Regulierte KI, die echte GRC-Aufgaben übernimmt.
Ein KI-Operator ist ein regulierter Agent, der für eine bestimmte Aufgabe innerhalb von Archer entwickelt wurde: das Lesen von Regulierungstexten, die Bewertung eines Anbieters, das Verfassen eines Befunds und das Beobachten der nächsten Marktveränderung. Jeder Operator ist an eine Identität gebunden, unterliegt bestimmten Einschränkungen hinsichtlich seines Anwendungsbereichs und erstellt Prüfprotokolle.
-
9
GRC-DOMAINS
-
221
BETREIBER AUF DEM FAHRPLAN
-
1
GEMEINSAME LAUFZEIT
-
5
STUFE ADAPTIVE SCHLEIFE
Die meisten KI-Systeme beschränken sich auf den Entwurf. Für die Unternehmensführung ist jedoch mehr erforderlich.
Je nach Position fallen die Verantwortlichkeiten unterschiedlich aus. Ein CISO ist für das Modellrisiko verantwortlich. Ein CCO ist für die nicht erfüllten Verpflichtungen verantwortlich. Ein CRO ist für die Zahlen verantwortlich, die in der Präsentation für den Vorstand erscheinen. Ein Leiter der internen Revision ist dafür verantwortlich, auf Anfrage Monate später nachzuweisen, dass all dies tatsächlich geschehen ist.
„Nützlich“ ist nicht dasselbe wie „begründet“.
Das meiste, was ein CISO tatsächlich in GRC-Programmen genehmigt bekommen hat, beschränkt sich auf das Zusammenfassen, Verfassen oder Recherchieren. Das spart den Mitarbeitern Zeit, ohne die Risikosituation des Unternehmens zu verändern. Es ist nützlich. Es ist jedoch nicht vertretbar.
Eine Protokolldatei ist kein Prüfpfad.
Eine Aufsichtsbehörde oder ein Prüfer möchte wissen, was die KI untersucht hat, wie sie zu diesem Ergebnis gekommen ist, wer dies genehmigt hat und wo dies dokumentiert ist. Eine Protokolldatei, die ein Prüfer nachträglich zusammenstellt, gibt darauf keine Antwort, und es ist der Leiter der internen Revision, der für diese Lücke geradestehen muss.
Eine gut formulierte falsche Antwort ist immer noch falsch.
Stellt man einem universellen LLM eine konkrete Frage zu einer Vorschrift oder einem Kontrollkonzept, lautet die Antwort oft zwar gut formuliert, ist aber falsch. Dieses Risiko kann ein CCO nicht in eine Prüfung mitnehmen, und genau dieses Risiko muss ein CRO letztendlich quantifizieren.
Kontrollierte digitale Mitarbeiter – keine weitere Einzellösung.
Jeder KI-Operator ist an eine Identität gebunden, auf definierte Datensätze und Aktionen beschränkt, wird von einem namentlich benannten Mitarbeiter beaufsichtigt und ist für eine bestimmte GRC-Aufgabe konzipiert. Jeder Durchlauf hinterlässt einen lückenlosen Prüfpfad. Dahinter verbirgt sich eine Ebene von „Foundation“-Operatoren, die sich um den unscheinbaren Teil kümmern: Sie sorgen dafür, dass die Daten sauber, der Kontext aktuell und die Datensätze vollständig genug sind, damit die darüber liegenden Prozesse einwandfrei funktionieren. Die meisten GRC-KI-Projekte scheitern zuerst an dieser Stelle.
Die Betreiber werden in die Archer-Umgebung integriert, die Ihr Unternehmen bereits nutzt. An der Art und Weise, wie Sie GRC betreiben, muss sich zunächst nichts ändern. Jede Aktion wird als dauerhafter, mit einem Zeitstempel versehener Datensatz gespeichert, sodass die gesamte Abfolge von der Empfehlung über die Genehmigung bis hin zum Endzustand an einem Ort verbleibt.
Ein Operator ist eher ein Teil Ihres Ökosystems als eine weitere Konsole, bei der man sich anmelden muss. Die Kontrollen werden als „Compliance-as-Code“ in die Build-Pipeline integriert und bereits vor der Auslieferung einer Workload überprüft, anstatt erst dann, wenn bei einem Audit eine Lücke festgestellt wird. Dieselben Operatoren übernehmen sowohl die Risikokontrolle der zweiten Ebene als auch das Audit der dritten Ebene.
-
Erklärbare Logik
Jede Entscheidung hat ihre Gründe, daher ist nichts eine „Black Box“.
-
Experte am Steuer
Jeder Mitarbeiter wird von einer namentlich benannten Person beaufsichtigt. Alle Handlungen finden innerhalb der von Ihnen festgelegten Genehmigungsstufen statt, niemals außerhalb.
-
Nachvollziehbare Maßnahmen
Vollständige Nachverfolgung jeder Änderung, vom Auslöser bis zum Zurückschreiben.
Die am weitesten fortgeschrittenen Betreiber – keine vollständige Roadmap-Folie.
Diese Projekte sind am weitesten fortgeschritten; ihre geplante Verfügbarkeit liegt zwischen Juli und September 2026. Jedes davon lässt Daten an Archer zurücksenden, und jedes hält für einen Menschen an.
-
Domain-Einrichtung
Ordnet Prozesse, Risiken und Kontrollmaßnahmen für einen bestimmten Bereich zu, abgestimmt auf die Daten, über die Sie bereits verfügen.
RISIKOMANAGEMENT · FÜR DEN CRO -
Erstellung und Überprüfung von Kontrolldaten
Drafts überprüft die Kontrollen, kontrolliert deren Abdeckung und kennzeichnet Lücken im Hinblick auf das Risiko, dem jede Kontrolle entgegenwirken soll.
COMPLIANCE · FÜR DEN CCO -
Übereinstimmung mit den Leitplankenvorschriften
Prüft die Sicherheitsvorkehrungen für KI im Hinblick auf Ihre eigenen Kontrollmechanismen und auf gesetzlich festgelegte Vorschriften.
KI-RISIKOMANAGEMENT · FÜR DEN CISO -
Überprüfung meldepflichtiger Ereignisse
Liest Verlust- und Vorfallmeldungen thematisch aus und verknüpft die gefundenen Informationen wieder mit dem Quelldatensatz in Archer.
OPERATIVES RISIKO · FÜR DEN CRO -
Sicherstellung der Wirksamkeit der Kontrollmechanismen
Beurteilt, ob eine Kontrollmaßnahme gegen das jeweilige Risiko wirksam ist, einschließlich der Überprüfung der Häufigkeit und der Nachweise.
COMPLIANCE · FÜR DEN CCO -
Daten- und Anlagenpflege
Erkennt doppelte, verwaiste und unklar formulierte Datensätze, bevor ein Prüfer dies tut.
STIFTUNG · FÜR DEN LEITER DER INTERNEN REVISION
Es wird keine Antwort an Archer gesendet, ohne dass ein namentlich genannter Mensch diese genehmigt hat.
Es gibt keine stille automatische Genehmigung und keine Einstellung, mit der sich die Sperre deaktivieren lässt.
In der Praxis
Die Datenqualität ist das am wenigsten glamouröse Problem im GRC-Bereich und zugleich eines der kostspieligsten. Eine Kontrolle mit dem Vermerk „Kontrollen sind vorhanden“ gibt eine Workflow-Hürde frei und scheitert dann bei einem Audit. Der Hygiene-Operator gleicht Freitextfelder anhand von Qualitätsregeln ab, nennt das Feld und die Regel, gegen die es verstoßen hat, und zeigt dem Prüfer, wie konforme Formulierungen aussehen. Täglich über ein gesamtes Portfolio hinweg durchgeführt, spart dies jedem Prüfer etwa 15 Stunden pro Monat und erkennt Formulierungen, die einer Person beim Überfliegen entgehen.
Jeder Betreiber, in jedem Bereich, befolgt dieselben fünf Schritte.
Viele Anbieter bieten eine dieser Lösungen an. Eine vertretbare Vorgehensweise besteht darin, alle drei auf derselben Grundlage zu betreiben.
-
Sammeln
Rufen Sie relevante Datensätze und Kontextinformationen aus Archer ab.
-
Analysieren
Im Lichte der Standards und früherer Arbeiten interpretieren.
-
Erstellen
Schlagen Sie eine Erkenntnis, eine Kartierung oder einen Plan vor.
-
Genehmigen
Eine namentlich genannte Person prüft, überarbeitet oder lehnt ab.
-
Aktualisierung
Antworte Archer mit vollständiger Rückverfolgbarkeit.
Ein adaptiver Regelkreis, der sich in jedem Bereich wiederholt.
Unabhängig davon, in welchem Bereich ein Akteur tätig ist, füllt er eine Phase desselben Kreislaufs aus. Überall gibt es „Zuhören“-Akteure, „Entscheiden“-Akteure, „Handeln“-Akteure, „Sichern“-Akteure und „Lernen“-Akteure.
-
1
Anhören
Beobachten Sie die Signale, die bereits durch einen Prozess fließen, und erkennen Sie wesentliche Veränderungen frühzeitig.
-
2
Entscheiden
Nach Auswirkungen und Dringlichkeit im Hinblick auf Standards und Risikobereitschaft klassifizieren und priorisieren.
-
3
Gesetz
Entwürfe erstellen, Verantwortliche zuweisen, die kontrollierte Ausführung in Archer auslösen.
-
4
Sicherstellen
Bestätigen Sie das Ergebnis und erstellen Sie prüfungsfähige Nachweise mit lückenloser Rückverfolgbarkeit.
-
5
Lernen
Die Ergebnisse zurückmelden, um den Bediener für den nächsten Zyklus besser vorzubereiten.
Neun Domänen, ein einheitliches System im Hintergrund.
„Compliance“ ist seit heute live und bildet die Grundlage, auf der alles andere aufbaut. Alle anderen Bereiche sind in der Roadmap vorgesehen und durchlaufen denselben Zyklus mit denselben Daten. Nachfolgend finden Sie einen repräsentativen Überblick über die einzelnen Bereiche – es handelt sich nicht um die vollständige Liste, sondern lediglich um einen Einblick, der verdeutlicht, welche Aufgaben die einzelnen Bereiche erfüllen.
-
Top-Chip
Archer Evolv Stiftung
Umfasst alle Bereiche: Geschäftsmodell, Datensätze, Schema und Prozesshygiene.
Verwaltung von Unternehmensprofilen
Erstellt ein dynamisches Modell des Unternehmens, der Einheiten, Abteilungen, Produkte und Prozesse und skizziert die fehlenden Risiken und Kontrollmaßnahmen.
Zusammenfassung (GRC Co-Pilot)
Wandelt jeden Datensatz oder jede Anwendung auf Wunsch direkt in Archer in eine Zusammenfassung in einfacher Sprache um.
Herkunfts- und Berichtsdaten
Zeigt auf, was mit was verbunden ist, sodass Sie die Auswirkungen einer einzelnen Änderung bereits vor deren Durchführung erkennen können.
-
Top-Chip
Einhaltung der Vorschriften
Horizontanalyse, Ermittlung von Verpflichtungen, Klassifizierung und Zuordnung von Kontrollmaßnahmen.
Ermittlung und Klassifizierung von Verpflichtungen
Liest Gesetzestexte und wandelt sie in strukturierte, klassifizierte Verpflichtungen um – ganz ohne manuelle Kennzeichnung.
Erstellung von Steuerungsabläufen
Entwürfe enthalten vollständige Kontrollverfahren, Verantwortliche, Zeitabstände und alles Weitere, basierend auf einer festgelegten Verpflichtung.
Nachvollziehbare Entscheidungsbegründung
Es wird protokolliert, warum etwas als relevant eingestuft wurde, sodass jede Entscheidung später begründet werden kann.
-
Top-Chip
Prüfung
Von der periodischen Überprüfung hin zu kontinuierlicher Echtzeit-Vorausschau.
Übertragung der Verpflichtungen
Kloniert einen Auftrag aus dem Vorjahr innerhalb von Minuten – statt Tagen – in einen neuen Auftrag.
Automatische Erzeugung von Befunden
Wandelt Testergebnisse und Belege in eine schlüssige, fundierte Schlussfolgerung um.
Ständiger Rechnungsprüfer
Überwacht die Kontrollen in Echtzeit und stellt das ganze Jahr über prüfungsreife Nachweise zusammen.
-
Top-Chip
Risikomanagement im Bereich KI
Von statischen KI-Richtlinien hin zu Leitplanken, die auch tatsächlich durchgesetzt werden.
KI-Risikokontext-Operator
Ordnet Ihre KI-Anwendungsfälle den tatsächlich geltenden Regeln zu, nach Region und Bereich.
Bediener für die Bepflanzung von Leitplanken
Setzt Richtlinien in funktionierende Leitplanken um und integriert diese direkt in die KI-Umgebung.
Beauftragter für die Überwachung der Unternehmensführung
Liefert Berichte über die Kontrollabdeckung und Abweichungen und hebt die wirklich wichtigen Punkte hervor.
-
Top-Chip
Risiken durch Dritte
Von jährlichen Lieferantenbewertungen hin zu kontinuierlicher Transparenz im gesamten Ökosystem.
Anbieterprofil-Generator
Beseitigt doppelte Lieferanten und füllt die firmografischen Lücken automatisch aus.
Risikobewertung und Sicherheitslagebeurteilung
Bewertet Anbieter anhand des tatsächlichen, sich verändernden Risikos und nicht nur anhand des letzten Fragebogens.
Kontinuierliche Überwachung und Synchronisierung mit externen Scans
Sorgt dafür, dass der Status des Anbieters zwischen den Bewertungszyklen auf dem neuesten Stand bleibt – nicht nur bei der Vertragsverlängerung.
-
Top-Chip
Verwaltung von Richtlinienänderungen
Strukturierte, überprüfbare Ergebnisse über den gesamten Lebenszyklus einer Richtlinie hinweg.
Entwurfstool für Richtlinien
Übernimmt bestehende Richtlinien und sorgt für eine klare, einheitliche und wiederverwendbare Struktur.
Reg-basierte Inhaltserstellung
Erstellt Richtlinien direkt auf der Grundlage einer Verordnung und hält die Quellenangaben bei Änderungen stets auf dem neuesten Stand.
Folgenabschätzung und Bescheinigungssynchronisierung
Schließt automatisch den Kreis, wer etwas gelesen, bestätigt und zur Kenntnis genommen hat.
Ein Datenrückgrat. Eine Laufzeitumgebung. Jede Domäne baut darauf auf.
Compliance steht an erster Stelle, da sie das Rückgrat bildet, auf das sich alles andere stützt – die verbindliche Abfolge von Verpflichtungen, Kontrollen, Geschäftseinheiten, Risiken und Prozessen innerhalb von Archer. Jeder geplante Domänenbetreiber nutzt dieses Rückgrat wieder, anstatt es neu aufzubauen, und alle laufen auf derselben zugrunde liegenden Engine.
Domain-Betreiber · Geplant ab 2026
Audit, KI-Risikomanagement, Risiken durch Dritte, Management von Richtlinienänderungen, IT-Risiken, operative und unternehmensweite Risiken, Ausfallsicherheit
weitermachen
AI Operator Framework: Die gemeinsame Laufzeitumgebung
Signale, die bereits durch Archer geleitet werden, werden zu kontrollierten Ergebnissen nach einem festgelegten Zeitplan innerhalb Ihrer Genehmigungsstufen.
Lesen & Schreiben
Der GRC Data Spine: Auf Compliance-Grundlagen aufgebaut, schon heute einsatzbereit
Eine saubere, durchgängige Datenkette ist die Grundlage für die Zuverlässigkeit jeder nachgelagerten Automatisierung.
Jeder Bereich durchläuft dieselben vier Phasen.
Die Betreiber kommen in Wellen und nicht alle auf einmal; jede Phase hängt vom Vertrauen und den Daten ab, die in der vorherigen Phase aufgebaut wurden.
-
1
Kernautomatisierung
Automatisieren Sie die manuelle Aufgabe: Übertragen Sie einen Auftrag in die Zukunft, extrahieren Sie Verpflichtungen und erstellen Sie ein Lieferantenprofil.
-
2
Intelligenz
Standardisierung der Ergebnisse bei hohem Durchsatz: Klassifizierung, Bewertung und wiederverwendbare Vorlagen beseitigen Abweichungen zwischen den Prüfern.
-
3
Risikoüberblick
Von reaktiv zu vorausschauend: Anomalien und sich abzeichnende Signale decken Probleme auf, bevor sie zu Befunden werden.
-
4
GRC-Orchestrierung
Die Betreiber koordinieren sich bereichsübergreifend: Ein Kontrollversagen wirkt sich gleichzeitig auf die Risikolage, die Revision und die Widerstandsfähigkeit aus.
Drei Säulen: Die Kombination, die niemand nachahmen kann.
Compliance, Risiko und Intelligence – eigenständige Lösungen, die auf einem gemeinsamen Datenmodell basieren, sodass Verpflichtungen, Kontrollmaßnahmen und Signale durchgängig miteinander verknüpft bleiben.
Entwickelt für GRC
Die firmeneigenen Modelle von Archer werden seit 2017 speziell auf regulatorische Daten und GRC-Daten trainiert. Sie basieren nicht auf universellen Produktivitätswerkzeugen.
526
EIGENE MODELLE
Kontextbezogene Intelligenz
Die Operatoren stützen sich auf die Daten, die Ihre Organisation bereits in Archer erfasst hat: Kontrollmaßnahmen, Richtlinien, Ergebnisse und Arbeitsabläufe. Ein generisches Modell hat zu all dem keinen Zugriff. Je mehr KI-Agenten in immer mehr Arbeitsabläufen zum Einsatz kommen, desto mehr erstreckt sich dieselbe Governance-Ebene auch auf diese, sodass Identität, Prüfpfad und Genehmigungsstufen bereits vorhanden sind und nicht für jeden neuen Agenten neu eingerichtet werden müssen.
25+
JAHRE ALS STANDARDDATENQUELLE
Auf Governance ausgelegt
Die Bediener erstellen Entwürfe und geben Empfehlungen ab; eine Person trifft die Entscheidung. Jeder Durchlauf wird zusammen mit den zugrunde liegenden Belegen protokolliert, wodurch die Ergebnisse auch vor einem Wirtschaftsprüfer oder Prüfer Bestand haben.
100%
VON VOR DER RÜCKBUCHUNG VON MENSCHEN GENEHMIGTEN MASSNAHMEN
In Demos beeindruckend. Bei Prüfungen unhaltbar.
Die Agenten sind nützlich. Die Agenten sind produktiv. Produktivität ohne Steuerung birgt Risiken. Archer Evolv integriert jeden digitalen Mitarbeiter in die Kontrollumgebung, ohne dessen Leistungsfähigkeit einzuschränken.
Generischer KI-Agent
Das erwartet Sie
-
Grundmodell mit einer Eingabeaufforderung und der Möglichkeit, Tools aufzurufen
-
Keine native Identitätsbindung oder Bereichseinschränkung
-
Ergebnisse ohne kalibrierte Konfidenz oder Begründung
-
An einen LLM-Anbieter gebunden
-
Fehlerquoten von 26 % bis 94 % bei domänenspezifischen Abfragen
Archer Evolv™ KI-Operatoren
Das erwartet Sie
-
Identitätsgebunden (SAML/OIDC + SCIM 2.0) und bereichsgebunden
-
Jede Aktion erzeugt einen strukturierten, unveränderlichen Prüfpfad.
-
Fundierte Zuversicht und fundierte Begründung bei jedem Ergebnis
-
Multi-Anbieter-Modellstruktur, keine Bindung an einen bestimmten LLM-Anbieter
-
Überwachung durch einen Experten bei jedem Durchlauf
Fundierte Antworten, die anhand von LLMs ohne Vorverarbeitung überprüft wurden.
In veröffentlichten Tests zur Extraktion von Regulierungsdaten und zur Rückverfolgbarkeit von Anforderungen lagen untrainierte LLMs mit speziell formulierten Eingabeaufforderungen in 56 % bis 88 % der Fälle falsch. Der fundierte Ansatz von Archer Evolv hielt die Fehlerquote unter 5 % – verifiziert, zitiert und rückverfolgt.
Fragen, die wir
am häufigsten hören
Nein. „Foundation“ ist die Basis, auf der jede Domäne läuft; darauf baut man dann die spezifischen Domänen-Operatoren auf, die das eigene Team benötigt.
Nein. Jeder Operator ist von Grund auf so konzipiert, dass er Entwürfe erstellt und Empfehlungen ausspricht. Schritt 4 des Build-Musters ist eine manuelle Genehmigungsstufe, bei der es niemals eine stillschweigende automatische Genehmigung gibt.
„Compliance“ ist bereits heute verfügbar. „Foundation“ ist die zugrunde liegende Ebene, auf der es aufbaut. Alle anderen aufgeführten Bereiche sind geplant, aber noch nicht bereitgestellt.
Unabhängig anerkannt, nicht nur selbsternannt.
Archer wurde im „Gartner Magic Quadrant 2025 für GRC-Tools und Assurance-Anbieter“ sowie im „Verdantix Green Quadrant 2025 für GRC-Software“ als führender Anbieter ausgezeichnet und erzielte im „Forrester Wave für GRC, 2. Quartal 2026“ die höchste Punktzahl im Bereich Compliance-Management.
-
Über Archer
Die GRC-Plattform von Archer verschafft einigen der weltweit am stärksten regulierten Unternehmen einen Vorsprung angesichts ständiger regulatorischer Veränderungen. Mehr als 1.300 Organisationen nutzen Archer, darunter die Hälfte der Fortune-500-Unternehmen und 37 der 50 weltweit führenden Banken. Mehr als 100 davon setzen heute Evolv Compliance ein. Diese installierte Basis bildet das Fundament, auf dem diese Betreiberarchitektur aufbaut.
Entwickelt für GRC. Auf die Einhaltung von Vorschriften ausgelegt.
Erfahren Sie, wie regulierte, Prüfberichte erstellende KI-Operatoren innerhalb der Archer-Plattform laufen, der Sie bereits als Ihr System of Record vertrauen.