Regulierung als Burggraben: Wie DSGVO und der EU AI Act Banken einen Vorteil verschaffen

Hypothetisches Beispiel: Eine Privatkundin beantragt in ihrer Banking-App eine Baufinanzierung und fragt den Assistenten, warum ihr vorgeschlagener Zinssatz von dem ihres Partners abweicht. Während ein unreguliertes US-Sprachmodell nur eine Vermutung liefert, weist die Bank den Entscheidungspfad, die Einkommensmerkmale und die menschliche Freigabestufe nach. In der Sitzung von Vorstand, Recht und Kreditrisiko zeigt sich daran, warum die Datenschutz-Grundverordnung (DSGVO) und der EU AI Act Banken keinen bloßen Prüfaufwand auferlegen, sondern einen Vertrauensvorsprung schaffen. Wer erklärbare Entscheidungen, Einwilligungen und menschliche Aufsicht beherrscht, darf dort handeln, wo externe Plattformen nur mitlesen dürfen.

Viele Häuser betrachten Digitalregulierung noch als Bremse. Tatsächlich verschiebt der Rechtsrahmen den Wettbewerb zugunsten beaufsichtigter Institute — sofern sie die neuen Fristen für eine saubere Architektur nutzen.

Auf einen Blick

• Mit dem am 27. Juli 2026 in Kraft getretenen AI Omnibus (Verordnung (EU) 2026/1744) hat die EU die Frist für Hochrisiko-KI-Systeme nach Anhang III auf den 2. Dezember 2027 verlängert.

• Im Bankgeschäft stuft Anhang III Nummer 5 Buchstabe b des EU AI Act KI-Systeme zur Kreditwürdigkeitsprüfung und zum Kreditscoring natürlicher Personen als Hochrisiko ein, während Betrugserkennung ausgenommen ist.

• Zusammen mit der DSGVO wird geprüfte Nachvollziehbarkeit zum Burggraben gegenüber unregulierten Drittanbietern, weil Kunden bei Konto- und Kreditfragen belastbare Rechenschaft erwarten.

Was der AI Omnibus beim EU AI Act Banken geändert hat

Der am 27. Juli 2026 in Kraft getretene AI Omnibus verschiebt den Geltungsbeginn für Hochrisiko-KI-Systeme nach Anhang III auf den 2. Dezember 2027 und bündelt die Aufsicht über allgemeine KI-Modelle beim europäischen AI Office. Banken gewinnen damit gut ein Jahr, um Kreditprüfungs- und Scoring-Systeme auf harmonisierte Normen umzustellen.

Der EU AI Act ist die Verordnung (EU) 2024/1689, die KI-Systeme europaweit nach ihrem Risiko für Gesundheit, Sicherheit und Grundrechte in vier Stufen reguliert. Wegen Verzögerungen bei Normen und Prüfstellen legte die EU-Kommission Ende 2025 ein Vereinfachungspaket vor. Laut dem Gesetzgebungsfahrplan des Europäischen Parlaments (Oktober 2026) wurde der AI Omnibus (Verordnung (EU) 2026/1744) am 8. Juli 2026 unterzeichnet und trat am 27. Juli 2026 in Kraft.

Wie die Europäische Kommission zum KI-Rechtsrahmen (Oktober 2026) darlegt, gelten seit Februar 2025 die Verbote unannehmbarer Praktiken und die KI-Kompetenzpflicht (Artikel 4) sowie seit August 2025 die Regeln für General-Purpose-AI-Modelle (GPAI). Seit dem 2. August 2026 greifen die Transparenzpflichten nach Artikel 50. Für Hochrisiko-Systeme nach Anhang III gilt der 2. Dezember 2027, für Produkt-KI nach Anhang I der 2. August 2028.

Schaubild: Die sechs Stufen des EU AI Act von 2024 bis 2028 inklusive der neuen Fristen durch den AI Omnibus (Verordnung (EU) 2026/1744).

Welche Bank-Use-Cases Hochrisiko sind und welche nicht

Unter dem EU AI Act fällt im Kerngeschäft einer Bank vor allem die KI-gestützte Kreditwürdigkeitsprüfung und das Kreditscoring natürlicher Personen unter die Hochrisiko-Kategorie, nicht jedoch jede Kundenanalyse. Entscheidend ist der Verwendungszweck des Systems.

Ein Hochrisiko-KI-System nach Artikel 6 Absatz 2 in Verbindung mit Anhang III ist eine Anwendung, die den Zugang natürlicher Personen zu wesentlichen Leistungen maßgeblich beeinflusst. In der Verordnung (EU) 2024/1689 auf EUR-Lex nennt Anhang III Nummer 5 Buchstabe b KI-Systeme zur Bewertung der Kreditwürdigkeit oder Bonität natürlicher Personen — mit Ausnahme der Aufdeckung von Finanzbetrug (siehe den EU AI Act Explorer zu Anhang III).

Erwägungsgrund 58 stellt klar, dass aufsichtsrechtliche Modelle zur Berechnung der Eigenkapitalanforderungen nicht als Hochrisiko im Sinne des AI Act gelten. Auch Service-Assistenten fallen nicht unter Anhang III, solange sie kein Kreditscoring vornehmen; nach Artikel 6 Absatz 3 greift die Ausnahme für vorbereitende Aufgaben jedoch nie, wenn ein Anhang-III-System ein Profiling natürlicher Personen durchführt (Orientierung, keine Rechtsberatung):

Vertrauen als Produkt

Strenge Regeln aus DSGVO und EU AI Act schützen europäische Banken vor unregulierten Plattform-Wettbewerbern, weil sie Kundenvertrauen technisch überprüfbar machen. Wo externe KI-Oberflächen Kontoumsätze zusammenfassen, aber keine regulierte Kreditentscheidung verantworten dürfen, bleibt die Bank die einzige Instanz mit Vollkontext und Prüfkette.

Profiling nach Artikel 4 Nummer 4 DSGVO ist jede automatisierte Verarbeitung personenbezogener Daten, um persönliche Aspekte wie die wirtschaftliche Lage einer Person zu bewerten. Artikel 22 DSGVO schützt Betroffene vor ausschließlich automatisierten Entscheidungen mit erheblicher Wirkung ohne menschliches Eingreifen. Dieses Zusammenspiel bildet den Burggraben, den wir in unseren Beiträgen zu US-Sprachmodellen und dem Girokonto sowie zur Rolle von Vertrauen beim KI-Einsatz in Banken untersucht haben.

Belastbar wird dieser Vorsprung, wenn jede Empfehlung einen dokumentierten Pfad durchläuft — wie bei den fünf Bausteinen einer AI Decision Engine. ACCELERAID unterstützt Institute im Bereich Financial Services mit DSGVO by Design: Die Plattform ist SOC-2-konform (nach SOC 2 Type I zertifiziert (unabhängig geprüft nach SOC 2 Type I)), läuft im ISO-27001-Rechenzentrum in Frankfurt oder auf Anfrage On-Premise und bindet Modelle wie OpenAI über Azure (Region Deutschland) und Gemini über Google Cloud (Frankfurt) an; Fachagenten, Orchestrierung und Control Plane sind in Entwicklung.

Checkliste bis Dezember 2027

Mit sieben Schritten nutzen Vorstände, Compliance und Recht die Frist bis zum 2. Dezember 2027, um Pflichtanforderungen in einen Qualitätsvorteil zu übersetzen. Wer frühzeitig startet, vermeidet Engpässe im Herbst 2027:

1. KI-Bestandsverzeichnis: Alle Modelle in Kredit, Vertrieb, Service und Betrugsprävention erfassen.

2. Anhang-III-Abgrenzung: Hochrisiko-Anwendungen (Anhang III Nr. 5b) von Betrugserkennung und Kundenansprache trennen.

3. Transparenz (Artikel 50): Kunden im Dialog mit Assistenten über den KI-Einsatz informieren.

4. Daten-Governance (Artikel 10): Für Hochrisiko-Modelle Herkunft, Repräsentativität und Bias-Prüfung dokumentieren.

5. Protokollierung (Artikel 12 & 19): Eingabedaten, Modellversion, Regelprüfungen und Ergebnisse revisionssicher speichern.

6. Menschliche Aufsicht (Artikel 14): Schwellenwerte festlegen, ab denen Mitarbeitende Entscheidungen prüfen.

7. Grundrechte-Prüfung (Artikel 27): Die Folgenabschätzung für Kreditscoring mit der Datenschutz-Folgenabschätzung (Artikel 35 DSGVO) verbinden.

Häufige Fragen

Ab wann gelten die Hochrisiko-Pflichten des EU AI Act für das Kreditscoring in Banken?

Durch die Änderungsverordnung zum AI Omnibus (Verordnung (EU) 2026/1744), die am 27. Juli 2026 in Kraft getreten ist, gelten die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III verbindlich ab dem 2. Dezember 2027. Dazu zählen insbesondere KI-Systeme zur Bewertung der Kreditwürdigkeit und zur Ermittlung des Kreditscorings natürlicher Personen.

Ist jedes KI-System in einer Bank automatisch ein Hochrisiko-System nach dem EU AI Act?

Nein, der EU AI Act folgt einem risikobasierten Ansatz und stuft im Bankbereich vor allem die Kreditwürdigkeitsprüfung und das Kreditscoring natürlicher Personen als Hochrisiko ein. KI-Systeme zur Betrugserkennung sind in Anhang III Nummer 5 Buchstabe b ausdrücklich ausgenommen, und Kunden-Chatbots unterliegen in der Regel den Transparenzpflichten nach Artikel 50.

Wie greifen DSGVO und EU AI Act bei automatisierten Bankentscheidungen ineinander?

Die DSGVO regelt den rechtmäßigen Umgang mit personenbezogenen Daten, die Zweckbindung, die Einwilligung sowie den Schutz vor rein automatisierten Einzelentscheidungen nach Artikel 22. Der EU AI Act ergänzt dies auf Systemebene um Anforderungen an Datenqualität, Risikomanagement, technische Dokumentation, automatische Protokollierung und wirksame menschliche Aufsicht für Hochrisiko-Anwendungen.

Wenn Sie besprechen möchten, wie Ihre Bank die Frist bis Dezember 2027 für eine prüfbare KI- und Entscheidungsarchitektur nutzt, nehmen Sie Kontakt mit uns auf.

Illustration: KI-generiert. KI-gestützte Inhalte: Bei der Erstellung unserer Beiträge setzen wir KI-Technologien und automatisierte Agenten ein, unter anderem von Microsoft, Google, OpenAI, Anthropic und weiteren Anbietern. Themen, fachliche Ausrichtung und finale Freigabe liegen bei unserem Team.