KI-Governance im Bankwesen

KI-Governance im Bankwesen

Wie integrierte Governance zum strategischen Treiber von Innovation wird

Jede Bank, die heute von KI-Reife spricht, muss mehr vorweisen als eine Reihe von Leitprinzipien und eine Handvoll erfolgreicher Piloten. Beides sind wichtige Meilensteine, als Indikatoren für Reife genügen sie jedoch nicht mehr.

Echte Reife beginnt dort, wo KI aus einer Absicht belegbare Betriebsnachweise und messbaren Mehrwert macht. Im Bankwesen ist integrierte Governance der Mechanismus, der dies ermöglicht.

Von Prinzipien zu Nachweisen: Warum Governance im gesamten Lebenszyklus der KI-Produktentwicklung verankert sein muss

Die meisten Banken haben ein grundlegendes Set an KI-Prinzipien verabschiedet, die Fairness, Transparenz, Verantwortlichkeit, Sicherheit und menschliche Aufsicht adressieren. Das ist ein sinnvoller Ausgangspunkt, doch hier liegt nicht die eigentliche Herausforderung.

Die eigentliche Herausforderung beginnt, sobald KI in den Produktivbetrieb geht. Governance lässt sich nicht nachträglich auf einen IT-zentrierten Softwareentwicklungsprozess aufsetzen. Sie muss ausdrücklich im gesamten Lebenszyklus der KI-Produktentwicklung verankert sein, der KI als zentrales Geschäftsprodukt begreift und nicht lediglich als IT-Projekt. Jede Phase – von Design, Entwicklung und Validierung über Deployment und Monitoring bis hin zu Neubewertung und Außerbetriebnahme – bringt eigene Kontrollen, Verantwortliche und Nachweispflichten mit sich.

Es geht nicht darum, KI-Produkte schneller zu entwickeln. Es geht darum, in jeder Phase belegen zu können, dass ein Produkt leistet, wofür es gedacht war, und die Voraussetzungen dafür zu schaffen, dass KI im gesamten Unternehmen verantwortungsvoll eingesetzt werden kann.

Sobald KI in die Live-Umgebung wechselt, reichen allgemeine Prinzipien nicht mehr aus. Das Management muss wissen, wo KI eingesetzt wird, wer dafür verantwortlich ist, auf welche Daten sie sich stützt, wie sie getestet wurde, wie sie überwacht wird, welche Einschränkungen bekannt sind, welche Kontrollen greifen und was geschieht, wenn etwas schiefgeht. So schaffen Institute Vertrauen im großen Maßstab.

Die entscheidende Frage lautet nicht mehr, ob eine Bank über eine KI-Richtlinie verfügt. Sie lautet, ob die Bank Kontrolle und positive Ergebnisse für Kunden, Aktionäre und das Finanzsystem belegen kann. Auch ohne ein eigenes KI-Gesetz gilt die Haftung: Die FINMA (Schweiz) und vergleichbare Finanzmarktaufsichtsbehörden in anderen Ländern erwarten dies bereits heute, und Bußgelder nach dem EU AI Act skalieren mit dem weltweiten Umsatz.

Das Governance-Paradox: Warum schwache Kontrollen die Skalierung verlangsamen und Innovation behindern

Noch immer wird Governance häufig als Bremse für Innovation dargestellt. In der Praxis ist jedoch meist schwache Governance das größere Problem. Sie vermittelt ein trügerisches Gefühl von Sicherheit und führt dazu, dass Institute glauben, Aufsicht auszuüben, obwohl dies nicht der Fall ist.

Werden Kontrollen erst ergänzt, nachdem Piloten an Dynamik gewonnen haben, entsteht ein bekanntes Muster: Risiko- und Compliance-Funktionen blockieren entweder die Skalierung, weil das Risiko noch nicht klar ist, oder sie werden gedrängt, etwas zu akzeptieren, das sie nicht angemessen vertreten können. Beide Ergebnisse sind schädlich.

Gute Governance bewirkt das Gegenteil. Sie gibt Instituten die Sicherheit, schneller voranzugehen, weil die Spielregeln von Anfang an klar sind. Nicht jeder Anwendungsfall muss dieselbe Governance-Last tragen, denn nicht jeder Anwendungsfall birgt dasselbe Risiko. Ein Tool, das interne Dokumentation zusammenfasst, ist etwas anderes als ein System, das Kundenergebnisse beeinflusst.

Ein gestuftes, integriertes Governance-Modell, wie es der EU AI Act mit seiner Hierarchie von Risikostufen und den jeweils zugehörigen Pflichten vorsieht und das sich an Auswirkung und Risiko orientiert, ermöglicht es Banken, KI zu skalieren, ohne jeden Anwendungsfall zu einer langwierigen Verhandlung zwischen Business, Technologie, Recht, Compliance und Risikomanagement werden zu lassen.

Vier KI-Eigenschaften, die jedes Finanzinstitut verstehen muss

Banken kennen Technologie-Governance bereits. KI bringt jedoch eine andere Art von Komplexität mit sich, die auf vier Eigenschaften beruht, die viele Vorstände noch nicht vollständig durchdrungen haben.

• Halluzinationen: Plausibel wirkende Ausgaben durchlaufen Prozesse leichter, als sie sollten, und können Compliance-Risiken erzeugen, bevor es jemand bemerkt.
• Modell-Drift und -Verfall: Ein Modell-Update, eine Änderung am Prompt, eine Datenverschiebung, eine Änderung auf Anbieterseite oder eine Anpassung des Workflows können die Ergebnisse verändern. Anders als herkömmliche Software sind Large Language Models probabilistisch: Dieselbe Frage kann im Zeitverlauf unterschiedliche Antworten liefern, ohne dass sich der Code ändert. Kann eine Bank solche Veränderungen nicht erkennen, lässt sich ihr Anspruch, die Kontrolle zu behalten, nur schwer verteidigen. In Fällen mit höherem Risiko ist ein Modell, das sich überwachen und verteidigen lässt, oft besser als ein leistungsstärkeres, bei dem dies nicht gelingt.
• Ausgenutzte Angriffsflächen: Sobald agentische Systeme mit Infrastruktur oder sensiblen Daten interagieren, werden Zugriffe nach dem Least-Privilege-Prinzip, ein umfassenderes Logging, strengere Identitätskontrollen und Szenariotests für KI-spezifische Vorfälle unverzichtbar. Ziel ist der Schutz vor Prompt Injection, Data Poisoning, Model Extraction, Deepfake-gestütztem Betrug und Agenten, die über verbundene Tools oder APIs ihre vorgesehenen Berechtigungen überschreiten.
• Autonomes Scope Creep: Ein Tool, das einen Prozess unterstützen soll, kann diesen schnell mitgestalten. Ein System, das zunächst nur Entwürfe erstellt, kann beginnen, Urteile zu beeinflussen. Banken müssen ausdrücklich festlegen, wo KI unterstützen darf, wo sie Empfehlungen aussprechen darf, wo ein menschliches Eingreifen zwingend erforderlich ist und wo Automatisierung grundsätzlich ausgeschlossen ist.

Dieser letzte Punkt hat erhebliche Auswirkungen auf die menschliche Aufsicht. Es genügt nicht, zu sagen, dass ein Mensch „in the Loop“ bleibt. Verantwortung lässt sich nicht an eine Maschine delegieren, im großen Maßstab aber auch nicht ohne sie ausüben.

Entscheidend ist, ob diese Person die Befugnis, die Informationen und die praktische Möglichkeit hat, rechtzeitig einzugreifen. Technologie muss Drift, Verstöße oder überschrittene Schwellenwerte sichtbar machen, damit der verantwortliche Mensch handeln kann.

Sind die Mechanismen vage, langsam oder rein prozedural, verfügt die Bank womöglich auf dem Papier über dokumentierte Aufsicht, in der Praxis jedoch nicht.

Sechs Ergebnisse, die Führungsgremien vom Management einfordern sollten

Vorstände benötigen eine Governance-Struktur, die zur KI-Reife ihres Instituts passt. In der Praxis bedeutet das, sechs zentrale Ergebnisse vom Management einzufordern.

• Ein gestuftes, verhältnismäßiges Governance-Modell: Governance muss praktikabel sein, nicht bürokratisch. Ein an Risiko und Auswirkung ausgerichtetes, gestuftes Modell ermöglicht es der Bank, KI sicher zu skalieren, ohne interne Blockaden zu erzeugen.
• Ein dynamisches, zentrales KI-Inventar: Wenn das Management nicht erkennen kann, wo KI eingesetzt wird – einschließlich KI-Funktionen, die in Lösungen externer Anbieter eingebettet sind –, ist die Governance im Kern schwach.
• Klare Entscheidungsgrenzen: Das Management muss präzise festlegen, wo KI unterstützen darf, wo sie Empfehlungen aussprechen darf und wo Automatisierung strikt ausgeschlossen ist. Dabei sind agentische Systeme ausdrücklich zu berücksichtigen, damit autonome Tools keine Aktionen jenseits ihrer vorgesehenen Berechtigungen ausführen.
• Eine strategische Architektur für das Drittparteien-Risiko: Die Anbieterprüfung muss sich von einem gewöhnlichen Beschaffungsprozess zu einem Kernbestandteil der Kontrollarchitektur der Bank entwickeln. Das Management muss Abhängigkeiten von gängigen Cloud-Plattformen, Foundation Models und Datenanbietern erfassen und überwachen, um Konzentrationsrisiken, Modell-Updates und Exit-Fähigkeit zu steuern.
• Eine produktionsreife operative Kontrollebene: Das Gremium muss eine operative Ebene einfordern, die in der Live-Umgebung funktioniert und nicht nur auf dem Papier existiert. Dazu gehören automatisierte Tests, kontinuierliches Performance- und Drift-Monitoring, klare Eskalationsschwellen und belastbare Mechanismen für das Incident Handling, die jederzeit unmittelbare, auditierbare Nachweise der Kontrolle liefern können.
• Explizites Wertmanagement und klare Kostenverantwortung: Jeder wesentliche Anwendungsfall ist nicht nur hinsichtlich des Risikos, sondern auch hinsichtlich des Ertrags zu bewerten. Das Wertmanagement sollte die vollständigen Kosten, den realisierten Nutzen und das Restrisiko jeder Implementierung erfassen. Kontrolle und Wert werden gemeinsam berichtet, andernfalls ist keines von beiden glaubwürdig.

Kontrolle ist die Voraussetzung für Skalierung

Einige Banken werden KI in abgegrenzten Bereichen halten, weil die Governance-Fragen zu schwer zu beantworten sind. Andere werden Strukturen aufbauen, um KI zu skalieren, ohne die Kontrolle zu verlieren. Für die globale Bankenbranche ist das die strategische Kernfrage. Innovation ohne belegbare Kontrolle ist kein glaubwürdiges Betriebsmodell mehr.

Die nützlichste Frage, die ein Vorstand dem Management stellen kann, ist zugleich die einfachste: Wenn eine Aufsichtsbehörde, die interne Revision, ein Kunde oder der Aufsichtsrat morgen ein konkretes KI-gestütztes Ergebnis infrage stellen würde – könnte die Bank es klar erklären, angemessen belegen und aufzeigen, wie es im Produktivbetrieb kontrolliert wird?

Lautet die Antwort Ja, ist das Institut bereit, sicher zu skalieren und die Erträge, die sich abzeichnen, zu verteidigen. Lautet sie Nein, ist die Priorität nicht ein weiterer Pilot, sondern eine Governance, die im realen Betriebsumfeld funktioniert.