Kreditrisiko-Modell mit KI: Hochrisiko und Aufsicht
Wir nutzen KI für interne Kreditrisiko-Modelle (IRB)
Wir nutzen KI für interne Kreditrisiko-Modelle (IRB): Diese Anwendung ist nach derzeitiger Einschätzung ein Hochrisiko-KI-System. Damit gelten die umfangreichsten Pflichten des EU AI Act — von Risikomanagement über technische Dokumentation bis zur menschlichen Aufsicht. Betroffen sind insbesondere Kundinnen und Kunden. Der einschlägige Regulierungspfad ist III.5(b) (annex iii 5 essential services).
Zuletzt geprüft: 5. Juni 2026 · 3 Min. Lesezeit · Herausgeber: Innopulse Consulting GmbH, Zug
Warum diese Einstufung?
- ▸Das System unterstützt Entscheidungen über Personen — auch beratende Systeme können in den Hochrisiko-Bereich fallen.
- ▸Es findet Profiling im Sinne der DSGVO statt.
Rechtliche Grundlage
Artikel
Annex-Pfad
III.5(b)Welche Pflichten gelten?
- Risikomanagementsystem über den gesamten Lebenszyklus (Art. 9)
- Daten-Governance und Qualitätskriterien für Trainings-, Validierungs- und Testdaten (Art. 10)
- Technische Dokumentation nach Annex IV (Art. 11)
- Automatische Protokollierung von Ereignissen (Art. 12)
- Transparenz und Bereitstellung von Informationen für Betreiber (Art. 13)
- Menschliche Aufsicht (Art. 14)
- Genauigkeit, Robustheit und Cybersicherheit (Art. 15)
- Grundrechte-Folgenabschätzung (FRIA) nach Art. 27 — bei öffentlichen Stellen sowie Banken, Versicherern und Anbietern essenzieller Dienste
Zusätzliche Rechtsrahmen in der DACH-Region
Der EU AI Act steht nicht allein. Je nach Einsatz greifen in der Schweiz, Deutschland und Österreich weitere Vorgaben — hier die für diesen Fall relevanten:
Bei automatisierten Entscheidungen über natürliche Personen greift insbesondere Art. 22 DSGVO (Recht auf menschliches Eingreifen).
Die FINMA erwartet bei KI im Finanzbereich nachvollziehbare Governance, Modell-Dokumentation und klare Verantwortlichkeiten — unabhängig vom EU AI Act.
Die BaFin adressiert KI in Kredit- und Risikoprozessen über die MaRisk und ihre Prinzipien zu Big Data und KI (BDAI).
Die EBA-Leitlinien zur Kreditvergabe und -überwachung verlangen erklärbare Scoring-Modelle und dokumentierte Modell-Governance.
Praxis-Beispiele
Hochrisiko
Bank nutzt ML-Modell für Probability-of-Default → Annex III.5(b).
Grenzfall
Kreditrisiko-Modell liefert nur eine Empfehlung, die ein:e Sachbearbeiter:in eigenständig prüft und regelmässig überstimmt — mögliche Art. 6(3)-Ausnahme, dokumentationspflichtig.
Unkritisch
Kreditrisiko-Modell bewertet ausschliesslich Firmenkunden (juristische Personen) — Annex III.5(b) greift nicht, Einstufung limited/minimal.
Pflicht-Trigger für diesen Fall
- Wirkt direkt auf natürliche Personen
- Profiling natürlicher Personen
- Entscheidungsunterstützung (Mensch im Loop)
Zusätzliche regulatorische Overlays
Neben dem AI Act greifen für diesen Fall sektorale Vorschriften, die zusätzliche Pflichten auslösen können.
Was muss konkret geklärt werden?
Ob Dein konkreter Use-Case unter Hochrisiko fällt, hängt von folgenden Detailfragen ab:
- Betrifft die Bonitäts-/Kreditbewertung natürliche Personen — oder ausschliesslich Unternehmen/juristische Personen? (Annex III.5(b) greift nur bei natürlichen Personen.)
- Trifft das System eine verbindliche Entscheidung oder liefert es nur eine Empfehlung, die ein Mensch eigenständig prüft und überstimmen kann? (relevant für Art. 6(3)-Ausnahme)
Häufige Fragen
Ist „Kreditrisiko-Modell" ein Hochrisiko-KI-System nach dem EU AI Act?
Nach derzeitiger Einschätzung ja. Der Fall fällt unter III.5(b). Massgeblich sind Annex III.5(b) EU AI Act und CRR (Capital Requirements Regulation). Die endgültige Einstufung hängt vom konkreten Einsatz ab — ein strukturiertes Assessment klärt das verbindlich.
Betrifft die Bonitäts-/Kreditbewertung natürliche Personen — oder ausschliesslich Unternehmen/juristische Personen? (Annex III.5(b) greift nur bei natürlichen Personen.)
Diese Abgrenzung entscheidet häufig über die Risikoklasse. Annex III greift nur, wenn natürliche Personen betroffen sind. Bei rein unternehmensbezogenen Anwendungen entfällt der Hochrisiko-Pfad häufig.
Trifft das System eine verbindliche Entscheidung oder liefert es nur eine Empfehlung, die ein Mensch eigenständig prüft und überstimmen kann? (relevant für Art. 6(3)-Ausnahme)
Diese Abgrenzung entscheidet häufig über die Risikoklasse. Trifft ein Mensch die Entscheidung eigenständig und überstimmt das System nachweislich regelmässig, kann die Ausnahme nach Art. 6(3) greifen — das ist dokumentationspflichtig.
Gilt das auch für Unternehmen in der Schweiz?
Der EU AI Act wirkt extraterritorial (Art. 2): Erreichen die KI-Outputs Personen in der EU, gilt er auch für Schweizer Anbieter und Betreiber. Zusätzlich greifen in der Schweiz das revDSG und — im Finanzbereich — die Erwartungen der FINMA. Genau diese DACH-Doppelperspektive prüfen wir mit.
Was sind die nächsten konkreten Schritte?
Zuerst die Einstufung verbindlich klären, dann den Pflichtenkatalog (Art. 9–15) als Projektplan aufsetzen und die Rollenfrage Anbieter/Betreiber (Art. 25) klären. Das Assessment liefert dazu einen dokumentierten Audit-Trail.
Verwandte Anwendungsfälle
Klassifiziere Deinen konkreten Fall
Der Sector-First Wizard nimmt diesen Use-Case als Vorlage und stellt nur die wirklich relevanten Rückfragen — Du bekommst Risikoklasse, Pflichten-Liste und Audit-Package in unter 5 Minuten.
Assessment starten