Field Guide
KI-Governance & Compliance im Finance-Bereich
Der EU AI Act, Model Risk Management und aufsichtsrechtliche Erwartungen, übersetzt in Engineering, das Sie ausliefern können.
Ab Dezember 2027 greifen die Hochrisiko-Pflichten des EU AI Act, und Kredit-Scoring, Versicherungs-Pricing und Betrugserkennung fallen klar darunter. In den USA hat sich das Model Risk Management über SR 11-7 hinaus weiterentwickelt. In Deutschland behandelt die BaFin KI inzwischen als ICT-Risiko unter DORA. Nichts davon ist abstrakte Politik: Es landet als konkrete Anforderung an Systemen, die Sie gerade jetzt bauen.
Dieser Leitfaden übersetzt dieses regulatorische Gewicht in Engineering: was eine Hochrisiko-Einstufung tatsächlich verlangt, wie Sie ein Modell so validieren und überwachen, dass es einer Prüfung standhält, und welche Dokumentation und menschliche Aufsicht vor dem Go-live vorhanden sein muss, nicht danach.
Aktuelle Signale
- Die Transparenzpflichten des AI Act gelten seit dem 2. August 2026, mit einer Übergangsfrist bis zum 2. Dezember 2026 für bereits in Verkehr gebrachte Systeme; die Hochrisiko-Pflichten für Kreditwürdigkeitsprüfung und Kreditscoring greifen ab dem 2. Dezember 2027.
- SR 26-2 löst SR 11-7 ab, mit wesentlichkeitsbasierter Aufsicht, und verzichtet auf die pauschale jährliche Revalidierung, lässt generative und agentische KI jedoch außen vor.
- Das deutsche Durchführungsgesetz ist am 29. Juli 2026 in Kraft getreten; die BaFin ist damit Marktüberwachungsbehörde für bestimmte KI-Systeme im Finanzsektor, neben ihrer DORA-Zuständigkeit für kritische IKT.
- US-amerikanische Bankenaufsichtsbehörden der Bundesstaaten haben im September 2026 ein KI-Aufsichtsrahmenwerk veröffentlicht, das Prüfer anweist, KI-Einsatz, Anbieterabhängigkeit und Auswirkungen auf Verbraucher zu testen, nicht nur das Modell.
In diesem Leitfaden
KI am Trading Desk: ESMA hebt die Beweislatte
Das ESMA-Aufsichtsbriefing vom Februar 2026 bündelt die Prüfung von algorithmischem und KI-gestütztem Handel. Institute müssen Kontrollen nun im Livehandel belegen.
LesenKI-Anbieterverträge nach der Haftungsrichtlinie
Die KI-Haftungsrichtlinie ist zurückgezogen. Die revidierte Produkthaftungsrichtlinie, der AI Act und DORA entscheiden nun, wie KI-Risiko in Anbieterverträgen der Finanzbranche verteilt wird.
PSD3 und die PSR: was vor Geltungsbeginn zu bauen ist
Das EU-Zahlungsverkehrspaket ist verhandelt, aber noch nicht in Kraft. Was das Anwendungsfenster 2028 für Empfängerprüfung, Betrugserstattung und SCA bedeutet.
US-KI-Vorgaben für Finanzinstitute, Stand Mitte 2026
SR 26-2 hat SR 11-7 abgelöst und generative KI aus dem Modellrisiko herausgeschnitten. Treasury, SEC und Colorado füllen die Lücke. So kartiert man das mehrschichtige US-Regime.
Der Digital Omnibus und der neue Zeitplan der EU-KI-Verordnung
Der Digital Omnibus verschiebt die Hochrisiko-Pflichten nach Anhang III auf Dezember 2027. Was jetzt gilt, was warten kann und was Finance-Teams weiterbauen sollten.
KI-Incident-Postmortems im Finanzsektor durchführen
Ein Modell-Incident ohne Postmortem ist ein Incident, den Sie wiederholen werden. Hier ist der schuldfreie Postmortem-Prozess, den wir für KI-Fehler im Finanzsektor fahren.
Consumer Duty und KI im britischen Finanzsektor
Die Consumer Duty der FCA verändert, was eine KI-gestützte Entscheidung nachweisen können muss. So entwickeln wir Systeme, die gute Ergebnisse und faire Preis-Leistung liefern.
Ein Operating Model für KI-Governance im Finance-Team
Governance scheitert, wenn sie ein Gremium ohne Verkabelung ist. Hier ist das Operating Model mit Rollen und Gates, das wir Finance-Teams rund um KI aufsetzen helfen.
KI-Anbieter-Due-Diligence: die Fragen, auf die es ankommt
Wer einen KI-Anbieter einkauft, importiert dessen Modellrisiko ins eigene Haus. Hier ist die Due-Diligence-Checkliste, die wir nutzen, bevor ein Finanzteam unterschreibt.
DSGVO und automatisierte Entscheidungen in der Finanz-KI
Artikel 22 und das Recht auf Erklärung bestimmen, was ein Finanzmodell allein entscheiden darf. So bauen wir es technisch um, ohne den Workflow auszubremsen.
Menschliche Aufsicht für Hochrisiko-KI gestalten
Der EU AI Act verlangt wirksame menschliche Aufsicht, keinen Gummistempel. So gestalten wir Prüfpunkte, die ein Mensch tatsächlich wahrnehmen kann.
Ein Bias-Audit-Workflow für Kreditvergabemodelle
Disparate-Impact-Tests, die Suche nach der weniger diskriminierenden Alternative und Produktionsmonitoring: der Fairness-Workflow, den wir für Kreditmodelle betreiben.
Technische Dokumentation nach EU AI Act, die einer Prüfung standhält
Eine Einstufung als hochriskant bedeutet ein Dokumentationspaket, keine Folie. Hier steht, was Anhang IV tatsächlich verlangt und wie wir es als Engineering-Nachweis aufbauen.
Model Cards, die der Finance-Governance wirklich helfen
Eine Model Card ist Dokumentation, mit der ein Prüfer arbeiten kann – kein Marketing. Hier steht, was wir für ein Finanzmodell darauf festhalten und warum sich jedes Feld seinen Platz verdient.
Audit-Trails, die Finanz-KI reproduzierbar machen
Wenn ein Prüfer fragt, warum das Modell so entschieden hat, müssen Sie die Entscheidung exakt rekonstruieren können. Hier ist das Logging und Versioning, das eine Entscheidung reproduzierbar macht.
Red Teaming von KI-Systemen in Finanzdienstleistungen
Angreifer testen Finanz-KI auf Jailbreaks, Datenlecks und verzerrte Ausgaben. So führen wir Red Teaming an einem System durch, bevor es ein Angreifer oder ein Prüfer tut.
Schatten-KI: die Tools regulieren, die Ihre Mitarbeitenden längst nutzen
Ihr Team fügt Daten in Chatbots ein, ob Sie es freigegeben haben oder nicht. Hier sind die Nutzungsrichtlinie und die Kontrollen, die wir mit Finanzunternehmen darum herum aufbauen.
Kontinuierliches Modell-Monitoring, das einer Aufsicht standhält
Eine jährliche Revalidierung genügt nicht für ein Modell, das wöchentlich driftet. Hier ist das Monitoring, das Alerting und der Nachweispfad, den wir für beaufsichtigte Finanzmodelle aufbauen.
DORA-Incident-Response, wenn die KI das IKT-Risiko ist
Unter DORA ist ein KI-Ausfall ein IKT-Vorfall mit laufenden Meldefristen. Hier ist der Workflow für Erkennung, Klassifizierung und Meldung, den wir für KI-Systeme aufbauen.
Aufbau eines KI-Modellinventars und einer Model Registry
Man kann nicht steuern, was man nicht auflisten kann. Hier sind das Modellinventar, die Registry und die Metadaten, die wir aufbauen, damit Risiko und Revision jedes Modell in Produktion sehen.
Die BaFin liest KI jetzt als IKT-Risiko: Was DORA von Ihren Modellen verlangt
Die BaFin-Orientierungshilfe vom Dezember 2025 ordnet KI dem IKT-Risikoregime der DORA zu, nicht einem separaten Ethik-Ressort. Was das für Register, Vorfälle und Tests bedeutet.
Wenn das Modell jemand anderem gehört: Third-Party-KI und Anbietermodellrisiko
Eine gehostete Modell-API ist ein IKT-Dienst, kein Feature. So behandeln wir Anbietermodellrisiko, Konzentrationsrisiko und stille Updates unter DORA-Maßstäben.
Was die August-2026-Frist des EU AI Act von Ihnen verlangt
Systeme für Kreditbewertung und Versicherungstarifierung fallen künftig unter das Hochrisiko-Regime, und der Stichtag ist nun in Bewegung. Was das für das System bedeutet, das Sie gerade bauen.
MiCA für Stablecoins und Krypto-Zahlungen: Was Engineering-Teams bauen müssen
MiCA übersetzt Regeln für Kryptowerte in konkrete Kontrollen für Emittenten und Zahlungsdienstleister. Das Monitoring- und Data-Lineage-Engineering dahinter.
Wenn das Kreditmodell die Ablehnung nicht erklären kann
ECOA Regulation B verlangt konkrete Ablehnungsgründe innerhalb von 30 Tagen. Das stellt Anforderungen an das Kreditmodell selbst, nicht nur an die Dokumentation.
So testen Sie Kredit- und Pricing-Modelle wirklich auf Fairness
Ein geschütztes Merkmal wegzulassen macht ein Modell nicht fair. So testen wir Kredit- und Pricing-Modelle auf mittelbare Diskriminierung und Proxy-Diskriminierung und sichern die Nachweise.
Modellrisikomanagement, wenn das Modell ein LLM ist
SR 11-7 wurde für deterministische Modelle geschrieben, der Nachfolger SR 26-2 klammert generative KI aus. So erweitern wir Modellrisikomanagement auf LLMs.
Erklärbarkeitsmethoden, die einer Modellvalidierung standhalten
Die meiste Erklärbarkeitsarbeit überzeugt nur den Data Scientist, der das Modell gebaut hat. So wird sie belastbar für Validierung, Aufsicht und abgelehnte Kunden.
Arbeiten Sie an etwas Ähnlichem?
Erzählen Sie uns von Ihren Daten und dem Workflow drumherum, und Sie bekommen eine ehrliche Einschätzung.
30-minütiges Erstgespräch buchen