Die BaFin macht aus Best Practice eine Prüfungsfrage

Jahrelang war KI-Governance in deutschen Finanzinstituten ein Thema für Risikoberichte und Strategiepapiere. Mit der 9. MaRisk-Novelle ändert sich das. Am 1. April 2026 hat die BaFin den Konsultationsentwurf veröffentlicht, der erstmals ein eigenes Modul für den Einsatz von Modellen vorsieht, das ausdrücklich auch automatisierte Verfahren und Künstliche Intelligenz erfasst.

Wichtig zur Einordnung: Es handelt sich um einen Konsultationsentwurf, dessen Konsultationsphase im Mai 2026 endete. Die Anforderungen sind also noch nicht in finaler Fassung in Kraft. Aber die Richtung ist eindeutig, und Institute, die erst nach Inkrafttreten beginnen, bauen ihr Modellinventar dann unter Zeitdruck von null auf.

Was das neue Modul konkret fordert

Das Herzstück ist ein vollständiges Inventar der Modelle, die in risikorelevanten Prozessen eingesetzt werden. Der Modellbegriff ist bewusst weit gefasst und schließt nicht nur selbst entwickelte Verfahren ein, sondern ausdrücklich auch eingekaufte Tools und externe Scoring-Modelle. Es gibt keinen Sonderstatus für KI: Jedes System, das Entscheidungen unterstützt oder automatisiert trifft, unterliegt denselben Anforderungen wie ein klassisches quantitatives Modell.

Dazu kommen mehrere Kernpflichten. Eine Angemessenheitsprüfung vor dem Einsatz und regelmäßige Folgeprüfungen. Geeignete Verfahren zur Sicherung der Datenqualität. Klare Regeln für Überschreibungen, also für den Fall, dass ein Mensch vom Modellergebnis abweicht. Eine unabhängige Validierung und ein laufendes Monitoring im Betrieb. Und schließlich Erklärbarkeit: Die Wirkungszusammenhänge zwischen Eingangs- und Ausgangsgrößen müssen aufgezeigt werden können, was bei vielen KI-Modellen den Einsatz von Verfahren wie SHAP-Werten oder LIME nahelegt.

Warum das gerade KI-Modelle trifft

Viele KI-Modelle sind ihrer Natur nach schwer durchschaubar. Genau hier setzt die Erklärbarkeitsanforderung an. Institute, die solche Modelle für risikorelevante Entscheidungen einsetzen, müssen künftig nachweisen können, dass sie deren Wirkungsweise verstehen oder geeignete Erklärbarkeitsverfahren einsetzen. Eine Black Box ohne diesen Nachweis wird in einer Prüfung schwer zu verteidigen sein.

Es gilt das Proportionalitätsprinzip. Der Umfang der Anforderungen richtet sich nach Komplexität, Bedeutung und Risiko des Modells. Ein einfaches internes Ratingverfahren für das nicht risikorelevante Geschäft eines kleinen Instituts unterliegt deutlich geringeren Anforderungen als ein KI-gestütztes Kreditentscheidungssystem. Das nimmt kleineren Häusern nicht die Pflicht, aber es skaliert sie.

Warum auch eingekaufte Modelle hineinfallen

Ein Punkt wird in der Praxis regelmäßig unterschätzt: Der Modellbegriff umfasst ausdrücklich auch zugekaufte Werkzeuge und externe Scoring-Modelle. Viele Institute denken bei Modellinventar zuerst an die selbst entwickelten Verfahren und übersehen die Vielzahl externer Komponenten, die in Bonitätsprüfung, Betrugserkennung oder Risikobewertung mitwirken. Genau diese externen Modelle sind oft die größte blinde Stelle, weil ihre Funktionsweise dem Institut nur teilweise bekannt ist.

Das hat eine unbequeme Konsequenz. Wer ein externes Scoring nutzt, muss künftig nachweisen können, dass er dessen Wirkungsweise hinreichend versteht und überwacht. Die Verantwortung lässt sich nicht an den Anbieter delegieren. Das macht die Auswahl und vertragliche Gestaltung solcher Zukäufe zu einer Frage, die früh und mit Blick auf die Erklärbarkeit getroffen werden sollte, nicht erst, wenn die Prüfung ansteht.

Der erste Schritt ist immer die Bestandsaufnahme

Unabhängig von der finalen Fassung lohnt der erste Schritt schon heute: zu erfassen, welche Modelle und KI-Systeme im Haus in risikorelevanten Prozessen mitwirken. Diese Liste existiert in den meisten Instituten nicht vollständig, weil Modelle über die Jahre in unterschiedlichen Bereichen entstanden oder zugekauft wurden. Wer sie erstellt, schafft nicht nur die Grundlage für das geforderte Inventar, sondern gewinnt erstmals einen Überblick darüber, worauf seine risikorelevanten Entscheidungen tatsächlich beruhen.

Wer jetzt anfängt, hat den leichteren Weg

Das Modellinventar ist die Grundlage für alles Weitere, denn man kann nur steuern, was man kennt. Wer heute beginnt, seine Modelle und KI-Systeme zu erfassen, Verantwortlichkeiten zu klären und Validierung sowie Monitoring aufzusetzen, geht in die finale Fassung der Novelle mit einem Vorsprung. Wer wartet, bis die Prüfung vor der Tür steht, baut dasselbe unter ungleich höherem Druck.

Mehr zum Thema: Der 2. August 2026 kommt. Die meisten Konformitätsbewertungen nicht. und BaFin-Risikobericht 2026: KI ist nicht das Risiko – fehlende Governance ist es.

Wir helfen Ihnen, Ihr Modellinventar aufzubauen, die Governance prüfungsfest zu gestalten und die Erklärbarkeit Ihrer KI-Modelle sicherzustellen. Buchen Sie eine Sprechstunde.