Die KI-Verordnung für Fintech-KI

Fintech ist eine der wenigen Branchen, die in der Hochrisikoliste der KI-Verordnung direkt benannt sind. Anhang III, Nummer 5 erfasst KI, die die Kreditwürdigkeit bewertet oder eine Kreditwürdigkeitsbewertung erstellt, sowie KI zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung. Wenn Ihr Modell entscheidet - oder maßgeblich beeinflusst -, ob ein Mensch Geld bekommt, sind Sie in dieser Kategorie.

Aber "Fintech" reicht von Consumer-Scoring bis zu B2B-Rechnungswerkzeugen, und die Verordnung behandelt das völlig unterschiedlich. Die Trennlinie ist wie überall in dieser Verordnung: Ist eine natürliche Person Gegenstand der Bewertung?

Wo Fintech-KI landet

Zwei Fallen sind es wert, benannt zu werden. "Maßgeblich beeinflussen" zählt als Entscheiden - ein Modell, das eine Bewilligung nur "empfiehlt", der die Sachbearbeitung aber in 95% der Fälle folgt, entscheidet im Sinne von Anhang III. Und die Ausnahme für Betrugserkennung ist eng: Sie deckt das Aufdecken von Betrug ab, nicht das Umwidmen desselben Modells, um "wenn wir schon dabei sind" die Kreditwürdigkeit zu bewerten. Gleiches Modell, neuer Zweck, neue Einstufung.

Wenn Sie hochriskant sind: der Arbeitsplan bis 2027

Die Anbieterpflichten greifen am 2. Dezember 2027: Risikomanagement (Art. 9), Daten-Governance mit Prüfung auf Verzerrungen (Art. 10 - im Kreditgeschäft besonders heikel, weil das Training auf historischen Kreditentscheidungen historische Kreditdiskriminierung reproduziert), technische Dokumentation, Protokollierung, Gestaltung der menschlichen Aufsicht (Art. 14 - die Sachbearbeitung muss verstehen und überstimmen können, nicht nur auf Bewilligen klicken), Nachweise zu Genauigkeit und Robustheit, Konformitätsbewertung, CE-Kennzeichnung, Registrierung. Realistisch sind das 12-18 Monate Arbeit - Dezember 2027 bedeutet Arbeitsbeginn im Jahr 2026, und genau das übersehen die meisten Fintech-Teams derzeit.

Banken und lizenzierte Institute bekommen eine strukturelle Erleichterung: Vieles davon lässt sich in die Governance einbetten, die Sie unter CRD und Solvency ohnehin betreiben - Modellrisikomanagement, interne Revision, Dokumentationsdisziplin. Für regulierte Institute ist die Verordnung weitgehend eine Formalisierung bestehender Modell-Governance. Für unregulierte Kredit-Start-ups ist sie ein neues Rückgrat und die längere Stange.

Schon durchsetzbar, schon überlappend

Seit dem 2. August 2026: Artikel 50 - Ihr kundenseitiger Bot legt offen, dass er KI ist; Artikel 4 - protokollierte KI-Kompetenz für das Personal, das die Modelle betreibt; Artikel 5 - keine soziale Bewertung, keine Emotionserkennung bei Personal oder Kundschaft in verbotenen Kontexten.

Und parallel dazu, ohne Schonfrist: Artikel 22 DSGVO - das Recht einer abgelehnten Person auf menschliche Überprüfung einer automatisierten Kreditentscheidung (mit der Aufsicht nach Art. 14 abstimmen, einmal lösen); die DSFA - beim Scoring nahezu sicher erforderlich, speist direkt Artikel 9; und Verbraucherkreditrecht, das erklärbare Entscheidungen ohnehin verlangt. Die Überschneidungen sind die Stelle, an der sich die Arbeit häuft - oder halbiert, wenn Sie sie richtig sortieren.

Wo Sie anfangen

Der kostenlose Zwei-Minuten-Check bestätigt die Risikoklasse pro System. Wenn Sie im Kredit- oder Versicherungspricing sind, lauten die kurzfristigen Lieferergebnisse: die Rollenfrage schriftlich (Anbieter oder Betreiber - Bank-Anbieter-Beziehungen machen das wirklich strittig), die Korrektur der Offenlegung, falls ein Bot mit der Kundschaft spricht, die Kompetenzschulung und ein datiertes Positionspapier - denn Ihre nächste Unternehmenspartnerschaft, Ihre Aufsicht oder die Due Diligence Ihrer Series A wird genau danach fragen. Der vollständige Report (auf Englisch) erzeugt es mit Bezug auf Ihr tatsächliches Produkt und mit den korrekten Daten nach dem Omnibus.