KI kann im Accounting & Controlling immer mehr. Aber: KI-Entscheide müssen aus meiner Sicht auch nachvollziehbar sein.
Gestern habe ich darüber gepostet, wie mein OpenClaw-Agent in einer Odoo-Testumgebung einen Mahnlauf erstellt hat.
Ich wusste allerdings schon einige Tage vorher, dass ich genau diesen Test machen wollte.
Deshalb habe ich vor dem eigentlichen Test zusammen mit Claude Code rund um meinen OpenClaw-Agenten einen an den EU AI Act angelehnten Setup aufgebaut, der die Entscheidungen des Systems nachvollziehbarer machen soll.
Es stellen sich plötzlich Fragen:
➡️ Wie kommt das KI-System zu seinem Vorschlag?
➡️ Welche Informationen wurden von der KI berücksichtigt?
➡️ Wo braucht es menschliche Freigabe?
➡️ Wie lassen sich die Entscheide protokollieren?
➡️ Und wie kann der Entscheidungsweg später nachvollzogen werden?
Als Orientierung dienten mir dabei die Überlegungen rund um den EU AI Act.
Ich liess Claude Code die relevanten Bestimmungen durcharbeiten und anschliessend baute Claude Code in rund einer Stunde die entsprechende Infrastruktur.
Was konkret entstand:
➡️ Ein OpenClaw-Plugin namens „eu-audit“, das sich über sechs Hooks in den Lebenszyklus jeder Agenten-Interaktion einklinkt: vom Eingang einer Nachricht bis zur fertigen Antwort.
Für jede Interaktion wird automatisch protokolliert:
➡️ welches KI-Modell die Entscheidung getroffen hat
➡️ welche Tools der KI-Agent aufgerufen hat
➡️ ob diese nur gelesen oder auch verändert haben
➡️ welche Art von Daten verarbeitet wurde
➡️ wie das System die Interaktion einstuft
➡️ ob menschliche Freigabe erforderlich war und ob sie erteilt wurde
➡️ eine redaktierte Zusammenfassung der Antwort, bei der sensible Informationen vor der Speicherung unkenntlich gemacht werden
Zusätzlich wird jeder Eintrag mit einem SHA-256-Hash versiegelt und kryptographisch mit dem vorherigen verkettet.
➡️ So lässt sich später prüfen, ob ein Eintrag verändert, gelöscht oder umgeordnet wurde.
Technisch läuft das Ganze in zwei Pfaden:
➡️ Ein Hot Path protokolliert in Echtzeit, ohne den KI-Agenten spürbar zu verlangsamen.
➡️ Ein Cold Path übernimmt die Daten regelmässig in eine Datenbank und baut dort die Hash-Kette auf.
Eine Verifizierung per Befehl prüft anschliessend die gesamte Kette.
🧪 Beim gestrigen Test der Debitorenanalyse mit Mahnempfehlungen via Telegram wurden z.B. 16 Audit-Events mit insgesamt 47 Tool-Aufrufen protokolliert.
Damit ist jeder einzelne Schritt nachvollziehbar dokumentiert:
vom Telegram-Eingang über die Odoo-Abfrage bis zur Mahnempfehlung.
✅ Die Hash-Kette war intakt.
✅ Kein Event wurde verändert.
✅ Und jeder Schritt war nachvollziehbar protokolliert.
Das Dashboard 👇 zeigt den gesamten Audit auf einen Blick: KPIs, Timeline, ein konkretes Audit-Event, die automatische PII-Redaktion, die Hash-Chain-Verifizierung und das Mapping auf die relevanten EU AI Act Artikel.
