Zum Inhalt springen
Verordnung (EU) 2024/1689Europäische Union

KI-Verordnung (EU) 2024/1689

Die KI-Verordnung reguliert KI-Systeme nach Risiko. Für Banken zentral: KI-Systeme zur Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen sind hochriskant (Anhang III Nummer 5 Buchstabe b). Seit dem Digital-Omnibus 2026 gelten diese Hochrisiko-Pflichten ab dem 2. Dezember 2027.

Das Wichtigste

  1. 01
    Risikobasierter Aufbau: verbotene Praktiken (Artikel 5), Hochrisiko-KI-Systeme (Artikel 6 mit Anhängen I und III), Transparenzpflichten (Artikel 50) und Regeln für KI-Modelle mit allgemeinem Verwendungszweck (Kapitel V).
  2. 02
    KI-Systeme, die bestimmungsgemäss für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden sollen, sind hochriskant, ausgenommen Systeme zur Aufdeckung von Finanzbetrug (Anhang III Nummer 5 Buchstabe b).
  3. 03
    Die Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, hat die Hochrisiko-Pflichten für Systeme nach Anhang III vom 2. August 2026 auf den 2. Dezember 2027 verschoben.
  4. 04
    Verbote und KI-Kompetenz gelten seit dem 2. Februar 2025; seit dem Omnibus ergreifen Anbieter und Betreiber Massnahmen zur Förderung der KI-Kompetenz ihres Personals, ohne für einzelne Personen ein bestimmtes Niveau gewährleisten zu müssen (Artikel 4).
  5. 05
    Betreiber von Systemen zur Bonitätsbewertung führen vor der Inbetriebnahme eine Grundrechte-Folgenabschätzung durch (Artikel 27).
  6. 06
    Geldbussen bis 35 Mio. EUR oder 7 % des weltweiten Jahresumsatzes bei verbotenen Praktiken und bis 15 Mio. EUR oder 3 % bei anderen Pflichten der Akteure, je nachdem, welcher Betrag höher ist (Artikel 99).
Status
Veröffentlicht im Amtsblatt am 12. Juli 2024; in Kraft seit dem 1. August 2024. Gestaffelte Anwendung nach Artikel 113, geändert durch die Digital-Omnibus-Verordnung zur KI, Verordnung (EU) 2026/1744 (veröffentlicht am 24. Juli 2026, in Kraft seit dem 27. Juli 2026): Verbote und KI-Kompetenz ab dem 2. Februar 2025; KI-Modelle mit allgemeinem Verwendungszweck, Governance und Sanktionen ab dem 2. August 2025; allgemeine Anwendung einschliesslich der Transparenzpflichten ab dem 2. August 2026; zwei durch den Omnibus neu eingefügte Verbote ab dem 2. Dezember 2026; Hochrisiko-Pflichten (Kapitel III Abschnitte 1 bis 3) ab dem 2. Dezember 2027 für Systeme nach Anhang III wie die Bonitätsbewertung und ab dem 2. August 2028 für Systeme nach Anhang I, statt 2. August 2026 und 2. August 2027.

Was verlangt wird

  1. 01
    Risikoeinstufung
    Jedes KI-System wird als verboten, hochriskant oder transparenzpflichtig eingestuft. Ein System nach Anhang III gilt nicht als hochriskant, wenn es kein erhebliches Risiko für Gesundheit, Sicherheit oder Grundrechte birgt, aber stets als hochriskant, wenn es ein Profiling natürlicher Personen vornimmt (Artikel 6 Absatz 3).
  2. 02
    Pflichten der Betreiber von Hochrisiko-Systemen
    Verwendung gemäss Betriebsanleitung, menschliche Aufsicht durch Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis, relevante und repräsentative Eingabedaten, soweit der Betreiber sie kontrolliert, Überwachung, Aufbewahrung der Protokolle während mindestens sechs Monaten und Information der betroffenen natürlichen Personen (Artikel 26). Bei Finanzinstituten gilt die Überwachungspflicht als erfüllt, wenn sie die Vorschriften zur internen Unternehmensführung nach dem EU-Finanzdienstleistungsrecht einhalten (Artikel 26 Absatz 5).
  3. 03
    Grundrechte-Folgenabschätzung
    Vor der Inbetriebnahme eines Systems nach Anhang III Nummer 5 Buchstabe b schätzt der Betreiber die Auswirkungen auf die Grundrechte ab (Artikel 27 Absatz 1). Seit dem Omnibus kann die Abschätzung auf die Datenschutz-Folgenabschätzung nach der DSGVO verweisen (Artikel 27 Absatz 4).
  4. 04
    Anbieterpflichten bei Eigenentwicklungen
    Eine Bank, die ein Hochrisiko-System entwickelt und unter eigenem Namen in Betrieb nimmt, ist Anbieter (Artikel 3 Nummer 3): Qualitätsmanagementsystem, technische Dokumentation und Konformitätsbewertung auf Grundlage einer internen Kontrolle für Anhang III Nummern 2 bis 8 (Artikel 43 Absatz 2). Bei Finanzinstituten gilt das Qualitätsmanagementsystem, mit genannten Ausnahmen, durch Einhaltung der Vorschriften zur internen Unternehmensführung nach dem EU-Finanzdienstleistungsrecht als erfüllt (Artikel 17 Absatz 4).
  5. 05
    KI-Kompetenz
    Anbieter und Betreiber ergreifen Massnahmen zur Förderung der KI-Kompetenz ihres Personals und anderer Personen, die in ihrem Auftrag KI-Systeme betreiben, unter Berücksichtigung ihrer Kenntnisse und des Einsatzkontexts (Artikel 4 in der Fassung der Verordnung (EU) 2026/1744).

Was es für Verwaltungsrat und Geschäftsleitung bedeutet

  1. 01
    Kreditentscheide über natürliche Personen, die sich auf KI stützen, fallen unter das Hochrisiko-Regime; der Verwaltungsrat sollte wissen, welche Systeme betroffen sind und ob die Bank jeweils Anbieter oder Betreiber ist.
  2. 02
    Der neue Termin 2. Dezember 2027 verschiebt die Hochrisiko-Pflichten nach Anhang III, befreit aber nicht davon; Verbote und KI-Kompetenz gelten seit dem 2. Februar 2025.
  3. 03
    Die menschliche Aufsicht ist Personen mit der erforderlichen Kompetenz, Ausbildung und Befugnis zu übertragen (Artikel 26 Absatz 2); der KI-Einsatz wird damit zur Governance- und Personalfrage.
  4. 04
    Die Wirkung reicht über EU-Gesellschaften hinaus: Erfasst sind auch Anbieter und Betreiber in Drittländern, wenn die Ausgabe des KI-Systems in der EU verwendet wird (Artikel 2 Absatz 1 Buchstabe c).
In MRM-Solution

Wie MRM-Solution unterstützt

  1. 01Jedes Modell in einem Inventar führen, mit Verantwortlichem, Einstufung, Risikoklasse nach EU AI Act und Revalidierungsterminen, verknüpft mit den freigebenden Gremien.
  2. 02Die Anforderungen ins Register jeder Weisung übernehmen, jede Zeile mit ihrer Herkunft, und eine Zeile erst zählen, wenn eine Person sie freigegeben hat.
  3. 03Ergebnisse der KI als Vorschläge behandeln: Ein Urteil zählt erst, wenn eine Person es gegen die genauen Texte bestätigt hat.
  4. 04Einen unveränderbaren Audit Trail führen: wer was wann in welcher Rolle geändert hat, dazu ein Änderungsprotokoll pro Weisung.
Demo buchen

Fragen aus der Geschäftsleitung

Ist unsere Bonitätsbewertung ein Hochrisiko-KI-System?

Ja, wenn es sich um ein KI-System handelt, das für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden soll (Anhang III Nummer 5 Buchstabe b); ausgenommen sind Systeme zur Aufdeckung von Finanzbetrug, und erfasst sind nur natürliche Personen. Ein System nach Anhang III kann ausserhalb der Hochrisiko-Kategorie liegen, wenn es kein erhebliches Risiko birgt, nie aber, wenn es ein Profiling natürlicher Personen vornimmt (Artikel 6 Absatz 3).

Ab wann gelten die Hochrisiko-Pflichten nach dem Digital-Omnibus?

Die Verordnung (EU) 2026/1744, veröffentlicht am 24. Juli 2026 und in Kraft seit dem 27. Juli 2026, hat Artikel 113 geändert: Kapitel III Abschnitte 1 bis 3 gilt ab dem 2. Dezember 2027 für Systeme, die nach Artikel 6 Absatz 2 und Anhang III als hochriskant eingestuft sind, darunter die Bonitätsbewertung, und ab dem 2. August 2028 für Systeme nach Artikel 6 Absatz 1 und Anhang I. Ursprünglich galten der 2. August 2026 und der 2. August 2027.

Gilt die KI-Verordnung für eine Schweizer Bank?

Sie gilt für Betreiber mit Sitz in der EU, also für EU-Tochtergesellschaften, und für Anbieter, die KI-Systeme in der EU in Verkehr bringen, unabhängig von ihrem Sitz. Erfasst sind zudem Anbieter und Betreiber mit Sitz in einem Drittland, wenn die vom KI-System erzeugte Ausgabe in der EU verwendet wird (Artikel 2 Absatz 1 Buchstabe c); eine Bank, die EU-Kunden aus der Schweiz betreut, muss das je Anwendungsfall prüfen.

Quellen

Zusammenfassung zur Orientierung, keine Rechtsberatung. Massgebend ist der offizielle Text.
Regulierungs-Hub

Verwandte Regulierungen

Alle Regulierungen →
Glossar

Verwandte Begriffe

Alle Glossarbegriffe →

Zu schön, um wahr zu sein? Dann sollten wir reden.

30 Minuten. Ihr Anwendungsfall, maximale Wirkung.

info@mrm-solution.com
Interessengebiet