KI Orientierung BaFin

Neuigkeiten

Ein Beitrag von

Andreas Wegmann & AI friends

Veröffentlicht am

19.12.2025

Aktualisiert am

19.12.2025

Lesezeit

2 min

Am 18.12.2025 hat die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) ein Orientierungsdokument für regulierte Finanzunternehmen veröffentlicht, das Hilfestellung beim Einsatz von Künstlicher Intelligenz (KI) geben soll. Das Dokument ist nicht verpflichtend, soll aber die regulatorischen Anforderungen an den KI Einsatz vor dem Hintergrund des Digital Operational Resilience Act (DORA) verständlich machen. Dieser Beitrag gibt einen Überblick über diese KI Orientierung der BaFin.

DORA BaFin KI

Wie definiert die EU KI-Verordnung den Begriff „KI-System“?

Nach Art. 3 Nr. 1 der EU KI-Verordnung ist ein KI-System ein „maschinengestütztes System, das für einen in unterschiedlichem Grade autonomen Betrieb ausgelegt ist und das nach seiner Betriebsaufnahme anpassungsfähig sein kann und das aus den erhaltenen Eingaben für explizite oder implizite Ziele ableitet, wie Ausgaben wie etwa Vorhersagen, Inhalte, Empfehlungen oder Entscheidungen erstellt werden, die physische oder virtuelle Umgebungen beeinflussen können“.
Die EU KI-Verordnung ist ebenso wie DORA der übergeordnete Rahmen, in dem die BaFin ihrer Aussichtspflicht nachkommt.

Programmieren mit KI Tools

Auch das Programmieren mit KI-Tools ist explizit in der KI Orientierung der BaFin genannt. Der „Code-Erzeugung mit KI-Assistenten“ wird einen eigener Abschnitt gewidmet und stellt klar, dass die regulatorischen Anforderungen unabhängig davon gelten, wer den Code geschrieben hat. Wer Software mit KI entwickelt, muss über angemessene Kenntnisse und Fähigkeiten verfügen, um die Ergebnisse beurteilen und testen zu können. Es muss z.B. geprüft werden, inwieweit der generierte Code externe, KI-basierte Funktionen (z. B. über APIs) aufruft, ohne dass dies beabsichtigt war.

Fazit für Finanzunternehmen

DORA bietet bereits den notwendigen Rahmen, um KI sicher zu betreiben, aber eine strikte Anwendung der IKT-Risikomanagement-Prinzipien auf die spezifischen Eigenheiten von KI ist erforderlich.

Zusammenfassend lassen sich diese Kernpunkte aus der Orientierungshilfe entnehmen:

• Kein Start ohne Governance: Bevor technische Implementierungen beginnen, müssen geeignete Governance- und Organisationsstrukturen stehen. Der IKT-Risikomanagementrahmen nach DORA ist ausreichend, um auch KI-Systeme abzudecken, muss aber konsequent angewendet werden.

• Gleiche Maßstäbe für alle: Es ist unerheblich, ob ein KI-System selbst entwickelt oder von Dritten (z. B. als Standardsoftware) eingekauft wurde. Für Analyse, Tests und Sicherheit gelten dieselben hohen Standards.

• Fokus auf Daten und Cloud: Da KI-Systeme meist auf Cloud-Infrastrukturen und sensiblen Daten basieren, verschiebt sich der Fokus stark auf das IKT-Drittparteienrisikomanagement und die Datenklassifizierung (Datensicherheit).

• Ganzheitliche Strategie für Assistenten: Insbesondere für die weit verbreiteten KI-Assistenten (GenAI/LLMs) reicht eine rein technische Absicherung nicht aus; hier ist eine ganzheitliche Sicherheitsstrategie erforderlich, die technische, organisatorische und regulatorische Maßnahmen verbindet.

Quelle: KI Orientierung BaFin

Eine kurze Zusammenfassung als Video gibt es auf YouTube: Managing AI Risks in Finance based on Guidance Document from German BaFin