Der AI Act, einfach erklärt: Scoring, Identität, Betrug, sind Sie betroffen?

Kurz gesagt: Der AI Act stuft künstliche Intelligenz nach ihrer Risikostufe ein. Für den Finanzbereich kommen drei Fälle häufig vor, und die Antwort ist jeweils eine andere: Kreditscoring gilt als « hohes Risiko », die Betrugserkennung ist davon ausdrücklich ausgenommen, und die Identitätsprüfung hängt davon ab, wie sie durchgeführt wird.

‍

Was ist der AI Act?

‍

Der AI Act ist die Verordnung (EU) 2024/1689, das weltweit erste große Gesetz zur künstlichen Intelligenz. Sein Grundsatz ist einfach: Je stärker eine KI Menschen beeinflussen kann, desto strenger sind die Regeln.

‍

Es gibt vier Stufen:

• Inakzeptables Risiko: verboten (zum Beispiel die allgemeine soziale Bewertung).
• Hohes Risiko: erlaubt, aber sehr streng reguliert.
• Begrenztes Risiko: Transparenzpflicht (offenlegen, dass es sich um eine KI handelt).
• Minimales Risiko: frei.

‍

Der Großteil der Pflichten betrifft die Kategorie hohes Risiko. Daraus ergibt sich die eigentliche Frage für Sie: Fallen meine Tools darunter?

‍

Der Zeitplan: Wo stehen wir?

‍

Der AI Act gilt schrittweise:

• Februar 2025: Die verbotenen KI-Anwendungen sind bereits untersagt.
• August 2025: erste Regeln für KI « mit allgemeinem Verwendungszweck » (wie ChatGPT).
• 2. August 2026: das vorgesehene Datum für die Pflichten für KI mit hohem Risiko.

‍

Ein aktueller Punkt, den Sie kennen sollten: Ein europäischer Rechtstext (der « Digital Omnibus ») könnte diese Frist auf den 2. Dezember 2027 verschieben. Solange er jedoch nicht offiziell veröffentlicht ist, gilt weiterhin der 2. August 2026. Man sollte das also im Blick behalten, aber es ist besser, sich auf Grundlage des aktuellen Datums vorzubereiten.

‍

Ist Ihre KI « hohes Risiko »? Die 3 Fälle, die für den Finanzbereich relevant sind

‍

Kreditscoring: ja, hohes Risiko

‍

Die Bonität einer Privatperson mit KI zu bewerten (also zu entscheiden, wer einen Kredit erhält) wird vom AI Act als hohes Risiko eingestuft. Das ist nachvollziehbar: Ein Fehler kann jemandem eine Finanzierung verwehren. Konkret bedeutet das Transparenz, eine menschliche Kontrolle und eine Nachvollziehbarkeit der Entscheidungen. Genau das ist der Sinn eines erklärbaren Scorings und einer dokumentierten Bonitätsanalyse, die auch den Herausforderungen algorithmischer Verzerrungen gerecht wird.

‍

Betrugserkennung: nein, ausdrücklich ausgenommen

‍

Eine gute Nachricht, und ein echtes Unterscheidungsmerkmal: Die Erkennung von Finanzbetrug ist ausdrücklich vom hohen Risiko ausgenommen. Ein Tool, das dazu dient, einen Betrüger zu erkennen, unterliegt somit nicht denselben Auflagen wie ein Tool für das Kreditscoring. Die Betrugserkennung profitiert von einem erleichterten Regime.

‍

Die Identitätsprüfung: es kommt darauf an

‍

Alles hängt davon ab, wie sie durchgeführt wird:

• Die Person weist aktiv nach, dass sie es wirklich ist (sie macht während eines Onboardings ein Selfie, Abgleich 1:1): in der Regel nicht hohes Risiko.
• Jemand wird aus der Ferne identifiziert, indem er mit einer Datenbank abgeglichen wird, ohne seine Beteiligung (biometrische Massenüberwachung): hohes Risiko.

‍

Bei einem klassischen Onboarding-Prozess, bei dem sich der Kunde freiwillig der Prüfung unterzieht, befinden Sie sich also grundsätzlich nicht im Bereich des hohen Risikos.

‍

Was das « hohe Risiko » verlangt

‍

Wenn ein Tool ein hohes Risiko darstellt, fordert der AI Act insbesondere: ein Risikomanagement, hochwertige Daten, eine technische Dokumentation, Transparenz, eine menschliche Kontrolle, Robustheit und eine Konformitätsbewertung vor dem Inverkehrbringen. Kurz gesagt: erklären und nachweisen können, was die KI tut.

‍

Die Sanktionen

‍

Sie sind abschreckend: bis zu 35 Millionen Euro oder 7 % des weltweiten Umsatzes für verbotene Praktiken, bis zu 15 Millionen Euro oder 3 % für einen Verstoß gegen die Pflichten im Bereich hohes Risiko. KMU und Start-ups profitieren von der jeweils niedrigeren Obergrenze der beiden.

‍

Wie Sie sich vorbereiten

‍

• Erstellen Sie ein Inventar Ihrer KI-Systeme und bestimmen Sie für jedes die tatsächliche Risikostufe.
• Unterscheiden Sie die Anwendungsfälle klar: Kreditscoring (hohes Risiko), Betrugserkennung (ausgenommen), Identität 1:1 (grundsätzlich außerhalb des hohen Risikos), biometrische Fernidentifizierung (hohes Risiko).
• Für Ihre KI mit hohem Risiko gilt: dokumentieren Sie alles: Daten, Entscheidungslogik, menschliche Kontrolle.
• Verfolgen Sie den Digital Omnibus, der über das tatsächliche Anwendungsdatum entscheiden wird.

‍

Fazit

Der AI Act ist keine einheitliche Wand: Alles hängt vom Anwendungsfall ab. Für den Finanzbereich merken Sie sich die einfache Regel: Kreditscoring ist reguliert, die Betrugsbekämpfung bleibt erhalten, und eine klassische Identitätsprüfung bleibt frei. Die eigentliche Aufgabe besteht darin, Ihre Entscheidungen erklärbar und dokumentiert zu machen.

Das ist gut für den AI Act, und es ist gut für das Vertrauen Ihrer Kunden. Mehr dazu finden Sie in unserem vollständigen KYC-Leitfaden.

Quellen: Verordnung (EU) 2024/1689 (AI Act), Amtsblatt der Europäischen Union (2024); Europäische Kommission, AI Act. Zeitplan kann sich je nach Annahme des « Digital Omnibus » ändern.

‍