EU AI Act Experten in Frankfurt

2nd LoD/Change the Bank (CtB)

• CtB: Externer Berater und Workstream Lead zur Behebung von Feststellungen der BaFin nach einer Sonderprüfung im IT-Bereich in der 2nd LoD, Leitung des Arbeitspakets zur Überarbeitung des ICT Risk Management & ICT Asset Classification gemäß DORA Kapitel 2, der Prozesse für Strukturanalyse, Schutzbedarfe und Kontrollbewertungen (4 FTEs).

• Vortrag zur Einführung in generische K.I. und Large Language Models
• Erläuterung rechtlicher Rahmenbedingungen (EU AI Act, US CLOUD Act, DSGVO)
• Systematische Betrachtung von KI-Tools entlang des SDLC und Holistische Systeme
• Vergleich On-Prem LLMs vs. cloudbasiert sowie Change-Management und Betriebsrat
• Moderation der Diskussion und Ableitung nächster Schritte für die Einführung von KI Entwicklungstools

• In meiner aktuellen Position trage ich die End-to-End-Verantwortung für KI-Produkte: von der Identifikation und Priorisierung von Use Cases über belastbare Business Cases, AI-Roadmaps sowie Kapazitäts- und Ressourcenallokation bis zur skalierbaren Umsetzung über Länder- und Bereichsgrenzen hinweg.

• Dabei gestalte ich Operating Models, Delivery-Standards und Betriebskonzepte, mit denen KI-Produktentwicklung nicht nur zuverlässig läuft, sondern nachhaltig skaliert – stets ausgerichtet an Strategie, Zielen, Kapazitäten und Geschäftsnutzen.

• Die fachliche Führung und Weiterentwicklung interdisziplinärer Teams aus Data-Science- und Produktrollen im agilen Arbeitsmodell ist für mich Kern der Aufgabe – aktuell führe ich ein Team von drei Mitarbeitenden.

• Ich bewege mich sicher im Stakeholder-Management auf Senior-Management-Ebene und in internationalen Strukturen und übersetze komplexe technische Sachverhalte adressatengerecht in konkrete geschäftliche Handlungsempfehlungen.

• Governance denke ich von Anfang an mit: Ich richte KI-Initiativen konsequent an regulatorischen Anforderungen (u. a. EU AI Act), an Risikomanagement sowie an Datenschutzanforderungen aus.

• Durchführung von IKT- / DORA-Management-Trainings nach DORA Artikel 5(4) bei verschiedenen Bankinstituten

• Vermittlung der wesentlichen Inhalte der DORA-Anforderungen mit Fokus auf IKT-Risiken, Drittparteienrisikomanagement, Incident- und Problemmanagement sowie Informationsregister

• Ableitung von Umsetzungsmaßnahmen und Handlungsempfehlungen für Management und Fachbereiche

• Leitung der gruppenweiten, internationalen und funktionsübergreifenden IT-Governance-&-IAM-Abteilung in der zentralen IT-Division eines großen deutsch-französischen Privatbankkonzerns. Disziplinarische Führung von rund 30 Mitarbeitenden an fünf Standorten (Frankfurt, Paris, Tunis, Saarbrücken, Düsseldorf). Vorsitzender in IT-Komitees und zentrale Rolle in der direkten Kommunikation mit der Geschäftsführung, dem Aufsichtsrat, externen Stakeholdern und Aufsichtsbehörden.
• Definition und Implementierung eines modernen IT-Strategieprozesses sowie der zugehörigen IT-Governance-Strukturen für die IT-Abteilung mit über 600 Mitarbeitenden (bestätigt durch die deutsche Bundesanstalt für Finanzdienstleistungsaufsicht und die ACPR) und erfolgreichem Ablauf.
• Aufbau eines zukunftsorientierten Prozessrahmens für IT und der notwendigen Governance-Strukturen (Process Squads) zur kontinuierlichen Verbesserung der IT-Prozesse im Hinblick auf neue regulatorische Anforderungen (einschließlich DORA, EU AI Act usw.).
• Einführung strenger Prozesse zum Abbau eines historischen Rückstands an Prüfungsfeststellungen (> 100 IT-Feststellungen, 40 überfällige Feststellungen in 2022) von internen und externen Prüfern (WP, ACPR, BaFin). Erfolgreiche Reduzierung der überfälligen Feststellungen auf 0 Ende 2025.
• Unterstützung von mehr als 20 IT-Prüfungen pro Jahr und Aufbau von Prozessen zur regulatorischen Überwachung. Einführung von ServiceNow zur Revolutionierung der Prozesse für regulatorische Änderungen und IT-Compliance mit erweiterten KI-Funktionen.
• Neuausrichtung der IT-Kontrollprozesse in Verbindung mit der neu gegründeten ICT-Risiko-Funktion nach DORA und dem Drei-Linien-Modell mit der TopEase GRC-Lösung.
• Reduzierung der Anwendungslandschaft durch systematische Analyse der Funktionen gemeinsam mit Anwendungs- und Fachverantwortlichen, Identifikation von Doppelungen und Umsetzung einer One-Tool-Strategie im gesamten Konzern. Erfolgreiche Reduzierung eines Drittels der Anwendungen in der CMDB.
• Onboarding aller Konzernanwendungen in die konzernweite IAM-Lösung von One Identity sowie Betrieb und Weiterentwicklung der Lösung in Verbindung mit Segregation of Duties (SoD), rollenbasierter Zugriffskontrolle (RBAC) usw.

• Betriebswirtschaftliche Beratung, Interimsmanagement und Coaching
• Eigenverantwortliche Akquisition und Durchführung von Beratungsprojekten im Kontext Strategie & Innovation, Prozesse, Organisation sowie Business Transformation

• Allgemeine CTO-Verantwortlichkeiten (Architekturdesign, operative Einrichtung, externe Laufzeitanalyse des Produkts, Investorenbeteiligung, regulatorische Compliance)
• Aufsicht der Softwareentwicklung (tiefgehende Implementierungsarbeit) sowie Workflow-Design
• Produkt-Mitinhaberschaft
• Technik/Tools/Frameworks: proprietäre Software (Java, JavaScript), Kubernetes, Postgres, MinIO, Ollama (intern), mehrere xAI-APIs (extern), OpenTofu (Terraform), Keycloak, Kafka, Prometheus, ELK Stack, GitHub, GitHub Workflows, Argo CD, ISO 27001, BSI-ISM, EU AI Act

• Die Ablösung des bisherigen Archivsystems (Dokumentenmanagementsystem – DMS) auf Host Basis ist weit vorangeschritten.
• Das interne Audit soll dazu dienen die Qualitätsansprüche des Hauses sicherzustellen.
• DSGVO
• ISO 27001 ff.
• BSI
• DORA
• Regulatorik Patientendaten
• Host / Cloud / S3 / Container / Hoch Skalierbar / Nuxeo
• Budget: 50.000
• Team: 1

• Leitete bereichsübergreifende Compliance- und IT-Programme für Infrastruktur, Sicherheit, Recht und Führungsebene und stellte Audit-Bereitschaft sowie regulatorische Übereinstimmung sicher.

• Übernahm die Gesamtverantwortung für IT-Governance- und CSR-Programme, definierte den Umfang, Meilensteine, Risiken und Erfolgskriterien.

• Arbeitete direkt mit dem VP of IT als Governance- und Kontrollpartner zusammen, unterstützte bei Sicherheitsvorfällen, Compliance-Status (ISO 27001, DSGVO, SOC 2) und im Management-Reporting.

• Unterstützte die Organisation bei der Vorbereitung auf neue EU-Vorschriften, darunter den EU Cyber Resilience Act (CRA) und den EU AI Act, durch Analyse der Anforderungen, Identifikation von Governance- und Compliance-Auswirkungen sowie Anpassung interner Richtlinien und Kontrollprozesse.

• Entwarf und skalierte Prozesse zur Datenerfassung und Berichterstattung für CSR- und regulatorische Reports auf Konzern- und Tochtergesellschaftsebene.

• Setzte Prozessverbesserungen und Standardisierungen um, steigerte Transparenz, Vorhersehbarkeit und Audit-Bereitschaft.

• Technologien und Tools: Office 365 Power BI, MS SharePoint, MS Word, MS Excel, MS Teams, Zendesk, Confluence, JIRA, Vanta.

• Konzeption und globale Einführung von Sensitivity Labels (Vertraulichkeitskennzeichnungen) zur automatisierten Klassifizierung und Verschlüsselung geschäftskritischer Daten.
• Definition und Rollout von Data Loss Prevention (DLP)-Richtlinien zum Schutz von IP und personenbezogenen Daten über Endgeräte, Exchange, SharePoint, Teams und Non-Microsoft-Clouds hinweg.
• Einrichtung von Insider-Risk-Management-Richtlinien zur Erkennung und Eindämmung von exzessiven Datenabflüssen und riskantem Nutzerverhalten.
• Umsetzung von DSGVO- und Aufbewahrungsanforderungen durch automatisierte Retention Policies und strukturiertes Records Management.
• Technische Begleitung von Rechtsabteilungen bei internen und externen Untersuchungen mittels eDiscovery (Standard/Premium) und Content Search.
• Kontinuierliche Optimierung des Sicherheits- und Compliance-Niveaus durch Auswertung des Microsoft Compliance Managers und Schließen von Lücken (Regelwerke wie ISO 27001, NIS-2)