KI in Banken und bei Finanzdienstleistern
Mehr Zeit für Kunden, mit sauberem Prüfpfad

Gemeinsam ist allen Feldern das Muster Human in the Loop: Das System bereitet vor, ein Mensch prüft und entscheidet. Dieses Muster passt zu den Erwartungen der Aufsicht und zu den Kontrollen, die Institute ohnehin haben.

Wo beginnen Institute am häufigsten?

Bei der internen Auskunft und beim Posteingang. Beide Felder haben viele gleichartige Vorgänge, klare Regeln und keinen Hochrisiko-Bezug. Ihr Erfolg lässt sich gut messen und schafft Vertrauen für die nächsten Schritte.

Kann KI auch Zahlen aus dem Kernbankensystem verwenden?

Ja, über eine Abfrage an das führende System. Die Zahl kommt dann aus dem Kernbankensystem, das Modell formuliert nur die Antwort. So bleibt jede Zahl nachvollziehbar und stets aktuell.

Die BaFin sieht in DORA ein gutes Fundament für die KI-Verordnung: Wer KI in sein IKT-Risikomanagement eingebunden hat, erfüllt bereits einen großen Teil dessen, was die Aufsicht erwartet. Die Pflichten der KI-Verordnung nach Rolle und Frist zeigt der Baustein KI-Verordnung.

Was ändert § 37a BDSG für Scores?

Ab dem 20. November 2026 regelt er, wie Wahrscheinlichkeitswerte über Personen entstehen und genutzt werden dürfen. Bestimmte Daten bleiben außen vor, die verwendeten Daten müssen nachweisbar erheblich sein, Betroffene erhalten auf Antrag Auskunft und können eine Entscheidung durch einen Menschen verlangen. Details stehen in unserem Fristenkalender zum Jahresende.

Gilt die DSGVO-Regel zu automatisierten Entscheidungen auch für KI?

Ja. Nach Artikel 22 DSGVO haben Betroffene das Recht, keiner ausschließlich automatisierten Entscheidung mit erheblicher Wirkung unterworfen zu werden, von gesetzlichen Ausnahmen abgesehen. Ein Ablauf, in dem ein Mensch entscheidet und die KI vorbereitet, hält diese Grenze sauber ein.

• Hochriskant: Ein Modell, das für Privatkunden einen Score berechnet oder eine Kreditentscheidung vorschlägt.
• In der Regel nicht hochriskant: Ein System, das Unterlagen ausliest, Vollständigkeit prüft und Abweichungen markiert, ohne die Person zu bewerten.
• Nicht erfasst: Die Bewertung von Unternehmen als juristische Personen.
• Ausgenommen: Systeme zur Erkennung von Finanzbetrug.

Für Hochrisiko-Systeme tragen Institute als Betreiber Pflichten wie menschliche Aufsicht, Protokolle und die Information der Betroffenen. Für beaufsichtigte Finanzunternehmen gelten Überwachungs- und Protokollpflichten als erfüllt, wenn sie den Regeln des Finanzaufsichtsrechts folgen. Hinzu kommt für Betreiber von Systemen zur Kreditwürdigkeit eine Grundrechte-Folgenabschätzung.

Was gilt für Scoring, das wir selbst entwickeln?

Dann sind Sie Anbieter des Systems und tragen die Anbieterpflichten: Risikomanagement, Datenqualität, technische Dokumentation, Protokollierung, menschliche Aufsicht und Konformitätsbewertung. Die Vorbereitung lohnt sich früh, weil diese Nachweise Zeit brauchen.

Wird ein Assistent zum Hochrisiko-System, wenn er bei Krediten hilft?

Wenn er die Kreditwürdigkeit einer Person bewertet oder eine solche Bewertung festlegt, ja. Wenn er Unterlagen zusammenfasst und ein Mensch bewertet, in der Regel nicht. Wer den Zweck eines allgemeinen Assistenten in Richtung Bewertung ändert, kann damit zum Anbieter eines Hochrisiko-Systems werden.

Ein Punkt verdient besondere Aufmerksamkeit: Tests gegen gezielte Angriffe, etwa manipulierte Trainingsdaten oder Eingaben, die das System täuschen sollen. Bei Systemen von Dienstleistern wird der Anbieter in die Tests einbezogen oder liefert Nachweise. Wie solche Angriffe aussehen, beschreibt der Baustein Sicherheit von KI-Systemen.

Muss ein KI-Dienst in das Informationsregister?

Wenn er als IKT-Dienstleistung eines Drittanbieters bezogen wird, ja. DORA verlangt ein Register aller vertraglichen Vereinbarungen über IKT-Dienstleistungen von Drittanbietern. Ein Sprachmodell aus der Cloud ist eine solche Dienstleistung; die Einstufung nach Kritikalität richtet sich nach der unterstützten Funktion.

Ist ein Fehler eines KI-Systems ein IKT-Vorfall?

Er kann es sein. Die Orientierungshilfe verbindet KI-Systeme mit den Begriffen von DORA für Netzwerk- und Informationssysteme und IKT-Vorfälle. Ein Ablauf, in dem Fehler erkannt, eingestuft und behoben werden, gehört deshalb von Anfang an dazu.

Bei jeder Lösung von Dritten zählen Prüf- und Zugriffsrechte, Unterauftragnehmer, Ort der Verarbeitung und ein geordneter Ausstieg. Das schützt vor Vendor Lock-in und erfüllt zugleich die Erwartungen an das Drittparteienrisiko. Wie ein Betrieb im eigenen Haus aussieht, zeigt unsere Seite Lokale KI.

Reicht ein Rechenzentrum in der EU?

Es ist ein wichtiger Baustein, aber nicht der einzige. Entscheidend sind auch der Vertrag, die Unterauftragnehmer, der Zugriff aus Drittländern und die Frage, ob Eingaben gespeichert oder zum Training genutzt werden. Diese Punkte gehören schriftlich in den Vertrag.

Welche Hardware braucht ein Modell im eigenen Haus?

Das hängt an Modellgröße und Zahl der Nutzer. Für interne Auskunft und Dokumentenarbeit reichen oft Server mit einer oder wenigen Grafikkarten. Eine Gegenüberstellung finden Sie in unserem Fachbeitrag zum eigenen KI-Server.

• Gültige Fassung. Abgelöste Arbeitsanweisungen fallen aus dem Suchindex.
• Rechte aus dem Quellsystem. Jeder sieht nur Antworten aus Unterlagen, die er ohnehin lesen darf.
• Beleg je Antwort. Ein Klick führt zur Stelle im Original.
• Offene Fragen. Fragen ohne Fundstelle zeigen, wo eine Anweisung fehlt.

Wie eine solche Wissensdatenbank aufgebaut, gepflegt und mit Datenschutz und Betriebsrat abgestimmt wird, beschreibt der Baustein KI-Wissensdatenbank aufbauen; die Technik dahinter erklärt RAG und Unternehmenswissen.

Kann die Wissensdatenbank auch aufsichtliche Veröffentlichungen enthalten?

Ja, öffentliche Rundschreiben, Merkblätter und Leitlinien lassen sich aufnehmen. Wichtig ist, dass jede Quelle mit Stand gekennzeichnet ist und überholte Fassungen markiert werden, damit Antworten stets den geltenden Stand zeigen.

Wie wird verhindert, dass die KI etwas erfindet?

Die Anweisung bindet jede Antwort an die gefundenen Stellen, und das System sagt, wenn es keine Stelle findet. Ein Prüfsatz aus echten Fragen misst vor dem Start und nach jeder Änderung, wie zuverlässig das klappt.

• Erfassen. Werte aus Dokumenten werden in strukturierte Felder übernommen, mit Verweis auf die Stelle.
• Abgleichen. Angaben aus verschiedenen Unterlagen werden gegeneinander geprüft.
• Nachfordern. Fehlende oder abgelaufene Unterlagen werden erkannt und eine Nachforderung vorbereitet.
• Zusammenfassen. Ein Fallblatt mit den wesentlichen Punkten für die Entscheidung.

Dieser Zuschnitt nutzt die Stärke der KI bei der Dokumentenarbeit und hält die Bewertung der Person beim Menschen. Damit bleibt das System in aller Regel außerhalb der Hochrisiko-Einstufung, solange es die Kreditwürdigkeit nicht selbst bewertet.

Wie zuverlässig liest KI Jahresabschlüsse aus?

Gut bei sauberen digitalen Dokumenten, anspruchsvoller bei Scans und uneinheitlichen Gliederungen. Deshalb gehört zu jedem ausgelesenen Wert die Fundstelle, und Werte unter einer festgelegten Sicherheit werden zur Prüfung vorgelegt.

Lässt sich das in das bestehende Kreditsystem einbinden?

Ja, über Schnittstellen oder einen Ablauf, der die Ergebnisse als Vorschlag in die bestehende Maske übergibt. Die Freigabe erfolgt im gewohnten System, das hält Kontrollen und Prüfpfad unverändert.

• Zuordnen. Anliegen aus Brief, E-Mail und Formular landen beim richtigen Team.
• Vorbereiten. Ein Antwortentwurf mit Verweis auf die geltende Bedingung.
• Kennzeichnen. Ein Chatbot gibt sich als KI zu erkennen, wie es Artikel 50 der KI-Verordnung verlangt.
• Übergeben. Bei Beschwerden, Ermessen oder Unsicherheit geht der Fall mit Verlauf an einen Menschen.

Wie Chat, E-Mail und Telefon mit KI zusammenspielen, beschreibt der Baustein KI im Kundenservice.

Darf ein Chatbot Auskunft zu Konten geben?

Nur nach sicherer Anmeldung und nur aus dem führenden System. Kontostände und Umsätze kommen per Abfrage aus dem Kernbankensystem, das Modell formuliert nur die Antwort. Rechte und Protokolle folgen den Regeln des Onlinebankings.

Wie wird die Beratungsqualität gewahrt?

Indem der Assistent Produktinformationen erklärt und für die Beratung an Menschen übergibt. Für Anlageberatung gelten die bekannten Pflichten weiter; die KI bereitet Unterlagen vor, berät aber nicht selbst.

• Treffer aufbereiten. Kontobewegungen, Kundendaten und frühere Fälle werden zu einem Fallbild zusammengeführt.
• Hintergrund sammeln. Öffentliche Quellen und interne Notizen werden mit Fundstelle zusammengefasst.
• Dokumentieren. Ein Entwurf der Fallnotiz mit allen herangezogenen Quellen.
• Lernen aus Entscheidungen. Abgeschlossene Fälle zeigen, welche Hinweise häufig zu Recht oder zu Unrecht auffallen.

Für diese Fälle gilt besonders: Jede Aussage braucht eine Quelle, und die Bewertung bleibt beim Menschen. KI zur Erkennung von Finanzbetrug ist ausdrücklich von der Hochrisiko-Einstufung für Kreditwürdigkeit ausgenommen.

Kann KI Verdachtsmeldungen selbst abgeben?

Nein, und das ist auch nicht das Ziel. Die Entscheidung über eine Meldung und ihr Inhalt liegen bei den zuständigen Fachleuten. Die KI liefert einen vorbereiteten Sachverhalt, den diese prüfen, ergänzen und verantworten.

Wie bleibt die Entscheidung nachvollziehbar?

Durch ein Fallprotokoll, das zeigt, welche Quellen herangezogen wurden, was die KI vorgeschlagen hat und was der Mensch entschieden hat. Das dient der internen Revision ebenso wie der Aufsicht.

• Risikoorientiert. Im Fokus stehen verbreitete Anwendungen mit großer Wirkung, nicht jedes einzelne System.
• Mit bestehenden Strukturen. Die KI-Verordnung wird in Governance, Risikomanagement und Compliance eingebettet.
• Mit Raum für Neues. Reallabore und Tests unter echten Bedingungen sind ausdrücklich vorgesehen.
• Klare Zuständigkeit. Für KI im Personalwesen eines Instituts ist die Bundesnetzagentur zuständig.

Was zu dokumentieren ist, ergibt sich aus Inventar, Einstufung, Schulungsnachweisen und der Einbindung in das IKT-Risikomanagement. Wie Schulung und Richtlinie aussehen, zeigt der Baustein KI-Richtlinie und KI-Kompetenz.

Welche Unterlagen sollten für eine Prüfung bereitliegen?

Ein Verzeichnis der KI-Systeme mit Rolle und Einstufung, die Einbindung in das IKT-Risikomanagement und das Informationsregister, Nachweise zu Schulung und Richtlinie, Testergebnisse und das Vorfallregister. Wer diese Unterlagen laufend führt, beantwortet Fragen der Prüfer in kurzer Zeit.

Was gilt für kleinere Institute und Finanzdienstleister?

Die Anforderungen gelten nach Verhältnismäßigkeit. Ein kleineres Institut mit wenigen, klar umrissenen Anwendungen kommt mit schlanken Unterlagen aus, solange Inventar, Einstufung und Einbindung in das Risikomanagement sauber sind.

Wie sich der Nutzen eines KI-Vorhabens insgesamt belegen lässt, beschreibt unser Fachbeitrag zur Wirkungsmessung.

Welche Ausgangswerte sollten vor dem Start erhoben werden?

Bearbeitungszeit je Vorgang, Zahl der Vorgänge, Rückfragen und Fehlerquote. Mit diesen Werten lässt sich jede Verbesserung später klar belegen, und sie fließen in die Wirtschaftlichkeitsrechnung ein.

Wie oft wird nachgemessen?

Laufend über Protokolle, dazu Stichproben durch den Fachbereich und ein vollständiger Durchlauf des Prüfsatzes nach jeder Änderung an Quellen, Anweisung oder Modell.

Wie ein Vorhaben insgesamt eingeführt wird, zeigt der Baustein KI im Unternehmen einführen. Für Frankfurt und das Rhein-Main-Gebiet finden Sie unsere KI Beratung in Frankfurt.

Wer sollte im Projekt mitarbeiten?

Der Fachbereich mit dem Anwendungsfall, Informationssicherheit, Datenschutz, das Auslagerungsmanagement und bei Bedarf die Personalvertretung. Von unserer Seite kommen Konzeption, Umsetzung und Messung.

Wie lange dauert ein erster Anwendungsfall?

Ein Umsetzungsabschnitt dauert bei uns in der Regel sechs bis zwölf Wochen. Die Abstimmung mit Informationssicherheit und Auslagerungsmanagement plant man am besten von Beginn an mit ein.