Finanzsektor: KI-Verordnung und DORA in einem Rahmen

Für Banken, Sparkassen, Versicherer, Zahlungs- und Wertpapierinstitute treffen zwei Regelwerke aufeinander. Die KI-Verordnung fragt, was ein System tun darf und unter welchen Bedingungen. DORA fragt, wie es sicher und widerstandsfähig betrieben wird. Beide gelten nebeneinander, und die Aufsicht erwartet, dass sie nicht in getrennten Projekten nebeneinanderher laufen.

Was die Aufsicht erwartet

BaFin: Orientierungshilfe zu IKT-Risiken beim Einsatz von KI (18. Dezember 2025)

Die BaFin ordnet KI-Systeme als Netzwerk- und Informationssysteme im Sinne von Art. 3 Nr. 2 DORA ein. Damit gelten für sie alle Anforderungen des IKT-Risikomanagements, ohne Sonderstatus: Erfassung als IKT-Asset, Einbindung in Risikoanalyse, Schutz und Erkennung, Tests, Vorfallmanagement und Steuerung der Drittanbieter. Die Orientierungshilfe betrachtet den gesamten KI-Lebenszyklus von der Datenbeschaffung über Modellentwicklung und Bereitstellung bis zu Betrieb und Stilllegung, betont die Kenntnisse von Mitarbeitenden und Leitungsorgan und nennt Testverfahren wie Adversarial Testing und Stresstests. Sie stellt keine verbindliche DORA-Auslegung dar, beschreibt aber den Maßstab, an dem sich Prüfungen orientieren werden.

EBA: Auswirkungen der KI-Verordnung auf den Bankensektor (November 2025)

Die EBA hat die KI-Verordnung im November 2025 mit dem Banken- und Zahlungsverkehrsrecht abgeglichen und keine wesentlichen Widersprüche festgestellt. Die KI-Verordnung ergänzt die bestehenden Anforderungen an Governance, Risikomanagement und Auslagerung, insbesondere bei der Kreditwürdigkeitsprüfung. Neue EBA-Leitlinien sind vorerst nicht geplant.

EIOPA: Stellungnahme zu KI-Governance und Risikomanagement (6. August 2025)

Für Versicherer, die KI außerhalb der Hochrisiko-Fälle einsetzen, beschreibt EIOPA, wie die bestehenden Anforderungen aus Solvency II und IDD auf KI anzuwenden sind, ohne neue Anforderungen aufzustellen: risikobasiert und verhältnismäßig, mit Blick auf Fairness, Daten-Governance, Dokumentation, Erklärbarkeit, menschliche Aufsicht und Robustheit.

Wo sich die Regelwerke treffen

Der Umsetzungsweg

1. Inventar mit beiden Sichten

   KI-Einstufung und DORA-Kritikalität nebeneinander, verknüpft mit Geschäftsfunktionen und Drittanbietern. Ein Chatbot kann nach der KI-Verordnung minimal riskant und nach DORA Teil einer kritischen Funktion sein.

2. Hochrisiko-Fälle früh identifizieren

   Kreditwürdigkeit natürlicher Personen und Versicherungstarifierung sind die Kernfälle. Prüfen Sie auch Scoring-Bausteine in eingekauften Kernbankverfahren, Vorschlagssysteme in der Kreditbearbeitung und Personaltools.

3. Betreiberpflichten vorbereiten

   Gebrauchsanweisungen bei den Herstellern anfordern, Aufsichtspersonen benennen und schulen, Informationstexte für Kunden ergänzen, Erläuterungsprozess nach Art. 86 aufsetzen.

4. Grundrechte-Folgenabschätzung

   Für Systeme zur Kreditwürdigkeitsprüfung natürlicher Personen (Anhang III Nr. 5 b) und zur Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung (Nr. 5 c) Pflicht vor der Inbetriebnahme (Art. 27 Abs. 1). Mit der Datenschutz-Folgenabschätzung verbinden (Art. 27 Abs. 4); das Ergebnis wird der BaFin als Marktüberwachungsbehörde mitgeteilt (Art. 27 Abs. 3).

5. Drittanbieter nachsteuern

   Bestandsverträge mit KI-Anbietern gegen Art. 30 DORA und die Informationsbedarfe nach der KI-Verordnung abgleichen. Konzentration auf wenige Modellanbieter bewerten.

6. Tests und Vorfälle

   KI-spezifische Angriffe in das Testprogramm nach Art. 24 DORA aufnehmen, KI-Vorfallarten in die Klassifizierung, eine gemeinsame Meldematrix.

Die Prüfcheckliste Finanzsektor enthält alle Fragen mit DORA- und KI-VO-Fundstellen; über den Filter „Finanzunternehmen“ sehen Sie die zusätzlichen Anforderungen.