Der Weg vom Rechtskataster zum Frühwarnsystem: Was früher internationale Kanzleien und große interne Teams beschäftigte, kann heute teilweise automatisiert werden. Dr. Thomas Altenbach und Kevin Rodler betrachten das Thema aus zwei Perspektiven: aus der technologischen Entwicklung des KI-basierten Rechtskatasters und aus der praktischen Einführung bei Thomann. Beim Bundeskongress Compliance (BCM) führen sie diese Erfahrungen in einem gemeinsamen Vortrag zusammen.
Von siebenstelligen Kanzleikosten zur KI
Thomas Altenbach: Meine erste Begegnung mit einem Rechtskataster war 2008 – und ich war eher ernüchtert.
Ich war damals in einer Führungsrolle in der Rechtsabteilung von Daimler. Was mir begegnete, war eine gewaltige Excel-basierte Sammlung von Gesetzen, Verordnungen und technischen Standards. Informationen waren reichlich vorhanden. Handhabbar fand ich das als Jurist allerdings nicht.
Rund acht Jahre später holte mich das Thema bei der Deutschen Bank wieder ein. Nach einer Beanstandung der BaFin mussten wir ein Rechtskataster für 59 Länder organisieren. Eine internationale Kanzlei lieferte quartalsweise Auswertungen. Allein in Frankfurt waren nach meiner Erinnerung sechs Personen mit der Steuerung beschäftigt. Die Kanzleikosten lagen bei einem hohen siebenstelligen Betrag pro Jahr – zusätzlich zur internen Manpower.
Wenn mir damals jemand gezeigt hätte, was heute technisch möglich ist, hätte ich es vermutlich für ziemlich unrealistisch gehalten.
Heute kann KI regulatorische Quellen beobachten, neue Regelungen erfassen, Inhalte strukturieren und prüfen, welche Anforderungen für ein konkretes Unternehmen relevant sein könnten. Damit stellt sich für mich eine neue Frage: Wie nutzen wir diese Möglichkeiten, ohne die Kontrolle über die Bewertung abzugeben?
Wir hatten eher zu viele Informationen
Kevin Rodler: Bei Thomann bin ich dem Thema aus einer anderen Richtung begegnet.
Als ich vor 23 Jahren anfing, hatte Thomann rund 200 Mitarbeitende. Heute sind es etwa 1.800. Aus dem Musikhaus ist ein international tätiges Unternehmen mit Tochtergesellschaften, E-Commerce, einem breiten Produktportfolio, Eigenmarken und eigenen Produktionsaktivitäten geworden.
Unser Rechts- und Pflichtenmanagement ist mitgewachsen. In verschiedenen Bereichen entstanden eigene Lösungen: Excel-Listen, Serverablagen, Informationsquellen und einzelne Tools. Product Compliance hatte andere Anforderungen als Arbeitssicherheit, Finanzen oder Lieferkette. Das Ergebnis war ein fragmentiertes Wissensmanagement.
Informationen zu finden, war selten das größte Problem. Schwieriger waren andere Fragen: Welche Fassung liegt auf dem Server? Wer hält sie aktuell? Wer bekommt Änderungen mit? Und welche der vielen neuen Regelungen betrifft Thomann überhaupt?
Hat man eine neue Regelung gefunden, beginnt die eigentliche Arbeit: Welche Verpflichtung folgt daraus? Welcher Standort ist betroffen? Handeln wir als Händler, Importeur oder Hersteller? Wer muss sich um die Umsetzung kümmern? Wer trägt die Verantwortung und wie wird die Umsetzung nachgehalten und dokumentiert?
Im Regulatory Management liegt die Herausforderung heute vor allem darin, aus einer großen Informationsmenge die für das konkrete Unternehmen relevanten Anforderungen herauszuarbeiten.
Regulatorische Entwicklungen früher sehen
Thomas Altenbach: KI verändert auch den Zeitpunkt, zu dem wir uns mit neuen Anforderungen beschäftigen können.
Offizielle beziehungsweise amtliche regulatorische Quellen können kontinuierlich beobachtet und täglich auf neue oder veränderte Regelungen überprüft werden. Anschließend wird analysiert, welche Merkmale ihre Anwendbarkeit auslösen. Die Prüfung kann bis auf einzelne Verpflichtungen innerhalb eines Gesetzes reichen.
Das KI-basierte Rechtskataster ist derzeit in 120 Jurisdiktionen verfügbar. Für global tätige Unternehmen zählt dabei vor allem die Verbindung der regulatorischen Anforderungen mit Tätigkeiten, Standorten, Produkten, Märkten und regulatorischen Rollen.
Kevin Rodler: Bei Thomann interessiert uns außerdem, was regulatorisch auf uns zukommt. Wenn wir erst kurz vor einer Umsetzungsfrist feststellen, dass eine neue Regelung größere Veränderungen auslöst, haben wir ein Problem. Deshalb beschäftigen wir uns schon heute mit Gesetzgebungsverfahren und ihren möglichen Auswirkungen. Diese Beobachtung ist manuell ziemlich zeitintensiv.
KI kann hier Vorarbeit leisten. Sie kann geltendes Recht beobachten, bereits verabschiedete künftige Anforderungen erfassen und laufende Gesetzgebungsverfahren auf ihre mögliche Relevanz prüfen. Das Ergebnis ist keine Vorhersage. Für die Compliance-Planung ist bereits die Information wertvoll, dass sich etwas entwickelt, das für das Unternehmen relevant werden könnte.
So wird aus dem klassischen Rechtskataster zunehmend ein regulatorisches Frühwarnsystem.
„Woher weiß ich, ob ich der KI vertrauen kann?“
Thomas Altenbach: Diese Frage höre ich in Gesprächen mit Compliance-Verantwortlichen immer wieder. Die Antwort „Weil unsere KI sehr gut ist“ würde mir selbst nicht reichen.
Jede KI kann Fehler machen. Wer sie im Regulatory Management einsetzt, muss einschätzen können, wo eine zusätzliche Prüfung sinnvoll ist.
Dafür nutzen wir einen Confidence Score. Er zeigt, wie eindeutig das System eine Regelung für das konkrete Unternehmen als relevant einschätzt – dargestellt als hoch, mittel oder niedrig.
Auch ein hoher Wert bedeutet keine juristische Gewissheit. Der Score hilft dem Compliance Manager, die Einschätzung der KI einzuordnen und seine Aufmerksamkeit gezielt auf unsichere Fälle zu richten.
Der Confidence Score macht Unsicherheit sichtbar.
Viele Daten helfen nur, wenn der Zusammenhang stimmt
Kevin Rodler: Eine unserer wichtigsten Erfahrungen entstand durch eine Bewertung, bei der wir und die KI zunächst unterschiedlicher Meinung waren.
Wir hatten umfangreiche Unternehmensinformationen, Artikellisten und Zolltarifnummern bereitgestellt. Trotzdem stufte die KI eine Regelung, die wir für relevant hielten, zunächst als nicht relevant ein.
Bei der Analyse zeigte sich: Es fehlten nicht unbedingt Daten. Der Zusammenhang war für die KI nicht eindeutig genug.
Thomann ist Händler und E-Commerce-Unternehmen. Wir importieren Waren und haben Eigenmarken, wodurch wir regulatorisch in bestimmten Konstellationen eine Herstellerrolle einnehmen. Die KI hatte uns zunächst stark aus der Perspektive des E-Commerce-Händlers betrachtet. Als wir die unterschiedlichen Rollen genauer beschrieben und beispielsweise Zolltarifnummern eindeutig mit unserer Importtätigkeit verknüpften, verbesserte sich die Relevanzbewertung deutlich.
Viele Daten helfen nur, wenn die KI ihren Zusammenhang versteht.
Beim Aufbau eines KI-basierten Rechtskatasters ist deshalb das regulatorische Profil des Unternehmens zentral: Tätigkeiten, Produkte, Märkte, Standorte und die Rollen, in denen das Unternehmen handelt.
Wie wir Kontrolle organisieren
Thomas Altenbach: Wenn KI mehr Vorarbeit übernimmt, müssen auch die Kontrollen mitwachsen.
Innerhalb des Systems übernehmen mehrere KI-Modelle unterschiedliche Aufgaben. Ergebnisse werden kontrolliert und gegengeprüft – ein Checks-and-Balances-Prinzip, wie wir es aus dem Risikomanagement kennen. Der Confidence Score ergänzt diese technische Kontrolle. Am Ende bleibt die menschliche Prüfung ein wesentlicher Bestandteil des Prozesses.
Kevin Rodler: Bei Thomann haben wir dafür eine klare Rollenverteilung. Die KI sucht, sortiert, strukturiert und bewertet Relevanz. Die Verantwortung für die abschließende regulatorische Einordnung bleibt bei uns. Wie intensiv wir einzelne Bewertungen menschlich überprüfen, richtet sich nach Risiko, Komplexität und Unsicherheit der Bewertung. Wo wir zusätzliches Fachwissen brauchen, beziehen wir die zuständigen Bereiche ein.
Dabei interessieren uns auch Regelungen, die als nicht relevant eingestuft werden. Eine unnötig als relevant bewertete Regelung führt zunächst zu zusätzlichem Prüfaufwand. Wird eine tatsächlich relevante Verpflichtung aussortiert, kann sie dagegen aus dem weiteren Prüfungs- und Umsetzungsprozess herausfallen.
Human in the Loop heißt für uns nicht, jede Bewertung vollständig manuell zu wiederholen, sondern die menschliche Prüfung gezielt und risikoorientiert einzusetzen. Komplexe regulatorische Rollen, unsichere Bewertungen oder mögliche erhebliche Auswirkungen verdienen besondere Aufmerksamkeit.
Und wenn die KI trotzdem falsch liegt?
Thomas Altenbach: Theoretisch bleibt ein Restrisiko. Es umfasst beide Fehlerrichtungen: Die KI bewertet eine Anforderung als relevant, obwohl sie für das Unternehmen tatsächlich nicht gilt, oder sie stuft eine tatsächlich relevante Anforderung als nicht einschlägig ein.
Wir haben daher ein Kontrollkonzept mit mehreren Ebenen. Technische Checks, Confidence Score, menschliche Prüfung und ein sauberer Unternehmenskontext reduzieren das Risiko einer Fehlbewertung. Darüber hinaus geben wir eine Leistungsgarantie für die Richtigkeit, Vollständigkeit und Aktualität der Ergebnisse.
Was sich für den Compliance Manager verändert
Kevin Rodler: Wenn ich heute auf unsere Einführung zurückblicke, war ein Teil der Arbeit überraschend klassisch.
Wir mussten zunächst unsere vorhandenen Quellen und Tools erfassen und unser Geschäftsmodell, Produktportfolio, unsere Märkte und regulatorischen Rollen so beschreiben, dass ein belastbarer Unternehmenskontext entsteht.
Der eigentliche Mehrwert liegt für mich nicht allein darin, dass KI uns Arbeit abnimmt. Sie verschiebt vielmehr den Schwerpunkt unserer Arbeit. Weniger Zeit fließt in die Beschaffung und Pflege regulatorischer Informationen, mehr Zeit in deren Bewertung und Umsetzung. Genau dort entsteht der eigentliche Wert einer Compliance-Funktion: nicht beim Sammeln von Vorschriften, sondern bei der Übersetzung regulatorischer Anforderungen in unternehmerisches Handeln
Auch der zeitliche Horizont verändert sich. Bereits verabschiedete künftige Anforderungen und laufende Gesetzgebungsverfahren lassen sich früher einordnen. Das schafft Vorlauf, wenn eine regulatorische Entwicklung für uns relevant wird.
Quintessenz aus beiden Perspektiven
Wir kommen aus sehr unterschiedlichen Erfahrungen mit Rechtskatastern. Thomas kennt noch den enormen Aufwand, der nötig war, um regulatorische Entwicklungen in 59 Ländern systematisch zu erfassen. Kevin erlebt bei Thomann heute, wie KI einen erheblichen Teil dieser Vorarbeit übernehmen kann – und wo ihre Grenzen in der praktischen Anwendung liegen.
Gerade diese beiden Perspektiven führen zu den Fragen, mit denen wir uns beim Einsatz von KI im Regulatory Management beschäftigen: Wie gut muss die KI ein Unternehmen kennen? Woran erkennt der Compliance Manager, bei welchen Bewertungen er genauer hinschauen sollte? Wie organisiert man Human in the Loop, ohne den Effizienzgewinn wieder zunichtezumachen? Und wie geht man mit dem verbleibenden Risiko einer Fehlbewertung um?
Diese Fragen werden wir beim Bundeskongress Compliance (BCM) gemeinsam vertiefen. Kevin Rodler bringt die Erfahrungen aus der Einführung und dem Einsatz bei Thomann ein. Thomas Altenbach ergänzt die Perspektive darauf, was technologisch inzwischen möglich ist und wie sich Kontrolle und Absicherung organisieren lassen.
Im Kern geht es für uns um eine sehr praktische Frage: Welche Arbeit kann KI sinnvoll übernehmen – und welche Entscheidungen müssen beim Compliance Manager bleiben?
Unsere bisherige Erfahrung lässt sich in einem Satz zusammenfassen:
KI arbeitet vor. Der Mensch entscheidet
Dieser Beitrag erschien ursprünglich am 26.10.2026 im Fachmagazin Der Compliance Manager im Rahmen des Bundeskongress Compliance unter dem Titel „Vom Rechtskataster zum Frühwarnsystem: Was KI im Regulatory Management verändert“.
