nachvollziehen, wenn der delegierte Benutzerkontext explizit mitgeführt wird.

Der Audit-Trail endet zu früh. Objektspeicher ist die Schicht, in der Klassifizierung, Unveränderlichkeit und Zugriff heute lückenlos protokolliert werden können– aber seine Logs zeichnen nur API-Transaktionen auf: Erstellung, Lesezugriffe, Löschungen, Metadaten-Updates. Was sie nicht erfassen, sind der Inhalt der Datenströme, clientseitige Cache-Treffer und logische Abfragen innerhalb strukturierter Tabellenformate. Der prüfungsrelevante Vorgang bei einer RAG-Anwendung liegt danach – bei der Ähnlichkeitssuche, beim Aufbau des Kontextfensters, bei der Inferenz.

Die regulatorische Kollision. DORA verlangt in Artikel 9 hohe Standards für Integrität und Vertraulichkeit von Daten – ausdrücklich im Ruhezustand, bei der Nutzung und bei der Übertragung. „Bei der Nutzung“ bezeichnet den Moment, in dem ein Dokument in ein Kontextfenster wandert. Die technischen Regulierungsstandards verlangen zudem Synchronisation mit einer dokumentierten Zeitquelle und eine risikobasiert begründete Aufbewahrungsfrist für Protokolle. DORA ist gegenüber NIS2 lex specialis; die BaFin prüft seit 2025 nach § 44 KWG.

Der EU AI Act verlangt in Artikel 12 die automatische Aufzeichnung von Ereignissen über die Lebensdauer von Hochrisiko-Systemen. Kreditwürdigkeitsprüfung fällt nach Anhang III darunter – für Banken kein Randthema. Format und Pflichtfelder schreibt die Verordnung nicht vor; Leitprinzip ist die vollständige Rekonstruierbarkeit algorithmischer Entscheidungen. Die Pflicht trifft den Betreiber, nicht den Anbieter im Sinne der Verordnung, und gilt ab August 2026. Ein finalisierter technischer Standard dafür existiert nicht.

Zwischen diesen Anforderungen und der vorhandenen Protokollierungsebene klafft eine Lücke. Die Norm verlangt Nachweisbarkeit; die Standardarchitektur liefert Protokollierung.

Ein Anwendungsprotokoll lässt sich nachträglich verändern, ohne dass dies erkennbar wäre – und ein Protokoll, dessen Unverändertheit nicht belegbar ist, hat als Nachweis keinen Wert.“

Konsequenz

Governance-Automation lässt sich nicht nachträglich nachrüsten, wenn die KI-Anwendung bereits produktiv läuft. Sie ist die Betriebsvoraussetzung dafür, dass eine solche Anwendung im regulierten Umfeld überhaupt skalieren darf.

Der Widerspruch der Studie löst sich nicht durch bessere Richtlinien auf, sondern nur durch eine Datenschicht, in der Klassifizierung, Herkunft und Zugriff als Eigenschaften der Daten selbst existieren – nicht als Aussagen darüber. Die durchgehende Trennung von Control Plane und Data Plane ist nicht eine von mehreren Optionen, sondern die Bedingung, unter der Governance den Wechsel von Infrastruktur, Plattform und Betreiberkonstruktion übersteht.

Souveränität ist dann keine Frage des Rechenzentrumsstandorts, sondern eine Entscheidung, die pro Datensatz getroffen und pro Zugriff nachgewiesen werden kann.

Petra-Maria Grohs, Hitachi Vantara