Die KI-Verordnung in der Finanzbranche

Die KI-Verordnung, Verordnung (EU) 2024/1689, ordnet KI-Systeme nach Risiko. Für die meiste KI in einer Bank, etwa ein Modell, das E-Mails entwirft oder Research zusammenfasst, verlangt sie kaum mehr als KI-Kompetenz der Mitarbeiter. Sie verbietet eine kurze Liste von Praktiken und setzt strenge Pflichten für Hochrisiko-Systeme. Zwei Hochrisiko-Einsätze liegen direkt im Finanzwesen: KI, die die Kreditwürdigkeit natürlicher Personen prüft oder ihren Score festlegt, und KI, die Risiken in der Lebens- und Krankenversicherung bewertet und Preise setzt. KI zur Aufdeckung von Finanzbetrug ist ausdrücklich von der Bonitätskategorie ausgenommen, und die Bewertung von Unternehmen gehört auch nicht dazu.

Ob eine Firma Anbieter oder Betreiber ist, entscheidet über ihre Pflichten. Eine Bank, die ihr eigenes Scoring-Modell baut und in Betrieb nimmt, ist Anbieter und trägt alle Hochrisiko-Anforderungen, vom Risikomanagement bis zur technischen Dokumentation. Eine Bank, die ein Scoring-System bei einem Hersteller kauft, ist Betreiber: Sie folgt der Gebrauchsanweisung, überträgt die menschliche Aufsicht geschulten Personen und nimmt vor dem ersten Einsatz eine Grundrechte-Folgenabschätzung vor. Die Antwort zur KI-Verordnung im Wissensbereich nennt Artikel und Zeitplan, einschließlich des späteren Starttermins für Hochrisiko-Scoring durch den Digital Omnibus zu KI.

In Deutschland beaufsichtigt die BaFin KI, die Banken, Versicherer und andere beaufsichtigte Firmen unmittelbar für regulierte Finanzgeschäfte nutzen. Diese Befugnisse gab ihr das deutsche Durchführungsgesetz zur KI-Verordnung. Die BaFin nennt Kunden-Chatbots, Kreditwürdigkeitsprüfungen von Banken und Risikobewertung in der Lebens- und Krankenversicherung als Beispiele und kann Bußgelder verhängen. KI außerhalb regulierter Geschäfte, etwa die Personalsoftware einer Bank, fällt an die Bundesnetzagentur. BaFin-Präsident Mark Branson formuliert das Ziel so: „Die Menschen müssen sich darauf verlassen können, dass ihre Grundrechte beim Einsatz von KI geschützt werden.“

Die europäischen Behörden fügen ihre eigene Ebene hinzu. Die ESMA stellte in einer Erklärung zu KI in Wertpapierdienstleistungen (auf Englisch) klar, dass MiFID II beim Einsatz von KI voll gilt, auch die Pflicht, im besten Interesse des Kunden zu handeln, und nannte algorithmische Verzerrung, schlechte Datenqualität und zu großes Vertrauen in KI als Risiken. Die EIOPA, die Versicherungsaufsicht in Frankfurt, veröffentlichte eine Stellungnahme zu KI-Governance und Risikomanagement. Sie betrifft KI, die Versicherer bei Tarifierung, Zeichnung, Schaden und Betrugserkennung außerhalb der Hochrisiko- und Verbotskategorien nutzen, und verlangt Data Governance, Aufzeichnungen, Fairness, Cybersicherheit, Erklärbarkeit und menschliche Aufsicht.

Die erste Aufgabe ist eine Bestandsaufnahme. Teams listen jedes KI-System im Einsatz auf, vermerken, wer es gebaut hat, und ordnen es als verboten, hochriskant, nur transparenzpflichtig oder minimal ein. Die Einordnung ist selten eindeutig: Ein Modell, das ungewöhnliche Kartenzahlungen markiert, gilt als Betrugserkennung, ein Modell, das über einen Dispokredit entscheidet, als Bonitätsbewertung. Kunden-Chatbots brauchen einen klaren Hinweis, dass der Kunde mit einer KI spricht.

Die zweite Aufgabe ist Governance. Das Modellrisikomanagement der Banken validiert Scoring-Modelle schon für Eigenkapitalzwecke; die KI-Verordnung bringt Dokumentation, Protokollierung, menschliche Aufsicht und Prüfungen auf Verzerrung hinzu. Rechtsabteilungen lesen Artikel 99 genau: Bußgelder reichen bis 35 Mio. € oder 7 % des weltweiten Umsatzes für verbotene Praktiken und bis 15 Mio. € oder 3 % für Verstöße gegen die meisten anderen Pflichten, mit dem niedrigeren Betrag für KMU und Start-ups. KI berührt auch DORA: Ein eingekauftes Scoring-System ist ein IKT-Dienstleistungsvertrag und gehört ins DORA-Informationsregister.

Beginnen Sie mit den zwei Hochrisiko-Zeilen zu Bonitätsbewertung und Versicherungstarifen und mit dem Unterschied zwischen Anbieter und Betreiber. Lesen Sie dann die Branchenregeln, die schon vor der KI-Verordnung galten: MiFID II für Anlageberatung und Handel, die Versicherungsregeln hinter der EIOPA-Stellungnahme und die Bankregeln zum Modellrisiko. Fintechs, die KI an Banken verkaufen, sollten damit rechnen, dass Kunden Gebrauchsanweisungen und Testergebnisse verlangen, weil die Betreiberpflichten der Bank darauf aufbauen.

Finance Loop ist der Treffpunkt für Modellvalidierer, Compliance-Verantwortliche, Data Scientists und Produktverantwortliche, die KI in Banken und Versicherern unter die neuen Regeln bringen. Das Netzwerk verbindet die Finance-, IT- und KI-Communitys in Frankfurt, München, Berlin und Hamburg und arbeitet mit Partnern in Paris.

Finance Loop stellte fAInance vor, eine Konferenz von Sopra Steria und Fraunhofer IAIS am Frankfurter Flughafen, nur für Beschäftigte von Finanzinstituten. Das Programm hatte Stationen zu KI-Governance, Risiko und Compliance, einem KI-Prüfer und KI gegen Finanzkriminalität. Mit Frankfurt Data Science kooperiert Finance Loop mit Schwerpunkt auf KI-Governance und verantwortungsvoller KI in Finanzinstituten. Beim Side Event der AI Week Frankfurt, präsentiert von Finance Loop, ging es um vertrauenswürdige KI, KI-Tests und KI als Ermittler gegen Finanzkriminalität. Finance Loop kündigte außerdem die KI Exchange 2026 in Hamburg an, mit KI-Governance und DORA-Compliance im Programm, und war Partner von Fintedas AI in Finance Paris. Verwandte Seiten: DORA in Deutschland, Cybersicherheit im Finanzwesen und Risikomanagement in Frankfurt.

Für die meiste KI in einer Bank ist die Wirkung klein: Mitarbeiter brauchen KI-Kompetenz, und Chatbots müssen sagen, dass sie KI sind. Die große Wirkung trifft die Bonitätsbewertung von Verbrauchern, die hochriskant ist. Eine Bank, die ein solches System nutzt, muss der Gebrauchsanweisung folgen, geschulte Mitarbeiter mit der Aufsicht betrauen, das System überwachen und vor dem ersten Einsatz die Folgen für Grundrechte abschätzen. Baut sie ihr eigenes Modell, trägt sie auch die Anbieterpflichten.

Ja, wenn es um natürliche Personen geht. Anhang III führt KI, die die Kreditwürdigkeit natürlicher Personen prüft oder ihren Score festlegt, als hochriskant. Betrugserkennung ist davon ausgenommen, und die Bewertung von Unternehmen fällt nicht darunter.

Bei beaufsichtigten Finanzfirmen ja. Nach dem deutschen Durchführungsgesetz beaufsichtigt die BaFin KI-Systeme, die diese Firmen unmittelbar für regulierte Finanzgeschäfte nutzen, etwa Bonitätsprüfung und Risikobewertung in der Versicherung. Andere KI derselben Firma, etwa im Personalwesen, beaufsichtigt die Bundesnetzagentur.

Artikel 99 kennt drei Stufen: bis 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken, bis 15 Mio. € oder 3 % für die meisten anderen Verstöße und bis 7,5 Mio. € oder 1 % für falsche oder unvollständige Angaben gegenüber Behörden. Für große Unternehmen gilt der höhere Betrag, für KMU und Start-ups der niedrigere (Artikel 99).