Kaum eine Branche setzt KI so breit ein wie der Finanzsektor: Kreditentscheidungen, Betrugserkennung, Tarifierung, Kundenservice, Dokumentenprüfung, Anlageberatung. Und kaum eine Branche ist so dicht reguliert. Der AI Act kommt zu bestehenden Pflichten hinzu und verbindet sich mit ihnen. Dieser Beitrag beschreibt, welche Anwendungen betroffen sind, welche Rolle die Finanzaufsicht spielt und was für Schweizer Institute gilt.
Welche Anwendungen hochriskant sind
Anhang III des AI Act nennt für den Finanzsektor zwei Fallgruppen ausdrücklich. Erstens KI-Systeme, die die Kreditwürdigkeit natürlicher Personen bewerten oder ihre Kreditpunktzahl ermitteln. Systeme, die der Aufdeckung von Finanzbetrug dienen, sind davon ausdrücklich ausgenommen. Zweitens KI-Systeme für die Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung bei natürlichen Personen. Für beide gelten ab dem 2. Dezember 2027 die vollen Hochrisiko-Pflichten, für Anbieter wie für Betreiber.
Viele andere Anwendungen im Finanzsektor sind nicht hochriskant: Chatbots im Kundenservice, interne Assistenten, Dokumentenextraktion oder Betrugserkennung. Für sie gelten aber die KI-Kompetenzpflicht nach Art. 4 und, wo Menschen mit KI interagieren, die Transparenzpflichten nach Art. 50.
Grundrechte-Folgenabschätzung
Wer als Betreiber KI zur Kreditwürdigkeitsprüfung oder zur Tarifierung in der Lebens- und Krankenversicherung einsetzt, muss vor dem ersten Einsatz eine Grundrechte-Folgenabschätzung durchführen und das Ergebnis der Behörde melden. Das ist eine der wenigen Stellen, an denen der AI Act private Unternehmen ausserhalb des öffentlichen Sektors zu einer FRIA verpflichtet — und sie trifft genau diese Finanzanwendungen.
Die Finanzaufsicht als Marktüberwachung
Für KI-Systeme, die von beaufsichtigten Finanzinstituten in Verkehr gebracht oder verwendet werden, ist in der EU grundsätzlich die zuständige Finanzaufsicht auch Marktüberwachungsbehörde nach dem AI Act. Für Banken und Versicherungen heisst das: Der AI Act wird nicht von einer fremden Behörde geprüft, sondern von der Stelle, die ohnehin ihre Governance und ihr Risikomanagement beaufsichtigt. Der AI Act erlaubt zudem, bestimmte Pflichten über die bestehenden Governance-Anforderungen des Finanzmarktrechts zu erfüllen, statt parallele Strukturen aufzubauen.
DORA und KI-Anbieter
Seit dem 17. Januar 2025 gilt in der EU der Digital Operational Resilience Act (DORA). Er verlangt von Finanzunternehmen ein Management der IKT-Risiken, einschliesslich der Risiken aus Drittanbietern. Wer KI-Dienste von externen Anbietern bezieht, etwa Sprachmodelle über eine API, muss sie in dieses Drittanbieter-Risikomanagement einbeziehen: Vertragsgestaltung, Ausstiegsstrategie, Überwachung, Meldung schwerwiegender Vorfälle. AI Act und DORA ergänzen sich: Der eine regelt die Eigenschaften des KI-Systems, der andere die Widerstandsfähigkeit des Betriebs.
Der Schweizer Rahmen
Schweizer Banken und Versicherungen unterliegen dem AI Act, soweit sie KI-Systeme in der EU anbieten oder deren Ergebnisse dort verwenden, etwa über EU-Tochtergesellschaften. Unabhängig davon hat die FINMA im Dezember 2024 mit der Aufsichtsmitteilung 08/2024 ihre Erwartungen an Governance und Risikomanagement beim Einsatz von KI formuliert. Sie betreffen unter anderem klare Verantwortlichkeiten, ein Inventar mit Risikoeinstufung der Anwendungen, Datenqualität, Tests und laufende Überwachung, Dokumentation, Erklärbarkeit und unabhängige Überprüfung. Wer diese Erwartungen erfüllt, hat einen grossen Teil der AI-Act-Vorbereitung bereits geleistet. Für automatisierte Einzelentscheidungen, etwa eine vollautomatische Kreditablehnung, gelten zudem die Informations- und Anhörungsrechte des Schweizer Datenschutzgesetzes.
Was Finanzinstitute jetzt tun sollten
1. Ein KI-Inventar führen, das AI-Act-Risikoklasse, FINMA-Risikoeinstufung und datenschutzrechtliche Einordnung zusammenführt.
2. Kreditwürdigkeits- und Tarifierungsanwendungen identifizieren und gegen Anhang III und die Ausnahmen prüfen.
3. Für diese Anwendungen die Hochrisiko-Anforderungen und die FRIA bis Dezember 2027 vorbereiten.
4. Externe KI-Anbieter in das Drittanbieter-Risikomanagement nach DORA beziehungsweise in das Outsourcing-Management einbeziehen.
5. KI-Kompetenzmassnahmen für Fachbereiche, Risikomanagement und Revision planen und dokumentieren.
Unterstützung
Für die Einstufung einzelner Systeme eignet sich AI Risk Check. Die Umsetzung im regulierten Umfeld begleiten wir im Rahmen der Hochrisiko-Konformität und des FRIA-und-DSFA-Pakets. Die sektorale Einordnung beschreibt auch unsere Branchenseite zur AI-Act-Compliance für Banken.