KI in Finanzdienstleistungen und Versicherungen

Banken, Versicherer, Zahlungsinstitute und Vermögensverwalter setzen KI in Kreditvergabe, Tarifierung, Betrugserkennung, Kundenservice und Anlageberatung ein. Für sie gelten die KI-Verordnung, die DSGVO und das Finanzaufsichtsrecht nebeneinander. Diese Seite zeigt Instituten und ihren Technologiepartnern, welche Anforderungen bestehen und wie sie sich praktisch verbinden lassen.

Hochrisiko-Anwendungen nach Anhang III KI-VO

Zwei Einsatzbereiche des Finanzsektors stuft Anhang III Nr. 5 der KI-Verordnung (EU) 2024/1689 ausdrücklich als hochriskant ein:

Kreditwürdigkeit: KI-Systeme, die die Kreditwürdigkeit natürlicher Personen prüfen oder ihre Bonität bewerten (lit. b). Ausgenommen sind Systeme, die ausschließlich der Aufdeckung von Finanzbetrug dienen.
Lebens- und Krankenversicherung: KI-Systeme zur Risikobewertung und Preisbildung in Bezug auf natürliche Personen (lit. c).

Nach dem Digital Omnibus (Verordnung (EU) 2026/1744, in Kraft seit 27. Juli 2026) gelten die Hochrisiko-Pflichten für Anhang III ab dem 2. Dezember 2027. Anbieter benötigen bis dahin Risikomanagement, Daten-Governance mit Bias-Prüfung, technische Dokumentation, Protokollierung, menschliche Aufsicht und ein Qualitätsmanagementsystem (Art. 9 bis 17 KI-VO). Betreiber, also die Institute, müssen das System gemäß Gebrauchsanweisung einsetzen, die Aufsicht durch qualifiziertes Personal sicherstellen und Protokolle aufbewahren (Art. 26 KI-VO). Für Banken und Versicherer als Betreiber dieser Systeme schreibt Art. 27 KI-VO zudem eine Grundrechte-Folgenabschätzung vor.

Für Finanzinstitute enthält die KI-VO Erleichterungen: Teile der Pflichten zum Qualitätsmanagement, zur Überwachung und zur Protokollaufbewahrung gelten als erfüllt, wenn die Institute die Vorgaben zur internen Unternehmensführung nach dem Finanzaufsichtsrecht einhalten (Art. 17 Abs. 4, Art. 26 Abs. 5 und 6 KI-VO).

Praxistipp: Nicht jede KI im Kreditprozess ist Hochrisiko-KI. Systeme für Dokumentenerfassung, Betrugserkennung oder interne Prozesssteuerung fallen meist nicht unter Anhang III. Die Abgrenzung sollten Sie je Anwendungsfall dokumentieren, da sie im Prüfungsfall nachgefragt wird.

Aufsicht: BaFin und Bundesnetzagentur

Nach dem KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), in Kraft seit 29. Juli 2026, ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde für KI. Für KI-Systeme, die beaufsichtigte Finanzunternehmen in Verbindung mit ihren Finanzdienstleistungen in Verkehr bringen oder einsetzen, ist die BaFin zuständig. Das entspricht Art. 74 Abs. 6 KI-VO, wonach die Finanzaufsicht diese Rolle übernimmt. Institute haben damit einen Ansprechpartner für Finanz- und KI-Aufsicht, der KI-Fragen in seine laufende Aufsicht einbezieht.

Aufsichtsrechtlicher Rahmen: MaRisk, DORA und Auslagerung

Risikomanagement

Die Mindestanforderungen an das Risikomanagement (MaRisk) konkretisieren § 25a KWG. Sie enthalten keine eigenen KI-Regeln, verlangen aber ordnungsgemäße Geschäftsorganisation, angemessene Prozesse und einen Umgang mit Modellrisiken. KI-Modelle in Kreditentscheidung oder Risikosteuerung müssen in diese Strukturen einbezogen werden: Validierung, Dokumentation, Verantwortlichkeiten und Überwachung von Modellverschlechterung. Für Versicherer gelten die Governance-Anforderungen nach §§ 23 ff. VAG.

DORA

Seit dem 17. Januar 2025 gilt der Digital Operational Resilience Act (Verordnung (EU) 2022/2554) für Finanzunternehmen. DORA verlangt ein IKT-Risikomanagement, Meldung schwerwiegender IKT-Vorfälle, Resilienztests und ein Informationsregister über alle vertraglichen Vereinbarungen mit IKT-Drittdienstleistern. Cloud-basierte KI-Dienste sind IKT-Dienstleistungen in diesem Sinne. Die bisherigen BaFin-Rundschreiben zu IT-Anforderungen sind für DORA-Unternehmen weitgehend abgelöst; die BAIT gelten nur noch für Institute, die nicht unmittelbar unter DORA fallen.

Auslagerung

Bezieht ein Institut KI-Funktionen von einem externen Anbieter, ist zu prüfen, ob eine Auslagerung nach § 25b KWG bzw. § 32 VAG vorliegt und ob diese wesentlich ist. Zusätzlich gelten die DORA-Anforderungen an Verträge mit IKT-Drittdienstleistern (Art. 28 ff. DORA). Der Vertrag mit dem KI-Anbieter sollte daher regeln:

Leistungsbeschreibung, Service-Level und Verfügbarkeit
Informations-, Prüf- und Zugangsrechte für Institut, Prüfer und Aufsicht
Ort der Datenverarbeitung, Unterauftragnehmer, Exit-Strategie
Mitwirkung des Anbieters an KI-VO-Pflichten: Gebrauchsanweisung, Dokumentation, Meldung von Fehlfunktionen
Nutzung von Kundendaten für das Training ausschließen oder eng begrenzen

Automatisierte Entscheidungen: Art. 22 DSGVO und das SCHUFA-Urteil

Nach Art. 22 Abs. 1 DSGVO haben Betroffene das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die ihnen gegenüber rechtliche Wirkung entfaltet oder sie erheblich beeinträchtigt. Der EuGH hat mit Urteil vom 7. Dezember 2023 (C-634/21, SCHUFA Holding) entschieden, dass bereits die automatisierte Ermittlung eines Wahrscheinlichkeitswerts durch eine Auskunftei eine solche Entscheidung sein kann, wenn ein Dritter, etwa eine Bank, dem Wert maßgebliches Gewicht für Abschluss, Durchführung oder Beendigung eines Vertrags beimisst.

Für Institute folgt daraus:

Eine vollautomatisierte Kreditablehnung ist nur zulässig, wenn eine Ausnahme nach Art. 22 Abs. 2 DSGVO greift, etwa die Erforderlichkeit für den Vertrag, und angemessene Schutzmaßnahmen bestehen.
Betroffene müssen eine menschliche Überprüfung verlangen, ihren Standpunkt darlegen und die Entscheidung anfechten können (Art. 22 Abs. 3 DSGVO).
Nach Art. 13 Abs. 2 lit. f und Art. 15 Abs. 1 lit. h DSGVO sind aussagekräftige Informationen über die involvierte Logik zu geben.
Eine menschliche Beteiligung, die die KI-Ausgabe lediglich bestätigt, genügt nicht, um aus Art. 22 DSGVO herauszufallen.

Zusätzlich verlangt die Verbraucherkreditrichtlinie (EU) 2023/2225 bei automatisierter Kreditwürdigkeitsprüfung ein Recht auf menschliches Eingreifen und eine Erläuterung. Die Umsetzung in deutsches Recht ist im Einzelfall zu prüfen.

Robo-Advice und KI in der Anlageberatung

Automatisierte Anlageberatung und Finanzportfolioverwaltung sind erlaubnispflichtige Wertpapierdienstleistungen. Für Robo-Advisor gelten die Wohlverhaltensregeln des WpHG, insbesondere die Geeignetheitsprüfung nach § 64 Abs. 3 WpHG, und die Vorgaben der MiFID II. Der Algorithmus muss die Kundenangaben so erfassen und auswerten, dass die Empfehlung zum Anlageziel, zur Risikobereitschaft und zu den Kenntnissen des Kunden passt. Generative KI im Kundengespräch löst zudem die Hinweispflicht nach Art. 50 Abs. 1 KI-VO aus und darf keine Aussagen treffen, die einer unzulässigen Beratung gleichkommen.

Typische Fehler in der Praxis

Fehler	Folge
Scoring-Modell ohne dokumentierte Bias-Prüfung	Diskriminierungsrisiko nach AGG, Verstoß gegen Art. 10 KI-VO ab Dezember 2027
Sachbearbeiter übernehmen KI-Ablehnungen ohne eigene Prüfung	Faktisch automatisierte Entscheidung nach Art. 22 DSGVO
Cloud-KI ohne Eintrag im DORA-Informationsregister	Aufsichtliche Beanstandung
Chatbot im Kundenservice ohne KI-Hinweis	Verstoß gegen Art. 50 Abs. 1 KI-VO

So unterstützen wir Sie

Einordnung Ihrer KI-Anwendungen nach Anhang III KI-VO und Abgrenzung zur Betrugserkennung
Grundrechte-Folgenabschätzung nach Art. 27 KI-VO und Datenschutz-Folgenabschätzung nach Art. 35 DSGVO
Gestaltung von Kreditprozessen im Einklang mit Art. 22 DSGVO
Verträge mit KI- und Cloud-Anbietern nach DORA und Auslagerungsrecht
Integration der KI-Governance in MaRisk-Strukturen und den Umgang mit Modellrisiken

Häufige Fragen

Ist eine KI zur Betrugserkennung Hochrisiko-KI?

Nein, Systeme, die ausschließlich der Aufdeckung von Finanzbetrug dienen, sind von Anhang III Nr. 5 lit. b KI-VO ausgenommen. Die DSGVO bleibt anwendbar.

Gilt die Hochrisiko-Einstufung auch für Sach- oder Kfz-Versicherungen?

Nach Anhang III Nr. 5 lit. c KI-VO sind nur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung erfasst. Für andere Sparten gelten die allgemeinen Regeln, etwa die DSGVO und das AGG.

Wer beaufsichtigt KI bei einer Bank?

Für KI-Systeme beaufsichtigter Finanzunternehmen im Zusammenhang mit ihren Finanzdienstleistungen ist nach dem KI-MIG die BaFin zuständig.

Reicht es, wenn ein Mitarbeiter die KI-Entscheidung abzeichnet?

Nur wenn er tatsächlich prüft, die Befugnis hat, abzuweichen, und über die nötigen Informationen verfügt. Eine bloße Bestätigung ändert nichts daran, dass eine automatisierte Entscheidung nach Art. 22 DSGVO vorliegt.