KI in Banken: Service, Compliance und Kreditprüfung

KI in Banken ist längst Alltag, etwa bei der Erkennung verdächtiger Transaktionen. Mit Sprachmodellen kommen neue Anwendungen hinzu: Assistenten für Beschäftigte, Auswertung von Dokumenten, bessere Kundenkommunikation. Gleichzeitig ist kaum eine Branche so stark reguliert, und die KI-Verordnung stuft die Kreditwürdigkeitsprüfung von Privatpersonen ausdrücklich als Hochrisiko ein.

Typische Einsatzfelder

• Interne Wissensassistenten: Beschäftigte fragen nach Produktbedingungen, internen Anweisungen oder Prozessen und erhalten Antworten mit Quelle.
• Kundenservice: Anfragen sortieren, Antworten vorbereiten, Chatbots für Standardfragen.
• Dokumente: Jahresabschlüsse, Verträge und Sicherheitenunterlagen zusammenfassen, Daten extrahieren.
• Compliance: Regulatorische Texte durchsuchen, Änderungen zusammenfassen, Prüfberichte strukturieren.
• Softwareentwicklung: Code-Assistenz in IT-Abteilungen.

Hochrisiko: Kreditwürdigkeit

Nach Anhang III der KI-Verordnung (EU) 2024/1689 gelten KI-Systeme als Hochrisiko, die die Kreditwürdigkeit natürlicher Personen bewerten oder ihre Bonität feststellen sollen. Ausgenommen sind Systeme, die zur Aufdeckung von Finanzbetrug eingesetzt werden. Nach der Änderungsverordnung (EU) 2026/1744 gelten die Hochrisiko-Pflichten für Anhang III ab dem 2. Dezember 2027. Betroffen sind dann unter anderem Risikomanagement, Datenqualität, Dokumentation, Protokollierung und menschliche Aufsicht. Wer solche Systeme einsetzt, sollte die Vorbereitung nicht bis kurz vor die Frist aufschieben. Eine erste Einordnung bietet der Risikoklassen-Check.

Zusätzlich gilt Art. 22 DSGVO: Ausschließlich automatisierte Entscheidungen mit erheblicher Wirkung, etwa die Ablehnung eines Kredits, sind nur unter engen Voraussetzungen zulässig, und Betroffene haben Rechte auf Information und menschliches Eingreifen.

Aufsicht und IT-Risiko

Banken müssen auch bei KI die bestehenden Anforderungen an IT-Risikomanagement, Auslagerung und Informationssicherheit erfüllen, etwa nach der europäischen Verordnung über die digitale operationale Resilienz (DORA) und den nationalen Aufsichtsvorgaben. Für Cloud-KI-Dienste heißt das: Auslagerungsprüfung, Vertragsgestaltung, Ausstiegsstrategie und Kontrolle von Unterauftragnehmern. Viele Institute prüfen deshalb auch Modelle, die in eigener Infrastruktur laufen; Vor- und Nachteile im Ratgeber Open-Weight oder API.

Generative KI sicher einsetzen

1. Keine Kundendaten in nicht freigegebene Dienste: Kontonummern, Umsätze und Personendaten bleiben in geprüften Systemen.
2. Antworten mit Quelle: Wissensassistenten verweisen auf die interne Anweisung, aus der die Antwort stammt.
3. Keine Anlageberatung durch Chatbots: Allgemeine Sprachmodelle dürfen keine individuellen Anlage- oder Kreditempfehlungen geben.
4. Schutz vor Manipulation: Eingaben von außen, etwa Kundenmails, können versteckte Anweisungen enthalten. Der Ratgeber KI-Agenten absichern zeigt Schutzmaßnahmen.

Bestandsaufnahme als erster Schritt

Viele Institute wissen nicht genau, wo überall KI im Einsatz ist, etwa in zugekauften Produkten. Ein vollständiges Verzeichnis mit Zweck, Anbieter, Risikoklasse, Datenkategorien und Verantwortlichen ist Grundlage für alles Weitere. Eine Vorlage liefert der KI-Verzeichnis-Generator; wie man vorgeht, beschreibt der Ratgeber KI-Inventar erstellen.

Kompetenz und Verantwortung

Seit dem 2. Februar 2025 müssen Unternehmen nach Art. 4 KI-Verordnung für ausreichende KI-Kompetenz ihrer Beschäftigten sorgen. In Banken betrifft das Kundenberater ebenso wie Kreditanalysten und Entwickler. Wichtig ist, dass Beschäftigte die Grenzen der Systeme kennen und Ergebnisse kritisch prüfen. Dieser Text ist keine Rechtsberatung.

Ein pragmatischer Start sind interne Assistenten ohne Kundendaten, etwa für Fragen zu Arbeitsanweisungen oder Produktbedingungen. Sie zeigen schnell, ob Mitarbeitende die Antworten nutzen, und liefern Erfahrungen für anspruchsvollere Projekte.