KI im Finanzsektor: BaFin- und DORA-konform

Regulatorischer Rahmen: KI im deutschen Finanzsektor

Der deutsche Finanzsektor ist einer der am stärksten regulierten weltweit. Beim KI-Einsatz greifen mindestens fünf Regulierungsebenen gleichzeitig — eine Komplexität, die Cloud-KI-Lösungen praktisch unmöglich macht:

DORA — Digital Operational Resilience Act

Der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) ist seit dem 17. Januar 2025 vollständig anwendbar und betrifft nahezu alle Finanzinstitute in der EU. Für den KI-Einsatz sind besonders relevant:

• Art. 5–16: IT-Risikomanagement — Finanzunternehmen müssen ein umfassendes IT-Risikomanagementsystem betreiben. KI-Systeme sind als IT-Systeme einzuordnen und müssen in das bestehende Risikomanagement integriert werden.
• Art. 17–23: Meldepflichten — Schwerwiegende IT-Vorfälle müssen an die BaFin gemeldet werden. KI-Ausfälle oder -Fehlfunktionen können meldepflichtige Vorfälle darstellen.
• Art. 24–27: Digitale Resilienz-Tests — Regelmäßige Tests der IT-Systeme, einschließlich KI-Systeme. Bedrohungsgeleitete Penetrationstests (TLPT) können auch KI-Infrastruktur umfassen.
• Art. 28–44: Drittanbieter-Risikomanagement — Cloud-KI-Anbieter gelten als IKT-Drittdienstleister. Die Anforderungen sind enorm: Risikoanalyse, Vertragsanforderungen, Überwachung, Ausstiegsstrategie, Konzentrationsrisikoanalyse.

Die DORA-Konsequenz: Cloud-KI-Dienste fallen unter das Drittanbieter-Risikomanagement und erfordern umfangreiche vertragliche und organisatorische Maßnahmen. On-Premise eliminiert diese Komplexität vollständig — kein Drittanbieter, kein Auslagerungsrisiko.

BaFin-Aufsichtsrahmen

Die BaFin hat sich wiederholt zum Einsatz von KI im Finanzsektor geäußert und klare Erwartungen formuliert:

1. Erklärbarkeit: KI-Modelle dürfen keine „Black Box" sein. Die Entscheidungsgrundlagen müssen nachvollziehbar und dokumentiert sein.
2. Modellvalidierung: KI-Modelle müssen regelmäßig validiert und ihre Leistung überwacht werden (Model Risk Management).
3. Verantwortlichkeit: Es muss klar definiert sein, wer für KI-basierte Entscheidungen verantwortlich ist.
4. Fairness: KI darf nicht zu Diskriminierung führen — besonders relevant bei Kreditentscheidungen und Risikobewertungen.

MaRisk — Mindestanforderungen an das Risikomanagement

Die MaRisk definieren den Rahmen für das Risikomanagement bei Kreditinstituten. Für KI besonders relevant:

• AT 4.3.2: Neue-Produkte-Prozess — KI-Systeme als „neue Produkte" im Sinne der MaRisk
• AT 7.2: Technisch-organisatorische Ausstattung — IT-Systeme (inkl. KI) müssen den Anforderungen entsprechen
• AT 9: Auslagerung — Cloud-KI fällt unter die Auslagerungsvorschriften
• BTO 1.4: Risikomanagement bei algorithmischen Systemen

BAIT — Bankaufsichtliche Anforderungen an die IT

Die BAIT konkretisieren die MaRisk für IT-Systeme und sind direkt auf KI anwendbar: Informationsrisikomanagement, IT-Betrieb, Auslagerungsmanagement und vor allem die Anforderung an ein zentrales Informationssicherheitsmanagement.

Use Cases: KI-Anwendungen im Finanzsektor

1. AML/KYC — Anti-Money-Laundering und Know-Your-Customer

Die Geldwäscheprävention ist einer der ressourcenintensivsten Compliance-Bereiche. On-Premise LLMs können Transaktionsmuster analysieren, Verdachtsfälle priorisieren und False Positives reduzieren. Das Geldwäschegesetz (GwG) verlangt die Vertraulichkeit der Kundendaten — Cloud-Lösungen sind für die Verarbeitung von Transaktionsdaten und Kundenidentifikationsdokumenten problematisch.

• Automatische Analyse von Transaktionsmustern und Auffälligkeiten
• Dokumentenprüfung bei der Kundenidentifikation
• Reduktion von False Positives um 40–60 %
• Priorisierung von Verdachtsmeldungen nach Risikoscore

2. Risikobewertung und Kreditentscheidung

KI kann bei der Kreditrisikoanalyse unterstützen — aber nur, wenn die BaFin-Anforderungen an Erklärbarkeit und Fairness erfüllt werden. On-Premise gibt Ihnen volle Kontrolle über Modell und Entscheidungsprozess. Sie können Bias-Audits durchführen, Modelle validieren und alle Entscheidungen lückenlos dokumentieren.

3. Compliance-Monitoring und Regulatory Reporting

Regulatorische Anforderungen ändern sich ständig. Ein On-Premise LLM mit RAG-Integration kann Ihre Compliance-Abteilung unterstützen: automatische Analyse neuer Regulierungen, Abgleich mit bestehenden Prozessen und Erstellung von Compliance-Reports.

4. Kundenservice und Beratungsunterstützung

KI-gestützte Kundenberatung im Finanzsektor muss höchste Datenschutzstandards erfüllen. On-Premise LLMs können Kundenanfragen analysieren, passende Produkte vorschlagen und Beratungsprotokolle erstellen — ohne dass Kundendaten an Dritte gelangen.

5. Dokumentenverarbeitung und Vertragsprüfung

Von Kreditverträgen über Versicherungspolicen bis zu Fondsdokumentationen — die Dokumentenflut im Finanzsektor ist enorm. On-Premise KI kann Dokumente automatisch kategorisieren, relevante Klauseln extrahieren und Risikoparameter identifizieren.

Implementierung: On-Premise KI im Finanzsektor

Die Implementierung von On-Premise KI im Finanzsektor erfordert besondere Sorgfalt aufgrund der regulatorischen Komplexität. Ein bewährter Ansatz:

Phase 1: Regulatory Assessment (4–6 Wochen)

• Abstimmung mit BaFin-Anforderungen und internem Compliance-Team
• Risikoklassifizierung der geplanten KI-Anwendungen
• DSFA und Datenschutz-Assessment
• Neue-Produkte-Prozess nach MaRisk AT 4.3.2

Phase 2: Infrastructure & Pilot (6–10 Wochen)

• Enterprise-Grade GPU-Infrastruktur aufbauen (redundant, USV-gesichert)
• Sicherheitsarchitektur definieren (Netzwerksegmentierung, Zugriffskontrollen)
• Modell-Deployment mit vollständigem Audit-Logging
• Pilotprojekt in einem abgegrenzten Bereich (z. B. Compliance-Reporting)

Phase 3: Validierung und Rollout (6–12 Wochen)

• Modellvalidierung nach BaFin-Anforderungen
• Bias-Audit und Fairness-Tests
• Integration in bestehende Kernbankensysteme
• Schulung der Mitarbeiter und Dokumentation

Weiterführende Informationen

• Alle Branchenlösungen im Überblick
• KI für KRITIS — ähnliche Sicherheitsanforderungen
• Enterprise Hardware-Anforderungen
• DSGVO und KI im Detail
• EU AI Act Fristen