Ein Mittwochnachmittag im Oktober, achtzehnte Etage eines Gebäudes an der Rivonia Road. Das Compliance-Team eines mittelgroßen Vermögensverwalters, nicht einer der Big Five, aber auch keine Boutique, steckt seit drei Wochen in einer Prüfung nach Section 11 des KI-Lieferantenstapels der Firma. Die Rechtsabteilung hat eine Frage gestellt, die niemand beantworten kann: Welches der acht Tools, das in den letzten vierzehn Monaten jemand abgezeichnet hat, verarbeitet tatsächlich Kundendaten außerhalb der Kontrolle der Firma? Die Leiterin des operativen Betriebs hängt parallel in der Warteschleife der Auskunftslinie des Information Regulator, und der CFO hat zwei Nachrichten geschickt und gefragt, ob die Übung teuer genug ist, um sie dem Verwaltungsrat vorzulegen. Sie hat noch nicht geantwortet.
Das ist der Punkt, an dem das Sandton-Gespräch über KI im Jahr 2026 tatsächlich steht. Nicht, ob eingeführt wird. Nicht einmal, was eingeführt wird. Die Frage ist, wie das, was sich bereits über Kreditkartenabonnements und Abteilungsbudgets hineingeschlichen hat, zu steuern ist, und ob die nächste Tranche innerhalb des Governance-Apparats, den die Firma ohnehin betreibt, ihr Geld verdient.
Was Sandton als Einkaufskontext ausmacht
Sandton ist nicht Kapstadt, und Sandton ist nicht der Rest von Johannesburg. Die Firmen in dieser Postleitzahl verhalten sich auf eine bestimmte Weise, und wenn Ihr Automatisierungsanbieter das nicht weiß, endet das Gespräch nach dem ersten Termin.
Vier Punkte zählen.
- Lieferanten-Onboarding ist ein langer Zyklus. Die JSE, die vier Großbanken, Discovery, Alexander Forbes, das Johannesburger Büro von Allan Gray, die Big Four der Wirtschaftsprüfung, die Spitzenkanzleien an der Alice Lane und am Fredman Drive, die globalen Beratungen an der Katherine Street: Jede führt ein Lieferanten-Onboarding, das für ein ernstzunehmendes SaaS-Werkzeug zwölf bis zwanzig Wochen dauert. Sicherheitsfragebögen. Rechtsprüfung. Beschaffung. Eine Bescheinigung nach SOC2 oder ISO 27001 angefordert. Dann ein kurzer Pilot, dann ein Steuerkreis, dann die Produktion.
- Budget ist nicht das SME-Problem. Ein Bauauftrag über zwei Millionen Rand lässt sich oft leichter durchbringen als ein Abonnement über 120 000 Rand, weil das eine über Investitionsausgaben läuft und das andere das Lieferantenmanagement-Büro auslöst. Wir haben in der Praxis gesehen, wie eine sechsstellige wiederkehrende Verpflichtung länger in der Beschaffung lag als eine siebenstellige Einmalzahlung.
- Beschaffung ist politisch. Der KI-Projektverfechter ist meist eine Linienführungskraft, die mit dem aktuellen Verwaltungsstapel die Geduld verloren hat. Der CIO und der CISO sind Gatekeeper, nicht Sponsoren. Die Rechtsabteilung hat eine Meinung zu jedem Datenfluss, und wenn die Firma einen eigenen Datenschutzbeauftragten hat, kommt auch das Gespräch zu POPIA Section 19 ins Budget.
- Change-Management ist härter als die Bau-Komplexität. Ein Tool, das in der Demo funktioniert und am Ende doch vom Kreis der zweiunddreißig Senior Manager abgelehnt wird, die niemand gefragt hat, ist in jeder größeren Firma Sandtons eine Quartalsgeschichte. Die Technik ist oft der einfache Teil.
Wo die echten Erträge in einem Sandton-Konzern liegen
Nicht dort, wo die Roadshow-Decks es behaupten. Drei Kategorien, grob in der Reihenfolge dessen, was sich bei den Firmen, mit denen wir gearbeitet haben, tatsächlich ausgezahlt hat.
Erstens: strukturierte regulatorische Antworten. Discovery Health hat eine Vorlage für jede PMB-Beschwerde. Die Trust-Services-Abteilung der Standard Bank hat eine Vorlage für jede fiduziarische Anfrage. Die Advisory-Praxen der Big Four haben eine Vorlage für jedes S45-Umstrukturierungsschreiben. Das sind keine kreativen Dokumente; es sind richtlinienförmige Antworten auf wiederkehrende Eingaben. Ein Entwurfs-Tool, das die Eingabe liest, die Richtlinie und die bisherigen Antworten der Firma heranzieht, einen ersten Entwurf schreibt und das Ergebnis zur Freigabe an einen Fachmenschen weiterreicht, verdichtet Stunden pro Antwort zu Minuten. Bei einem Bestand von einigen tausend Antworten pro Quartal zahlt sich das Projekt in weniger als zwei Zyklen aus.
Zweitens: interne Wissensabfrage. Der Partner bei einem Mandat von Deloitte oder EY, der vierzig Minuten mit der Suche nach dem passenden Präzedenzfall aus einem früheren Mandat zubringt, der Associate bei Webber Wentzel, der die Klausel sucht, die bei einer ähnlichen Transaktion im Vorjahr getragen hat, der Kreditsachbearbeiter bei Nedbank, der die Policy-Ausnahme sucht, die für einen vergleichbaren Kunden genehmigt worden war: Das sind teure Stunden. Ein Abfrage-Tool, trainiert auf der firmeneigenen Wissensbasis und mit Berechtigungen, die die bestehenden Informationstrennwände respektieren, ersetzt den größten Teil dieser Suche. Es ersetzt nicht die Beurteilung. Es ersetzt die Jagd.
Drittens: Triage bei Finanzkriminalität und Compliance. Die Transaktionsüberwachungssysteme in den südafrikanischen Banken erzeugen Alarmmengen, die menschliche Teams in der verfügbaren Zeit nicht abarbeiten können. KI-Triage (Scoring, Priorisierung, erster Prüfvermerk zur Bestätigung durch einen Analysten) ist der Bereich, in dem mehrere Sandton-Banken ernsthafte Investitionen getätigt und, gut geführt, echte Erträge gesehen haben. Das ist Spezialgebiet. Es braucht die Aufsicht von Teams der Finanzkriminalitätstechnik, die die Modelle schon einmal in der Produktion betrieben haben.
Was sich ehrlich gesagt nicht ausgezahlt hat: der unspezifische Rollout eines „KI-Assistenten für alle in der Firma“. Jeder, den wir gesehen haben, produziert einen anfänglichen Aktivitätsschub, eine kleine Zahl von Power-Usern, einen langen Schwanz von Mitarbeitenden, die das Werkzeug einmal probiert und nie wieder angefasst haben, und eine Kostenposition, die achtzehn Monate später niemand verteidigen will. Käufer fahren besser, wenn sie konkrete Arbeitsabläufe schneiden, als wenn sie eine Lizenz pro Kopf kaufen und hoffen.
Was dem CIO, CISO und der Rechtsabteilung vorzulegen ist
Wenn Ihr Projekt den Sandton-Governance-Prozess passieren soll, zählen drei Dokumente, und nichts anderes zählt genauso.
Ein Datenflussdiagramm, das genau zeigt, welche Daten die Firmen-Perimeter verlassen und unter welchem Vertrag. Der CISO bittet Sie nicht, das zu vereinfachen. Der CISO fragt, ob Sie es verstanden haben.
Ein Auszug aus dem Risikoregister nach POPIA Section 55, spezifisch für den Arbeitsablauf: Zwecke, Rechtsgrundlagen, Aufbewahrung, grenzüberschreitende Übertragungen wenn vorhanden, benannte Auftragsverarbeiter, Vorfallswege. Liest sich das Dokument wie eine Vorlage, markiert die Datenschutzbeauftragte es als Vorlage, und das Projekt bleibt stehen, bis Sie ein spezifisches Register liefern.
Eine Modellrisiko-Erklärung. Welche Modelle werden eingesetzt, wo laufen sie, welches sind die Fehlerzustände, wie wird die Ausgabe geprüft, bevor sie einen Mandanten oder ein regulatorisches Dokument berührt. Das ist kein theoretisches Artefakt mehr. Prudenziell beaufsichtigte Firmen brauchen eine solche Erklärung besonders; die SARB liest sie, und die FSCA liest sie für FAIS-lizenzierte Häuser ebenfalls.
Mit diesen drei Dokumenten in der Hand bewegen sich die meisten Governance-Komitees in Sandton. Ohne sie räumt kein noch so großer Enthusiasmus aus der Linie die Hürde.
Der Pilot, der durchkommt, und der, der stecken bleibt
Nach unserer Erfahrung haben die Piloten, die durch die Sandton-Governance in die Produktion kommen, eine Form. Sie haben einen namentlich benannten Sponsor auf Business-Head-Ebene, kein Komitee. Sie schneiden auf eine Linie zu. Sie benennen vor der ersten Demo ein messbares Ergebnis (Stunden pro Antwort, Kosten pro geprüftem Alarm, Durchlaufzeit eines konkreten Dokuments). Sie beziehen die Informationssicherheit ab Woche eins ein, nicht ab Woche zehn. Sie schreiben die Modellrisiko-Erklärung, bevor jemand baut. Sie setzen einen Horizont von vier bis acht Wochen bis zur Go-/No-Go-Entscheidung.
Die Piloten, die hängen bleiben, haben die umgekehrte Form. Ein horizontaler „Innovations“-Pilot, finanziert von einem Innovationsteam ohne Linien-Eigentümer. Ein Tool, das vier Geschäftsbereiche berührt, weil das Roadshow-Deck es so versprochen hat. Keine vorab festgelegte Erfolgskennzahl. Sicherheit erst nach der Demo einbezogen. Ein Proof-of-Concept, der auf Fake-Daten läuft und nie einen Pfad zu echten Daten findet.
So läuft es hier nicht.
Wenn Ihre Firma gerade drei oder mehr KI-Piloten laufen hat und keiner einen unterzeichneten Produktivpfad hat, ist das das Muster. Die ehrliche Antwort darauf: zwei abschalten und einen fertigmachen.
Worin sich Sandton vom übrigen Johannesburg unterscheidet
Der Startup-Gürtel von Rosebank und Braamfontein nimmt ein Werkzeug mit einem API-Key, bezahlt mit Karte und lässt das Team laufen. Sandton tut das nicht. Die Käuferin an einem Melrose-Arch-Hauptsitz verspricht eine Entscheidung bis Freitag und meint es ehrlich; die Käuferin bei einer Standard-Bank-Abteilung verspricht eine Entscheidung nach dem Governance-Zyklus und meint es ebenfalls ehrlich. Beide sind redlich. Das eine baut in sechs Wochen einen Kundenstamm; das andere baut in sechs Monaten einen, mit einer deutlich längeren Reichweite danach.
Die Preisgestaltung folgt derselben Trennung. Das Modell „Abonnement pro Platz“, das für eine dreißigköpfige Beratung in Illovo wunderbar funktioniert, bleibt am Lieferantenmanagement-Pult eines zweitausendköpfigen Vermögensverwalters stehen. Die Beschaffung will einen begrenzten Vertrag, einen unterzeichneten Datenverarbeitungs-Nachtrag, eine benannte Haftungsobergrenze, eine Kündigungsklausel, die ihre Daten zurückgibt. Preisen Sie wo möglich das Projekt statt des Platzes, und das Gespräch kommt schneller voran.
Das Amortisationsfenster ist zudem länger und größer. Ein Sandton-Konzern, der einen zugeschnittenen Entwurfs-Drafter für einen regulierten Antwortstapel kauft, vergleicht ihn nicht mit einer SaaS-Lizenz zu 299 Rand pro Monat. Er vergleicht ihn mit den vollen Kosten dreier Senior Compliance Officer, die sonst den ersten Entwurf schreiben. Das ist eine andere Zahl, um zwei Größenordnungen, und die Firmen, die diese Rechnung ehrlich aufstellen, finanzieren am Ende das richtige Projekt.
Ein sinnvolles Erstprojekt, bevor jemand einen Scheck ausstellt
Für eine mittelgroße Sandton-Firma (fünfzig bis dreihundert Mitarbeiter, reguliert, mit einem Lieferantenmanagement-Büro) ist das richtige Erstprojekt fast immer der strukturierte Antwort-Drafter für einen konkreten Dokumenttyp. Ein benannter Arbeitsablauf. Ein Business-Eigentümer. Ein Scope über sechs Wochen. Ein klar messbares Ergebnis.
Wählen Sie das Dokument, das die meiste Senior-Zeit kostet, die meisten SLA-Fristen trifft und die klarste Vorlage hat. Für einen Vermögensverwalter ist das oft die Antwort nach Section 11 oder Section 55. Für die Wealth-Abteilung einer Bank ist es die Beschwerdebeantwortung nach dem FAIS General Code. Für eine Wirtschaftsprüfungsgesellschaft ist es der Zyklus Mandatsvereinbarung und Management-Representation-Letter in einem bestimmten Kundengrößen-Band. Für eine Kanzlei ist es eine Kategorie kommerzieller Vereinbarungen mit einer gut kartierten Vorlagenbibliothek.
Schneiden Sie den Bau auf diese eine Sache zu. Liefern Sie innerhalb der bestehenden Informations-Perimeter der Firma. Messen Sie das Ergebnis an der vorab festgelegten Kennzahl in Woche sechs. Hält es die Kennzahl, erweitern. Hält es sie nicht, das Projekt beenden und das Budget zurückholen.
Sandton belohnt Anbieter, die den Governance-Apparat respektieren, statt über ihn zu klagen, und die die erste Woche echter Arbeit schneiden, statt die Achtzehn-Monats-Plattformgeschichte zu verkaufen. Die Firmen entlang der Rivonia Road und der Alice Lane haben seit drei Jahren Varianten dieser Plattformgeschichte gepitcht bekommen. Diejenigen, die innerhalb eines Quartals eine messbare Rückkehr erzielt haben und deren Leiterinnen des operativen Betriebs die KI-Position heute im Budgetgespräch verteidigen, haben die Plattform nicht gekauft. Sie haben einen zugeschnittenen Arbeitsablauf gekauft, ihn gut gebaut und von dort aus erweitert.