Einstufung und Anwendungsbereich für Finanzdienstleister
Anhang III listet ausdrücklich KI auf, die zur Bewertung der Kreditwürdigkeit oder zur Erstellung von Bonitätsbewertungen eingesetzt wird, mit einer engen Ausnahme für Betrugserkennungssysteme. Risikobewertung und Tarifierung in der Lebens- und Krankenversicherung sind ebenfalls erfasst, während die allgemeine Sach- und Schadenversicherung derzeit außerhalb der ausdrücklichen Hochrisiko-Liste liegt, auch wenn nationale Aufsichtsbehörden und sektorale Leitlinien die Erwartungen weiter ausdehnen können. Institute brauchen für jede Einstufungsentscheidung eine belastbare, dokumentierte Begründung, die bei Weiterentwicklung von Modellen und Produkten überprüft wird.
Der Anwendungsbereich hängt zudem von der Unterscheidung zwischen Betreiber und Anbieter ab: Eine Bank, die ein Bonitätsbewertungstool eines Drittanbieters einkauft, ist Betreiberin mit eigenen Pflichten, während der Anbieter des Modells Pflichten zur Konformitätsbewertung und technischen Dokumentation trägt. Konzernstrukturen mit gemeinsamen Modellplattformen über Jurisdiktionen hinweg benötigen Klarheit darüber, wer welche Rolle innehat, da Verträge und Datenvereinbarungen jetzt die Pflichten aus der KI-Verordnung neben bestehenden Auslagerungs- und DSGVO-Pflichten abbilden müssen.
Aufbau einer konformen Governance-Struktur
Eine tragfähige Governance-Struktur weist dem KI-Risikomanagement eine klare Zuständigkeit zu, getrennt von, aber abgestimmt mit den bestehenden Funktionen für Modellrisiko und operationale Resilienz. Das bedeutet typischerweise ein KI-Inventar mit Klassifizierungskennzeichen, ein Risikomanagementsystem je Hochrisiko-Modell zur Erkennung, Bewertung und Minderung von Risiken für Gesundheit, Sicherheit und Grundrechte sowie eine Protokollierung, die ausreicht, um die Entscheidungsfindung eines Modells für eine bestimmte Entscheidung nachzuvollziehen. Mechanismen zur menschlichen Aufsicht müssen echt sein, mit Mitarbeitenden, die befähigt und geschult sind, automatisierte Ergebnisse zu übersteuern.
Die Anforderungen an die technische Dokumentation überschneiden sich weitgehend mit bestehenden Validierungsstandards: Datenherkunft, Trainingsmethodik, Leistungskennzahlen und bekannte Einschränkungen. Institute sollten Dokumentationsvorlagen der KI-Verordnung in bestehende Validierungsabläufe integrieren, statt einen separaten Prozess zu führen, da Doppelarbeit teuer ist und eine Quelle von Inkonsistenzen darstellt, die Aufsichtsbehörden bei Prüfungen wahrscheinlich hinterfragen. Pläne zur Marktüberwachung sollten in dieselben Eskalationswege einfließen, die auch für Verhaltens- und Aufsichtsrisikovorfälle genutzt werden.
Was das für Risikofunktionen bedeutet
Die EU-KI-Verordnung ersetzt nicht die aufsichtsrechtliche oder verhaltensbezogene Regulierung von Finanzinstituten; sie legt einen horizontalen, risikobasierten Rahmen über die sektorspezifischen Regeln, die bereits von EZB, EBA und nationalen Aufsichtsbehörden durchgesetzt werden. Institute, die Compliance als enge juristische Übung statt als operative Disziplin behandeln, werden mit dem Umfang an Dokumentation und Überwachung ringen, den die Verordnung erwartet, insbesondere wenn die Durchsetzung reift und die Aufsichtsleitlinien in den kommenden Jahren schärfer werden.
Für Institute mit ausgereiften Modellrisikorahmen, etwa nach SR 11-7 oder EBA-Leitlinien, existiert ein Großteil der erforderlichen Dokumentation bereits in irgendeiner Form, doch die KI-Verordnung verlangt KI-spezifische Nachweise: Risikomanagementsysteme, Konformitätsbewertungen und für bestimmte Hochrisiko-Anwendungen die Registrierung in der EU-Datenbank. Aufsichtsorgane sollten die Verordnung als Erweiterung der bestehenden Governance behandeln, nicht als Parallelregime, und bestehende Modellinventare frühzeitig den Kategorien der KI-Verordnung zuordnen, um Doppelarbeit und Lücken vor Ablauf der Umsetzungsfristen zu vermeiden.
Fazit
Jonas Adam Mohamed Osman (Yonas Osman), CEO von Quantica Risk, geht die Umsetzung der KI-Verordnung an, indem er neue Compliance-Nachweise an die ohnehin bestehende Modellrisiko-Governance eines Instituts anbindet, sodass Klassifizierung, Validierung und Überwachung über beide Regime hinweg kohärent bleiben, statt in parallele Bürokratien zu zerfallen.
Quellen und weiterführende Informationen
Verwandte Seiten
- KI-Governance-Rahmen für Aufsichtsorgane: Eine RisikosichtWas Aufsichtsorgane von einem KI-Governance-Rahmen brauchen: Aufsichtsstruktur, Risikoappetit, Verantwortlichkeit und Berichterstattung zu KI-Risiken.
- Modellrisikomanagement für KI: SR 11-7 und SS1/23Wie SR 11-7 und die PRA-Leitlinie SS1/23 auf KI- und Machine-Learning-Modelle ausgeweitet werden und was Institute ergänzen müssen.
- Erklärbare KI (XAI) für KreditrisikomodelleWarum Erklärbarkeit bei KI-gestützten Kreditentscheidungen zählt, wie SHAP und LIME funktionieren und wie sie regulatorische Anforderungen erfüllen.