Zum Inhalt springen
Joachim Knecht – IT einfach machen, zur Startseite

KI-Einführung für Banken und Versicherungen

KI einführen. Als Change-Projekt.

KI verstärkt, was in einer Organisation schon da ist: gute Abläufe genauso wie Schwächen. Ich führe die Einführung deshalb als Change-Projekt, in der Softwareentwicklung, im IT-Betrieb und in der Wissensarbeit. Erst Ziele und Regeln, dann der Pilot mit Messung, dann der Rollout. Ziel sind dauerhaft veränderte Prozesse und eine neue Denkweise, nicht nur neue Werkzeuge.

Erstgespräch anfragenVorgehen ansehen

Typische Anzeichen, dass die Einführung stockt

Lizenzen sind schnell gekauft. Die Probleme zeigen sich danach, und sie sind selten technischer Natur. GitHub fasst die eigenen Erfahrungen so zusammen: Die Einführung ist vor allem eine Frage der Menschen, nicht der Technik. Quelle

  • KI wird längst genutzt, aber jeder auf seine Weise und ohne gemeinsame Regeln.
  • Mitarbeiter greifen auf private KI-Dienste zurück, weil unklar ist, was erlaubt ist.
  • Es entsteht mehr Code, als geprüft werden kann.
  • Informationssicherheit und Auslagerungsmanagement wissen nicht, wie sie die Werkzeuge einstufen sollen.
  • Erfahrene Mitarbeiter sind skeptisch, andere übernehmen Ergebnisse ungeprüft.
  • Der Vorstand fragt nach dem Nutzen, und niemand hat vorher gemessen.

Vier Einsatzfelder

Vorher kläre ich, was sich ohne KI lösen lässt. Was feste Regeln zuverlässig erledigen, braucht keine KI. Ich beginne dort, wo Fehler wenig Schaden anrichten und leicht zu erkennen sind.

Softwareentwicklung

  • Bestehenden Code verstehen und dokumentieren, auch in Altsystemen
  • Tests ergänzen, Code schreiben und umbauen
  • Unterstützung im Review

Darauf kommt es an: Prüfkapazität im Review, Kontrolle neuer Abhängigkeiten, Agenten nur in abgeschotteter Umgebung.

IT-Betrieb

  • Störungsmeldungen und Protokolle auswerten, Ursachen eingrenzen
  • Tickets zusammenfassen und vorsortieren
  • Betriebsdokumentation aktuell halten

Darauf kommt es an: Keine Änderung an der Produktion ohne menschliche Freigabe, nachvollziehbar im Störungs- und Änderungsmanagement.

Wissensarbeit

  • Verträge, Richtlinien und Protokolle zusammenfassen und vergleichen
  • Entwürfe für Berichte, Vorlagen und Präsentationen
  • Recherche in internen Regelwerken

Darauf kommt es an: Klare Datenklassen, Prüfung jedes Ergebnisses durch einen Menschen, freigegebene Werkzeuge statt privater Dienste.

Strategie und Governance

  • Ziele und Prioritäten für den KI-Einsatz
  • Nutzungsrichtlinie, Rollen und Freigabeprozess
  • Übersicht aller KI-Anwendungen mit Risikoeinstufung

Darauf kommt es an: Einbettung in IKT-Risikomanagement, Auslagerungsmanagement und Informationsregister, statt einer Parallelwelt.

Einsatzklassen nach Risiko, für alle Felder
KlasseTypische AnwendungsfälleVoraussetzung
EinstiegCode, Dokumente und Protokolle verstehen, zusammenfassen und Entwürfe erstellen. Ein Mensch prüft jedes Ergebnis vollständig.Nutzungsrichtlinie, freigegebenes Werkzeug, Schulung
AusbauKI im Tagesgeschäft: Code schreiben, Tickets vorsortieren, Berichte vorbereiten.Prüfpflicht, Messung im Pilot
Nur unter AufsichtAgenten, die selbständig in Systemen handeln. Sicherheits-, zahlungs- und buchungsrelevante Bereiche.Abgeschottete Umgebung, eng begrenzte Rechte, Freigabe durch das verantwortliche Team
AusgeschlossenÄnderungen an der Produktion ohne menschliche Freigabe. Zugangsdaten im Kontext der KI. Kundendaten in Werkzeugen, die dafür nicht freigegeben sind.Technisch unterbunden, nicht nur verboten

Die Zuordnung ist ein Ausgangspunkt. Welche Fälle bei Ihnen in welche Klasse gehören, legen wir in der Standortbestimmung fest.

Warum das ein Change-Projekt ist

KI ändert nicht nur Werkzeuge. Sie ändert, wie Menschen arbeiten, was sie können müssen und wofür sie geradestehen. Über den Erfolg entscheidet deshalb nicht die Technik, sondern ob die Menschen mitgehen. Die Installation des Werkzeugs ist der kleinste Teil.

  1. Ohne Warum keine Bereitschaft

    Menschen tragen eine Veränderung mit, wenn sie verstehen, warum sie nötig ist und was sie selbst davon haben. Bleibt offen, wofür gewonnene Zeit genutzt wird, füllen Gerüchte die Lücke.

    Daher: Das Management sagt zu Beginn klar, welche Ziele gelten und wofür gewonnene Zeit genutzt wird. Diese Botschaft bereite ich mit vor.

  2. Widerstand ist ein Signal

    Skepsis hat oft gute Gründe: Sorge um Qualität, um Verantwortung, um die eigene Rolle. Wer sie übergeht, verliert gerade die erfahrensten Leute.

    Daher: Skeptiker gehören in die Pilotgruppe. Ihre Einwände werden zu Prüfkriterien.

  3. Rollen verschieben sich

    Wer bisher selbst geschrieben, analysiert oder ausgewertet hat, prüft künftig mehr. Das berührt Selbstverständnis und Können.

    Daher: Lernpfade je Rolle und Zeit zum Üben, passend zu den Schulungsanforderungen nach DORA und Art. 4 der EU-KI-Verordnung. Ein Mensch verantwortet jedes Ergebnis.

  4. Erst wird es langsamer

    Jede Veränderung hat eine Lernphase, in der die Leistung sinkt. Bei KI ist das belegt: In einer kontrollierten Studie brauchten erfahrene Entwickler mit KI 19 % mehr Zeit, erwartet hatten sie eine Beschleunigung. METR, 2025

    Daher: Die Lernphase wird eingeplant und vorher angekündigt. Entschieden wird nach dem Pilot, nicht nach drei Wochen.

  5. Sichtbare Erfolge tragen die Veränderung

    Belegte Erfolge im eigenen Haus überzeugen mehr als Vorführungen von Herstellern. Sie geben Rückenwind für die nächsten Schritte.

    Daher: Ein Pilot mit Messung vorher und nachher. Erfolge werden gezeigt, Misserfolge auch.

  6. Ohne Verankerung kommt der Rückfall

    Neue Abläufe bleiben nur, wenn sie zur Gewohnheit werden. Sonst kehrt die Organisation zu alten Mustern zurück, oder zu privaten Werkzeugen.

    Daher: Richtlinie, Prüfschritte und Kennzahlen werden Teil der Linie. Multiplikatoren in den Teams halten sie lebendig.

Die Argumente folgen bewährten Modellen des Veränderungsmanagements, etwa Kurt Lewin (Auftauen, Verändern, Stabilisieren) und John P. Kotter (Dringlichkeit, Vision, schnelle Erfolge, Verankerung in der Kultur).

Leitplanken, die im Alltag halten

„Grundsätzlich gelten für alle Arten der Codeerstellung, sei es durch Menschen oder Maschinen, die gleichen Regelungen.“

Für KI gibt es keinen Sonderweg, weder in der Entwicklung noch im Betrieb oder im Fachbereich. Eine Richtlinie, die nur auf Vertrauen setzt, ist schwer zu prüfen. Wo möglich, setze ich die Regeln technisch durch: über zentrale Einstellungen der Werkzeuge, Berechtigungen und Prüfungen in den Abläufen.

Was in die Nutzungsrichtlinie gehört

  • Datenklassen: Welche Daten die KI sehen darf. Zugangsdaten nie.
  • Freigegebene Werkzeuge: Werkzeuge, Modelle und Erweiterungen nur aus einer Freigabeliste.
  • Kennzeichnung: Es ist nachvollziehbar, wo KI an einem Ergebnis beteiligt war.
  • Prüfpflichten: Ein Mensch verantwortet jede Freigabe, im Review, im Änderungsmanagement oder in der Abnahme. Kritische Bereiche prüft das zuständige Team.
  • Rechte von Agenten: Was Agenten nie dürfen, etwa Produktionssysteme ändern oder Prüfungen abschalten.
  • Ausnahmen: Befristet, begründet und mit Verantwortlichem. Die Richtlinie wird regelmäßig überprüft.

Neue Risiken, die ich adressiere

  • Erfundene Inhalte: KI formuliert überzeugend, auch wenn Fakten, Quellen oder Bausteine nicht existieren. In einer Studie von 2025 empfahlen 16 Code-Modelle in 19,7 % der Fälle Pakete, die es nicht gibt. Angreifer registrieren solche Namen mit Schadcode. Quelle
  • Agenten mit weitem Zugriff: Nützliche Agenten verlangen Zugriff auf Daten und Systeme. Das erfordert abgeschottete Ausführung und mehrere Verteidigungslinien. Thoughtworks Radar
  • Bequemlichkeit: Wer Ergebnisse ungeprüft übernimmt, versteht die eigene Arbeit immer weniger. Für die Softwareentwicklung spricht Thoughtworks von „kognitiver Schuld“. Thoughtworks Radar
  • Abfluss vertraulicher Daten: Kundendaten und Zugangsdaten bleiben technisch außerhalb der Reichweite nicht freigegebener Werkzeuge.

Vorgehen in vier Stufen

Jede Stufe endet mit einer Entscheidung. Sie können nach jeder Stufe aufhören oder mit eigenen Leuten weitermachen. Ziel ist, dass Ihre Organisation ohne mich weiterarbeitet: Wissen, Richtlinien und Werkzeuge bleiben bei Ihnen.

  1. Standortbestimmung

    2 bis 3 Wochen

    Gespräche mit Management, IT-Leitung, Teams aus Entwicklung, Betrieb und Fachbereichen sowie Informationssicherheit, Datenschutz und Auslagerungsmanagement. Bestandsaufnahme von Werkzeugen, tatsächlicher Nutzung und vorhandenen Regeln. Auswahl der Einsatzfelder mit dem größten Nutzen bei beherrschbarem Risiko.

    Ergebnisse
    • Lagebild mit Stärken und Lücken
    • Ziele und Prioritäten für den KI-Einsatz
    • Einsatzklassen und Entwurf der Nutzungsrichtlinie
    • Pilotvorschlag mit Erfolgskriterien und Entscheidungsvorlage
  2. Pilot mit Messkonzept

    8 bis 12 Wochen, ein bis zwei Teams

    Die Pilotgruppe ist gemischt: Befürworter, typische Anwender und ausdrücklich auch Skeptiker. Messung vor dem Start, Schulung entlang der Richtlinie, regelmäßige Auswertung gemeinsam mit dem Team. Die Prozessänderungen werden im Pilot erprobt, nicht nur beschrieben.

    Ergebnisse
    • Messbericht mit Vorher-Nachher-Vergleich
    • Erprobte Abläufe für Prüfung und Freigabe
    • Empfehlung: ausrollen, anpassen oder beenden
  3. KI-Programmleitung auf Zeit

    3 bis 6 Monate

    Rollout in Wellen, über Teams und Einsatzfelder. Die nächste Welle startet erst, wenn die vereinbarten Kennzahlen der vorigen erreicht sind. Multiplikatoren in den Teams und eine Austauschrunde für alle, die mit KI arbeiten. Einbettung in IKT-Risikomanagement, Informationsregister und Änderungsmanagement.

    Ergebnisse
    • Verbindliche Richtlinie und technisch durchgesetzte Leitplanken
    • Lernpfade je Rolle
    • Übergabe an die Linie mit benannter Programmverantwortung
  4. Begleitung

    nach Bedarf

    Sparring für die Verantwortlichen, regelmäßige Auswertung der Kennzahlen, Anpassung von Richtlinie und Einsatzklassen an neue Werkzeuge und Modelle.

    Ergebnisse
    • Die Einführung bleibt wirksam, auch wenn sich Werkzeuge ändern

Rollen, ohne die es nicht geht

Auftraggeber im Management
Setzt die Ziele, sagt, wofür gewonnene Zeit genutzt wird, und räumt Hindernisse aus dem Weg.
Programmverantwortung
Eine Person, die für die Einführung geradesteht. Diese Rolle übernehme ich auf Zeit.
Multiplikatoren
Erfahrene Mitarbeiter in den Teams, die Fragen beantworten und Erfahrungen zurückmelden.
Informationssicherheit und Compliance
Von Anfang an beteiligt, nicht erst bei der Freigabe.

Messen, bevor man urteilt

Ob KI hilft, zeigt sich in Ihren Kennzahlen und nicht in Vorführungen. Deshalb messe ich vor dem Pilot und danach, auch wenn das Ergebnis ernüchtert. Gemessen wird dort, wo die Arbeit stattfindet: in den Abläufen, in denen KI eingesetzt wird. Die Gliederung in Nutzung, Wirkung und Kosten folgt dem Messmodell von DX. Quelle

Nutzung im Prozess
Gezählt werden Vorgänge, nicht Lizenzen: der Anteil der Änderungen, Tickets oder Berichte mit KI-Beteiligung, je Prozessschritt. Das zeigt, ob der neue Ablauf gelebt wird oder nur auf dem Papier steht. Die Daten liefert die Kennzeichnung aus der Nutzungsrichtlinie.
Wirkung
Durchlaufzeit der betroffenen Abläufe, etwa von der Anforderung bis zur Freigabe oder von der Störung bis zur Lösung, eingeschätzte Zeitersparnis
Qualität
Fehlerquote, Nacharbeit, Befunde aus Prüfungen
Kosten
Lizenz- und Nutzungskosten im Verhältnis zur Wirkung, ungenutzte Lizenzen, Aufwand für Prüfung und Schulung
  • Gemessen wird auf Teamebene. Kennzahlen dienen nicht der Bewertung einzelner Mitarbeiter. Das sage ich zu Beginn, sonst leidet die Ehrlichkeit der Daten.
  • Keine Mengenzählung. Die Menge an erzeugtem Code oder Text sagt nichts über den Nutzen und lässt sich leicht beschönigen.
  • Die Qualität darf nicht sinken. Sie ist ein festes Erfolgskriterium, auch wenn das Tempo steigt.
  • Fehler werden eingeplant. KI-Ergebnisse sind nie fehlerfrei. Entscheidend ist, dass Fehler früh auffallen: durch Prüfschritte in den Abläufen.

Der rechtliche Rahmen, nüchtern betrachtet

Stand Oktober 2026. Ich bin kein Rechtsanwalt. Die Bewertung im Einzelfall gehört zu Ihrer Rechts- und Compliance-Abteilung. Ich sorge dafür, dass sie früh beteiligt ist.

Deutschland und EU

  • DORA ist seit 17. Januar 2025 der verbindliche Rahmen: IKT-Risikomanagement, Test- und Änderungsmanagement, Steuerung von IKT-Drittdienstleistern mit Informationsregister, Schulung bis zur Geschäftsleitung.
  • Die BaFin-Orientierungshilfe zu IKT-Risiken beim Einsatz von KI (Dezember 2025) ist unverbindlich, aber eine gute Richtschnur für die Umsetzung von DORA.
  • Die EU-KI-Verordnung stuft die Anwendungen der vier Einsatzfelder in der Regel nicht als Hochrisiko-KI ein. Unternehmen, die KI einsetzen, müssen Maßnahmen zur Förderung der KI-Kompetenz ihrer Mitarbeiter ergreifen (Art. 4).
  • Die DSGVO gilt, sobald personenbezogene Daten im Spiel sind. Deshalb gehören Datenklassen an den Anfang.

Schweiz

  • Ein KI-Gesetz gibt es nicht.
    Maßstab ist die FINMA-Aufsichtsmitteilung 08/2024 zu Governance und Risikomanagement beim Einsatz künstlicher Intelligenz.
  • Die EU-KI-Verordnung betrifft Schweizer Institute nur bei EU-Bezug.

Warum ich

Ich kenne IT von innen
Diplom-Informatiker und lange Jahre Geschäftsführer, eines Softwareentwicklungsunternehmens für die Finanzindustrie und eines Systemhauses mit Rechenzentrumsbetrieb.
Ich habe Veränderungen in regulierten Häusern geführt
Projektmanagement 2.0 bei Die Stuttgarter, Austausch des Sachversicherungssystems bei glarnerSach, SEPA-Einführung bei der Mercedes-Benz Bank mit über 200 Beteiligten. Zu den Referenzen
Ich bringe Konflikte zu Lösungen
Als zertifizierter Mediator moderiere ich, wenn skeptische Mitarbeiter, Informationssicherheit und Management unterschiedliche Erwartungen haben.
Ich bin unabhängig
Ich bin an keinen Werkzeughersteller gebunden. Die Auswahl der Werkzeuge ist Teil der Standortbestimmung.

„Sein fachliches Wissen zum Projektmanagement war stets sehr überzeugend. Dadurch konnte er auch in Konfliktsituationen zielführende Lösungen erreichen.“

Frank Karsten, Vorstandsvorsitzender, Stuttgarter Lebensversicherung

Häufige Fragen

Brauchen wir zuerst eine KI-Strategie?

Nicht als langes Papier. Ziele, Prioritäten und Regeln entstehen in der Standortbestimmung und werden im Pilot an der Wirklichkeit geprüft.

Welches Werkzeug empfehlen Sie?

Keines vorab. Die Auswahl hängt vom Einsatzfeld, Ihren Sicherheitsanforderungen und dem Betriebsort des Werkzeugs ab. Sie ist Teil der Standortbestimmung.

Was ist mit KI-Agenten, die selbständig arbeiten?

Sie sind nützlich, aber sie brauchen Leitplanken: abgeschottete Umgebung, eng begrenzte Rechte, Prüfungen als Kontrollinstanz und eine menschliche Freigabe. Deshalb kommen sie bei mir erst, wenn die Grundlagen im Pilot tragen.

Ist das Hochrisiko-KI?

In der Regel nein. Die EU-KI-Verordnung stuft im Finanzsektor vor allem die Kreditwürdigkeitsprüfung natürlicher Personen sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung als hochriskant ein. Diese Anwendungen gehören nicht zu den vier Einsatzfeldern.

Brauchen wir eine Schulung nach Art. 4 der EU-KI-Verordnung?

Die Verordnung verlangt Maßnahmen zur Förderung der KI-Kompetenz, kein Zertifikat und kein bestimmtes Niveau. Sinnvoll ist eine Schulung, die direkt auf Ihre Nutzungsrichtlinie eingeht. Sie ist Teil von Pilot und Rollout.

Was, wenn unsere Informationssicherheit Cloud-Werkzeuge ablehnt?

Dann gehört diese Haltung an den Anfang und nicht ans Ende. Es gibt verschiedene Betriebsvarianten, vom eigenen Rechenzentrum bis zur Cloud im eigenen Mandanten. Welche zu Ihnen passt, klären wir mit Informationssicherheit und Auslagerungsmanagement in der Standortbestimmung.

Werden einzelne Mitarbeiter überwacht?

Nein. Gemessen wird auf Teamebene, und die Kennzahlen dienen nicht der Leistungsbewertung einzelner Personen. Das gehört an den Anfang jeder Einführung.

Wie schnell sehen wir Ergebnisse?

Belastbare Aussagen liefert der Pilot nach acht bis zwölf Wochen. Rechnen Sie am Anfang mit einer Lernphase, in der die Produktivität eher sinkt.

Übernehmen Sie auch eine Linienfunktion auf Zeit?

Ja. Wenn die Leitung der IT, der Anwendungsentwicklung oder eines Programms vakant ist, übernehme ich die Verantwortung als Interim-Manager und führe die KI-Einführung als Teil dieser Rolle.

Sprechen wir über Ihr Vorhaben.

Im Erstgespräch klären wir Ihre Ausgangslage und den sinnvollen ersten Schritt.

E-Mail schreiben