KI bei Banken und Versicherern: Was die Aufsicht erwartet
Beaufsichtigte Institute dürfen KI einsetzen – aber kontrolliert. In Deutschland setzen die MaRisk und die EBA-Leitlinien zu Auslagerungen den Rahmen, in Österreich die FMA auf derselben europäischen Grundlage; hinzu kommt in der EU seit Januar 2025 die DORA-Verordnung mit Anforderungen an das Management von IKT-Drittparteienrisiken. In der Schweiz hat die FINMA 2024 in einer Aufsichtsmitteilung ihre Erwartungen an Governance und Risikomanagement beim Einsatz künstlicher Intelligenz formuliert, ergänzt um die Auslagerungsanforderungen aus dem Rundschreiben 2018/3.
Für Banken, Versicherer und Vermögensverwalter heißt das: KI-Einsatz ist eine Frage der Organisation – Inventar, Verantwortlichkeiten, Nachvollziehbarkeit und saubere Verträge mit Dienstleistern.
Was die Aufsicht erwartet
Über die Aufsichtsbehörden hinweg stehen vier Erwartungen im Zentrum: eine klare Governance mit definierten Verantwortlichkeiten für den KI-Einsatz, ein Inventar der eingesetzten KI-Anwendungen mit Risikoeinstufung, robuste Kontrollen entlang des Lebenszyklus – von der Datenqualität bis zur Überwachung im Betrieb – und Nachvollziehbarkeit: Institute müssen erklären können, wo KI eingesetzt wird und wie Ergebnisse zustande kommen.
KI-Tools als Auslagerung
Nutzt ein Institut eine externe KI-Plattform, liegt regelmäßig eine Auslagerung vor, sobald wesentliche Funktionen betroffen sind – nach MaRisk und den EBA-Leitlinien in der EU, nach dem FINMA-Rundschreiben 2018/3 in der Schweiz. Damit gelten die bekannten Anforderungen: sorgfältige Auswahl und Instruktion des Dienstleisters, vertragliche Sicherstellung von Weisungs-, Kontroll- und Prüfrechten, Regelungen zu Datensicherheit und Geheimhaltung sowie die Möglichkeit einer geordneten Rückführung.
Der Datenstandort spielt dabei eine praktische Rolle: Verarbeitung in der EU oder der Schweiz vereinfacht die Beurteilung von Bank- und Bankkundengeheimnis sowie Datenschutz erheblich.
Typische KI-Anwendungsfälle in Instituten
Bewährte Einstiegsfelder liegen dort, wo KI unterstützt statt entscheidet:
- Zusammenfassung von Research, Studien und internen Analysen
- Entwürfe für Kundenkommunikation und Berichte – mehrsprachig
- Interne Wissenssuche über Weisungen und Reglemente
- Strukturierung von Protokollen und Aktennotizen
- Vorbereitung von Dokumentationspaketen im Onboarding
Umsetzung: kontrolliert starten
Der pragmatische Weg beginnt mit einem klar abgegrenzten Pilot: ein Team, definierte Use Cases, eine Plattform mit Rollen, SSO und Audit-Logs, ein AVV und die Compliance-Prüfung vor dem Start. Aus dem Pilot entstehen die Nachweise – Inventar-Eintrag, Risikobeurteilung, Kontrollen – die den breiten Rollout tragen. So wird aus der Aufsichtserwartung ein strukturierter Einführungsplan.
Häufige Fragen
Dürfen Banken ChatGPT nutzen?
Ein pauschales Verbot gibt es nicht – aber Consumer-Tools ohne Vertrag, Kontrolle und Audit-Trail sind mit den Aufsichtserwartungen kaum vereinbar. Institute brauchen eine Unternehmenslösung, die als Auslagerung sauber aufgesetzt ist.
Ist jede KI-Nutzung eine bewilligungspflichtige Auslagerung?
Nein. Maßgeblich ist, ob eine wesentliche Funktion ausgelagert wird. Die Einstufung nimmt das Institut im Rahmen seiner Outsourcing-Governance vor – in der EU zusätzlich dokumentiert im Informationsregister nach DORA. KI-Anwendungen gehören dafür ins Inventar.
Was gehört in ein KI-Inventar?
Mindestens: Anwendung und Zweck, eingesetzte Modelle und Dienstleister, verarbeitete Datenkategorien, Risikoeinstufung, Verantwortlichkeiten und bestehende Kontrollen. Das Inventar ist die Grundlage für Prüfungen und für den Dialog mit der Aufsicht.
Weiterführende Inhalte
Bringen Sie KI sicher in Ihr Unternehmen.
Testen Sie Vidimas mit Ihrem Team – und erleben Sie, wie schnell sichere KI produktiv wird.
- Mit dem ganzen Team testen
- In Minuten eingerichtet
- Sofort produktiver arbeiten