Alles Legal #126: KI-Regulierung in der Praxis: Was die Aufsicht zu KI im Finanzsektor wirklich sehen will

mit Dana Wondra & Josefine Spengler von Annerton

In Teil 2 unserer Reihe zu „AI in Finance“ geht es um die Praxis: Wie prüft die Aufsicht KI konkret? Und worauf müssen sich Banken und Zahlungsdienstleister einstellen? Dana Wondra und Josefine Spengler beleuchten, warum KI regulatorisch keine Sonderwelt bildet, sondern konsequent in bestehende Aufsichtsstrukturen eingeordnet wird.

Zentraler Punkt: Für die Aufsicht ist KI kein Innovationsprojekt, sondern zunächst ein IT- bzw. IKT-System mit besonderen Risiken. Entsprechend wird sie unter bestehenden Rahmenwerken geprüft – insbesondere unter DORA. Entscheidend ist nicht, ob KI eingesetzt wird, sondern wie sie organisatorisch eingebettet, überwacht und gesteuert wird.

In Prüfungen stehen deshalb sehr grundlegende Fragen im Fokus: Wer trägt Verantwortung für KI-gestützte Entscheidungen? Wie wird das Modell entwickelt und validiert? Wie wird es überwacht? Und wie lassen sich Entscheidungen erklären? Governance, Nachvollziehbarkeit und Kontrollierbarkeit rücken damit stärker in den Mittelpunkt als technische Leistungskennzahlen.

Besonders komplex wird es dort, wo DORA und der EU AI Act gleichzeitig wirken. Während DORA operative Resilienz, Risikomanagement und Drittparteiensteuerung adressiert, verfolgt der AI Act einen risikobasierten Ansatz mit Anforderungen an Transparenz, Dokumentation und menschliche Aufsicht. Für Institute bedeutet das: KI-Governance darf nicht in Silos organisiert werden. Wer regulatorische Anforderungen getrennt behandelt, riskiert Parallelstrukturen statt eines integrierten Steuerungsmodells.

Internationale Diskussionen – unter anderem auf OECD-Ebene – zeigen zudem, dass weniger neue Regeln das Problem sind, sondern deren Anwendung auf dynamische, komplexe Systeme. Die Aufsicht entwickelt sich daher weiter: weg von reinen Momentaufnahmen, hin zu laufender Überwachung und stärker dialogorientierten Prüfungen.

Fazit: Die Zukunft der KI-Regulierung entscheidet sich nicht im Gesetzbuch, sondern in der praktischen Steuerbarkeit. KI ist kein reines IT-Thema mehr, sondern eine Managementfrage. Wer sie einsetzt, muss erklären können, wie Entscheidungen zustande kommen, wie Risiken überwacht werden und wie im Zweifel eingegriffen wird.

Jetzt reinhören – überall, wo es Podcasts gibt.