Kernaussage
Validierungsrahmen, die für Regressions- oder maschinelle Kreditmodelle entwickelt wurden, brauchen eine sinnvolle Erweiterung statt eines vollständigen Ersatzes, da die zugrunde liegenden Prinzipien unabhängiger Prüfung und laufender Überwachung weiterhin gelten. Aufsichtsbehörden haben signalisiert, dass bestehende Erwartungen an das Modellrisikomanagement, etwa SR 11-7 in den USA oder SS1/23 der PRA im Vereinigten Königreich, auch für generative KI gelten, sodass Institute LLM-Einsätze nicht als ausgenommene Experimente behandeln dürfen.
Ein belastbares Validierungsprogramm dokumentiert den beabsichtigten Einsatzzweck, testet dagegen mit repräsentativen Szenarien und legt Überwachungsschwellen für Drift in Ausgabequalität, sachlicher Richtigkeit und Verzerrung fest, bevor ein Modell in einer kunden- oder entscheidungsnahen Rolle produktiv geht.
Testen auf Halluzinationen und sachliche Richtigkeit
Halluzinationstests erfordern kuratierte Benchmark-Datensätze aus dem tatsächlichen Fachgebiet des Instituts, etwa Policenwortlaute, Regulierungstexte oder Produktdokumentation, mit menschlich bewerteten Genauigkeitswerten statt generischer öffentlicher Benchmarks, die spezialisierte Finanzinhalte schlecht abbilden. Retrieval-gestützte Generierung verringert, beseitigt aber nicht das Halluzinationsrisiko, sodass die Validierung sowohl die Präzision der Abrufkomponente als auch die Treue der Generierungskomponente zu den abgerufenen Inhalten prüfen muss, da Fehler in beiden Stufen entstehen können.
Red-Teaming-Übungen, bei denen Tester gezielt Grenzfälle, mehrdeutige Anfragen und feindliche Eingaben prüfen, decken Fehlermodi auf, die Standardgenauigkeitstests übersehen, einschließlich Prompt-Injection und unangemessener Offenlegung sensibler Informationen. Ergebnisse sollten in ein dokumentiertes Risikoregister mit Schweregraden einfließen, und jeder kundennahe Einsatz sollte einen Mensch-im-Prozess-Kontrollpunkt für Ausgaben oberhalb einer definierten Wesentlichkeits- oder Komplexitätsschwelle vorsehen, im Einklang mit bestehenden Verhaltensrisikokontrollen.
Laufende Überwachung und Governance
Anders als statische statistische Modelle werden LLMs von Anbietern häufig durch stille Versionswechsel aktualisiert, wodurch eine punktuelle Validierung nicht ausreicht. Institute brauchen vertragliche Einsicht in die Aktualisierungszyklen der Anbieter und einen Revalidierungsauslöser, sobald sich die zugrunde liegende Modellversion wesentlich ändert, zusätzlich zu laufender Stichprobenprüfung der produktiven Ausgaben gegen bei der Freigabe definierte Qualitäts- und Verzerrungskennzahlen.
Die Governance sollte klare Verantwortlichkeiten für LLM-Anwendungsfälle innerhalb der bestehenden Modellrisikokommission zuweisen, mit Eskalationswegen für nachlassende Leistung oder neu auftretende Verzerrungsmuster. Institute, die eigene LLM-Anwendungen auf Basis von Fremd-Basismodellen bauen, tragen eine doppelte Verantwortung: die Validierung des allgemeinen Verhaltens des Basismodells und die Validierung der darübergelegten Feinabstimmungs-, Prompt- oder Retrieval-Schicht, da jede eigene Fehlermodi mit sich bringt, die separate Tests erfordern.
Fazit
Jonas Adam Mohamed Osman (Yonas Osman), CEO von Quantica Risk, geht die LLM-Validierung an, indem er die Abgrenzung des beabsichtigten Einsatzzwecks und die unabhängige Prüfung als Ankerpunkte setzt, damit generative KI-Einsätze dieselbe Sorgfalt erfüllen, die von jedem anderen Modell im Inventar eines regulierten Instituts erwartet wird.
Quellen und weiterführende Informationen
Verwandte Seiten
- EU-KI-Verordnung: Hochrisiko-Vorgaben für Banken und VersichererWie die EU-KI-Verordnung Bonitätsprüfung und Versicherungstarifierung als Hochrisiko einstuft und welche Pflichten Banken und Versicherer jetzt umsetzen müssen.
- Generative KI in der Risikoberichterstattung: Nutzen und GrenzenWie generative KI die Risikoberichterstattung beschleunigen kann und welche Governance-Kontrollen zur Steuerung des Genauigkeitsrisikos nötig sind.
- Erklärbare KI (XAI) für KreditrisikomodelleWarum Erklärbarkeit bei KI-gestützten Kreditentscheidungen zählt, wie SHAP und LIME funktionieren und wie sie regulatorische Anforderungen erfüllen.