Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat eine neue Orientierungshilfe veröffentlicht, die Finanzunternehmen beim Umgang mit Informations- und Kommunikationstechnologie-Risiken (IKT) im Zusammenhang mit Künstlicher Intelligenz unterstützen soll. Hintergrund ist der zunehmende Einsatz von KI-Systemen in Banken, Versicherungen und anderen Finanzinstituten – und die damit verbundenen operativen und technologischen Risiken.
KI wird im Finanzsektor mittlerweile entlang nahezu der gesamten Wertschöpfungskette eingesetzt, etwa bei Kreditentscheidungen, Betrugsprävention, Risikomodellen oder im Kundenservice. Gleichzeitig können Entwicklung, Betrieb und Auslagerung solcher Systeme erhebliche Risiken für die IT-Sicherheit, Datenintegrität und die operative Stabilität mit sich bringen. Genau hier setzt die neue BaFin-Orientierungshilfe an.
Die Veröffentlichung ist ausdrücklich als unverbindliche Hilfestellung konzipiert. Sie soll Finanzunternehmen dabei unterstützen, die regulatorischen Anforderungen des Digital Operational Resilience Act (DORA) beim Einsatz von KI praktisch umzusetzen und ihre IKT-Risiken systematisch zu steuern. Adressaten sind insbesondere Institute, die unter die Capital Requirements Regulation (CRR) fallen, sowie Versicherer, die nach Solvency II beaufsichtigt werden.
Im Mittelpunkt der Orientierungshilfe stehen zwei Kernbereiche: das IKT-Risikomanagement und das IKT-Drittparteienrisikomanagement. Die BaFin betrachtet dabei den gesamten Lebenszyklus eines KI-Systems. Dieser reicht von der Beschaffung und Qualität der verwendeten Daten über die Modellentwicklung und Implementierung bis hin zum laufenden Betrieb und der späteren Stilllegung. In jeder dieser Phasen müssen Sicherheit, Verfügbarkeit und Resilienz der eingesetzten Systeme gewährleistet sein.
Die Aufsicht macht deutlich, dass KI-Systeme nicht isoliert betrachtet werden dürfen. Sie müssen vielmehr vollständig in den bestehenden IKT-Risikomanagementrahmen eines Unternehmens integriert werden. Neben spezifischen technischen Schutzmaßnahmen für IT-Assets ist auch eine klare organisatorische Einbindung entscheidend, etwa durch definierte Verantwortlichkeiten, Kontrollmechanismen und regelmäßige Überprüfungen.
In die Orientierungshilfe sind zudem praktische Erfahrungen der Industrie mit dem Einsatz von KI eingeflossen. Damit verfolgt die BaFin das Ziel, regulatorische Anforderungen nicht nur abstrakt darzustellen, sondern sie möglichst praxisnah und anschlussfähig für die betroffenen Unternehmen aufzubereiten.
Für Finanzunternehmen signalisiert die Veröffentlichung klar: Der Einsatz von Künstlicher Intelligenz wird aufsichtsrechtlich akzeptiert und erwartet – allerdings nur, wenn die damit verbundenen IKT-Risiken strukturiert, transparent und im Einklang mit DORA gemanagt werden.
