Kernaussage
Ein tragfähiger Rahmen beginnt mit einer ausdrücklichen Erklärung zum KI-Risikoappetit, die benennt, welche Anwendungsfälle das Institut verfolgt und welche nicht, welche Fehler- und Verzerrungstoleranzen akzeptabel sind und welche Eskalationsschwellen ein Thema zur Vorstandskenntnis bringen. Der Rahmen braucht drei verbundene Ebenen, um zu funktionieren: ein Inventar von KI-Systemen mit Risikoeinstufung, eine Governance-Struktur mit klarer Zuständigkeit auf jeder Ebene und eine Berichtsfrequenz, die dem Aufsichtsorgan genug Einblick gibt, das Management glaubwürdig herauszufordern.
Rahmenwerke, die nur als Strategiedokumente ohne operative Durchschlagskraft existieren, Inventare, die nicht gepflegt werden, Ausschüsse, die nicht regelmäßig tagen, scheitern an der ersten ernsthaften Aufsichtsprüfung oder Vorfallsaufarbeitung.
KI-Risikoappetit und Zuständigkeiten festlegen
Der KI-Risikoappetit sollte über allgemeine Aussagen hinausgehen und konkrete Grenzen festlegen: welche Entscheidungen vollständig automatisiert werden können gegenüber solchen, die menschliche Prüfung erfordern, akzeptable Erklärbarkeitsstandards je Anwendungsfall und rote Linien, etwa bestimmte Datenkategorien unabhängig von ihrem Vorhersagewert nie zu verwenden. Diese Konkretheit gibt dem Management handlungsleitende Orientierung und dem Aufsichtsorgan einen konkreten Maßstab, um zu beurteilen, ob die tatsächliche Praxis dem erklärten Appetit entspricht.
Die Zuständigkeit sollte auf jeder Ebene des KI-Inventars eindeutig sein: ein namentlich benannter Geschäftsbereichsverantwortlicher für Wert und Risiko des Anwendungsfalls, eine Modellrisiko- oder Validierungsfunktion für die unabhängige Prüfung, und zunehmend eine eigene KI-Governance-Rolle oder ein Ausschuss, der über Anwendungsfälle hinweg koordiniert, die sonst von unterschiedlichen Geschäftsbereichen uneinheitlich gesteuert würden.
Berichterstattung und Eskalation an das Aufsichtsorgan
Wirksame Vorstandsberichterstattung zu KI-Risiken aggregiert über das gesamte Inventar, statt isolierte Modell-Updates vorzulegen, und zeigt Trends bei Validierungsfeststellungen, Fairnesstestergebnissen und Vorfallszahlen über die Zeit, damit das Aufsichtsorgan beurteilen kann, ob KI-Risiko gesteuert oder nur beobachtet wird. Dashboards, die alles auf einen einzigen grünen Status verdichten, verschleiern die Schwankungsbreite im Schweregrad über Dutzende Modelle hinweg und sollten von Aufsichtsorganen hinterfragt werden, die echte Einsicht statt bloßer Beruhigung suchen.
Eskalationsauslöser müssen vorab definiert werden: Ein nicht bestandener Fairnesstest bei einem kundennahen Modell, ein wesentlicher Vorfall mit einem KI-System oder eine aufsichtliche Anfrage sollten automatisch die Vorstands- oder Ausschussebene erreichen, statt vom Ermessen des Managements über die Wesentlichkeit abzuhängen. Mitglieder des Aufsichtsorgans, die KI-Risiken überwachen, profitieren von zumindest grundlegender technischer Kompetenz durch strukturierte Schulung, damit das Hinterfragen von Managementberichten substanziell statt formal bleibt.
Fazit
Jonas Adam Mohamed Osman (Yonas Osman), CEO von Quantica Risk, geht KI-Governance auf Vorstandsebene an, indem er technische Risikofeststellungen in die konkreten, entscheidungsrelevanten Begriffe übersetzt, die Vorstandsmitglieder für echte Aufsicht statt reiner Formalfreigabe brauchen.
Quellen und weiterführende Informationen
Verwandte Seiten
- Modellrisikomanagement für KI: SR 11-7 und SS1/23Wie SR 11-7 und die PRA-Leitlinie SS1/23 auf KI- und Machine-Learning-Modelle ausgeweitet werden und was Institute ergänzen müssen.
- EU-KI-Verordnung: Hochrisiko-Vorgaben für Banken und VersichererWie die EU-KI-Verordnung Bonitätsprüfung und Versicherungstarifierung als Hochrisiko einstuft und welche Pflichten Banken und Versicherer jetzt umsetzen müssen.
- KI-Agenten und operationelles Risiko in FinanzinstitutenDie neuen operationellen Risiken durch autonome KI-Agenten in Finanzsystemen und wie Institute diese wirksam steuern können.