MaRisk 2026: Die Aufsicht holt die KI aus dem Pilotstatus

Erst durften alle experimentieren. Jetzt fragt jemand nach den Regeln. Die MaRisk-Novelle 2026 macht den Einsatz von Künstlicher Intelligenz in Banken zur dokumentations- und nachweispflichtigen Modellfrage: Wer KI in Kreditentscheidung, Risikoquantifizierung oder Bewertung nutzt, muss deren Annahmen, Datenbasis und Ergebnislogik nachvollziehbar erklären und im Zweifel manuell übersteuern können. Die Konsultationsphase zur Novelle endete am 8. Mai 2026. Institute, die KI bislang als Innovationsprojekt geführt haben, führen sie ab jetzt als beaufsichtigtes Modell.

Was sind die MaRisk und warum betreffen sie KI?

Die MaRisk, die Mindestanforderungen an das Risikomanagement der BaFin, sind das zentrale Regelwerk, mit dem die deutsche Finanzaufsicht das Risikomanagement der Institute konkretisiert. Bereits die 7. MaRisk-Novelle vom 29. Juni 2023 hat erstmals ausdrückliche Anforderungen an den Einsatz von Modellen aufgenommen. Die Novelle 2026 schärft diesen Rahmen und zieht KI-Verfahren klar in den Modellbegriff hinein. Damit gilt: Ein KI-gestütztes Scoring ist kein IT-Werkzeug, sondern ein Modell im aufsichtlichen Sinn, mit allen Pflichten, die daran hängen.

Wann ist eine KI-Anwendung ein Modell im Sinne der MaRisk?

Ein Modell ist nach dem MaRisk-Verständnis eine quantitative Methode, die auf Basis statistischer oder mathematischer Verfahren Eingangsdaten zu quantitativen Schätzungen verarbeitet. Genau das tun Kredit-Scoring, automatisierte Kreditvergabe, Verfahren zur Risikoquantifizierung sowie Bewertungs- und Preismodelle. Sobald eine KI-Anwendung Eingaben in Schätzwerte übersetzt, die in Entscheidungen einfließen, greift der Modellrahmen. Die Frage lautet nicht mehr, ob KI reguliert wird, sondern welche Anwendung als kritisches Modell einzustufen ist.

Welche sechs Anforderungen stellt die Novelle konkret?

Die überarbeiteten Modellanforderungen lassen sich auf sechs Kernpflichten verdichten. Erstens Verantwortung und Nachvollziehbarkeit: Institute müssen Konzeption, Annahmen und Daten verstehen, auch bei zugekauften Modellen. Zweitens Datenqualität: systematische Verfahren, die Mängel in internen wie externen Daten erkennen und beheben. Drittens Übersteuerung: klare Regeln für das begründete Abweichen von Modellergebnissen. Viertens Validierung: regelmäßige Prüfung von Genauigkeit, Stabilität und Zweckangemessenheit. Fünftens Erklärbarkeit. Sechstens Proportionalität. Diese Pflichten adressieren das Institut als Ganzes, nicht einzelne Fachleute.

Was bedeutet Erklärbarkeit bei Blackbox-Modellen?

Erklärbarkeit ist der Punkt, an dem viele KI-Projekte an der Aufsicht scheitern. Die MaRisk verlangen, dass ein Institut die kausalen Zusammenhänge zwischen Eingangs- und Ausgangsvariablen eines Modells darlegen kann. Bei einfachen statistischen Verfahren ist das machbar. Bei komplexen neuronalen Netzen nicht ohne Weiteres. Für solche Blackbox-Systeme fordert die Praxis den Einsatz von Erklärverfahren wie SHAP oder LIME, die den Beitrag einzelner Merkmale zur Modellentscheidung sichtbar machen. Ein Kreditscore, den niemand erklären kann, ist unter der Novelle kein einsetzbares Modell.

Gilt die Novelle auch für zugekaufte KI?

Ja, und das ist für viele Institute die unbequemste Nachricht. Die Verantwortung für Nachvollziehbarkeit und Datenqualität bleibt beim Institut, unabhängig davon, ob das Modell selbst entwickelt oder von einem Dienstleister bezogen wurde. Wer eine KI-Lösung eines Rechenzentrums oder eines externen Anbieters nutzt, muss deren Funktionsweise hinreichend verstehen und dokumentieren können. Ein Verweis auf den Anbieter entlastet nicht. Damit rücken Auslagerung und Modell-Governance eng zusammen.

Wie greift die Novelle mit DORA und den BAIT ineinander?

Die MaRisk stehen nicht allein. Die europäische Verordnung DORA, der Digital Operational Resilience Act, gilt seit dem 17. Januar 2025 und regelt die digitale operationale Resilienz von Finanzunternehmen, inklusive des Managements von IT-Drittparteirisiken. Die BAIT, die bankaufsichtlichen Anforderungen an die IT, konkretisieren die IT-Governance. KI-Modelle liegen im Schnittpunkt: Sie sind Modell nach MaRisk, IT-Asset nach BAIT und häufig ein Drittparteirisiko nach DORA. Institute, die diese Regelwerke getrennt bearbeiten, doppeln Aufwand und übersehen Lücken.

Und wie passt der EU AI Act dazu?

Parallel zur nationalen Aufsicht wirkt die europäische KI-Verordnung. Der EU AI Act stuft die Bewertung der Kreditwürdigkeit natürlicher Personen in seinem Anhang III als Hochrisiko-Anwendung ein. Damit trifft ein KI-Scoring gleich zwei Regelwerke: die MaRisk auf nationaler und den AI Act auf europäischer Ebene. Wer die Fristen und Pflichten der KI-Verordnung für die Kreditvergabe einordnen will, findet die Details im Beitrag EU AI Act und Kreditvergabe.

Was bedeutet Proportionalität für kleinere Institute?

Die MaRisk folgen dem Prinzip der Proportionalität. Die Anforderungen skalieren mit Komplexität des Modells, Bedeutung des Risikos und Größe des Instituts. Eine kleine Genossenschaftsbank mit einem einfachen Scoring trägt eine andere Last als eine Großbank mit Dutzenden KI-Modellen im Kreditgeschäft. Proportionalität ist jedoch kein Freibrief. Auch das kleinste Institut muss erklären, validieren und übersteuern können. Es darf den Aufwand am Risiko ausrichten, nicht die Pflicht abwählen.

Woran scheitern KI-Projekte in der Umsetzung?

Der häufigste Fehler ist die Trennung von Innovations- und Risikowelt. KI wird im Fachbereich gebaut, die Aufsichtsanforderungen tauchen erst bei der Freigabe auf. Dann fehlen Modelldokumentation, Validierungskonzept und Erklärlogik. Ein zweiter Fehler ist die Personenabhängigkeit: Das Modellwissen liegt bei einer einzigen Person. Fällt sie aus, ist die Nachvollziehbarkeit weg. Wie Institute Modellwissen organisatorisch absichern, zeigt der Beitrag zur KI-Governance gegen Wissensverlust.

Welche Dokumentation braucht ein KI-Modell mindestens?

Jedes produktive KI-Modell braucht eine strukturierte Modelldokumentation: Zweck und Anwendungsbereich, verwendete Daten und deren Qualitätssicherung, gewähltes Verfahren und dessen Grenzen, Erklärlogik, Validierungsergebnisse, Übersteuerungsregeln und Verantwortliche. Diese Dokumentation ist kein Selbstzweck. Sie ist die Grundlage, auf der Revision und Aufsicht die Zulässigkeit des Modells prüfen. Fehlt sie, ist das Modell im Ernstfall nicht verteidigbar, unabhängig von seiner technischen Güte.

Wie sieht ein tragfähiger Fahrplan bis zur Anwendung aus?

Institute beginnen mit einer Inventur: Welche KI-Anwendungen sind im Einsatz oder geplant, und welche davon sind Modelle im MaRisk-Sinn? Darauf folgt eine Kritikalitätsbewertung, die Kreditrelevantes nach vorne zieht. Für jedes kritische Modell entsteht ein Dokumentations- und Validierungspaket samt Erklärkonzept. Parallel klärt das Institut die Verzahnung mit DORA und den BAIT, damit Auslagerung und IT-Governance mitlaufen. Zum Schluss wird die Modellsteuerung in feste Prozesse überführt, statt sie an Projekten zu belassen.

Was Banken jetzt tun sollten

Die MaRisk-Novelle 2026 belohnt Institute, die KI von Anfang an als Modell führen, und bestraft die, die sie als Spielwiese behandeln. Der günstigste Zeitpunkt, eine KI-Anwendung erklärbar und dokumentiert aufzusetzen, ist vor ihrer Produktivsetzung. Der teuerste ist die Prüfung. Wer seine KI-Landschaft jetzt gegen die neuen Anforderungen spiegelt, verschafft sich Vorsprung statt Nacharbeit. Sotica unterstützt Institute mit einer Potenzialanalyse und einem kompakten Workshop, der die eigene KI-Landschaft gegen die MaRisk-Novelle prüft und einen belastbaren Fahrplan liefert.