Meta rückt KI ins Zentrum seines Risk-Review-Prozesses und verlegt Compliance-Prüfungen bereits in die Coding-Phase

Vom produktbezogenen Privacy Review zum unternehmensweiten Risk-Review-Programm

Michel Protti, Chief Compliance and Privacy Officer for Product bei Meta, stellt diese Ankündigung als mehr als nur ein Tool-Update dar. Meta baut sein produktbezogenes Privacy Review zu einem umfassenderen, unternehmensweiten Risk-Review-Programm um, in dessen Zentrum KI steht.

Dieser erweiterte Zuschnitt ist entscheidend. Der frühere Prozess galt vor allem dem Datenschutz; der neue vereint Datenschutz, Sicherheit und Systemsicherheit in einem einzigen Prüfablauf. Als treibender Faktor wird die schiere Größenordnung genannt: Meta berichtet von zehntausenden Risiko- und Compliance-Prüfungen pro Jahr, vor dem Hintergrund von Hunderten Datenschutzgesetzen weltweit, die sich mit der technologischen Entwicklung ständig ändern.

Die eigentliche strukturelle Neuerung ist die Zusammenführung. Statt parallele Fachprüfungen laufen zu lassen, baut Meta ein einheitliches System auf, das neue Produkte und Funktionen gegen eine globale Bibliothek von Richtlinien und Vorschriften abgleicht.

Der Wandel von Aufnahmeformularen zur Erkennung während der Entwicklung

Als konkreten Schwachpunkt nennt Meta die manuelle Datenaufnahme. Fachleute verbrachten früher Stunden damit, Informationen zusammenzutragen und standardisierte Aufnahmeformulare auszufüllen, nur um eine Prüfung überhaupt zu starten. Das KI-System füllt zentrale Dokumentationen jetzt automatisch vor und zeigt relevante Produktanforderungen frühzeitig an.

Noch bedeutsamer ist, wann die Prüfung stattfindet. Laut Meta durchsucht das System Produktvorschläge bereits während der Entwicklungsphase, erkennt mögliche Probleme oder Lücken im Code und schlägt Lösungen vor, bevor die Entwicklung überhaupt die Testphase erreicht.

Auf diese Weise funktioniert unser KI-gestütztes Risk-Review-Programm wie ein permanent aktives Risikoerkennungssystem, das unsere Teams in jeder Phase des Prüfprozesses unterstützt – es hilft uns, potenzielle Probleme zu erkennen und empfohlene Gegenmaßnahmen für die fachliche Prüfung aufzuzeigen, während der Code entsteht, nicht erst danach.Montana Labs

Das ist der Kernanspruch, den es zu bewerten gilt: Compliance verschiebt sich nach vorne, direkt in den Coding-Prozess, statt als Kontrollinstanz kurz vor dem Launch zu wirken. Metas erklärtes Ziel ist eine Kultur, in der manuelle Prozesse die Ausnahme sind, nicht die Regel.

Wie die Aufteilung zwischen Mensch und KI in der Praxis aussieht

Meta beschreibt die Arbeitsteilung klar. In den meisten Fällen übernimmt die KI den ersten Durchgang; Fachleute prüfen anschließend die Genauigkeit, führen eine laufende Aufsicht durch und konzentrieren sich auf neuartige, folgenreiche Fälle, die menschliches Urteilsvermögen erfordern.

Bemerkenswert ist die Darstellung, wonach Menschen als die Architekten des Systems gelten – sie legen die Regeln fest, nach denen KI eingesetzt und überwacht wird. Die Technologie sorgt für Skalierbarkeit, Menschen geben die Richtung vor. Das ist ebenso eine Aussage zur Governance wie zur Produktivität.

Die unausgesprochene Spannung liegt in der Feinabstimmung. Wenn KI den ersten Durchgang bei zehntausenden Prüfungen übernimmt, hängt die Qualität dessen, was letztlich bei den Fachleuten landet, vollständig davon ab, wie gut das System Routinefälle von jenen unterscheidet, die genauer geprüft werden müssen. Meta nennt weder Fehlerquoten noch Quoten manueller Korrekturen, noch wie gemessen wird, ob der erste Durchgang tatsächlich die richtigen Fälle erkennt – also genau jene Kennzahlen, mit denen Außenstehende beurteilen könnten, ob die Aufsicht real ist oder nur auf dem Papier existiert.

Die Implikation: Compliance als kontinuierliche Überwachung statt als Launch-Kontrolle

Der langlebigste Gedanke dieser Ankündigung ist die Kontinuität. Meta beschreibt eine laufende Überwachung, um sicherzustellen, dass Schutzmaßnahmen auch bei der Weiterentwicklung von Produkten wirksam bleiben, sowie eine fortlaufende Beobachtung regulatorischer Änderungen, damit Produkte entsprechend angepasst werden können.

Damit wird das Risk Review von einer punktuellen Freigabe zu einem dauerhaften Prozess umdefiniert, der während der Entwicklung und nach dem Launch weiterläuft. Für angewandte Teams ist das die eigentliche technische Herausforderung – nicht die Automatisierung eines Formulars, sondern eine Richtlinienbibliothek über Hunderte von Rechtsordnungen hinweg aktuell zu halten und bereits veröffentlichte Produkte fortlaufend dagegen zu prüfen.

Meta positioniert dies als Richtungsweiser für die gesamte Branche und weist darauf hin, dass Datenschutzbeauftragte integriertes, bereichsübergreifendes Risikomanagement auf dem IAPP Global Summit diskutieren werden. Die Ankündigung liefert das Modell, aber keinen Beweis; offen bleibt, ob die permanente Erkennung die Ergebnisse tatsächlich verbessert oder vor allem einen Prozess beschleunigt, dessen Genauigkeit weiterhin von den Menschen abhängt, die im Hintergrund alles überprüfen.