Interne Revision auslagern
Wir sind Ihre Interne Revision, arbeiten in Ihrer Revision mit oder prüfen einzelne Themen. Berichte für Vorstand und FMA.
KI-Governance und AI-Act-Prüfung im Finanzsektor
Wir ordnen den KI-Einsatz regulierter Finanzunternehmen nach dem AI Act (Verordnung (EU) 2024/1689) und machen ihn prüfbar. Als Interne Revision prüfen wir ihn laufend, im Co-Sourcing oder anlassbezogen. Aufbau und Prüfung machen wir nie für dasselbe Institut.
Fachlich verantwortlich: Thomas Michalik, Interner Revisor · über zehn Jahre Revision in Bank und Versicherung · Fit-&-Proper-geschult · Stand
Für wen gilt der AI Act im Finanzsektor?
- Wertpapierfirmen und Kapitalanlagegesellschaften mit KI in Kundenbewertung oder Portfolio
- Anbieter von Kryptowerte-Dienstleistungen (CASPs)
- Zahlungs- und E-Geld-Institute mit KI im Betrugsmonitoring
Was umfasst KI-Governance nach dem AI Act?
- Prüfung des KI-Einsatzes durch die Interne Revision
- Inventar der KI-Systeme, auch eingekaufter Lösungen
- Risikoklassifizierung nach AI Act und Rollenklärung (Anbieter oder Betreiber)
- Governance-Rahmen mit Verantwortlichkeiten und Nutzungsrichtlinie
- Dokumentation, menschliche Aufsicht und KI-Kompetenz
Wie wir zusammenarbeiten
Wichtige Zahlen
Alle Zahlen mit Quelle.
Welche Artikel des AI Act sind für Finanzinstitute maßgeblich?
Die Normen im Wortlaut.
Der AI Act regelt KI risikobasiert: verbotene Praktiken, Hochrisiko-Systeme mit vielen Pflichten, Transparenzpflichten und allgemeine Anforderungen wie die KI-Kompetenz. Im Finanzsektor sind Hochrisiko vor allem Kreditwürdigkeitsprüfung natürlicher Personen sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Die meisten Institute sind Betreiber eingekaufter Systeme mit eigenen Pflichten nach Art. 26.
Die Pflichten gelten gestaffelt. Die Verordnung (EU) 2026/1744 (in Kraft seit 27. Juli 2026) hat die Termine verschoben. Für Hochrisiko-Systeme nach Anhang III gelten sie ab 2. Dezember 2027, für Anhang-I-Systeme ab 2. August 2028. Art. 4 (KI-Kompetenz) und Art. 5 (verbotene Praktiken) gelten bereits.
Alle Rechtsgrundlagen im Wortlaut (8)
- AI ActVerordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz
- Art. 4 AI ActMaßnahmen zur Förderung der KI-Kompetenz (Fassung Verordnung (EU) 2026/1744)
- Art. 5 AI ActVerbotene Praktiken
- Art. 6 und Anhang III AI ActHochrisiko-KI-Systeme, darunter Kreditwürdigkeitsprüfung natürlicher Personen (Anhang III Nr. 5 lit. b) sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung (Nr. 5 lit. c)
- Art. 14, 26 und 27 AI ActMenschliche Aufsicht, Pflichten der Betreiber, Grundrechte-Folgenabschätzung (für Anhang III ab 2. Dezember 2027)
- Verordnung (EU) 2026/1744Anpassung der Anwendungszeitpunkte des AI Act
- Art. 50 AI ActTransparenzpflichten, etwa bei Chatbots
- Schnittstellen zu DORA (IKT-Drittparteienrisiko) und DSGVO (Art. 22, automatisierte Einzelentscheidungen)
Wie läuft die Einordnung der KI-Systeme ab?
Häufige Fragen zum AI Act im Finanzsektor
01Welche KI-Anwendungen im Finanzsektor gelten nach dem AI Act als Hochrisiko?
Nach Anhang III Nr. 5 vor allem KI zur Kreditwürdigkeitsprüfung natürlicher Personen (ohne Betrugserkennung) und zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Auch KI bei der Bewerberauswahl ist Hochrisiko (Anhang III Nr. 4). Betrugserkennung und interne Assistenten sind meist kein Hochrisiko. Dort gelten in der Regel nur Art. 4 (KI-Kompetenz) und bei Chatbots Art. 50 (Transparenz).
02Was muss ein Finanzinstitut zum Einsatz von KI dokumentieren?
Mindestens ein Inventar aller KI-Systeme mit Zweck, Anbieter, Rolle und Risikoklasse. Betreiber von Hochrisiko-Systemen nach Anhang III kommen ab 2. Dezember 2027 (Art. 113 in der Fassung der Verordnung (EU) 2026/1744) dazu: Gebrauchsanweisung, menschliche Aufsicht, Überwachung, Protokolle, Information Betroffener. Bei Kreditwürdigkeitsprüfung und Versicherungspreisbildung kommt eine Grundrechte-Folgenabschätzung dazu (Art. 27).
03Wer ist im Institut für KI-Governance verantwortlich?
Die Geschäftsleitung trägt die Gesamtverantwortung. Bewährt hat sich: Fachbereiche besitzen die Anwendungen. Compliance oder Risikomanagement führt Inventar und Richtlinien. Die IT verantwortet Betrieb und Drittanbieter. Die Interne Revision prüft unabhängig. Das Institut muss Maßnahmen zur KI-Kompetenz treffen (Art. 4 in der Fassung der Verordnung (EU) 2026/1744).
04Wie prüft die Interne Revision den Einsatz von KI?
Mit einem risikoorientierten Prüfprogramm: Vollständigkeit des KI-Inventars, Richtigkeit der Klassifizierung, Betreiberpflichten, Datenqualität, Wirksamkeit der menschlichen Aufsicht und Steuerung der Drittanbieter.
05Gilt der AI Act auch, wenn ein Institut nur ChatGPT oder Copilot nutzt?
Ja, das Institut ist dann Betreiber. Allgemeine KI-Assistenten sind meist kein Hochrisiko, aber Art. 4 verlangt Maßnahmen zur KI-Kompetenz. Die Nutzung muss zu Datenschutz, Berufsgeheimnis und DORA passen. Erster Schritt: Inventar und Nutzungsrichtlinie.
06Braucht ein kleines Finanzinstitut einen KI-Beauftragten?
Der AI Act schreibt keinen vor. Betreiber müssen aber ihre Pflichten erfüllen. In kleinen Häusern übernimmt es meist Compliance oder Risikomanagement, weil dort Inventare, Richtlinien und Berichtswege bestehen. Legen Sie die Zuständigkeit schriftlich fest.
Quellen und Normtexte
Konsolidierte Fassungen im RIS und auf EUR-Lex, dazu Informationen der FMA.
Verwandtes Angebot
Risikomanagement-Funktion
Ergänzende Leistung: Risikostrategie, Risikoinventar und Reporting für die zweite Verteidigungslinie, als Aufbauprojekt oder im Co-Sourcing.
Thomas Michalik kennenlernen
Über zehn Jahre Revision in Bank und Versicherung, heute Leiter einer Internen Revision.
Erstgespräch vereinbaren
In 30 Minuten klären wir Ihre Lage und wie wir zusammenarbeiten. Unverbindlich und vertraulich.