Die doppelte Aufsichtsherausforderung für KI in australischen Finanzdienstleistungen

Australische Banken, Versicherer und Superannuation-Fonds arbeiten unter einer doppelten Aufsichtsarchitektur, die gestaffelte Pflichten im Bereich KI-Governance schafft. Die APRA (Australian Prudential Regulation Authority) reguliert die aufsichtsrechtliche Solidität, also die finanzielle und operationelle Widerstandsfähigkeit der beaufsichtigten Unternehmen. Die ASIC (Australian Securities and Investments Commission) reguliert das Marktverhalten, also die Frage, wie Unternehmen ihre Kunden behandeln, Interessenkonflikte steuern und ihre Produkte und Dienstleistungen darstellen. Beide Aufsichtsbehörden verfügen über bestehende Befugnisse, die auf KI Anwendung finden, und beide haben signalisiert, dass KI-Governance in die Governance-Rahmenwerke der Unternehmen integriert und nicht als gesonderte technologische Angelegenheit behandelt werden sollte.

Die KI-Governance-Erwartungen der APRA

CPS 230, Management operationeller Risiken: Der Standard der APRA zum Management operationeller Risiken, der 2025 in Kraft getreten ist, gilt unmittelbar für KI-Systeme, die in wesentlichen Geschäftsaktivitäten eingesetzt werden. CPS 230 verlangt, dass Unternehmen die mit Technologie verbundenen operationellen Risiken, einschließlich KI, identifizieren, bewerten und steuern. Unternehmen müssen angemessene Kontrollen unterhalten, die Geschäftsfortführung testen und Drittanbieter von Technologiedienstleistungen steuern, was für KI-Anbieter und Modelllieferanten relevant ist.

CPG 234, Informationssicherheit: Die aufsichtsrechtliche Leitlinie der APRA zur Informationssicherheit gilt für KI-Systeme als Informationstechnologie. Die dortigen Anforderungen an Asset-Management, Zugriffskontrollen, Incident-Management und die Bewertung von Drittparteien haben allesamt unmittelbare Bedeutung für KI-Systeme. Ein KI-Modell ist ein Informationswert und sollte im Sinne von CPG 234 auch als solcher behandelt werden.

CPS 220, Risikomanagement: Der Risikomanagementstandard der APRA verlangt, dass Unternehmen über ein umfassendes Risikomanagement-Rahmenwerk verfügen, das alle wesentlichen Risiken einschließlich neu entstehender Risiken abdeckt. KI-Risiko ist ein neu entstehendes Risiko, das die APRA in den Risiko-Rahmenwerken der Unternehmen identifiziert, bewertet und gesteuert sehen will. Die Verantwortlichkeit von Vorstand und Geschäftsleitung für KI-Risiken ergibt sich aus den Rechenschaftsanforderungen von CPS 220.

Modellrisikomanagement: Der aufsichtliche Fokus der APRA auf Modellrisiken hat sich von traditionellen statistischen Modellen auf KI- und ML-Modelle ausgeweitet. Die APRA erwartet, dass bestehende Rahmenwerke für das Modellrisikomanagement, also Validierung, Dokumentation, Überwachung und Eskalation, auch auf Modelle des maschinellen Lernens angewendet werden. Die meisten bestehenden MRM-Rahmenwerke weisen erhebliche Lücken auf, wenn sie auf die Herausforderungen der Interpretierbarkeit und der Verteilungsdrift angewendet werden, die Modelle des maschinellen Lernens mit sich bringen.

Die Verhaltenserwartungen der ASIC an KI

Pflichten zur verantwortungsvollen Kreditvergabe: KI-gestützte Kreditwürdigkeitsprüfung, Dokumentenverifikation und Kreditentscheidung müssen den Pflichten zur verantwortungsvollen Kreditvergabe nach dem National Consumer Credit Protection Act entsprechen. Die ASIC hat klargestellt, dass der Einsatz von KI den Inhalt dieser Pflichten nicht verändert, denn Kreditgeber bleiben für angemessene Erkundigungen und Überprüfungen verantwortlich, unabhängig davon, ob der Prozess automatisiert ist.

Pflicht zur Wahrung des Kundeninteresses (Finanzberatung): KI-gestützte Finanzberatung oder beratungsnahe digitale Werkzeuge müssen der Pflicht zur Wahrung des Kundeninteresses nach dem Corporations Act entsprechen. Die Leitlinie der ASIC zur digitalen Beratung stellt klar, dass diese Pflicht unabhängig vom Automatisierungsgrad gilt.

RG 271, interne Streitbeilegung: Die IDR-Aufsichtsleitlinie der ASIC verlangt, dass Beschwerden über KI-gestützte Entscheidungen genauso behandelt werden wie Beschwerden über menschliche Entscheidungen. Organisationen dürfen Automatisierung nicht als Grund heranziehen, um Beschwerdeverfahren zu verweigern oder unzureichende Erklärungen für nachteilige Entscheidungen zu liefern.

Der Robodebt-Effekt auf die australische KI-Governance

Die Feststellungen der Royal Commission zu Robodebt haben spürbare Auswirkungen darauf gehabt, wie australische Aufsichtsbehörden, darunter APRA und ASIC, an automatisierte Entscheidungsfindung herangehen. Die Erkenntnis, dass automatisierte Systeme systematisch rechtswidrige Ergebnisse in großem Umfang hervorbringen können und dass Organisationen daran scheitern können, diese Ergebnisse zu erkennen oder auf sie zu reagieren, hat bei australischen Aufsichtsbehörden eine erhöhte Sensibilität für Versäumnisse in der KI-Governance erzeugt. Beobachtbar ist dies am zunehmenden Fokus der APRA auf KI in aufsichtlichen Gesprächen und an den ausdrücklichen Aussagen der ASIC zu KI und Verhaltenspflichten.

Update Mai 2026: APRA und ASIC verschärfen ihre Erwartungen an die KI-Governance

Ende April und Anfang Mai 2026 veröffentlichten sowohl die APRA als auch die ASIC bedeutende neue KI-bezogene Leitlinien, die die Governance-Anforderungen an australische Finanzdienstleister deutlich anheben.

Das Branchenschreiben der APRA vom 30. April 2026 stellt die ersten veröffentlichten, KI-spezifischen Erwartungen der APRA dar. Gestützt auf eine gezielte Überprüfung großer Banken, Versicherer und Superannuation-Treuhänder Ende 2025 stellte die APRA fest, dass Governance, Risikomanagement, Assurance und operationelle Widerstandsfähigkeit nicht mit dem Tempo des KI-Einsatzes Schritt halten. Die APRA erwartet nun mindestens Folgendes: formale Rahmenwerke und Berichtswege für KI-Governance, Eigentümerschaft und Rechenschaftspflicht über den gesamten KI-Lebenszyklus von der Konzeption bis zur Außerbetriebnahme, ein Inventar sämtlicher KI-Werkzeuge und Anwendungsfälle, menschliche Beteiligung und Verantwortlichkeit bei Entscheidungen mit hohem Risiko sowie strukturierte Mitarbeiterschulungen. Die APRA benannte zudem die starke Anbieterkonzentration als wesentliches Problem, denn viele Unternehmen sind von einem einzigen KI-Anbieter abhängig und verfügen nur über begrenzte Ausstiegs- oder Substitutionsstrategien, was unmittelbar die Anforderungen von CPS 230 berührt.

Der offene Brief der ASIC vom 8. Mai 2026 warnt davor, dass Frontier-KI-Modelle die Cyber-Bedrohungslage grundlegend verändert haben. Commissioner Simone Constant forderte alle AFS-Lizenzinhaber und Marktteilnehmer auf, die Grundlagen ihrer Cyber-Resilienz unverzüglich zu stärken. Die ASIC untermauerte dies mit ihrem Durchsetzungsergebnis über 2,5 Millionen Dollar gegen FIIG Securities Limited wegen Versäumnissen bei der Cybersicherheit und signalisierte damit, dass sie Lizenzinhaber zur Verantwortung ziehen wird, wenn das Management von Cyberrisiken unzureichend ist. Die ASIC erwartet, dass Vorstände Nachweise für die Wirksamkeit von Kontrollen einfordern: Testergebnisse, Feststellungen unabhängiger Prüfungen und Lehren aus realen Vorfällen, nicht nur Zusicherungen des Managements.

Zusammengenommen beschreiben diese Schreiben zwei Seiten desselben Risikos: Die APRA konzentriert sich darauf, wie Organisationen KI intern einführen und steuern, während die ASIC sich darauf konzentriert, wie KI das externe Bedrohungsumfeld verändert. Beide verlangen stärkere Governance, klarere Rechenschaftspflichten und Nachweise, dass Kontrollen tatsächlich wirken.

Primärquellen: APRA-Schreiben an die Branche zu KI, 30. April 2026 | ASIC-Medienmitteilung 26-092MR, 8. Mai 2026

Weiterführende Lektüre