Regulatorik & Realität - Folge 2 Die Trilog-Einigung ist da – Was sich verschoben hat, und was nicht!

00:00:00: Willkommen zurück bei Regulatorik und Realität Folge zwei.

00:00:04: Mein Name ist Dana, neben mir sitzt Mario Pustan wie immer irgendwo zwischen Krawatte und Kapuze.

00:00:11: Hallo Dana!

00:00:11: Hallo zusammen!

00:00:12: Schön, dass ihr wieder dabei seid.

00:00:14: Wer beim ersten Mal eingestiegen ist?

00:00:17: Beide Stimmen sind synthetisch.

00:00:19: Mario ist ein Voice-Clone seiner echten Stimme.

00:00:22: Meine ist eine deutsche Sprecherstimme.

00:00:24: Mehr dazu in Folge eins.

00:00:26: Heute geht es um etwas anderes.

00:00:29: Vor zwei Wochen sind wir mit vierundneunzig Tagen bis zum KI-Stichtag gestartet.

00:00:34: Wir sind jetzt bei achtzig Tagen, aber seit letzter Woche Donnerstag rechnen viele anders.

00:00:40: Du meinst die Trelogeinigung vom siebten Mai?

00:00:43: Genau!

00:00:44: In der Nacht auf Donnerstag haben Parlament und Rat sich geeinigt.

00:00:48: Annex III verschiebt sich auf den zweiten Dezember zweitausendsevonzwanzig, Annex I auf den Zweiten August zweitauzentachtundzwanziger.

00:00:58: Diese Folge ist ein Briefing für die Wochen, die jetzt kommen und für drei Themen, die sich überhaupt nicht verschoben

00:01:04: haben.

00:01:21: Das BSI-Oskalzeug schauen wir!

00:01:26: Das hat mir vor knapp zwei Wochen ein CISO eines mittelgroßen Versicheres gesagt.

00:01:31: Den Reflex verstehe ich, neue Standards, frische Datenmodelle, weitere Toolfragen – die landen erst mal im Ordner

00:01:39: später.".

00:01:40: Und seit der Einigung in Brüssel könnte man meinen «später» ist legitim geworden.

00:01:46: Das ist genau der Trugschluss, vor dem ich warnen will.

00:01:49: Schauen wir auf die Fakten!

00:01:50: In der Nacht auf den siebten Mai haben Europäisches Parlament und Rat eine vorläufige politische Einigung zum Digital Omnibus on AI erzielt.

00:02:00: Nachdem wir scheiterten ersten Trilog am April, zwölf Stunden ohne Ergebnis.

00:02:06: Streitpunkt war damals die Konformitätsbewertung für KI in regulierten Produkten.

00:02:18: eigenständige Hochrisiko KI gilt ab dem zweiten Dezember, im Jahr ist es die Kernverschiebung.

00:02:29: Zweitens, Annex I, KI in regulierten Produkten, gilt ab diesem August, im Jahre ist es der Zweifel des Jahres.

00:02:37: Wo sektorrecht vergleichbare Anforderungen enthält kann die Anwendung des AI-Aggs über Durchführungsrechtsakte fallweise begrenzt werden.

00:02:47: Dopperegulierung wird also gelöst, nicht pauschal aufgehoben.

00:02:51: Für die Maschinenverordnung gilt eine vollständige Ausnahme.

00:02:55: Genau dieser Mechanismus war der Knackpunkt, der den ersten Trilog scheitern ließ.

00:03:00: Drittens – Eine neue Verbotskategorie ist dazugekommen.

00:03:05: Generierung non-konsensueller sexueller Inhalte und CSAM Child Sexual Abuse Material wird ausdrücklich verboten Die einzige inhaltliche Erweiterung der KI-WO durch den Omnibus.

00:03:20: Und was hat die Einigung nicht verschoben?

00:03:38: Unverändert.

00:03:43: Meine Antwort an den CISO bleibt deshalb?

00:03:49: Bis zum zweiten August so handeln, als gäbe es die Verschiebung nicht!

00:03:53: Wer das getan hat, hat nichts verloren – er hat nur professionell geplant.

00:03:58: Genau das ist jetzt

00:03:59: eingetreten.".

00:04:01: Der Satz sitzt Mario du hast eben Oskal gesagt.

00:04:06: für Hörer, die das noch nicht im Alltag haben….

00:04:09: was ist das?

00:04:11: Open Security Controls Assessment Language, ein offener Standard.

00:04:16: Ursprünglich vom amerikanischen Standardisierungsinstitut NIST.

00:04:21: Maschinenlesbares Format für Sicherheitskontrollen.

00:04:25: Das BESI hat seit erst im April, es ist seit dem April, erster Zeit seine Stand der Technikbibliothek darüber bereitgestellt auf GitHub frei zugänglich Wendor Neutral

00:04:37: Und ihr habt das in eure GRC-Architektur integriert.

00:04:41: Seit fünf Wochen ja drei Lessens, die ich vorher nicht so gesehen hätte.

00:04:46: Erstens

00:04:48: Die Mappingphase ist anstrengender als die technische Anbindung.

00:04:52: Wir hatten erwartet zuerst Tool dann Mapping Realität – zuerst Mapping Dann Tool.

00:04:58: Wer das verwechselt baut zweimal.

00:05:01: Zweitens

00:05:03: Maschinenlesbar heißt nicht auditfähig.

00:05:05: Prüfer fragen zuerst nach Begründungen und Verantwortlichkeiten, nicht nach JSON-Feldern.

00:05:12: Die Kataloge sind ein Datenformat – kein Gutachten!

00:05:18: Der eigentliche Hebel liegt in der Interoperabilität.

00:05:22: Oskal erlaubt es den selben Kontrollstand für mehrere Compliance Welten gleichzeitig auswertbar zu machen.

00:05:30: Grundschutz plus Plus NIS II, Faktisch auch Dora Trittparteienregister und Artikel vier Kompetenznachweise.

00:05:41: Wer das einmal konsequent baut skaliert Prüfungsaufwand statt ihn zu vervielfachen.

00:05:47: Das verschiebt die Konfliktachsen.

00:05:50: Audit IT Datenschutz diskutieren plötzlich denselben Datenstand statt PDF-Versionen.

00:05:58: Genau das.

00:05:59: Wer die OSKAL III-Lessens Schwarz auf Weiß will, am Donnerstag erscheint dazu der Newsletter.

00:06:05: Block II mit der Grafik «OSKAL als Interoperabilitätshebel».

00:06:10: Und wer in der ersten Welle steckt?

00:06:12: Schreibt mir auf LinkedIn!

00:06:14: Wir teilen unsere Mappinglogik inklusive der typischen Fallstricke.

00:06:27: als einen der zentralen Engpässe der Branche.

00:06:30: Du hast dazu eine klare Einordnung.

00:06:33: Meine Einordnung und das ist eine Einordnung, keine direkte Barfin-Aussage!

00:06:39: Für KI Dienste gibt es unter Dora in der Praxis keinen AI Bonus.

00:06:45: KI Systeme – einschließlich großer Sprachmodelle wie Chat GPT, Claude, Gemini gelten als IKT Systeme.

00:06:54: Punkt Vertragsprüfung Wer KI als besondere Innovationsfrage diskutiert, verliert Zeit.

00:07:17: Die Aufsicht behandelt sie als gewöhnliches IKT Drittparteinrisiko.

00:07:28: Sobald der Service eine kritische oder wichtige Funktion bedient.

00:07:32: Es geht weniger um den Umzug der Modellgewichte, mehr um die Unabhängigkeit der Geschäftsprozesse, Rückfall auf menschliche Prüfung – oder einen alternativen Anbieter.

00:07:44: Dokumentiert und realistisch durchführbar.

00:07:49: Ein Exitplan, der nur im Kopf des CTO's existiert wird für das Jahr Prüfer erwarten ein dokumentiertes, realistisch durchführbares Szenario.

00:08:00: Keine Folie mit drei Bulletpoints.

00:08:10: Wolfgang Brickwede hat es vor zwei Wochen auf den Punkt gebracht.

00:08:13: Hundertfünfzig Personaler im Saal – fünfundsebzig nutzen KI.

00:08:18: Genau einer kannte die EU-KI Verordnung.

00:08:21: Das ist kein Versäumnis der Hundertneunenvierzig, das ist ein strukturelles Problem.

00:08:27: Wichtig?

00:08:27: Eine generische KI-Schulung für die ganze Firma wird Artikel vier in der Regel nicht gerecht!

00:08:34: Der Artikel verlangt Rolle, Kontext und erfahrungsabhängige Kompetenz – unter Digital Omnibus hat Artikel Vier nicht angefasst.

00:08:44: Vier Selbstfragen für jeden Hörer bevor wir ins Outro gehen.

00:08:48: Erstens Wer in eurem Haus nutzt KI?

00:08:51: Unter welchem Kompetenzeniveau?

00:08:53: Zweitens, welche dieser Use-Cases sind potenziell Hochrisiko nach Anhang drei.

00:08:58: Drittens – wo dokumentiert ihr Kompetenzentwicklung prüfungsfest?

00:09:03: Viertens – wer in Vorstand und Aufsichtsrat ist verantwortlich wenn die BAFIN oder ein Auditor morgen fragt.

00:09:13: Vier offene Antworten Dann hat sich diese Folge schon gelohnt.

00:09:18: Drei Fragen aus eurem Maschinenraum.

00:09:20: Heute zur Premiere, ehrlich gesagt drei Fragen aus unserem Maschinenraum.

00:09:25: Stimmen aus Vorstandsterminen, HR-Runden und Compliance Gesprächen der letzten Wochen.

00:09:31: Ab Folge drei sind es eure Fragen!

00:09:34: Frage eins Ein Vorstand aus einem mittelgroßen Versicherer fragt, brauchen wir wirklich einen dokumentierten Exitplan für chatGBT?

00:09:43: Ja Sobald ChatGPT eine kritische oder wichtige Funktion bedient, ist es ein IKT-Trittparteienrisiko nach DORA.

00:09:52: Es geht nicht um den Umzug der Modellgewichte – es geht um die Unabhängigkeit des Geschäftsprozesses.

00:09:59: Drei Fragen Was passiert wenn der Service morgen ausfällt?

00:10:03: Wer fängt manuell auf?

00:10:05: Welcher alternative Anbieter ist vorbereitet und wie schnell ist er produktiv?

00:10:11: Wenn die Antwort nur im Kopf existiert reicht sie in dem Jahr nicht mehr.

00:10:17: Frage zwei Eine Compliance-Verantwortliche aus einer Krankenversicherung schreibt, was bringen die Annex III Verschiebungen konkret für unsere Qtree Roadmaps?

00:10:27: Konkret – Sechszehn Monate mehr für die technische Umsetzung.

00:10:31: Konkrete Nichts – Sechzehn Monate mehr für Governance, Schulung, Trittparteienmanagement, Vorstandshaftung.

00:10:38: Mein Tipp für Qtrey Trennt die Roadmap in zwei Spuren Spur A, was unverändert weiterläuft.

00:10:46: Artikel Vier Dora NIS II.

00:10:51: Spur B – Was sich entzerrt hat.

00:10:54: Konformitätsbewertung Technische Dokumentation Hochrisiko.

00:10:59: Wer Spur a jetzt unter später Parkt baut Compliance-Schulden auf Mit längerem Rückzahlungszeitraum aber höheren Zinsen.

00:11:09: Frage drei Ein Personalleiter aus dem öffentlichen Dienst fragt, generische KI-Schulung für die ganze Firma.

00:11:16: Wo ist die Grenze?

00:11:18: Die Grenze liegt da wo Artikel vier explizit Rolle, Kontext und erfahrungsabhängige Kompetenz verlangt.

00:11:26: Eine dreißig Minuten eLearning Pflichtschulung.

00:11:29: so funktioniert KI ist Awareness keine Kompetence im Sinne der Verordnung.

00:11:35: Mein pragmatischer Schnitt drei Schulungstiefen.

00:11:39: Erstens Alle Mitarbeiter mit KI-Berührung, Awareness plus rote Linien.

00:11:44: Zweitens – aktive Nutzer in Fachprozessen rollen spezifische Module mit Use Case Bezug.

00:11:52: Drittens – Power User und Verantwortliche nachweisbar dokumentierte Vertiefungen mit Prüfungen.

00:11:59: Wer das nicht trennt hat Aufwand aber keine Compliance.

00:12:09: Die Compliance-Schicht der Versicherungswirtschaft wird in diesem Sommer kein Hintergrundrauschen mehr sein, sondern Betriebsinfrastruktur.

00:12:39: Und warum?

00:12:40: Drittens, schaut am Donnerstag in den Newsletter.

00:12:44: Die vier Vorstandsfragen-Grafik in Block V ist genau für diese Inventur gemacht.

00:12:50: Sie ersetzt keine Beratung aber sie ersetzt das Gefühl, dass Thema sei woanders.

00:13:08: geht das Ergebnis gegen Null.

00:13:10: Der Trilog hat Faktor eins neu kalibriert.

00:13:14: Die Oscar-Lessens zeigen, wo Faktur zwei in der Praxis hängt und Dora macht deutlich, Exitpläne scheitern nicht an fehlenden Regeln sondern daran dass sie niemand konsequent zu Ende denkt.

00:13:27: In zwei Wochen verschiebt sich die Kamera vom Vorstand ins Maglergeschäft.

00:13:32: Folge drei Paragraf twohundertzwölf Vivigi Sozialpartnermodell.

00:13:38: Was Makler ihren Mandanten in den letzten fünf Wochen Vorstichtag jetzt sagen müssen.

00:13:43: Und was sie nicht mehr versprechen sollten, wenn Sie es technisch nicht belegen können!

00:13:49: Wenn Ihr eine Frage aus Eurem eigenen Maschinenraum habt schreibt mir auf LinkedIn.

00:13:54: Ich nehme gute Fragen in kommende Folgen auf und das Wichtigste in einem Satz bis zum zweiten August zu handeln.

00:14:02: als gäbe ist die Verschiebung nicht Bis in zwei Wochen.