EU AI Act: Aufschub für Hochrisiko-KI – warum Banken trotzdem handeln sollten

Die Umsetzung des EU AI Act wird erneut angepasst. Europäisches Parlament und Rat haben sich darauf verständigt, die Anwendung zentraler Pflichten für Hochrisiko-KI zu verschieben. Für eigenständige Hochrisiko-Systeme soll künftig der 2. Dezember 2027 gelten, für KI-Systeme, die als Sicherheitskomponenten in regulierte Produkte eingebettet sind, der 2. August 2028.

Für Banken bedeutet der Aufschub jedoch nicht, dass KI-Governance vorerst zurückgestellt werden kann. Die zusätzlichen Monate sollten vielmehr genutzt werden, um Inventarisierung, Risikoklassifizierung und Dokumentation belastbar in die bestehenden Kontrollstrukturen zu integrieren.

Was wurde beim EU AI Act verschoben?

Die ursprüngliche Fassung des EU AI Act sah vor, dass wesentliche Anforderungen für eigenständige Hochrisiko-KI ab dem 2. August 2026 gelten. Für Hochrisiko-Systeme, die Bestandteil bestimmter regulierter Produkte sind, war der 2. August 2027 vorgesehen.

Mit dem sogenannten Digital Omnibus on AI sollen diese Termine nun verschoben werden:

• auf den 2. Dezember 2027 für eigenständige Hochrisiko-KI nach Anhang III,
• auf den 2. August 2028 für Hochrisiko-KI, die in regulierte Produkte nach Anhang I eingebettet ist.

Ein wesentlicher Grund für die Anpassung ist, dass technische Standards, Leitlinien und weitere Hilfsmittel für die praktische Umsetzung noch nicht vollständig verfügbar sind. Unternehmen sollen mehr Zeit erhalten, um die umfangreichen Anforderungen an Datenqualität, technische Dokumentation, menschliche Aufsicht, Risikomanagement und Konformitätsbewertung umzusetzen.

Die Verschiebung ist politisch weitgehend beschlossen, aber noch nicht vollständig formalisiert. Das bedeutet: Die neuen Fristen sind absehbar, rechtlich verbindlich werden sie jedoch erst mit dem Abschluss des Gesetzgebungsverfahrens und der Veröffentlichung im Amtsblatt der Europäischen Union.

Warum Banken besonders betroffen sind

Der Finanzsektor gehört zu den Bereichen, in denen KI-Systeme besonders sensible Entscheidungen unterstützen können. Der EU AI Act stuft Systeme zur Bewertung der Kreditwürdigkeit oder zur Ermittlung eines Kreditscores natürlicher Personen grundsätzlich als Hochrisiko-KI ein. Ausgenommen sind insbesondere Systeme, die ausschließlich zur Aufdeckung von Finanzbetrug eingesetzt werden.

Damit können beispielsweise KI-basierte Komponenten in der Kreditentscheidung, Bonitätsbewertung oder Risikoselektion unter die strengeren Anforderungen fallen. Zusätzlich können Banken auch außerhalb des Kreditgeschäfts Hochrisiko-Systeme einsetzen, etwa bei der Bewerberauswahl oder der Bewertung von Beschäftigten.

Nicht jede KI-Anwendung in einer Bank ist automatisch hochriskant. Ein interner Textassistent, eine Suchlösung auf Basis von Retrieval-Augmented Generation oder ein System zur Zusammenfassung von Dokumenten fällt nicht allein aufgrund seiner technischen Funktionsweise in diese Kategorie. Entscheidend sind der vorgesehene Verwendungszweck und die Auswirkungen der konkreten Anwendung.

Der Aufschub betrifft nicht den gesamten AI Act

Die neuen Termine gelten gezielt für bestimmte Vorschriften zu Hochrisiko-KI. Sie verschieben nicht den gesamten EU AI Act. Andere Anforderungen sind bereits anwendbar oder folgen weiterhin einem eigenen Zeitplan.

Dazu gehören unter anderem das Verbot bestimmter KI-Praktiken und die Pflicht, für eine ausreichende KI-Kompetenz der beteiligten Beschäftigten zu sorgen. Auch Vorgaben für Modelle mit allgemeinem Verwendungszweck sowie Transparenzpflichten für bestimmte KI-generierte Inhalte sind separat zu betrachten.

Banken sollten deshalb vermeiden, aus der Verschiebung eine allgemeine regulatorische Pause abzuleiten. Selbst wenn ein konkretes System erst Ende 2027 unter die vollständigen Hochrisiko-Anforderungen fällt, können für seinen Einsatz bereits heute andere rechtliche, organisatorische oder interne Kontrollvorgaben relevant sein.

Warum frühe KI-Governance sinnvoll bleibt

Eine belastbare Inventarisierung benötigt Zeit

Die Grundlage jeder Governance ist ein vollständiger Überblick darüber, welche KI-Systeme innerhalb der Organisation eingesetzt, entwickelt oder von externen Anbietern bezogen werden. In großen Organisationen entstehen KI-Anwendungen jedoch häufig dezentral: in Fachbereichen, Innovationsprojekten, Standardsoftware oder individuell konfigurierten Cloud-Diensten.

Ein zentrales KI-Register lässt sich daher nicht kurzfristig vor einem Stichtag erstellen. Es muss kontinuierlich gepflegt und mit Beschaffungs-, Informationssicherheits-, Datenschutz- und Auslagerungsprozessen verbunden werden. Ohne diese Verknüpfung besteht das Risiko, dass relevante Systeme erst erkannt werden, wenn sie bereits produktiv eingesetzt werden.

Die Risikoklassifizierung ist nicht immer eindeutig

Ob ein System als Hochrisiko-KI gilt, hängt nicht nur von der verwendeten Technologie ab. Maßgeblich sind insbesondere Zweckbestimmung, Nutzungskontext und Einfluss auf betroffene Personen. Dasselbe Modell kann deshalb je nach Einbindung unterschiedlich zu bewerten sein.

Banken benötigen ein einheitliches Verfahren, mit dem neue Anwendungsfälle frühzeitig klassifiziert werden. Dazu gehören klare Entscheidungskriterien, dokumentierte Begründungen und definierte Eskalationswege für Zweifelsfälle. Die zusätzlichen Leitlinien der Europäischen Kommission können dieses Verfahren unterstützen, ersetzen aber keine eigene organisatorische Verantwortung.

Dokumentation lässt sich nur begrenzt nachholen

Die Anforderungen an Hochrisiko-KI umfassen unter anderem Risikomanagement, Daten-Governance, Protokollierung, technische Dokumentation, Transparenz und menschliche Aufsicht. Viele dieser Nachweise entstehen während der Entwicklung und Nutzung eines Systems. Werden sie erst nachträglich erstellt, fehlen häufig Informationen zu früheren Modellversionen, Trainingsdaten, Tests oder fachlichen Entscheidungen.

Ein früher Dokumentationsstandard reduziert diesen Nachholaufwand. Er schafft zugleich eine gemeinsame Grundlage für interne Prüfungen, Modelländerungen und die Zusammenarbeit mit externen Anbietern.

Banken bleiben von ihren Dienstleistern abhängig

Viele Institute entwickeln die verwendeten Modelle nicht selbst, sondern beziehen KI-Funktionen über Cloud-Plattformen, Standardsoftware oder spezialisierte Dienstleister. Für die regulatorische Bewertung müssen dennoch Informationen über Funktionsweise, Datenverarbeitung, Leistungsgrenzen und Änderungen verfügbar sein.

Diese Anforderungen sollten bereits bei Auswahl und Vertragsgestaltung berücksichtigt werden. Werden Dokumentations-, Prüf- und Informationsrechte erst kurz vor dem regulatorischen Stichtag verhandelt, kann die notwendige Transparenz möglicherweise nicht mehr hergestellt werden.

Was Banken jetzt umsetzen sollten

Der Aufschub bietet die Möglichkeit, Governance nicht unter unmittelbarem Zeitdruck, sondern schrittweise aufzubauen. Im ersten Schritt sollte ein zentrales KI-Register entstehen, das neben technischen Informationen auch den fachlichen Zweck, verantwortliche Rollen, verwendete Daten und externe Anbieter erfasst.

Darauf aufbauend sollte jeder Anwendungsfall einer nachvollziehbaren Risikoklassifizierung unterzogen werden. Für potenzielle Hochrisiko-Systeme sind anschließend frühzeitig Anforderungen an Datenqualität, menschliche Kontrolle, Protokollierung und technische Dokumentation festzulegen.

Parallel dazu sollten bestehende Freigabeprozesse angepasst werden. KI-Governance sollte nicht als separater Kontrollprozess neben Informationssicherheit, Datenschutz, Compliance und Risikomanagement aufgebaut werden. Sinnvoller ist eine Integration in bestehende Entscheidungs- und Kontrollstrukturen, damit keine konkurrierenden Prüfwege entstehen.

Auch die Qualifizierung der Beschäftigten bleibt zentral. Fachverantwortliche müssen beurteilen können, welche Aufgaben ein System übernehmen darf, wie seine Ergebnisse zu interpretieren sind und wann eine menschliche Entscheidung erforderlich bleibt. Technische Teams benötigen gleichzeitig klare Vorgaben für Entwicklung, Tests, Monitoring und Änderungen.

Aufschub als zusätzliche Vorbereitungszeit

Die Verschiebung der Hochrisiko-Pflichten ist eine Reaktion auf noch fehlende Standards und die hohe Komplexität der Umsetzung. Sie schafft mehr Zeit, reduziert aber nicht die inhaltlichen Anforderungen an regulierte KI-Systeme.

Für Banken wäre es daher riskant, laufende Governance-Initiativen bis 2027 auszusetzen. KI-Anwendungen entwickeln sich schneller als regulatorische Umsetzungsprojekte. Systeme, die heute als Pilot starten, können bis zum neuen Stichtag bereits tief in Geschäftsprozesse integriert sein.

Wer Klassifizierung, Verantwortlichkeiten und Dokumentation frühzeitig etabliert, kann neue Anwendungsfälle schneller und kontrollierter in den Betrieb überführen. Der regulatorische Aufschub wird damit nicht zu einer Wartephase, sondern zu einem Zeitfenster für den Aufbau tragfähiger Strukturen.

Fazit

Die geplante Verschiebung der Hochrisiko-Pflichten auf Dezember 2027 beziehungsweise August 2028 verschafft Banken zusätzliche Vorbereitungszeit. Sie ist jedoch kein Signal, die Umsetzung des EU AI Act zu pausieren.

Gerade im Bankenumfeld entstehen die notwendigen Nachweise nicht erst kurz vor einer Prüfung. Inventarisierung, Daten-Governance, menschliche Aufsicht und technische Dokumentation müssen bereits während der Entwicklung und Einführung eines KI-Systems berücksichtigt werden.

Der konkrete Zeitplan des EU AI Act kann sich verändern. Die Notwendigkeit einer belastbaren KI-Governance bleibt bestehen.