KI-Governance im EU-Bankwesen, überlappende Aufsichtsinstanzen, zunehmend präskriptive Erwartungen

Europäische Banken stehen dem weltweit präskriptivsten Rahmenwerk für KI-Governance gegenüber. EU-Banken müssen gleichzeitig Pflichten aus mehreren, sich überlappenden Regelwerken erfüllen: der KI-Verordnung (EU AI Act) (für KI als reguliertes Produkt); den Eigenkapital- und Aufsichtsregeln nach CRR 3/CRD VI; den Erwartungen der EZB-Bankenaufsicht im Rahmen des Einheitlichen Aufsichtsmechanismus (SSM); den EBA-Leitlinien zu Auslagerung, interner Governance und operationaler Resilienz; DORA (Digital Operational Resilience Act) für das IKT-Drittparteienrisiko; der DSGVO für die Verarbeitung personenbezogener Daten; sowie den aufsichtlichen Erwartungen der zuständigen Behörden auf nationaler Ebene. Das Ergebnis ist ein mehrschichtiges Compliance-Umfeld, in dem die KI-Governance so ausgestaltet sein muss, dass sie all diese Regelwerke gleichzeitig erfüllt.

Der EZB-Leitfaden zu internen Modellen (Juli 2025), ein grundlegender Wandel

Am 25. Juli 2025 veröffentlichte die Europäische Zentralbank die jüngste Fassung ihres Leitfadens zu internen Modellen. Der Leitfaden brachte einen grundlegenden Wandel für EU-Banken: Die Erwartungen an das Modellrisikomanagement erstrecken sich nun auf jedes vom Institut genutzte Modell, nicht nur auf aufsichtliche interne Modelle (Basel IRB). Preisbildungsmodelle, Stresstestmodelle, ALM-Simulationen sowie KI- und ML-Modelle fallen allesamt unter das MRM. Der bisherige zweistufige Governance-Ansatz, strenge Kontrollen rund um aufsichtliche Modelle und leichtere, punktuelle Kontrollen für alles Übrige, ist ausdrücklich nicht mehr akzeptabel.

Kapitel 9 des Leitfadens von 2025 befasst sich speziell mit Modellen des maschinellen Lernens. Die EZB begrüßt ML-basierte Verfahren, verlangt jedoch, dass sie höhere Standards erfüllen als herkömmliche Modelle: eine robuste Data Governance mit klaren Qualitätskriterien, auch für Trainingsdaten; zusätzliche Prüfungen für unstrukturierte oder synthetische Daten, um fehlende Werte und Verzerrungen zu adressieren; eine IT-Infrastruktur, die höheren Rechenanforderungen gewachsen ist; eine dokumentierte Abstimmung der Hyperparameter; die Überwachung der Modelldrift; sowie eine dem Modellzweck angemessene Erklärbarkeit. Für viele EU-Banken bedeutet dies einen erheblichen Entwicklungssprung; ein Notebook reicht als Dokumentation nicht mehr aus, die Aufsichtsbehörden erwarten prüfbare Prozesse der Modellentwicklung.

KI-Workshops und aufsichtliche Beobachtungen der EZB (2025)

Die EZB führte 2025 KI-Workshops mit Banken in neun europäischen Ländern durch; die Ergebnisse wurden im November 2025 veröffentlicht. Zentrale Beobachtungen: Banken integrieren KI ergänzend zu herkömmlichen Modellen für Kreditentscheidungen und Betrugserkennung; Banken gehen davon aus, dass KI zur Betrugserkennung nach der KI-Verordnung als geringes Risiko eingestuft wird (eine Position, die die EZB zur Kenntnis genommen, aber nicht bestätigt hat); keine Bank berichtete vom Einsatz generativer KI im Kredit-Scoring und verwies dabei auf Entwicklungszeit, Kosten und Herausforderungen bei der Vertrauenswürdigkeit; Governance-Strukturen werden überwiegend geschaffen, indem KI in bestehende Richtlinien eingebettet oder eigene KI-Governance-Funktionen (Ausschüsse, KI-Einheiten) eingerichtet werden; die Integration einer Data Governance für KI ist in den meisten Fällen faktisch „noch nicht etabliert“; KI-Modelle werden tendenziell intern entwickelt, aber bei Cloud-Diensteanbietern gehostet.

Der erklärte Schwerpunkt der EZB für 2026 liegt auf Anwendungen generativer KI, einer tiefergehenden Bewertung von Drittparteienabhängigkeiten und Konzentrationsrisiken sowie der Stärkung der Arbeit an der operationalen Resilienz, aufbauend auf DORA. Gezielte Überprüfungen und Vor-Ort-Inspektionen in den Jahren 2024 bis 2025 deuten darauf hin, dass die EZB weiterhin bestehende Aufsichtsinstrumente nutzen wird, um die KI-Governance unmittelbar zu prüfen.

Anwendung der KI-Verordnung auf EU-Banken

Zu den für Banken relevanten Hochrisiko-Einstufungen der KI-Verordnung zählen: KI zur Kreditwürdigkeitsprüfung natürlicher Personen (Hochrisiko nach Anhang III); KI zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung (Hochrisiko); KI-Systeme, die als Sicherheitskomponenten in kritischen Infrastrukturen eingesetzt werden (soweit von Banken betriebene Infrastrukturen darunterfallen); KI bei Beschäftigungsentscheidungen; Systeme zur biometrischen Kategorisierung. Banken, die Hochrisiko-KI als Anbieter oder Betreiber einsetzen, müssen den Rahmen der KI-Verordnung einhalten, Risikomanagement, Data Governance, technische Dokumentation, menschliche Aufsicht, Transparenz gegenüber den Nutzern, wobei die meisten Pflichten nach Anhang III ab dem 2. Dezember 2027 gemäß der Digital-Omnibus-Einigung vom 7. Mai 2026 gelten.

International tätige Banken stehen vor der Frage, ob sie ein einheitliches globales Rahmenwerk einführen, das die (strengeren) Anforderungen der KI-Verordnung erfüllt, oder regionale Varianten beibehalten. Die meisten großen EU-Banken führen globale Rahmenwerke ein, die den EU-Standards genügen.

DORA, die überlagernde Ebene der operationalen Resilienz für KI

Der Digital Operational Resilience Act (DORA), anwendbar ab dem 17. Januar 2025, erlegt EU-Finanzunternehmen Anforderungen an das IKT-Drittparteienrisiko auf. KI-Anbieter gelten unter DORA als IKT-Drittdienstleister. Banken müssen: ein Register der vertraglichen Vereinbarungen über IKT-Drittparteien (einschließlich KI-Anbieter) führen; vor Eingehen von IKT-Drittparteienvereinbarungen Risikobewertungen durchführen; sicherstellen, dass die Vertragsbestimmungen die von DORA vorgegebenen Anforderungen erfüllen (Leistungsbeschreibungen, Standorte, Sicherheitspflichten, Auditrechte, Ausstiegsstrategien); ein IKT-bezogenes Vorfallsmanagement mit Meldung an die zuständigen Behörden unterhalten; Übungen zur IKT-Geschäftsfortführung und zur Notfallwiederherstellung durchführen.

Der EZB-Leitfaden zur Auslagerung von Cloud-Diensten an Cloud-Diensteanbieter (veröffentlicht im Juli 2025) erläutert, wie die EZB von den Banken erwartet, DORA im Cloud-Kontext einzuhalten, auch für KI-Dienste, die typischerweise über Cloud-Plattformen bereitgestellt werden. Zu den bewährten Praktiken zählen die Verringerung von Risiken der Anbieterbindung (Vendor-Lock-in), das Vorhalten getesteter Ausweichoptionen für Cloud-Dienste, die kritische oder wichtige Funktionen unterstützen, sowie die Sicherstellung, dass die Vertragsbedingungen einen DORA-konformen Ausstieg und Übergang ermöglichen.

EBA-Leitlinien, Governance und Auslagerung

Die EBA-Leitlinien zur internen Governance (EBA/GL/2017/11), zu Auslagerungsvereinbarungen (EBA/GL/2019/02) und zum SREP (EBA/GL/2022/03) gelten allesamt für den Einsatz von KI in EU-Banken. Das EBA-Aufsichtshandbuch zur Validierung von Ratingsystemen im IRB-Ansatz (EBA/REP/2023/29) findet Anwendung, wo ML-Verfahren in der Kreditrisikomodellierung eingesetzt werden. Das Occasional Paper Nr. 24 des Basler Ausschusses für Bankenaufsicht (September 2025) „How supervisors can address explainability“ liefert eine weitere internationale Aufsichtsperspektive, die für EU-Banken unmittelbar relevant ist.

Echte Herausforderungen für KI-Governance-Programme von EU-Banken

Modellinventar im großen Maßstab. Große EU-Banken verfügen über Tausende von Modellen, viele davon eingebettet in Software von Drittanbietern. Der Aufbau und die Pflege eines vollständigen Inventars, das für jedes Modell Zweck, Typ, MRM-Stufe und die Einstufung nach der KI-Verordnung erfasst, sind für sich genommen ein Großvorhaben.

Konzentrationsrisiko bei Foundation-Modellen. Der Großteil der KI-Fähigkeiten in Unternehmen hängt von einer kleinen Zahl von Anbietern von Foundation-Modellen ab. EU-Banken sehen sich einem Konzentrationsrisiko gegenüber, das sich durch die herkömmliche Diversifizierung von Anbietern nicht ohne Weiteres bewältigen lässt; es gibt nicht viele alternative Anbieter der GPT-4-Klasse oder Claude-Klasse. Die EZB hat diese Konzentration ausdrücklich benannt.

Erklärbarkeit versus Leistungsfähigkeit. ML-Modelle, die herkömmliche Ansätze übertreffen, tun dies oft, indem sie komplexe Muster erfassen, die sich schwer erklären lassen. Die Erwartung der EZB nach einer dem Modellzweck angemessenen Erklärbarkeit verlangt von den Banken, Leistungsgewinne gegen die Grenzen der Erklärbarkeit abzuwägen, insbesondere bei Kreditentscheidungen, bei denen Begründungen ablehnender Entscheidungen erforderlich sind.

Herkunft der Trainingsdaten und Verzerrungen. Die EBA-Erwartungen an die Data Governance erstrecken sich auf KI-Trainingsdaten. Die Etablierung von Datenherkunft (Data Lineage), Verzerrungstests und einer laufenden Überwachung der Fairness auf Ebene des Modelllebenszyklus erfordert Fähigkeiten, die die meisten Banken bislang nicht aufgebaut haben.

Was KI-Governance-Programme von EU-Banken bis Ende 2026 umfassen sollten

Ein vollständiges Modellinventar, das alle Modelle einschließlich KI/ML erfasst, mit MRM-Stufe und Einstufung nach der KI-Verordnung. Ein aktualisiertes MRM-Rahmenwerk im Einklang mit dem EZB-Leitfaden zu internen Modellen (Juli 2025) einschließlich der ML-spezifischen Anforderungen aus Kapitel 9. Eine dokumentierte KI-Strategie, die auf den Risikoappetit abgestimmt, vom Vorstand genehmigt und jährlich überprüft wird. An DORA-Standards angepasste Verträge mit KI-Anbietern einschließlich Auditrechten, Vorfallsmeldung und Ausstiegsunterstützung. Eine Gap-Analyse zur KI-Verordnung mit Umsetzungsplan für die ab dem 2. Dezember 2027 geltenden Hochrisiko-Pflichten. An den EZB-Leitfaden zur Auslagerung von Cloud-Diensten (Juli 2025) angepasste Vereinbarungen mit Cloud-Diensteanbietern. Eine Erklärbarkeitsdokumentation für KI, die in kundenwirksamen Entscheidungen eingesetzt wird, die sowohl für aufsichtliche Prüfungen als auch für Zwecke der Mitteilung ablehnender Entscheidungen ausreicht. Eine Überwachung von Verzerrungen und Fairness mit dokumentierten Testprotokollen. Eine Berichterstattung über KI-Risiken an die Risikoausschüsse und den Vorstand.

Weiterführende Lektüre: Volltext der KI-Verordnung (EU AI Act)

Verwandte Beiträge

Weiterführende Lektüre: Volltext der KI-Verordnung (EU AI Act)