Das KI-Modellverzeichnis im Finanzwesen

Ein brauchbarer Eintrag beantwortet vier Dinge. Identität: ein stabiler Schlüssel, Name, Version, bei gekauften Systemen Anbieter und Basismodell. Verantwortung: eine zurechenbare Person oder definierte Rolle und wer eine Änderung entscheidet. Datenreichweite: Trainingsquellen, die Daten im Betrieb und eine Markierung bei personenbezogenen oder sonst regulierten Daten. Lebenszyklus: Stand, Datum der letzten Validierung, Risikoklasse und die Auslöser einer Prüfung.

MaRisk AT 4.3.1 ist der deutsche Anker des Registers, denn es verlangt dokumentierte und aktuelle Prozesse samt Verantwortlichkeiten, und der EZB-Leitfaden zu internen Modellen legt fest, was die Aufsicht bei einem Kapitalmodell liest. Ein Feld, das keine Entscheidung trägt, wird nicht gepflegt, die Prüffrage je Spalte lautet also, welche Entscheidung davon abhängt.

Ein Modell liefert eine Prognose. Ein Agent handelt: Er fragt Systeme ab, ruft Werkzeuge auf und startet einen Ablauf, manchmal ohne Menschen dazwischen. Das Verzeichnis führt beide, und der Agent braucht Felder, die ein Modell nicht hat: erlaubte Handlungen, erreichbare Systeme, die Grenze ohne Menschen und den getesteten Weg, ihn zu stoppen.

Praktisch sind Doppelungen das Problem. Ein zweiter Agent für dieselbe Aufgabe in einer anderen Abteilung, ein verwaistes Modell ohne Eigentümer und ein Pilot, der Monate nach Projektende produktiv läuft, stehen in einem ehrlichen Register als eigene Risiken. KI-Governance in Banken regelt, wer über deren Verbleib entscheidet.

Bei einem Hochrisikosystem macht die KI-Verordnung Teile des Registers zur Rechtspflicht. Artikel 11 der Verordnung (EU) 2024/1689 verlangt eine technische Dokumentation vor dem Inverkehrbringen, fortlaufend aktuell gehalten, mit dem Inhalt aus Anhang IV. Artikel 12 verlangt die automatische Aufzeichnung von Ereignissen über die Lebensdauer, Artikel 18 die Aufbewahrung der Dokumentation durch den Anbieter für zehn Jahre nach dem Inverkehrbringen.

Ein Betreiber, und das ist eine Bank meist, bewahrt die Protokolle nach Artikel 26 mindestens sechs Monate auf, sofern kein anderes Recht länger verlangt. Kreditscoring natürlicher Personen und die Preisbildung in Lebens- und Krankenversicherung sind die beiden Anwendungen aus Anhang III, die ein Haus in dieses Regime bringen, siehe KI-Verordnung im Finanzwesen.

Drei Quellen erzeugen fast alles davon. Ein Tabellenmodell aus einem Fachbereich leistet echte Arbeit und lief durch keine Governance. Eine gekaufte Anwendung trägt ein Modell, das der Vertrag nie benannte, und niemand behandelt es als Modell der Bank. Und ein KI-Assistent für allgemeine Zwecke läuft auf Kundendaten, weil niemand darin eine Systementscheidung sah.

Die BaFin-Orientierungshilfe zu IKT-Risiken beim Einsatz von KI-Systemen von Dezember 2025 stellt KI unter DORA in das IKT-Risikomanagement, eine nicht erfasste KI-Nutzung ist damit ein nicht erfasstes IKT-Risiko. Die Suche gelingt von außen nach innen besser: Beschaffungsunterlagen, Netzverkehr zu KI-Diensten und die Datenexporte, die ein Bereich anfordert, finden mehr als ein Fragebogen.

Ein Modell beim Dienstleister erscheint zweimal, in zwei Registern mit verschiedenem Zweck. Das KI- und Modellverzeichnis führt Modell, Eigentümer und Risikoklasse. Das Informationsregister nach Artikel 28 Absatz 3 DORA führt den Vertrag mit dem IKT-Drittdienstleister, die gestützte Funktion und deren Einstufung als kritisch oder wichtig.

Beide müssen zusammenpassen. Ein Modell, das das Verzeichnis kritisch nennt, gestützt von einem Vertrag, den das Informationsregister nicht als Träger einer kritischen Funktion führt, ist eine Feststellung in jenem Register, das der Prüfer als zweites öffnet. Das DORA-Informationsregister nennt Felder und Jahresmeldung an die BaFin.

Ein gekauftes Modell wird so streng geführt wie ein gebautes, mit einer zusätzlichen Spalte: was der Anbieter offenlegt und was nicht. Nennt er keine Trainingsquellen und keine Leistungshistorie, trägt die eigene Prüfung die gesamte Beweislast, und der Eintrag sagt das, statt die Lücke stumm zu lassen.

Übersprungen wird die Ausmusterung. Ein abgeschaltetes Modell muss überall aus dem Betrieb, auch in der Kopie, die ein Team zum Vergleich behielt, und sein Eintrag bleibt mit Enddatum im Register statt gelöscht zu werden. Ein Register ohne ausgemusterte Einträge hat sie meist aus dem Blick verloren.

Eine Funktion führt das Register, meist die zweite Linie neben dem Modellrisiko, die Einträge selbst gehören einzeln der ersten Linie. Die Liste zu verantworten und die Dinge darauf zu verantworten sind zwei Aufgaben, und ihre Vermischung macht aus dem Register ein Dokument, das zwischen zwei Prüfungen niemand anfasst.

Aktuell hält es ein Abgleich gegen eine Quelle, die das Register nicht kontrolliert: die Prozesslandkarte, das Anwendungsverzeichnis der IT, die Kostenstellen im Hauptbuch, die KI-Dienste bezahlen, und die Beschaffungsverträge. Jede Abweichung ist eine Frage mit einer Antwort, und diese Antworten liest die Aufsicht als Beleg, dass das Register gepflegt und nicht zusammengestellt wurde.

Ein KI-Modellverzeichnis ist ein Register aller Modelle und KI-Systeme eines Hauses, je Eintrag mit Schlüssel, Eigentümer, Zweck, Datenreichweite, Risikoklasse, Lebenszyklusstand und Datum der letzten Validierung. In einem Finanzinstitut hält es zusätzlich fest, ob das System nach der KI-Verordnung hochriskant ist und welcher IKT-Dienstleister es betreibt. Es ist das Dokument, nach dem die Aufsicht fragt, bevor sie ein einzelnes Modell prüft.

Nicht unter diesem Namen. Die Verordnung verlangt technische Dokumentation und automatische Protokollierung je Hochrisikosystem nach Artikel 11 und 12, eine Aufbewahrung von zehn Jahren durch den Anbieter nach Artikel 18 und Protokolle beim Betreiber nach Artikel 26. Diese Pflichten für mehr als eine Handvoll Systeme ohne ein Register zu erfüllen, ist theoretisch möglich und kommt praktisch nicht vor, weshalb Häuser das Verzeichnis als tragende Kontrolle bauen.

Laufend bei Ereignissen und in festem Takt beim Abgleich. Ein neues System, ein Versionswechsel, eine neue Datenquelle, ein Eigentümerwechsel und eine Ausmusterung ändern den Eintrag, wenn sie geschehen, nicht zum Quartalsende. Der Abgleich gegen Beschaffung, IT und Prozesslandkarte läuft im festen Zyklus, und sein Ergebnis wird berichtet, denn ein Verzeichnis ohne berichtete Lücken wird meist nicht mehr geprüft.

Das NIST AI Risk Management Framework, NIST AI 100-1, ist freiwillig und kein EU-Recht und zählt das Verzeichnis zu seiner Govern-Funktion: Was nicht gelistet ist, lässt sich nicht einordnen, messen oder steuern. Deutsche Institute nutzen es als Prüfliste gegen das eigene Kontrollinventar und halten ein Mapping-Dokument, das je Kontrolle Artikel der KI-Verordnung und MaRisk-Anforderung nennt.