KI unter DORA: Was die BaFin-Orientierungshilfe von Banken verlangt

Die Aufsicht hat entschieden, bevor die Branche fertig diskutiert hat

Während in Banken noch darüber gestritten wird, ob KI ein Sonderfall ist, hat die Aufsicht die Frage beantwortet: Sie ist keiner. Die BaFin behandelt KI-Systeme als Teil der IKT-Landschaft, die über ihren gesamten Lebenszyklus in das Risikomanagement nach DORA gehört, von der Datenbeschaffung bis zur Stilllegung.

Am 18. Dezember 2025 hat die BaFin dazu eine „Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen“ veröffentlicht. Laut BaFin richtet sie sich an Institute, für die die Capital Requirements Regulation (CRR) gilt, und an Versicherer unter Solvency II. Neue Pflichten schafft sie nicht; sie zeigt, wie bestehende Anforderungen aus dem Digital Operational Resilience Act (DORA) auf KI-Systeme angewendet werden können. KI-Risikomanagement ist damit kein neues Projekt neben DORA, sondern DORA zu Ende gedacht, und weil nichts Neues in Kraft tritt, gibt es auch keine Übergangsfrist: Die zugrunde liegenden DORA-Pflichten gelten seit dem 17. Januar 2025.

Was die Orientierungshilfe ist und was sie nicht ist

Formal ist das Papier ausdrücklich eine nicht verpflichtende Hilfestellung. Die BaFin schreibt selbst, dass es keine aufsichtlichen Erwartungen definiert und dass stets der risikobasierte Ansatz und der Grundsatz der Verhältnismäßigkeit gelten. Praktisch zeigt es aber, wie die Aufsicht die DORA-Anforderungen auf KI liest. Wer einen produktiven KI-Assistenten in keinem IKT-Inventar führt, hat kein Problem mit der Orientierungshilfe, sondern mit DORA.

Den Anspruch formuliert die BaFin klar: Sicherheit und Resilienz eines KI-Systems sollen in jeder Phase gewährleistet sein. Das ist der Kern des Dokuments, keine neue Regel, sondern die Übertragung des DORA-Prinzips der digitalen Widerstandsfähigkeit auf eine Technologie, die viele Institute bisher als Experimentierfeld behandeln.

Warum gelten KI-Systeme als IKT?

Ein KI-System ist ein Informationssystem mit besonderen Eigenschaften, kein eigener Rechtsraum. Für Institute heißt das: Jedes produktive KI-System gehört in das IKT-Risikomanagement, mit Inventarisierung, Schutzbedarfsfeststellung, Risikobewertung und den zugehörigen Kontrollen.

Damit endet eine bequeme Grauzone. KI-Tools, die als Pilot, Fachbereichslösung oder stille Duldung neben der offiziellen IT laufen, sind aus DORA-Sicht ungesteuerte IKT. Das betrifft den Übersetzungsdienst im Browser genauso wie das Skript eines Fachbereichs, das ein Sprachmodell über eine Schnittstelle anspricht. Die Diskussion um individuelle Datenverarbeitung und Schatten-IT bekommt mit KI eine neue Dimension.

Wann braucht ein Institut eine eigene KI-Strategie?

Eine KI-Strategie gewinnt nach der Orientierungshilfe vor allem dann an Gewicht, wenn KI-Anwendungen kritische oder wichtige Funktionen unterstützen. Sie kann eigenständig oder in eine übergeordnete Strategie integriert sein, sollte an Gesamt-, Risiko- und IKT-Strategie ausgerichtet sein und vom Leitungsorgan genehmigt werden. In vielen Instituten gibt es eine KI-Ambition im Management und eine Tool-Landschaft im Fachbereich, aber kein Dokument, das beides verbindet und Risikotoleranzen festlegt.

Der Maßstab ist Verhältnismäßigkeit. Die BaFin unterscheidet ausdrücklich KI-Anwendungen in kritischen oder wichtigen Funktionen, die umfangreichere Sicherheits- und Kontrollmaßnahmen brauchen, von Self-Service-Assistenten, die vollständig unter menschlicher Überwachung stehen und nicht in Entscheidungen eingebunden sind. Ein guter Startpunkt ist deshalb eine Kritikalitätslandkarte: Welche KI-Anwendung berührt welche Funktion, und was passiert, wenn sie ausfällt oder falsch liegt?

Wie sieht der Lebenszyklus eines KI-Systems aus?

Die Orientierungshilfe ordnet die Risiken entlang des Lebenszyklus: Datenbeschaffung, Modellentwicklung, Bereitstellung, laufender Betrieb und Stilllegung. Risikomanagement für KI beginnt also nicht beim Go-live und endet nicht dort. Jede Phase braucht definierte Verantwortliche, dokumentierte Entscheidungen und Kontrollen. Wer heute ein Sprachmodell einführt, sollte beantworten können, wie es in einigen Jahren abgelöst wird, welche Prozesse daran hängen und was der Ausfall des Anbieters bedeutet.

Am Anfang steht die Datenbeschaffung. Ein KI-System, das auf veralteten, widersprüchlichen oder lückenhaften Daten arbeitet, produziert plausibel klingende Fehler. Die BaFin hält eine Klassifizierung der Daten nach Vertraulichkeitsstufen für unerlässlich, damit vertrauliche Daten über den gesamten Verarbeitungsweg kontrolliert bleiben.

Was bedeutet Testen bei KI-Systemen?

Testen heißt bei KI auch, gegen das System zu testen. Je nach Kritikalität nennt die Orientierungshilfe die Simulation von Angriffen (Adversarial Testing, etwa Data Poisoning oder Evasion Attacks), Adversarial Penetration Tests, gegebenenfalls in Abstimmung mit dem Cloud-Anbieter, und Stresstests mit stark veränderten Datenverteilungen oder Überlast. Für klassische Software ist Penetrationstesting etabliert; für KI fehlt diese Disziplin in vielen Instituten noch.

Bei KI-Assistenten auf Basis großer Sprachmodelle beschreibt die BaFin zusätzlich Halluzinationen und Prompt Injection, also manipulierte Eingaben, die ein Modell zu nicht geplantem Verhalten zwingen. Eine weitere Herausforderung sind unangekündigte Modelländerungen bei Modellen von Dritten. Ein Testprotokoll aus dem Marketing des Anbieters ersetzt eigene Tests im Anwendungskontext nicht. Mehr dazu im Beitrag zu Prompt Injection in der Bank.

Wie wird KI im Betrieb überwacht?

KI-Systeme verändern ihr Verhalten durch neue Modellversionen, verändertes Nutzerverhalten oder Drift in den Eingangsdaten. Die Orientierungshilfe empfiehlt deshalb, risikobasiert KI-Entscheidungen, Modellversionen und Trainingsdaten zu protokollieren, soweit datenschutzrechtlich zulässig, und für KI-Systeme in kritischen oder wichtigen Funktionen Schwellenwerte und Indikatoren für Fehlverhalten festzulegen. Ein Monitoring, das nur Verfügbarkeit misst, greift zu kurz.

Aus der Einordnung als IKT folgt eine Konsequenz, die viele KI-Projekte noch nicht durchgespielt haben: Auch das Vorfallmanagement nach DORA erfasst KI-Systeme. Die BaFin empfiehlt, KI-Systeme je nach Kritikalität im Geschäftsfortführungsmanagement zu berücksichtigen. Unterschätzt wird oft der Betrieb ohne KI: Ist eine KI-Vorprüfung fester Teil eines Prozesses, muss klar sein, wie derselbe Prozess ohne sie weiterläuft, mit welcher Kapazität und welchen Durchlaufzeiten.

Warum sind eingekaufte KI-Assistenten ein Drittparteienrisiko?

Kaum ein Institut entwickelt eigene Sprachmodelle; fast alle beziehen KI-Assistenten von externen Anbietern. Diese Dienste fallen unter das IKT-Drittparteienrisikomanagement nach DORA. Die Orientierungshilfe empfiehlt klare Service Level Agreements, Audit- und Kontrollrechte, die lückenlos auch bei Unterauftragsvergaben für kritische oder wichtige Funktionen gelten, etwa für Einblick in KI-Logs und Trainingsumgebungen, sowie Exit-Strategien, mit denen der Betrieb bei einem Anbieterwechsel aufrechterhalten oder zeitnah migriert werden kann.

Dafür empfiehlt sich ein problemloser Export von Modellen, Trainingsdaten und Konfigurationen. Hinter dem Assistenten steht meist ein Modellanbieter, dahinter ein Cloud-Betreiber; warum genau dort das eigentliche Risiko liegt, zeigt der Beitrag zur Lieferkette hinter den IKT-Dienstleistern.

Wann muss ein Mensch in der Schleife bleiben?

Für sicherheitskritische KI-Antworten und -Empfehlungen nennt die Orientierungshilfe eine menschliche Überprüfungspflicht (Human-in-the-Loop) als mögliche Maßnahme, ebenso Einschränkungen der Nutzung großer Sprachmodelle in kritischen oder wichtigen Funktionen. Das deckt sich mit der Praxis gut geführter Institute, die KI für Vorprüfung, Entwurf und Assistenz einsetzen und Entscheidungen mit Kunden- oder Risikowirkung beim Menschen lassen. Wie diese Prüfung wirksam bleibt, beschreibt der Beitrag „Der Klick ist keine Kontrolle“.

Was heißt das für Sparkassen und Genossenschaftsbanken?

Kleinere Institute setzen KI überwiegend als Verbundlösung ein, über Rechenzentralen und deren Assistenten wie S-KIPilot oder genoGPT. Das verschiebt die Arbeit, beseitigt sie aber nicht: Die Verantwortung für den Einsatz bleibt im Institut. Die Verbundlösung gehört ins eigene IKT-Inventar, die bereitgestellten Test- und Kontrollnachweise werden bewertet, und die eigenen Anwendungsfälle werden klassifiziert, denn ob ein Assistent eine kritische Funktion unterstützt, entscheidet sich am Prozess im Institut.

Der Vorteil der Verbundstruktur: Testverfahren, Überwachungs-Tools und Vertragsstandards lassen sich zentral entwickeln und dezentral nutzen. Die eigene Risikobewertung ersetzt das nicht.

Wie greifen Orientierungshilfe, KI-Verordnung und MaRisk ineinander?

Die KI-Verordnung verlangt seit dem 2. Februar 2025 Maßnahmen zur KI-Kompetenz, seit dem Digital Omnibus vom Juli 2026 als Förderpflicht, und seit dem 2. August 2026 gelten Transparenzpflichten nach Artikel 50. Die MaRisk bleiben der Rahmen für die Geschäftsorganisation, die BAIT werden durch DORA abgelöst. Werden die Ebenen in einem gemeinsamen KI-Governance-Rahmen zusammengeführt, beantworten dieselben Unterlagen die Fragen aller Regelwerke. Einen Überblick gibt der Beitrag zum Regulierungsrahmen für KI in Banken; warum fehlende Governance das größere Risiko ist, der Beitrag zum BaFin-Risikobericht 2026.

Was das Management jetzt anstoßen sollte

1. Alle KI-Systeme inventarisieren, auch Piloten und Fachbereichslösungen, als Teil des IKT-Inventars.

2. Jedes System klassifizieren: Unterstützt es kritische oder wichtige Funktionen? Daran hängt die Tiefe aller weiteren Maßnahmen.

3. Verträge prüfen: Audit- und Kontrollrechte, auch bei Unterauftragnehmern, sowie Exit-Szenarien für eingekaufte KI-Dienste nachziehen.

4. Testen und überwachen: Angriffstests etablieren und Schwellenwerte für Fehlverhalten festlegen, nicht nur Verfügbarkeit messen.

5. Den Betrieb ohne KI planen und KI-Systeme ins Geschäftsfortführungs- und Vorfallmanagement aufnehmen.

Häufige Fragen

Ist die BaFin-Orientierungshilfe zu KI verbindlich?
Nein. Sie ist eine nicht verpflichtende Hilfestellung. Die zugrunde liegenden DORA-Anforderungen gelten aber seit dem 17. Januar 2025.

An wen richtet sich die Orientierungshilfe?
Laut BaFin an Institute, für die die CRR gilt, und an Versicherer unter Solvency II.

Müssen Verbundlösungen wie S-KIPilot oder genoGPT ins eigene IKT-Inventar?
Ja. Die Verantwortung für den Einsatz bleibt im Institut, auch wenn Entwicklung und Betrieb beim Rechenzentrum liegen. Entscheidend ist, welche Funktionen der Assistent im eigenen Prozess unterstützt.

Weitere Beiträge zu KI-Verordnung, DORA und Aufsicht bündelt das Dossier Regulierung & Resilienz.

Wie weit die eigene Organisation ist, zeigt ein einfacher Selbsttest: Ließe sich für den wichtigsten produktiven KI-Anwendungsfall binnen eines Tages eine vollständige Akte vorlegen, von der Freigabe bis zum Testprotokoll? Wir freuen uns über ein erstes Gespräch zu diesem Thema.