Banken, Versicherungen und Fondsgesellschaften setzen künstliche Intelligenz heute in weit mehr Bereichen ein als noch vor fünf Jahren: bei der Betrugserkennung, der Kreditvergabe, im automatisierten Wertpapierhandel und im Kundenservice per Chatbot. Mit dem Einsatz wachsen aber auch regulatorische Pflichten. Seit August 2024 gilt in der EU der AI Act, die weltweit erste umfassende Verordnung zur Regulierung von KI-Systemen, und ein großer Teil ihrer Vorschriften betrifft ausgerechnet Finanzdienstleistungen.
Warum die EU KI-gestützte Kreditvergabe als Hochrisiko einstuft
Der AI Act teilt KI-Systeme nach ihrem Risiko für Betroffene ein. Systeme, die die Kreditwürdigkeit natürlicher Personen bewerten oder ihr Kreditscoring berechnen, fallen laut Anhang III der Verordnung in die Kategorie Hochrisiko, unabhängig davon, wie gut die Trefferquote des Systems ist. Der Grund dafür ist die Wirkung einer einzelnen Fehlentscheidung. Wird ein Kreditantrag zu Unrecht abgelehnt, weil ein Algorithmus aus historischen Daten ein Vorurteil übernommen hat, kann diese Entscheidung den Zugang zu einer Wohnung oder zur Selbstständigkeit verhindern. Der Betroffene weiß dabei oft nicht einmal, dass eine Maschine die Entscheidung getroffen hat. Ab dem 2. August 2026 gelten die Pflichten für Hochrisiko-Systeme nach Anhang III vollständig, auch wenn ein Vorschlag der EU-Kommission vom November 2025 eine Verschiebung auf den 2. Dezember 2027 vorsieht. In Deutschland überwacht die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) die Einhaltung im Finanzsektor.
Was Banken für ein Hochrisiko-System konkret nachweisen müssen
Ein als Hochrisiko eingestuftes System darf nicht einfach ein Ergebnis liefern, das niemand nachvollziehen kann. Der AI Act verlangt unter anderem ein Risikomanagementsystem über die gesamte Lebensdauer der Software, eine Dokumentation der Trainingsdaten und ihrer Herkunft, menschliche Aufsicht über automatisierte Entscheidungen sowie Protokolle, die im Streitfall zeigen, warum das System zu einem bestimmten Ergebnis gekommen ist. Ergänzend gibt bereits Artikel 22 der Datenschutz-Grundverordnung jeder betroffenen Person das Recht, eine ausschließlich automatisiert getroffene Entscheidung mit erheblicher Wirkung, etwa eine Kreditablehnung, durch einen Menschen überprüfen zu lassen.
Wo verzerrte Trainingsdaten zu unfairen Entscheidungen führen
KI-Systeme lernen aus vergangenen Entscheidungen. Enthalten diese historischen Daten bereits eine Schieflage, etwa weil Kreditanträge aus bestimmten Postleitzahlen in der Vergangenheit systematisch strenger geprüft wurden, übernimmt das trainierte Modell diese Schieflage auch ohne dass Geschlecht oder Herkunft explizit als Merkmal eingegeben werden. Ein bekannter Fall außerhalb Europas: 2019 geriet die Kreditkarte von Apple und Goldman Sachs in die Kritik, weil sie Ehepaaren mit gemeinsamem Vermögen unterschiedlich hohe Kreditlimits einräumte. Männer erhielten dabei regelmäßig ein Vielfaches des Limits ihrer Partnerinnen, ohne dass eine nachvollziehbare Erklärung dafür vorlag.
Wie KI Betrug in Echtzeit statt im Nachhinein erkennt
Klassische Betrugserkennung prüfte Transaktionen oft erst im Nachhinein anhand fester Regeln, etwa einer Obergrenze für Abhebungen pro Tag. Ein KI-Modell vergleicht dagegen jede einzelne Transaktion in Sekundenbruchteilen mit dem üblichen Verhalten des jeweiligen Kontoinhabers und kann dadurch auch neue, bisher unbekannte Betrugsmuster erkennen, für die noch keine feste Regel existiert. Kreditkartenunternehmen wie Visa und Mastercard setzen solche Systeme bereits produktiv ein, um verdächtige Zahlungen zu blockieren, bevor sie abgeschlossen sind.
Automatisierte Aufgaben, die Mitarbeiter entlasten statt ersetzen
Ein großer Teil der KI-Anwendungen in Banken betrifft nicht Kundenentscheidungen, sondern interne Routine: das automatische Auslesen von Belegen und Verträgen, den Abgleich von Transaktionen mit Sanktionslisten im Rahmen der Geldwäscheprävention, oder die Vorbefüllung von Formularen aus bereits vorhandenen Kundendaten. Diese Aufgaben binden in der klassischen Bearbeitung viel Personal, ohne dass dabei eine schwierige Entscheidung getroffen wird. Genau deshalb eignen sie sich für Automatisierung, während die eigentliche Kreditentscheidung beim Menschen bleibt oder zumindest von ihm überprüft wird.
Die Fristen des AI Act zwingen Banken und Versicherungen, ihre bestehenden KI-Systeme jetzt zu inventarisieren: Welches System trifft oder unterstützt eine Entscheidung über eine Person, und fällt es damit unter Anhang III? Wer diese Bestandsaufnahme aufschiebt, verschafft sich keinen Zeitgewinn, sondern verkürzt nur die Zeit, die bis zur verbindlichen Frist für die Umsetzung bleibt.
Häufig gestellte Fragen
Ab wann gelten die AI-Act-Pflichten für Kreditscoring-Systeme verbindlich?
Die Pflichten für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. August 2026 vollständig. Ein Vorschlag der EU-Kommission vom November 2025 sieht allerdings eine Verschiebung auf den 2. Dezember 2027 vor, sodass der endgültige Termin noch nicht feststeht. In Deutschland überwacht die BaFin die Einhaltung im Finanzsektor.
Haben Betroffene ein Recht auf eine menschliche Überprüfung einer automatisierten Kreditentscheidung?
Ja. Artikel 22 der Datenschutz-Grundverordnung gibt jeder betroffenen Person das Recht, eine ausschließlich automatisiert getroffene Entscheidung mit erheblicher Wirkung, etwa eine Kreditablehnung, durch einen Menschen überprüfen zu lassen. Der AI Act ergänzt dieses Recht zusätzlich um eine verpflichtende menschliche Aufsicht über das Hochrisiko-System selbst.
Was führte 2019 zur Kritik an der Kreditkarte von Apple und Goldman Sachs?
Das System räumte Ehepaaren mit gemeinsamem Vermögen unterschiedlich hohe Kreditlimits ein. Männer erhielten dabei regelmäßig ein Vielfaches des Limits ihrer Partnerinnen, ohne dass eine nachvollziehbare Erklärung dafür vorlag. Der Fall zeigt, wie ein Modell eine Schieflage aus historischen Daten übernehmen kann, ohne dass Geschlecht als Merkmal explizit eingegeben wird.
Wie erkennt ein KI-Modell Betrug schneller als klassische Regeln?
Klassische Betrugserkennung prüfte Transaktionen oft erst im Nachhinein anhand fester Regeln, etwa einer Obergrenze für tägliche Abhebungen. Ein KI-Modell vergleicht dagegen jede Transaktion in Sekundenbruchteilen mit dem üblichen Verhalten des Kontoinhabers und erkennt so auch neue Betrugsmuster, für die noch keine feste Regel existiert. Visa und Mastercard setzen solche Systeme bereits ein, um verdächtige Zahlungen vor ihrem Abschluss zu blockieren.