Veröffentlicht am 28. Oktober 2026
Compliance-Teams bei Banken, Broker-Dealern und Versicherern arbeiten mit einer enormen Menge an Text, die sich ständig verändert: interne Richtlinienhandbücher, Verfahrensdokumente, regulatorische Leitlinien, Feststellungen von Prüfern sowie eine fortlaufende Reihe von Updates der Aufsichtsbehörden, die gelesen, interpretiert und mit bestehenden Richtlinien abgeglichen werden müssen. Die übliche Art, dieses Material zu durchsuchen — per Schlagwortsuche in einem Dokumenten-Repository oder indem man die eine Person fragt, die sich zufällig noch daran erinnert, welcher Abschnitt einer Richtlinie ein bestimmtes Szenario abdeckt — skaliert nicht und wird genau dann langsamer, wenn das Tempo regulatorischer Veränderungen zunimmt.
Retrieval-Augmented Generation wirkt wie die naheliegende Lösung: Ein Compliance Officer stellt eine Frage in natürlicher Sprache und erhält eine Antwort, die direkt aus dem tatsächlichen Richtlinientext gezogen wird. Für dieses Problem ist das ein wirklich nützliches Muster, aber im Compliance-Kontext sind die Folgen einer falschen oder erfundenen Antwort so gravierend, dass die Implementierungsdetails weitaus wichtiger sind als bei einem allgemeinen internen Suchtool.
Warum das Halluzinationsrisiko hier das eigentliche Thema ist
Ein großes Sprachmodell, das eine Antwort generiert, ohne auf abgerufenen Quelltext gestützt zu sein, produziert mit gewisser Regelmäßigkeit etwas, das selbstbewusst und präzise klingt und schlicht falsch ist — ein falsch erinnerter Schwellenwert, eine vermischte Regel aus einer anderen Jurisdiktion, eine plausibel klingende Zitierung auf einen Abschnitt, der nicht das sagt, was die Antwort behauptet. In den meisten Business-Kontexten ist das ärgerlich. Im Compliance-Kontext, wo eine Antwort beeinflussen kann, wie eine Transaktion gemeldet oder eine Kundenbeschwerde bearbeitet wird, ist es ein echtes Haftungsrisiko.
RAG reduziert dieses Risiko, indem es die eigentliche Arbeitsweise des Modells verändert: Statt eine Antwort aus dem zu generieren, was es während des Trainings gelernt hat, ruft es die relevantesten Passagen aus Ihren tatsächlichen Richtliniendokumenten und regulatorischen Texten ab und erzeugt eine Antwort, die darauf beschränkt ist, das Abrufmaterial zusammenzufassen oder zu erläutern. Das macht Halluzinationen nicht unmöglich — ein Modell kann den abgerufenen Text weiterhin fehlinterpretieren oder zu stark verallgemeinern — aber es ist ein grundsätzlich anderer und deutlich sichererer Fehlermodus als ungestützte Generierung. Und es liefert etwas, das ungestützte Generierung nicht kann: eine Zitierung zurück zur Quellpassage, die ein Compliance Officer in Sekunden prüfen kann.
Die Designentscheidungen, die bestimmen, ob das hier wirklich funktioniert
Chunking, das die Struktur von Richtliniendokumenten respektiert
Richtlinienhandbücher und regulatorische Texte sind nicht wie Marketingtexte oder Support-Artikel. Sie haben nummerierte Abschnitte, definierte Begriffe, die für das gesamte Dokument gelten, Querverweise zwischen Abschnitten und Ausnahmen, die eine bereits einige Absätze zuvor formulierte Regel einschränken. Wenn man ein Dokument naiv in feste Chunk-Größen zerlegt, gehen diese Zusammenhänge verloren — ein Chunk enthält dann vielleicht die Regel, aber nicht die Ausnahme, die sie begrenzt, oder einen definierten Begriff ohne seine Definition. Die Chunking-Strategie muss der tatsächlichen Struktur des Dokuments folgen (nach Abschnitt und Unterabschnitt, wobei definierte Begriffe beim Text bleiben, der sie verwendet) statt einer generischen Aufteilung nach fester Länge. Das ist die häufigste Stelle, an der eine RAG-Implementierung leise schlechter abschneidet, und es fällt meist erst auf, wenn jemand eine Frage stellt, die von einer Ausnahme abhängt, die im falschen Chunk verborgen ist.
Retrieval, das die richtigen Passagen sichtbar macht – nicht nur ähnlich klingende
Reine semantische Ähnlichkeitssuche kann eine Passage zurückgeben, die verwandte Konzepte behandelt, ohne die Passage zu sein, die die gestellte Frage tatsächlich regelt. Compliance-Retrieval profitiert davon, semantische Suche mit strukturierten Metadaten zu kombinieren — Dokumenttyp, Gültigkeitsdatum, Jurisdiktion, Geschäftsbereich — damit das System auf aktuell gültige Richtlinien filtern kann, statt eine überholte Version zusammen mit der aktuellen anzuzeigen, ohne kenntlich zu machen, welche welche ist.
Verpflichtende, überprüfbare Zitate
Jede Antwort muss genau zeigen, aus welchem Dokument, Abschnitt und welcher Passage sie stammt, mit genügend Präzision, dass ein Compliance Officer die Quelle öffnen und die Antwort in unter einer Minute bestätigen kann. Eine Antwort ohne Zitat oder mit einem zu vagen Zitat, das sich nicht schnell prüfen lässt, verfehlt den Zweck dieses Vorhabens völlig — dann wird das Vertrauensproblem nur verlagert, nicht gelöst.
Expliziter Umgang mit widersprüchlichen oder überholten Leitlinien
Regulatorische Texte und interne Richtlinien werden aktualisiert, und für eine gewisse Zeit existieren alte und neue Versionen oft nebeneinander in einem Dokumenten-Repository. Ein gut gebautes System muss wissen, welche Version aktuell ist, und entweder überholte Texte vollständig aus dem Retrieval ausschließen oder sie klar als veraltet kennzeichnen. Hier einen Fehler zu machen — selbstsicher aus einer überholten Richtlinie zu antworten — ist arguably schlimmer als eine generische Halluzination, weil es genau so glaubwürdig wirkt wie eine korrekte Antwort.
Zugriffskontrolle, die Ihre bestehenden Informationsbarrieren abbildet
Compliance-Wissenssysteme umfassen oft Material mit unterschiedlichen Zugriffsbeschränkungen — manche Richtlinien gelten unternehmensweit, andere sind auf bestimmte Geschäftsbereiche beschränkt oder unterliegen Informationsbarrieren. Die Retrieval-Schicht muss diese Grenzen zum Zeitpunkt der Abfrage respektieren und darf nicht auf ein flaches Dokumenten-Repository ohne Berechtigungsmodell vertrauen, sonst kann sie Material als Nebenwirkung eines besseren Suchwerkzeugs an Personen ausspielen, die es nicht sehen dürfen.
Wo die menschliche Prüfung weiterhin hingehört
Nichts davon ersetzt das eigene Urteilsvermögen eines Compliance Officers bei einer wirklich unklaren Frage, und ein gut konzipiertes System sollte das auch deutlich machen, statt es zu überdecken. Ein sinnvoller Ansatz:
- Das System antwortet direkt und mit Quellenangaben, wenn Fragen eine klare, gut dokumentierte Antwort im Richtlinientext haben.
- Bei Fragen, die widersprüchliche Vorgaben berühren, neue regulatorische Änderungen, die in der internen Richtlinie noch nicht abgebildet sind, oder wirklich neuartige Szenarien, sollte das System dies ausdrücklich sagen, statt eine zuversichtliche Antwort zu erzwingen, und an eine Person weiterleiten.
- Jede Antwort, ob sicher oder nicht, behält die sichtbaren Quellenangaben bei, damit die Prüfung schnell geht, statt dass jemand alles von Grund auf neu recherchieren muss.
Ein Hinweis dazu, die Wissensdatenbank aktuell zu halten
Ein RAG System ist nur so gut wie die Aktualität der Inhalte, aus denen es abruft. Regulatorische Texte und interne Richtlinien ändern sich jeweils nach ihrem eigenen Zeitplan, und ein System, das unbemerkt aus einem sechs Monate alten Index abruft, ist schlechter als gar kein System, weil es sichere, belegte und falsche Antworten erzeugt. Die Ingestions-Pipeline — also wie neue und aktualisierte Dokumente indexiert werden, wie überholte Versionen markiert oder entfernt werden — verdient ebenso viel Engineering-Aufmerksamkeit wie die Logik für Retrieval und Generierung, und ist in der Praxis meist der Bereich, der im Verhältnis zu seiner Bedeutung zu wenig Budget bekommt.
Sorgfältig umgesetzt ersetzt diese Art von System nicht das Urteil eines Compliance-Teams. Es gibt ihnen eine schnelle, präzise und quellenbasierte Möglichkeit, den großen Anteil der Fragen zu beantworten, die irgendwo in der Dokumentation bereits eine klare Antwort haben, damit ihr tatsächliches Urteilsvermögen für die kleinere Zahl von Fragen eingesetzt wird, die es wirklich brauchen.
Mit einem begrenzten Pilot starten, nicht mit der gesamten Richtlinienbibliothek
Die Projekte, die gut laufen, beginnen meist mit einem einzelnen, klar abgegrenzten Richtlinienbereich, statt am ersten Tag die gesamte Compliance-Bibliothek indexieren zu wollen — ein bestimmter regulatorischer Bereich, die Prozesse einer bestimmten Geschäftssparte oder ein einzelnes Thema für Prüfer, bei dem das Team bereits ein gutes Gespür dafür hat, wie eine richtige Antwort aussieht. So können Sie die Qualität des Retrievals und die Genauigkeit der Quellenangaben schnell validieren, mit Menschen, die sofort sagen können, wenn eine Antwort falsch ist, bevor Sie auf Material ausweiten, bei dem Fehler schwerer zu erkennen wären.
Außerdem zeigt sich früh und mit geringem Aufwand, was tatsächlich darüber entscheidet, ob ein breiter Rollout sinnvoll ist: ob Ihr bestehendes Dokumenten-Repository sauber genug ist, um zuverlässig daraus abzurufen (Versionierung, einheitliche Formatierung, klare Gültigkeitsdaten), und ob Ihre Compliance Officers einer zitierten Antwort tatsächlich vertrauen und sie nutzen würden, statt standardmäßig wieder einen Kollegen zu fragen. Beides sind ebenso organisatorische wie technische Fragen, und ein schmaler Pilot beantwortet sie viel schneller und mit deutlich weniger Risiko als ein vollständiger Rollout.
Wenn Ihr Compliance-Team spürbar Zeit nur damit verbringt, die richtige Richtlinienpassage zu finden, bevor es überhaupt mit der Auslegung beginnen kann, ist das meist ein Zeichen dafür, dass sich ein solches System schnell bezahlt machen würde. Melden Sie sich, und wir besprechen, wie ein auf einen einzelnen Richtlinienbereich zugeschnittener Pilot aussehen könnte.
Verwandt