KI-Governance im Banken- und FinTech-Sektor: Harmonisierung von DORA und EU AI Act

Finanzinstitute stehen beim Einsatz von künstlicher Intelligenz vor einem dichten Regelungsgeflecht. In der Europäischen Union müssen Banken und FinTech-Dienstleister die Vorgaben des Digital Operational Resilience Act (DORA) und des EU AI Act gleichzeitig mit bestehenden EBA-Leitlinien für das IKT-Risikomanagement in Einklang bringen.

Harmonisierung von DORA und EU AI Act

Anstatt DORA und den EU AI Act isoliert zu behandeln, sollten Risikostrukturen deren gemeinsame operative Schnittmengen bündeln:

• IKT-Drittparteienrisiko: DORA schreibt strikte vertragliche Vereinbarungen, Notfalltests und Ausstiegsstrategien für kritische IKT-Dienstleister vor. Nach dem EU AI Act müssen Finanzunternehmen, die externe Basismodelle oder Algorithmen zur Bonitätsprüfung integrieren, vollständige technische Transparenz von ihren Anbietern gemäß Artikel 25 einfordern.
• Algorithmisches Kredit-Scoring (Anhang III): KI-Modelle zur Bonitätsprüfung natürlicher Personen oder zur Risikobewertung bei Lebens- und Krankenversicherungen gelten als Hochrisikosysteme. Sie erfordern lückenlose Datenvalidierung, Bias-Audits und eindeutige Erklärbarkeitsmechanismen.
• Einheitliches Vorfall-Reporting: Störungsmeldungen müssen konsolidiert werden. Operative IT-Ausfälle unterliegen den Meldepflichten nach DORA an die Finanzaufsicht, während schwere KI-Fehlfunktionen mit Grundrechtsauswirkungen Pflichtmeldungen nach Artikel 73 des EU AI Act auslösen.

Zentrale Kontrollstandards für Finanzinstitute

1. Erklärbarkeit und Begründung ablehnender Entscheidungen: Lehnt ein Modell einen Kreditantrag ab oder ändert Konditionen, muss das System nachvollziehbare Begründungen liefern, die den aufsichtsrechtlichen Offenlegungsregeln genügen.
2. Einbindung in das Model Risk Management (MRM): Bestehende MRM-Frameworks müssen erweitert werden, um Drift-Erkennung, Stresstests und Backtesting systematisch auch auf generative und nicht-lineare KI-Modelle anzuwenden.
3. Maschinenlesbare Prüfnachweise: Trainingsdaten-Herkunft, Hyperparameter-Einstellungen und Validierungsberichte müssen manipulationssicher archiviert werden, um gemeinsamen Prüfungen durch Banken- und Digitalaufsichtsbehörden standzuhalten.