Compliance-Dokumentation automatisieren

Das echte Ausmaß des Problems

Compliance im Finanzsektor ist kein Wachstumsmarkt für Anbieter — sondern für Regulierungsdichte. Allein zwischen 2020 und 2025 erzwangen DORA, MiFID-II-Updates, GwG-Novellen, ESG-Reporting, CSRD, DSGVO-Anpassungen und die EU-KI-Verordnung neue Dokumentationspflichten für Finanzinstitute.

Laut einer Studie des IFO-Instituts ist der Compliance-Aufwand in deutschen Kreditinstituten in den letzten zehn Jahren um durchschnittlich 120 Prozent gestiegen. Für eine mittlere Volksbank oder Sparkasse mit 200 Mitarbeitenden bedeutet das heute 5 bis 8 Vollzeitstellen allein für Compliance — ohne direkte Umsatzbeitrag.

Das Strukturproblem: Compliance-Dokumentation ist repetitiv, aber nicht trivial.

• GwG-Risikoanalysen nach §5 GwG müssen für jeden Kunden erstellt und bei Änderungen des Risikoprofils aktualisiert werden. Struktur immer ähnlich, Inhalt immer verschieden.
• Verfahrensdokumentationen nach BAIT oder ISO 27001 haben feste Gliederungsanforderungen — dennoch unterscheidet sich der Inhalt pro Institut erheblich. Hinweis: Automatisches Monitoring neuer BaFin-Rundschreiben und EBA-Regulierungsveröffentlichungen ist ein eigener Use Case — dafür siehe KI-gestütztes regulatorisches Reporting und MaRisk-Compliance. Dieser Use Case konzentriert sich auf die Dokumentenerstellung selbst.

Die BaFin veröffentlichte im Dezember 2025 eine Orientierungshilfe zu IKT-Risiken beim KI-Einsatz in Finanzunternehmen und erwartet darin explizit, dass KI-unterstützte Dokumentationsprozesse nachvollziehbar, revisionssicher und menschlich abgenommen werden. Der Druck zur Automatisierung und die regulatorische Erwartung an Dokumentation wachsen gleichzeitig.

Mit vs. ohne KI — ein ehrlicher Vergleich

Einschätzung auf einen Blick

Zeitersparnis — mittel (3/5)
Die Zeitersparnis bei der Dokumenterstellung ist real — 60 bis 70 Prozent weniger Schreibaufwand für repetitive Compliance-Dokumente ist ein konsistenter Praxiswert (Schätzwert aus Praxisberichten). Dennoch keine 4 oder 5: Der Hauptaufwand verlagert sich auf Template-Pflege und Review, nicht auf Zeitersparnis im engeren Sinne. Verglichen mit der automatischen Schadenbearbeitung oder dem Beratungsprotokoll liegt der direkte Zeitgewinn je Person täglich niedriger.

Kosteneinsparung — mittel (3/5)
Die Einsparung entsteht durch freigewordene Compliance-Kapazität — messbarer als bei reiner Informationsarbeit, aber schwerer isolierbar als bei der Risikoeinschätzung, wo Ausfälle direkt auf die P&L wirken. In der Praxis: Ein Compliance-Team, das 40 Prozent seiner Zeit für repetitive Dokumenterstellung aufwendet, kann diese Kapazität in höherwertige Risikoarbeit umlenken — aber dieser Effekt lässt sich nicht auf drei Nachkommastellen ausweisen.

Schnelle Umsetzung — mittel (3/5)
Eine einfache LLM-gestützte Dokumentengenerierung mit vorhandenen Templates ist in 4 bis 8 Wochen einsatzbereit. Das ist handhabbar. Komplexe GRC-Plattformen mit Workflow-Integration brauchen 3 bis 6 Monate. Mittelfeldposition in dieser Kategorie.

ROI-Sicherheit — niedrig (2/5)
Das ist die ehrliche Schwachstelle dieses Use Cases: Der Nutzen entsteht durch Risikovermeidung (Prüfungsfehler, BaFin-Nachfragen) und Kapazitätsgewinn — beides ist schwer in Euro zu beziffern, bevor etwas passiert. Wer einen klaren ROI ausweisen will, braucht eine Baseline: Wie viele Stunden geht heute in Dokumentenarbeit? Erst dann lässt sich die Einsparung messen.

Skalierbarkeit — mittel (3/5)
Das System wächst mit der Regulierungsdichte, nicht mit der Teamgröße. Neue Dokumenttypen erfordern neue Templates — das ist einmaliger Aufwand. Trotzdem keine höhere Bewertung: Regulierungsänderungen erfordern Template-Updates, und ohne aktives Pflegemanagement degradiert die Dokumentqualität, nicht die Geschwindigkeit.

Richtwerte — stark abhängig von Institutsgröße, Anzahl der betreuten Dokumenttypen und vorhandener Compliance-Infrastruktur.

Was das System konkret macht

Der technische Ansatz verbindet drei Komponenten:

1. Template-basierte Dokumentengenerierung
Für jeden regulatorischen Dokumenttyp — GwG-Risikoanalyse, Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO, MaRisk-Verfahrensdokumentation, BAIT-Konformitätsnachweise — werden strukturierte Templates mit Pflichtabschnitten, Variablen und Befüllungshinweisen angelegt. Das Template bildet die gesetzlichen Mindestanforderungen ab.

Ein LLM generiert aus strukturierten Eingaben — Kundenprofil, Risikofaktoren, Prozessparameter — den vollständigen Dokumenttext. Was früher 3 Stunden Schreibarbeit war, dauert 30 Minuten Eingabe plus 15 Minuten Review durch die Compliance-Fachkraft.

2. Versionierung und Audit-Trail
Alle Dokumente werden automatisch versioniert mit Erstellungsdatum, bearbeitender Person, zugrunde liegender Regulierungsversion und Genehmigungsstatus. Bei einer BaFin-Prüfung ist der vollständige Nachweis-Trail sofort abrufbar — ohne Suche in Dateisystemen.

Konkrete Werkzeuge — was wann passt

Claude / ChatGPT — Für die Dokumentengenerierung: Generative KI ist stark darin, strukturierte Compliance-Texte auf Basis von Templates und Eingabedaten zu generieren. Wichtig: Inhalte werden vom Compliance-Experten geprüft — das LLM übernimmt die Schreibarbeit, nicht die rechtliche Verantwortung. Ab 20 Euro/Nutzer/Monat. Kein Produktionssystem für vollautomatische Einreichungen.

Microsoft 365 Copilot — Für Institute, die Office 365 nutzen: Copilot kann direkt in Word und Excel Compliance-Dokumente nach strukturierten Vorgaben erstellen, bestehende Texte auf Vollständigkeit prüfen und Abweichungen von Vorperioden markieren. Datenverarbeitung innerhalb der Microsoft-Tenant-Umgebung — relevant für DSGVO-Anforderungen. Ca. 30 Euro/Person/Monat zusätzlich zur bestehenden M365-Lizenz.

NotebookLM — Für die Analyse von Regulierungsdokumenten: Gesetzestexte, BaFin-Rundschreiben und EBA-Leitlinien als Quellen hochladen und dann natürlichsprachlich befragen: „Welche Änderungen bringt die neue GwG-Novelle für unsere KYC-Prozesse?” Kostenfrei für Einzelnutzer, kein Setup. Keine Datenpersistenz — für vertrauliche Institutsdaten ungeeignet.

Riskonnect — GRC-Plattform (Governance, Risk, Compliance) mit vollständigem Dokumentenmanagement, Workflow-Genehmigungsprozessen und Audit-Trail. Gut für Institute mit komplexen Compliance-Strukturen und mehr als 50 Compliance-Dokumenttypen. Enterprise-Preisgestaltung, typisch 3.000–15.000 Euro/Monat.

ProcessMaker — Workflow-Plattform für Compliance-Prozesse. Weniger spezialisiert als Riskonnect, flexibler und günstiger. Gut für die Automatisierung von Dokumenterstellungs- und Genehmigungsworkflows. Ab ca. 1.500 Euro/Monat.

Make.com — Als Automatisierungsschicht ohne Code: Wenn ein neues Kundenprofil im CRM angelegt wird, triggert Make.com die Erstellung einer GwG-Risikoanalyse über die LLM-API und legt das Ergebnis im Dokumentenmanagementsystem ab. Für Institute ohne Entwicklerressourcen ein realistischer Einstieg.

Zusammenfassung: Wann welcher Ansatz

• Bis 20 Dokumente/Monat, schneller Start → Claude oder Copilot manuell
• Microsoft-365-Umgebung vorhanden → M365 Copilot
• Workflow und Genehmigung automatisieren → Make.com oder ProcessMaker
• Komplexe GRC-Struktur, über 50 Dokumenttypen → Riskonnect

Rechtliche Besonderheiten

Dieser Use Case hat starken regulatorischen Charakter — drei Punkte verdienen besondere Aufmerksamkeit:

EU-KI-Verordnung und Hochrisiko-Klassifikation: Kreditscoring und Bonitätsbewertung fallen unter Hochrisiko-KI nach dem EU AI Act. Compliance-Dokumentation ist weniger eindeutig klassifiziert — aber jedes System, das Compliance-Entscheidungen vorbereitet oder dokumentiert, sollte frühzeitig auf Klassifikationsrelevanz geprüft werden. Ab August 2026 gelten die vollen Hochrisiko-Anforderungen.

DSGVO Art. 22 und automatisierte Dokumentation: Soweit KI-generierte Compliance-Dokumente personenbezogene Kundendaten verarbeiten, gelten die üblichen DSGVO-Anforderungen: AVV mit dem Tool-Anbieter, EU-konforme Datenhaltung, Verarbeitungsverzeichnis. Kein Cloud-Tool ohne unterzeichneten AVV in den Produktivbetrieb nehmen.

BaFin-Erwartung an KI-Nachvollziehbarkeit: Die BaFin-Orientierungshilfe von Dezember 2025 formuliert explizit, dass KI-gestützte Prozesse in Finanzunternehmen revisionssicher und für Prüfende nachvollziehbar sein müssen. Das bedeutet: Jedes KI-generierte Dokument braucht einen Menschlichen Review-Schritt und eine dokumentierte Freigabe. „Die KI hat das erstellt” ist keine ausreichende Antwort auf Prüferfragen.

Datenschutz und Datenhaltung

Compliance-Dokumente enthalten regelmäßig personenbezogene Kundendaten: Namen, Adressen, Kontodaten, Risikoeinschätzungen. Das bedeutet: Jedes LLM, das diese Daten verarbeitet, muss einen unterzeichneten Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO haben.

Für die gängigen Tools:

• Microsoft 365 Copilot: EU Data Boundary verfügbar, Daten verbleiben in EU-Rechenzentren. AVV über das Microsoft-Portal abrufbar.
• Claude (Anthropic API): AVV über api.anthropic.com. Datenverarbeitung auf US-Infrastruktur — für besonders sensible Kundendaten ist eine Private-Deployment-Option zu prüfen.
• ChatGPT Enterprise: Zero-Data-Retention-Modus verfügbar, AVV vorhanden. Daten gehen nicht ins Modell-Training ein.
• On-Premise-LLMs (z.B. Llama-basiert auf eigenem Server): Maximale Kontrolle, aber erhebliche Engineering-Investition.

Grundregel für Finanzinstitute: Keine echten Kundendaten über Consumer-Grade-APIs (ChatGPT Free, Claude.ai-Webinterface). Immer die Enterprise- oder API-Variante mit AVV.

Was es kostet — realistisch gerechnet

Einstieg (LLM + Template-Bibliothek, manuelle Generierung)

• Claude oder ChatGPT API: 50–200 Euro/Monat je nach Volumen
• Template-Entwicklung: 3–6 Wochen (Compliance-Experte + Prompt-Entwicklung)
• Ergebnis: Dokumenterstellungszeit um 60–70 Prozent reduziert (Schätzwert aus Praxisberichten), konsistentere Qualität

Mittelweg (Workflow-Automatisierung via Make.com)

• Make.com: ab 9 Euro/Monat für einfache Workflows
• LLM-API-Kosten: 50–200 Euro/Monat
• Einrichtung: 4–6 Wochen
• Ergebnis: Automatische Dokumenterstellung bei Trigger-Ereignissen (neuer Kunde, Risikoprofilwechsel)

Skaliert (GRC-Plattform, ab 200 Dokumenttypen/Monat)

• Riskonnect oder ähnliche GRC-Plattform: 3.000–15.000 Euro/Monat
• Implementierung: 3–6 Monate
• Ergebnis: Vollautomatisierte Workflows, laufendes Regulierungsmonitoring, Audit-Trail

ROI-Beispiel:
Volksbank mit 3 Compliance-Vollzeitstellen (je 75.000 Euro Jahresgehalt inkl. Nebenkosten = 225.000 Euro). 35 Prozent der Arbeitszeit entfällt auf repetitive Dokumentenarbeit (78.750 Euro/Jahr). KI reduziert diesen Anteil auf 15 Prozent (33.750 Euro/Jahr). Einsparung durch Kapazitätsgewinn: 45.000 Euro/Jahr. Toolkosten: ca. 2.500 Euro/Jahr (LLM-API + Make.com). Nettogewinn: ca. 42.500 Euro/Jahr — plus deutlich bessere Prüfungsvorbereitung.

Drei typische Einstiegsfehler

1. Templates ohne Juristinnen und Juristen entwickeln.
Prompt-Engineers sind gut darin, Texte zu strukturieren. Compliance-Juristinnen und -Juristen wissen, was ein Prüfer erwartet. Diese Kombination ist Pflicht — nicht optional. Templates, die ohne Fachexpertise entstehen, bilden regulatorische Anforderungen oft unvollständig ab. Das fällt erst beim nächsten Prüfungstermin auf.

2. Das Regulierungsmonitoring als „set and forget” behandeln.
Automatisches Monitoring liefert Alerts — aber jemand muss diese Alerts lesen und die Templates anpassen. Wenn drei Monate nach einer GwG-Novelle noch die alten Templates im Einsatz sind, weil niemand die Alert-E-Mails bearbeitet hat, ist das Automatisierungssystem kontraproduktiv: Es gibt falsches Sicherheitsgefühl.

3. Fehlende Trennlinie zwischen KI-Entwurf und gültigem Dokument.
Das gefährlichste Szenario: KI-generierte Dokumente gelangen ohne Review in die Compliance-Ablage und gelten intern als gültig. Kein Review-Schritt, keine Freigabe, keine Unterschrift. Bei einer BaFin-Prüfung ist das ein erhebliches Problem. Jedes KI-generierte Dokument braucht eine explizite Freigabedokumentation — wer hat es wann geprüft und freigegeben.

Was mit der Einführung wirklich passiert

Compliance-Teams reagieren auf KI-Dokumentautomatisierung unterschiedlich, aber vorhersehbar.

Die erfahrenen Spezialistinnen und Spezialisten sind häufig skeptisch: Sie haben Regulierungen auf Dutzenden Seiten internalisiert und wissen, wo die Tücken liegen. Das KI-System kennt die regulatorischen Anforderungen nur so gut, wie das Template sie abbildet. Dieser Einwand ist berechtigt — und die Lösung ist, diese Personen in die Template-Entwicklung einzubeziehen, nicht um sie herumzuarbeiten.

Die jüngeren Compliance-Mitarbeitenden nehmen das System schneller an, haben aber weniger Urteilsvermögen für Grenzfälle. Das führt zu Dokumenten, die formal korrekt aussehen, aber inhaltlich Lücken haben. Das Review muss von Seniorlevel kommen, nicht von der Person, die das Dokument erstellt hat.

Was konkret hilft:

• Template-Bibliothek mit dem gesamten Compliance-Team entwickeln — nicht allein oder mit externen Beratern
• Explizite „KI-Entwurf”-Kennzeichnung für alle generierten Dokumente bis zur Freigabe
• Quartalsweise Template-Reviews einplanen — regulatorische Landschaft ändert sich schnell
• Einen konkreten „Audit-Tag” simulieren: System unter Prüfungsbedingungen testen, bevor echte Prüfung kommt

Realistischer Zeitplan mit Risikohinweisen

Häufige Einwände — und was dahintersteckt

„KI darf keine regulatorischen Entscheidungen treffen.”
Richtig — und das ist auch nicht das Ziel. Das System entscheidet nicht, ob ein Kunde als Risiko eingestuft wird. Es erstellt den strukturierten Dokumentationsrahmen, den eine menschliche Compliance-Fachkraft dann bewertet und unterzeichnet. Die rechtliche Verantwortung bleibt vollständig beim Menschen. KI übernimmt die Schreibarbeit.

„Unsere Anforderungen sind zu spezifisch für standardisierte Templates.”
Jedes Institut hat spezifische Anforderungen — das ist kein Argument gegen KI, sondern ein Argument für gut konfigurierte Templates. Die Bibliothek wird auf die eigenen Anforderungen zugeschnitten. Was eingespart wird, ist die repetitive Schreibarbeit, nicht die Expertise bei der Anforderungsdefinition.

„Was passiert bei einer Prüfung, wenn KI-generierte Dokumente fehlerhaft sind?”
Genau deshalb gibt es den Review-Schritt: Jedes generierte Dokument wird von einer qualifizierten Compliance-Fachkraft geprüft, angepasst und mit Datum und Name freigegeben. Das Dokument trägt die Freigabe eines Menschen. Wenn Fehler auftreten, liegt die Verantwortung beim prüfenden Mitarbeitenden — genauso wie wenn er das Dokument selbst geschrieben hätte.

Woran du merkst, dass das zu dir passt

• Dein Compliance-Team erstellt mehr als 20 gleichartige Dokumente pro Monat (GwG-Risikoanalysen, DSFA, Verfahrensdokumentationen)
• Regulierungsänderungen führen zu mehrwöchigem Aufwand, weil alle betroffenen Dokumente manuell überarbeitet werden müssen
• In der letzten Prüfung gab es Anmerkungen zu unvollständig ausgefüllten Pflichtfeldern — klassisches Symptom von Zeitdruck bei manueller Erstellung
• Du hast mehr als zwei Compliance-Vollzeitstellen, von denen ein erheblicher Anteil der Zeit auf Dokumentenarbeit entfällt

Wer warten sollte:

• Institute mit weniger als 5 regulatorischen Dokumenttypen monatlich — der Setup-Aufwand übersteigt den Nutzen
• Teams, die noch keine stabilen internen Compliance-Prozesse haben — KI automatisiert, was vorhanden ist; chaotische Prozesse werden chaotisch-schneller, nicht besser
• Situationen, in denen kein erfahrener Compliance-Jurist für die Template-Entwicklung verfügbar ist — dann lieber warten, bis die Expertise vorhanden ist

Das kannst du heute noch tun

Nimm eine GwG-Risikoanalyse, die dein Team zuletzt manuell erstellt hat. Anonymisiere die personenbezogenen Daten (Kundenname, Kontonummer ersetzen). Lade das Dokument in Claude oder ChatGPT hoch und gib folgenden Prompt ein:

Quellen & Methodik

• BaFin-Orientierungshilfe zu IKT-Risiken beim KI-Einsatz (Dezember 2025) — unverbindliche Hilfestellung zur Umsetzung von DORA-Anforderungen bei KI-Anwendungen in Finanzunternehmen
• IFO-Institut: Regulierungskosten im deutschen Bankensektor — Studie zu Compliance-Kostenentwicklung 2014–2024; Anstieg von 120 Prozent als Durchschnittswert über Institutsgrößen
• laut PwC (2025) — 71 Prozent der befragten Bankinstitute nutzen mindestens einen KI-Use Case; Compliance-Dokumentation als einer der häufigsten Einsatzbereiche
• GwG §5 (Geldwäschegesetz) — gesetzliche Grundlage für institutsspezifische Risikoanalyse-Pflichten; aktuelle Fassung berücksichtigt GwG-Novelle 2024
• Eigene Erfahrungswerte aus LLM-Pilotprojekten zur Compliance-Dokumentation bei deutschen Finanzinstituten 2024–2025 — konsistente Zeitersparnis von 60–70 Prozent bei Erstgenerierung