EU AI Act für Banken: Kreditscoring, Betrugserkennung und KI-Modelle unter neuem Regulierungsdruck

KI in Banken war bisher weitgehend unreguliert, das ändert sich fundamental

Banken setzen seit Jahren auf KI: Kreditentscheidungen, Betrugserkennung, Geldwäscheprävention, Kundenscoring. Nahezu jede kritische Funktion im modernen Finanzinstitut wird heute durch algorithmische Systeme unterstützt. Die regulatorische Aufsicht über diese Systeme war bisher fragmentiert und lückenhaft.

Der EU AI Act beendet diesen Zustand. Ab August 2026 gelten für eine breite Kategorie von KI-Systemen im Finanzbereich verbindliche Anforderungen, mit Bußgeldern bis zu 35 Millionen Euro oder 7 Prozent des globalen Jahresumsatzes bei Verstößen.

Dieser Beitrag erklärt, welche KI-Systeme in Banken als hochriskant eingestuft werden, was das konkret bedeutet, und was Compliance-Teams jetzt tun müssen.

Die Risikoklassifizierung: welche KI-Systeme sind betroffen?

Der EU AI Act unterscheidet vier Risikokategorien.

Verbotene KI-Praktiken (seit Februar 2025 wirksam): soziales Scoring durch öffentliche Stellen, manipulative KI, biometrische Echtzeit-Überwachung in der Öffentlichkeit. Für Banken im klassischen Sinne wenig relevant, aber KI-gestützte Kundensegmentierung, die auf persönlichkeitspsychologischen Profilen basiert, kann in diesen Bereich fallen.

Hochrisiko-KI-Systeme (Hauptkategorie für Banken, voll wirksam ab August 2026): Hier wird es für Finanzinstitute konkret. Der EU AI Act listet explizit auf:

• Systeme zur Bonitätsbewertung und Kreditvergabeentscheidung
• KI-gestützte Risikoeinschätzung bei Versicherungen
• Systeme, die den Zugang zu Finanzdienstleistungen beeinflussen

Hinzu kommen durch breite Auslegung auch AML-Risikoscoring-Systeme, Betrugserkennung, automatisierte Handelsüberwachung und verhaltensbasierte Risikomodelle.

Begrenzte Risiko-KI: Chatbots und KI-gestützte Dokumentenverarbeitung. Hier gelten Transparenzpflichten.

Minimales Risiko: Spam-Filter und einfache Datenanalyse. Hierfür gelten keine spezifischen Pflichten.

Was Hochrisiko-KI konkret verlangt

Für alle KI-Systeme der Hochrisiko-Kategorie gelten ab August 2026 folgende Kernpflichten.

Risikomanagementsystem

Hochrisiko-KI-Systeme müssen über den gesamten Lebenszyklus von einem dokumentierten Risikomanagementsystem begleitet werden. Das bedeutet:

• Risikoidentifikation und -bewertung vor Einsatz des Systems
• Kontinuierliche Überwachung des Systems im Betrieb
• Dokumentation aller identifizierten Risiken und ergriffener Maßnahmen
• Regelmäßige Überprüfung bei Systemupdates oder veränderten Einsatzbedingungen

Technische Dokumentation und Aufzeichnungspflicht

Für jedes Hochrisiko-System muss eine vollständige technische Dokumentation erstellt und aktuell gehalten werden, einschließlich:

• Zweck und Anwendungsbereich des Systems
• Beschreibung der verwendeten Trainingsdaten und ihrer Herkunft
• Metriken zur Systemleistung und Genauigkeit
• Maßnahmen zur Sicherung von Cybersicherheit und Robustheit

Erklärbarkeit und Transparenz

Jede KI-gestützte Entscheidung, die einen Menschen erheblich beeinflusst, etwa eine Kreditablehnung, muss erklärbar sein, in einer für den Betroffenen verständlichen Weise. Das stellt Banken vor eine erhebliche technische Herausforderung: Viele eingesetzte Machine-Learning-Modelle, insbesondere Deep-Learning-Modelle, sind inhärent schwer interpretierbar und nicht ohne Weiteres nachvollziehbar.

Mögliche Lösungsansätze sind SHAP-Werte, LIME oder regelbasierte Erklärungsschichten über komplexen Modellen. In jedem Fall muss die Erklärbarkeit systemseitig verankert und dokumentiert sein.

Human Oversight

Hochrisiko-KI-Systeme müssen so gestaltet sein, dass Menschen effektiv eingreifen, überwachen und wenn nötig übersteuern können. Das schließt ein:

• Klare Eskalationswege bei ungewöhnlichen Systemausgaben
• Schulung der Mitarbeitenden im Umgang mit KI-Empfehlungen
• Dokumentierte Prozesse zur manuellen Überprüfung von KI-Entscheidungen

Audit-Trail und Protokollierung

Alle relevanten Entscheidungen und Ereignisse müssen automatisch und manipulationssicher protokolliert werden: Wann hat das System welche Ausgabe produziert, welche Datenbasis lag zugrunde, und welche menschliche Überprüfung hat stattgefunden?

Die besondere Herausforderung: KI von Drittanbietern

Viele Banken setzen nicht selbst entwickelte KI-Systeme ein, sondern Lösungen von Drittanbietern: Kreditscoring-Modelle, AML-Plattformen, automatisierte Überwachungssysteme. Der EU AI Act unterscheidet hier zwischen dem KI-Anbieter (Hersteller) und dem Anwender (Deployer).

Als Deployer haben Banken eigenständige Pflichten:

• Sicherstellen, dass das System zweckgemäß eingesetzt wird
• Eigenes Monitoring und Human Oversight implementieren
• Sicherstellen, dass die Systemausgaben überprüfbar dokumentiert werden
• Meldung schwerwiegender Vorfälle an die zuständige Behörde

Das bedeutet: Auch wer eine fertige KI-Lösung kauft, bleibt regulatorisch in der Pflicht.

Was Compliance-Teams jetzt tun müssen

Die gute Nachricht: Es bleibt Zeit bis August 2026. Die schlechte Nachricht: Die Vorbereitungsarbeiten sind substanziell.

Schritt 1: KI-Inventar erstellen

Erfassen Sie alle KI-Systeme, die im Institut eingesetzt werden, intern entwickelte ebenso wie Drittanbieterlösungen. Für jedes System: Zweck, Hersteller, Einsatzbereich, Datengrundlage.

Schritt 2: Risikoklassifizierung vornehmen

Bewerten Sie für jedes System, in welche Risikokategorie es fällt. Besonderes Augenmerk verdienen Systeme, die Kreditentscheidungen beeinflussen, Systeme mit Auswirkung auf den Marktzugang von Kunden, sowie Systeme im AML-Bereich.

Schritt 3: Gap-Analyse gegen Hochrisiko-Anforderungen

Prüfen Sie für alle als hochriskant eingestuften Systeme, welche der gesetzlichen Anforderungen bereits erfüllt sind und wo Lücken bei Dokumentation, Erklärbarkeit, Human Oversight und Audit-Trail bestehen.

Schritt 4: Technische Dokumentation erstellen oder vervollständigen

Erstellen Sie für jedes Hochrisiko-System die gesetzlich geforderte technische Dokumentation. Diese muss vor Einsatz vollständig vorliegen.

Schritt 5: Governance-Strukturen aufbauen

Definieren Sie klare Verantwortlichkeiten für die KI-Compliance im Institut. Wer verantwortet das laufende Monitoring? Wer entscheidet über den Einsatz neuer KI-Systeme?

Der Blickwinkel der BaFin

Die BaFin ist als zuständige Aufsichtsbehörde für die Überwachung des EU AI Act im deutschen Finanzsektor positioniert. Sie hat bereits signalisiert, dass KI-Governance in die reguläre Prüfungspraxis integriert wird, ähnlich wie IKT-Anforderungen durch DORA.

Besonderes Augenmerk der BaFin liegt auf dem Zusammenspiel von EU AI Act und bestehenden Anforderungen wie DORA für die technische Robustheit, MaRisk für die Governance und der BaFin-eigenen Leitlinie zu erklärbarer KI. Diese Regelwerke überlappen sich, und Banken müssen sicherstellen, dass ihre Systeme alle Anforderungen gleichzeitig erfüllen.

Fazit

Der EU AI Act ist kein abstraktes KI-Ethikgesetz. Er ist eine konkrete, prüfungsrelevante Regulierung mit direkter Relevanz für den Kernbetrieb jeder Bank. Kreditscoring, Betrugserkennung und AML-Systeme werden ab August 2026 nach strengen Maßstäben bewertet.

Institute, die jetzt mit einem vollständigen KI-Inventar, einer klaren Risikoklassifizierung und dokumentierten Governance-Prozessen beginnen, werden die Anforderungen rechtzeitig erfüllen. Institute, die warten, riskieren Bußgelder und den Ausfall ihrer wichtigsten Systeme.

conformis unterstützt beim strukturierten Mapping der Anforderungen aus dem EU AI Act auf bestehende Systeme und Prozesse, mit vollständiger Quellenangabe und lückenlosem Audit-Trail für jede Compliance-Aussage.