Kredit- und Risikobewertungsmodelle unterliegen auch heute noch dem AI Act
Eine politische Einigung, die die Pflichten für Hochrisiko-Systeme im Rahmen des EU AI Act auf Dezember 2027 verschiebt, hat viele Finanzinstitute dazu verleitet, die gesamte Regulierung als „Problem für das nächste Jahr“ abzutun. Diese Annahme ist jedoch falsch und führt zu echten Risiken für Institute, die KI bereits heute für Kreditentscheidungen, Betrugserkennung und Risikobewertung einsetzen. Die Verschiebung betrifft nur ein bestimmtes Kapitel des Gesetzes. Mehrere andere Pflichten wurden davon nie berührt, einige gelten bereits jetzt.
Es ist leicht, eine gezielte Verzögerung mit einem generellen Aufschub zu verwechseln, wenn Schlagzeilen wie „KI-Gesetz verschoben“ ohne weitere Erläuterung erscheinen. Das praktische Risiko: Ein Institut stellt die Vorbereitung vollständig ein und stellt dann fest, dass weiterhin bindende Vorschriften – etwa Transparenzpflichten und Pflichten für Anbieter von General-Purpose-KI-Modellen, die oft als Grundlage für Kreditbewertungstools dienen – nie Teil der Verschiebung waren. Dieser Artikel erklärt, was die Verschiebung für Finanzinstitute tatsächlich abdeckt, was unberührt bleibt und was das für die KI-Governance bedeutet, die bereits laufen sollte.
Executive Summary
Die Digital-Omnibus-Änderung des EU AI Act hat die Anwendung der Pflichten für Hochrisiko-Systeme aktuell auf Dezember 2027 verschoben, da die technischen Standards noch nicht fertiggestellt sind. Diese Verschiebung ist konkret und spezifisch: Sie gilt für Kapitel III. Sie betrifft nicht die Verbote unzulässiger Praktiken, die Pflichten für Anbieter von General-Purpose-KI-Modellen oder die Transparenzanforderungen rund um KI-generierte Inhalte und Offenlegung von KI-Interaktionen – mehrere davon sind für Finanzinstitute bereits heute bindend. Für Verantwortliche aus Risiko und Compliance bedeutet das: Das Jahr 2027 ist nicht die richtige Frist, wenn jede Pflicht aus dem AI Act als noch ausstehend betrachtet wird.
Wichtige Erkenntnisse
- Nur die Pflichten für Hochrisiko-Systeme aus Kapitel III wurden verschoben, nicht das gesamte Gesetz. Kreditbewertung ist eine Hochrisiko-Kategorie gemäß Anhang III und wird auf Dezember 2027 verschoben, während andere Kapitel wie geplant fortschreiten.
- Transparenzpflichten nach Artikel 50 wurden nicht verschoben und gelten bereits. Die Offenlegung von KI-Interaktionen und die Kennzeichnung KI-generierter Inhalte sind aktuelle Pflichten für alle kundenorientierten KI-Anwendungen, keine zukünftigen.
- Pflichten für Anbieter von General-Purpose-KI-Modellen wurden durch die Verschiebung nicht berührt. Viele Kredit- und Betrugsbewertungstools basieren auf solchen Modellen, deren zugrundeliegende Pflichten schon vor der Verschiebung galten.
- Verbotene KI-Praktiken bleiben unabhängig vom Hochrisiko-Zeitplan untersagt. Die Verschiebung betrifft nur den Zeitpunkt der Konformitätsbewertung für Hochrisiko-Systeme, nicht die Zulässigkeit von Praktiken mit unannehmbarem Risiko.
- Jetzt aufgebaute Governance-Infrastruktur für Transparenz und Dokumentation zahlt auf die spätere Hochrisiko-Compliance ein. Wer bis zur Frist 2027 wartet, muss dieselben Fähigkeiten doppelt aufbauen.
Was der Digital Omnibus für Kredit- und Risikobewertung tatsächlich verschoben hat
Der Mechanismus der Verschiebung wurde eingeführt, weil die technischen Standards und Werkzeuge für die Konformitätsbewertung der Hochrisiko-Pflichten nicht rechtzeitig fertig waren – nicht, weil sich die politischen Ziele geändert hätten.
Gezielte Verzögerung für Kapitel III, kein Neustart des Gesetzes
Die Verschiebung gilt für Konformitätsbewertung, technische Dokumentation und das umfassende Compliance-Regime, dem Kreditbewertungs- und Betrugserkennungssysteme als Anhang-III-Kategorien unterliegen. Alles außerhalb dieses Kapitels läuft nach dem ursprünglichen Zeitplan weiter.
Backstop-Termine, weil Standards noch nachgezogen werden
Das neue Datum dient als Backstop: Die Hochrisiko-Pflichten gelten, sobald die nötigen Standards bereitstehen – spätestens aber im Dezember 2027. Die Aufsichtsbehörden erwarten, dass Institute sich während der Verlängerung weiter vorbereiten.
Was für Finanzinstitute bereits gilt – mit oder ohne Verschiebung
Mehrere Pflichten liegen vollständig außerhalb von Kapitel III und gelten nach dem ursprünglichen Zeitplan.
Pflichten für General-Purpose-KI-Modelle galten schon vor der Verschiebung
Anbieter von General-Purpose-KI-Modellen, auf denen viele Risiko- und Betrugsbewertungstools basieren, unterliegen bereits seit vor der Digital-Omnibus-Initiative Dokumentations-, Transparenz- und Sicherheitsanforderungen.
Transparenz- und Offenlegungspflichten gelten jetzt
Die Pflicht, Kunden über KI-Interaktionen zu informieren, gilt nach dem ursprünglichen Zeitplan und wurde durch den Omnibus nicht verschoben. Ein Institut, das eine kundenorientierte Kredit- oder Betrugs-KI ohne Berücksichtigung dieser Pflichten einsetzt, befindet sich nicht in einer Schonfrist.
Warum eine Pause bei der Umsetzung später teurer wird
Ein Institut, das alle KI-Governance-Aktivitäten einstellt, weil „die Frist auf 2027 verschoben wurde“, verwirft Vorarbeiten, die das Erreichen der Hochrisiko-Compliance später erleichtert hätten.
Jetzt erstellte Dokumentation und Protokollierung sind keine verlorene Arbeit
Die Aufzeichnungs- und Zugriffskontrollfunktionen, die Hochrisiko-Systeme später benötigen, überschneiden sich weitgehend mit den Anforderungen an Transparenz und General-Purpose-Modelle, die bereits heute gelten.
KI-Governance auf Basis der aktuell geltenden Pflichten aufbauen
Praktisch bedeutet das: Die Pflichten aus dem AI Act müssen in solche unterschieden werden, die bereits jetzt gelten, und solche, die mit Backstop bis 2027 laufen. Die Governance-Arbeit sollte sofort auf die erste Liste ausgerichtet werden.
Wie eine Data Control Plane KI-Governance-Pflichten bereits heute unterstützt
Die Kiteworks Data Control Plane setzt datenbasierte zero-trust-Kontrollen auf jede Aktion eines Anwenders oder KI-Agenten über alle Kanäle hinweg ein und protokolliert jede einzelne in einem fälschungssicheren, ungedrosselten Audit-Trail, der direkt in SIEM-Tools eingespeist wird. Da die Protokollierung vollständig und niemals stichprobenartig erfolgt, können Institute den detaillierten, abfragbaren Nachweis über KI-bezogene Datenzugriffe liefern, den aktuelle Transparenz- und Dokumentationspflichten verlangen – und der für spätere Hochrisiko-Anforderungen noch detaillierter erwartet wird.
Institute, die sehen möchten, wie kontinuierliche, kanalübergreifende Nachweise ihre aktuellen KI-Governance-Pflichten unterstützen, können eine individuelle Demo anfordern.
Häufig gestellte Fragen
Nur die Pflichten für Hochrisiko-Systeme aus Kapitel III wurden auf Dezember 2027 verschoben; die übrigen Teile des Gesetzes sind davon nicht betroffen.
Ja, die Transparenzanforderungen aus Artikel 50 zur Offenlegung von KI-Interaktionen und Kennzeichnung KI-generierter Inhalte sind bereits in Kraft und wurden nicht verschoben.
Ja, diese Pflichten wurden durch den Digital Omnibus nicht berührt und gelten bereits seit vor der Verschiebung – sie betreffen viele Kredit- und Betrugsbewertungstools.
Jetzt erstellte Dokumentation und Protokollierung für aktuelle Transparenzpflichten überschneiden sich mit künftigen Hochrisiko-Anforderungen – wer jetzt wartet, muss später dieselben Fähigkeiten erneut aufbauen.