EU AI Act und Kreditvergabe: Ihr Scoring ist Hochrisiko

Viele Banken warten auf Klarheit. Die gibt es längst. KI-gestützte Kreditwürdigkeitsprüfung von Privatpersonen ist im EU AI Act als Hochrisiko-Anwendung eingestuft und unterliegt damit den strengsten Pflichten der Verordnung. Der folgende Überblick beantwortet die Fragen, die im Kreditgeschäft jetzt zählen: was gilt, ab wann, und was Institute konkret vorbereiten müssen.

Ist KI-gestütztes Kredit-Scoring wirklich Hochrisiko?

Ja. Der EU AI Act listet die Bewertung der Kreditwürdigkeit und die Kreditwürdigkeitsprüfung natürlicher Personen in seinem Anhang III ausdrücklich als Hochrisiko-Anwendung. Ausgenommen ist im Wesentlichen die Aufdeckung von Finanzbetrug. Für das klassische Privatkunden-Scoring gilt die Hochrisiko-Einstufung. Damit unterliegt ein KI-Kreditmodell den umfangreichsten Anforderungen, die die Verordnung kennt.

Seit wann gilt der EU AI Act überhaupt?

Der EU AI Act ist am 1. August 2024 in Kraft getreten und gilt seither, mit gestaffelten Anwendungsfristen. Das Verbot bestimmter KI-Praktiken nach Artikel 5 ist seit Februar 2025 anwendbar. Die Pflichten für KI-Modelle mit allgemeinem Verwendungszweck greifen seit August 2025. Die Hochrisiko-Anforderungen folgen zeitlich versetzt.

Ab wann greifen die Hochrisiko-Pflichten für die Kreditvergabe?

Ursprünglich sah der EU AI Act den 2. August 2026 als Stichtag für die Hochrisiko-Anwendungen aus Anhang III vor. Mit dem sogenannten Digital Omnibus strebt die EU eine Verschiebung an: Die Pflichten für Anhang-III-Systeme sollen auf den 2. Dezember 2027 rücken, für in Produkte eingebettete Systeme nach Anhang I auf den 2. August 2028. Wichtig: Diese Verschiebung beruht auf einer politischen Einigung vom Mai 2026 und ist noch kein verbindliches Recht. Bis zur formalen Verabschiedung bleibt der ursprüngliche Termin rechtlich maßgeblich.

Was gilt trotz der geplanten Verschiebung schon jetzt?

Drei Bereiche gelten unabhängig vom Digital Omnibus. Die verbotenen Praktiken nach Artikel 5 sind seit Februar 2025 durchsetzbar. Die Pflichten für Modelle mit allgemeinem Verwendungszweck gelten seit August 2025. Und die KI-Kompetenzpflicht nach Artikel 4 gilt bereits: Institute müssen sicherstellen, dass ihr Personal über eine der Rolle angemessene KI-Kompetenz verfügt. Diese Pflicht umfasst schon die einfache Nutzung von Sprachmodellen. Wer auf 2027 wartet, verpasst, was heute schon zählt.

Welche Pflichten bringt die Hochrisiko-Einstufung konkret?

Hochrisiko-Systeme verlangen ein Risikomanagementsystem über den gesamten Lebenszyklus, eine hohe Daten- und Data-Governance-Qualität, technische Dokumentation, automatische Protokollierung von Ereignissen, Transparenz gegenüber den Betreibern, wirksame menschliche Aufsicht sowie ein angemessenes Maß an Genauigkeit, Robustheit und Cybersicherheit. Für Banken heißt das: Ein Kreditmodell braucht nachvollziehbare Daten, dokumentierte Grenzen und eine echte Eingriffsmöglichkeit des Menschen, nicht nur eine formale Freigabe.

Wie verhält sich der AI Act zur nationalen Bankenaufsicht?

Der EU AI Act tritt neben die bestehenden MaRisk-Anforderungen, nicht an deren Stelle. Ein KI-Scoring ist zugleich Modell im Sinne der MaRisk und Hochrisiko-System im Sinne des AI Act. Beide fordern Nachvollziehbarkeit, Datenqualität und menschliche Übersteuerung, mit unterschiedlichen Schwerpunkten. Institute, die beide Regelwerke zusammen denken, vermeiden Doppelarbeit. Der Beitrag zur MaRisk-Novelle 2026 und KI zeigt die nationale Seite im Detail.

Was sollten Banken jetzt vorbereiten?

Sinnvoll ist eine Inventur aller KI-Anwendungen mit Kreditbezug und deren Einstufung nach dem AI Act. Darauf folgt eine Lückenanalyse gegen die Hochrisiko-Pflichten: Datenqualität, Dokumentation, Protokollierung, menschliche Aufsicht. Parallel läuft die Erfüllung der schon geltenden KI-Kompetenzpflicht durch gezielte Qualifizierung. Wer die verschobene Frist als Puffer für den Aufbau nutzt statt als Aufschub, steht 2027 fertig da. Sotica begleitet Institute mit einer Potenzialanalyse und einem Workshop, der die eigene KI-Landschaft gegen AI Act und MaRisk spiegelt.