KI-Tools werden zunehmend auch für regulatorische Fragestellungen eingesetzt – darunter die Analyse von EASA-NPAs, AMC/GM oder gesamte Easy Access Rules. Was dabei schiefgehen kann, haben wir intern getestet: Unser Team hat diverse KI-Systeme gezielt mit regulatorischen Dokumenten und Fachfragestellungen aus dem EASA-Umfeld konfrontiert und die Ergebnisse fachlich bewertet. Die folgenden sieben Punkte basieren auf diesen Praxiserfahrungen – ergänzt um strukturelle Risiken, die über den Einzeltest hinaus relevant sind.
1. Halluzinierte Verweise und Quellen
KI nennt AMC-Verweise, Artikelnummern oder GMs, die nicht existieren oder lange veraltet sind – und kann diese mit derselben Überzeugung präsentieren wie korrekte Inhalte. In unseren Praxistests wurden mehrfach Quellen zitiert, die tatsächlich nicht existieren. Auf Nachfrage korrigierte die KI entweder den Verweis und schloss daraus, die zugrunde liegende Vorgabe sei frei erfunden. Tatsächlich war der Inhalt vorhanden – nur an einer anderen Stelle im Regelwerk. Die manuelle Analyse war unumgänglich. In anderen Fällen ließ sich die KI trotz eindeutiger Beweise nicht davon abbringen, bestimmte Inhalte in einzelnen Vorgaben finden zu wollen, die nie existiert haben.
Ohne eigene Fachkenntnis bleiben solche Fehler unentdeckt. Hinzu kommt: KI-Systeme bestätigen häufig einfach die Fragestellung des Nutzers, statt Unsicherheiten offenzulegen.
2. Nicht reproduzierbare Ergebnisse
Dieselbe Anfrage liefert nicht zwingend dasselbe Ergebnis. Bereits kleine Änderungen in der Formulierung können andere Schwerpunkte setzen und zu abweichenden Schlussfolgerungen führen. In unserem Praxistest verlor die KI im weiteren Verlauf den Bezug zur ursprünglichen Aufgabe und lieferte Antworten, die nicht mehr zum analysierten Dokument passten – obwohl sich die Fragestellung inhaltlich kaum verändert hatte.
Für Compliance-Anwendungen bedeutet das: Es gibt keine Garantie, dass alle relevanten Regelwerke, AMC, GM oder auch bereits veröffentliche Entwürfe neuer Regularien vollständig berücksichtigt werden. Ob eine Antwort vollständig ist, lässt sich ohne umfangreiche Fachkenntnis und detaillierte Qualitätssicherung nicht beurteilen.
3. Verlust von regulatorischem Kontext
KI nennt Anforderungen häufig korrekt, lässt aber entscheidende Kontextinformationen weg. In unserem Praxistest war nicht ersichtlich, dass bestimmte Vorgaben ausschließlich für spezifische operative Gegebenheiten – wie z.B. Reduced Runway Length Operations – gelten. Die Anforderungen wurden dadurch allgemeiner dargestellt, als sie tatsächlich sind.
Besonders kritisch wird das bei Ausnahmen, Übergangsregelungen oder Sonderfällen. Diese werden häufig wie Standardfälle behandelt. Wer im EASA-Kontext arbeitet, weiß: Nicht nur die Anforderung selbst zählt, sondern ihr Geltungsbereich.
4. Zu vage, um compliant zu sein
KI paraphrasiert regulatorische Formulierungen und glättet dabei genau die Nuancen, auf die es im Audit ankommt. Was im Original nur unter bestimmten Voraussetzungen gilt, erscheint in der KI-Zusammenfassung plötzlich als allgemeingültige Vorgabe.
In einem Praxistest stellte die KI eine neue beleuchtete X-Kennzeichnung für gesperrte Pisten als zukünftige Standardanforderung dar. Tatsächlich handelte es sich lediglich um eine zusätzliche Option. Die bisherige Markierung bleibt weiterhin zulässig. Die KI hatte damit eine Regelungsalternative als allgemeingültige Vorgabe dargestellt.
Dazu kommt eine fehlerhafte Gewichtung: Weniger relevante Aspekte werden teils stark hervorgehoben, sicherheitskritische Anforderungen erhalten nicht die notwendige Aufmerksamkeit. Das Ergebnis klingt vollständig und fachlich korrekt –ist es jedoch nicht.
5. Datenabfluss durch Fehlbedienung
Nicht jede Datenschutzverletzung oder Verluste vertraulicher Informationen entsteht durch die Technologie selbst. Wer interne Compliance-Dokumente, Auditberichte oder Sicherheitsbewertungen in nicht freigegebene KI-Anwendungen kopiert, kann unbeabsichtigt einen Datenabfluss verursachen. Gerade weil KI-Tools für alle einfach zugänglich sind und schnelle Ergebnisse liefern, wird dieses Risiko unterschätzt. Was genau mit den eingegebenen Daten und Quellen passiert, kann nur in seltenen Fällen exakt nachvollzogen werden.
Für Organisationen in der regulierten Luftfahrt gilt: Neben technischen Schutzmaßnahmen braucht es klare interne Richtlinien, damit Mitarbeitende wissen, welche Informationen in KI-Systeme eingegeben werden dürfen und welche nicht.
6. Verlust der Datenhoheit
Die meisten gängigen KI-Tools verarbeiten und speichern Daten auf Servern außerhalb der EU, häufig in den USA. Wer öffentliche KI-Systeme nutzt, gibt die Kontrolle über die Verarbeitung der eingegebenen Informationen teilweise an den Anbieter ab. Wo Daten verarbeitet werden, wie lange sie gespeichert werden und wer Zugriff darauf hat, ist für den Nutzer oft nicht mit ausreichender Sicherheit feststellbar.
Für Behörden und Organisationen unter DSGVO-Pflicht ist das ein rechtliches Risiko – unabhängig davon, ob Trainingsdaten genutzt werden oder nicht. Vor der Nutzung sollte daher geprüft werden, welche vertraglichen und datenschutzrechtlichen Rahmenbedingungen gelten.
7. Fehlende Haftungsklarheit
Wenn eine KI-Analyse fehlerhaft ist und auf dieser Grundlage eine Compliance- oder Sicherheitsentscheidung getroffen wird, bleibt die Verantwortung bei der Organisation. Die KI übernimmt weder Haftung noch Rechenschaft für ihre Empfehlungen. Wie eine Schlussfolgerung zustande gekommen ist, lässt sich im Nachhinein häufig nicht nachvollziehen.
Gerade in der Luftfahrt, wo regulatorische Fehleinschätzungen operative und sicherheitsrelevante Konsequenzen haben können, darf Verantwortung nicht an ein System delegiert werden, das keine trägt. KI kann unterstützen und recherchieren. Die fachliche Bewertung und die letztendliche Entscheidung müssen bei qualifizierten Personen liegen.
Sie möchten wissen, wie eine regelkonforme Analyse tatsächlich aussieht?
AviaCert unterstützt Flughafenbetreiber und Luftfahrtbehörden bei der Interpretation und effizienten Anwendung von EASA-Regularien – auf Basis fachlicher Expertise, regulatorischer Erfahrung und nachvollziehbarer Quellen.