KI bei Banken: Welche Anwendungen unter den EU AI Act fallen
Bei Banken verteilt sich KI über alle Risikoklassen: Kreditscoring natürlicher Personen ist hochriskant (Annex III Nr. 5b, plus FRIA-Pflicht); reine Betrugserkennung ist ausgenommen; Robo-Advisory und Chatbots sind meist begrenztes Risiko (Transparenz); interne Prozessoptimierung ist minimal. Parallel gelten DORA, BaFin/FINMA-Aufsicht und DSGVO. Die Trennung von Betrugserkennung und Bonitätsbewertung ist die wichtigste Abgrenzung.
Banken: KI über die gesamte Risikopyramide
Kaum eine Branche nutzt KI so breit wie der Finanzsektor — und kaum eine verteilt sich so vollständig über alle Risikoklassen des AI Act. Für Banken ist deshalb die saubere Zuordnung jeder einzelnen Anwendung entscheidend, zumal parallel ein dichtes Aufsichtsrecht gilt.
Hochrisiko: Kreditscoring (Annex III Nr. 5b)
KI zur Bewertung der Kreditwürdigkeit natürlicher Personen ist hochriskant. Das volle Pflichtenprogramm greift, und Banken als Deployer gehören zum Kreis, der zusätzlich eine FRIA (Art. 27) durchführen muss. Diskriminierungsfreiheit ist hier nicht nur ethisch, sondern rechtlich zwingend — fehlerhafte oder verzerrte Scoring-Modelle berühren unmittelbar den Zugang zu Finanzdienstleistungen.
Die Ausnahme: reine Betrugserkennung
Eine zentrale Entlastung: KI, die ausschließlich der Aufdeckung von Finanzbetrug dient, ist von der Hochrisiko-Einstufung ausgenommen. Eine Transaktions-Betrugserkennung, die verdächtige Muster markiert, ist also kein Hochrisiko-System. Die Grenze ist scharf: Sobald dieselbe oder eine verbundene KI in die Bonitätsbewertung einfließt, kippt die Einordnung. Banken sollten Betrugserkennung und Scoring sauber und dokumentiert trennen.
Begrenztes Risiko: Robo-Advisory und Chatbots
Robo-Advisory (automatisierte Anlageberatung) und Kundenservice-Chatbots sind meist begrenztes Risiko: Sie unterliegen der Transparenzpflicht nach Art. 50 (Offenlegung der KI-Interaktion), aber nicht dem Hochrisiko-Programm. Vorsicht jedoch, wenn ein Chatbot bindende Entscheidungen über den Zugang zu Finanzdienstleistungen trifft — dann kann er in Annex III Nr. 5 kippen.
Minimales Risiko: interne Optimierung
KI zur internen Prozessoptimierung — Liquiditätsprognosen, Dokumentenklassifikation, Backoffice-Automatisierung ohne Entscheidungswirkung gegenüber Kunden — ist in der Regel minimales Risiko. Es bleibt die Querschnittspflicht zur KI-Kompetenz (Art. 4).
Die Aufsichts-Überlagerung: DORA, BaFin, FINMA
Bank-KI steht nie nur unter dem AI Act. Parallel greifen die DORA-Verordnung (digitale operationale Resilienz, inkl. Drittparteienrisiko bei KI-Dienstleistern), die Aufsicht durch BaFin (DE), FINMA (CH) oder FMA (AT) sowie die DSGVO/DSG. Eine Hochrisiko-Kreditscoring-KI muss gleichzeitig AI-Act-konform, aufsichtsrechtlich tragfähig, datenschutzkonform und operational resilient sein. Diese Regime sollten in einer gemeinsamen Governance zusammengeführt werden.
Praxis-Zuordnung auf einen Blick
Kreditscoring (Privatkunden) → hochrisiko + FRIA. Betrugserkennung (rein) → ausgenommen. Versicherungs-/Lebensversicherungs-Risikobewertung → hochrisiko (Nr. 5c). Robo-Advisory → begrenzt. Kundenservice-Chatbot → begrenzt. AML/Geldwäsche-Monitoring → meist ausgenommen/begrenzt, je nach Funktion. Interne Forecasts → minimal.
Was Banken jetzt tun sollten
Inventarisieren Sie alle KI-Anwendungen, trennen Sie Betrugserkennung und Bonitätsbewertung dokumentiert, planen Sie die FRIA für Scoring-Systeme und führen Sie AI-Act-Compliance mit DORA-, Aufsichts- und Datenschutz-Governance zusammen. Planungshorizont Hochrisiko: 2. Dezember 2027 (Digital Omnibus).
Häufig gestellte Fragen
Ist Kreditscoring bei Banken hochriskant?+
Ja, wenn es die Kreditwürdigkeit natürlicher Personen bewertet — dann fällt es unter Annex III Nr. 5b mit vollem Pflichtenprogramm. Banken als Deployer müssen zusätzlich eine FRIA (Art. 27) durchführen. Reines Firmenkunden-Scoring juristischer Personen fällt nicht unter Nr. 5b.
Ist Betrugserkennung im Bankwesen hochriskant?+
Reine Finanzbetrugs-Erkennung ist ausdrücklich vom Hochrisiko ausgenommen. Sobald dieselbe oder eine verbundene KI jedoch in die Kreditwürdigkeitsbewertung einfließt, greift Annex III Nr. 5. Die Trennung muss dokumentiert sein.
Welche Risikoklasse hat ein Banking-Chatbot?+
Meist begrenztes Risiko mit Transparenzpflicht nach Art. 50. Trifft der Chatbot jedoch bindende Entscheidungen über den Zugang zu Finanzdienstleistungen — etwa eine automatische Kreditablehnung — kann er hochriskant werden.
Reicht AI-Act-Compliance im Bankwesen aus?+
Nein. Parallel gelten DORA, die Aufsicht durch BaFin/FINMA/FMA und die DSGVO/DSG. Eine Hochrisiko-Bank-KI muss AI-Act-konform, aufsichtsrechtlich tragfähig, datenschutzkonform und operational resilient sein.
Direkt prüfen — kostenlos
Prüfe in 5 Minuten ob deine KI-Systeme unter den EU AI Act fallen — mit sofortigem Ergebnis.
Kostenloser EU AI Act Check →Dieser Artikel basiert auf der Verordnung (EU) 2024/1689 (EUR-Lex Originaltext) und EU-AI-Office-Guidelines. Wird monatlich aktualisiert. Hinweis: Technische Orientierung — kein Ersatz für Rechtsberatung.
Zuletzt aktualisiert: Juni 2026