AI Act und DORA: KI-Projekte regulatorisch sicher durchführen

Bei KI-Projekten in der Finanzindustrie sind neben dem AI Act auch die Anforderungen der DORA zu beachten. Ein Entscheidungsbaum hilft, die KI Compliance zu gewährleisten und liefert auditierbare Nachweise.

KI-Lösungen versprechen effizientere Prozesse, bessere Analysen und schnellere Entscheidungen. Im Finanz- und Unternehmenskontext stehen sie jedoch im Spannungsfeld zwischen Innovation, Effizienz und regulatorischer Sicherheit. Unternehmen müssen deshalb frühzeitig klären, welche regulatorischen Anforderungen der KI-Einsatz konkret auslöst.

Besonders relevant sind dabei der EU AI Act (Verordnung (EU) 2024/1689) und der Digital Operational Resilience Act (DORA) (Verordnung (EU) 2022/2554). Der EU AI Act verfolgt einen risikobasierten Ansatz und unterscheidet zwischen verbotenen KI-Praktiken, Hochrisiko-KI-Systemen und weiteren Pflichten, die je nach Rolle und Nutzung variieren. DORA stellt Anforderungen an die digitale operationale Resilienz, etwa an das IKT-Risikomanagement, die Meldung von IKT-Vorfällen, Resilienztests und das Management von Drittparteienrisiken.

Wo liegt das Problem?

In der Praxis werden AI Act und DORA oft getrennt betrachtet. Das greift jedoch zu kurz, denn KI-Systeme sind in der Finanzindustrie von beiden Regelwerken gleichermaßen betroffen. Ein im Rahmen einer Masterarbeit entwickelter Entscheidungsbaum zum regulatorisch konformen KI-Einsatz hilft Unternehmen, diese Zusammenhänge strukturiert zu prüfen und Compliance-Anforderungen frühzeitig sichtbar zu machen.

Der Grund dafür liegt in der Art, wie KI-Systeme heute eingesetzt werden. Sie greifen auf Daten zu, werden in IT-Landschaften integriert, nutzen externe Modelle oder Cloud-Dienste und beeinflussen mitunter geschäftskritische Prozesse. Damit berühren sie nicht nur Fragen der KI Compliance, sondern auch Sicherheit, Verfügbarkeit, Auslagerung, Überwachung und Nachweisbarkeit.

Während der EU AI Act nach dem Risiko eines KI-Systems fragt, setzt DORA bei der digitalen Betriebsfähigkeit an. Unternehmen müssen nach dem EU AI Act unter anderem prüfen, ob ein System in den Anwendungsbereich fällt, welche regulatorische Rolle sie einnehmen und ob ein Hochrisiko-KI-System vorliegt. Daraus können Anforderungen an Risikomanagement, Datenqualität, Dokumentation, Protokollierung, Transparenz und menschliche Aufsicht entstehen.

DORA ergänzt diese Perspektive um Anforderungen an die Steuerung von IKT-Risiken, die Meldung von schwerwiegenden IKT-Vorfällen, die Durchführung von Resilienztests und die Überwachung und Steuerung externer IKT-Dienstleister. Für KI im Finanzsektor ist das besonders relevant, weil KI-Lösungen häufig Teil der digitalen Wertschöpfung und damit auch Teil der IKT-Risikolandschaft sind.

Wie eng beide Regelwerke zusammenwirken können, zeigt das Beispiel einer KI zur Unterstützung von Kreditentscheidungen. Ein solcher Einsatz kann eine Hochrisiko-Prüfung nach dem AI Act auslösen. Wird die Lösung zugleich über einen externen Anbieter betrieben oder in kritische und wichtige Prozesse eingebunden, können zusätzlich DORA-Anforderungen an Drittparteienrisiken, Verträge, IKT-Vorfallsprozesse und Resilienztests relevant werden.

Welchen Mehrwert bietet der Entscheidungsbaum?

Genau an dieser Schnittstelle setzt der Entscheidungsbaum an. Er führt Schritt für Schritt durch zentrale Prüffragen und schafft eine nachvollziehbare Grundlage für die erste regulatorische Einordnung. Er ersetzt keine Rechtsberatung, hilft aber dabei, relevante Pflichten, Risiken und Nachweise systematisch zu identifizieren.

Am Anfang steht der Einsatzzweck der KI-Lösung. Wird das System intern zur Effizienzsteigerung genutzt? Werden Entscheidungen gegenüber Kunden, Mitarbeitenden oder Dritten unterstützt? Sind sensible Bereiche wie Kreditwürdigkeit, Betrugsprävention oder Personalentscheidungen betroffen? Die Antworten darauf sind entscheidend, weil regulatorische Pflichten stark vom konkreten Nutzungskontext abhängen.

Darauf aufbauend wird die regulatorische Rolle geprüft. Ist das Unternehmen Anbieter, Betreiber oder Teil einer Lieferkette? Das zu wissen ist für die KI Governance von zentraler Bedeutung, weil sich daraus Verantwortlichkeiten, Prüfpflichten und Nachweispflichten ergeben.

Im nächsten Schritt betrachtet der Entscheidungsbaum mögliche Hochrisiko-Konstellationen nach dem EU AI Act. Parallel werden DORA-Bezüge geprüft. Dabei geht es unter anderem darum, ob die KI-Lösung eine IKT-Komponente ist, ob sie kritische Funktionen unterstützt, ob externe Dienstleister eingebunden sind und ob weitere Anforderungen z. B. an das IKT-Vorfallsmanagement, Resilienztests, die Drittbezugsrisikosteuerung und an die Dokumentation entstehen.

Besonders wertvoll ist dieser Ansatz in frühen Projektphasen. Viele KI-Projekte beginnen mit einer fachlichen Idee. Ein Prozess soll automatisiert, ein Chatbot eingeführt oder eine Prognose verbessert werden. Regulatorische Fragen werden jedoch oft erst später gestellt. Dann sind Architektur, Anbieterwahl oder Datenflüsse häufig bereits festgelegt.

Ein Entscheidungsbaum KI verlagert diese Prüfung nach vorn. Fachbereich, IT, Compliance, Datenschutz, Informationssicherheit und Risikomanagement erhalten eine gemeinsame Entscheidungslogik. Anforderungen lassen sich früh abstimmen, statt sie nachträglich in ein laufendes Projekt einzubauen.

Gerade bei DORA Compliance ist diese Verbindung wichtig. Wenn eine KI-Lösung über externe Anbieter betrieben wird, reicht eine isolierte AI-Act-Prüfung nicht aus. Unternehmen müssen auch die DORA-Anforderungen an Verträge, Kontrollrechte, Notfallkonzepte und Überwachungsmechanismen für IKT-Drittdienstleister betrachten.

Wie unterstützt der Entscheidungsbaum interne und externe Audits?

Damit leistet der Entscheidungsbaum auch einen Beitrag zu Governance, Compliance und Auditierbarkeit. Regulatorische Anforderungen an KI verlangen mehr als einzelne Dokumente. Unternehmen müssen zeigen können, warum ein KI-System in einer bestimmten Weise eingeordnet wurde, wer verantwortlich ist, welche Risiken bewertet wurden und welche Kontrollen vorgesehen sind.

Der Entscheidungsbaum macht die Antworten auf Fragen zum Einsatzzweck, der Rolle und Risikoklassifikation bis hin zu DORA-Bezügen und Drittparteienrisiken nachvollziehbar, weil diese in einem Ergebnisdokument detailliert dargestellt werden.

Für die KI Governance ist besonders wertvoll, dass unterschiedliche Perspektiven zusammengeführt werden. Vertrauenswürdige KI besteht nicht nur aus Modellqualität, sondern auch aus kontrollierten Prozessen, Dienstleistersteuerung und sauberer Dokumentation. Zudem unterstützt der Entscheidungsbaum die Standardisierung. Wiederkehrende KI-Anwendungsfälle können entlang eines einheitlichen Prüfrasters eingeordnet werden. Das erhöht Konsistenz, beschleunigt Abstimmungen und verbessert die Auditierbarkeit.

Gleichzeitig bleibt wichtig, die Grenzen des Ansatzes klar zu benennen. Der Entscheidungsbaum ersetzt keine rechtliche Einzelfallprüfung. AI Act und DORA enthalten komplexe Anforderungen, die je nach Branche, Geschäftsmodell, Datenbasis, Architektur und KI-Einsatz unterschiedlich wirken können. Auch Datenschutzrecht, Aufsichtspraxis, Auslagerungsvorgaben und interne Richtlinien können relevant sein.

Seine Stärke liegt daher in der strukturierten Orientierung. Er stellt die richtigen Fragen, macht regulatorische Abhängigkeiten sichtbar und zeigt früh, wo eine vertiefte Prüfung notwendig ist.

Fazit

KI wird für Unternehmen immer wichtiger. Gleichzeitig steigen die Anforderungen an Transparenz, Sicherheit, Resilienz und Nachweisbarkeit. AI Act und DORA sollten deshalb nicht als getrennte Prüfwelten verstanden werden. Viele KI-Lösungen lösen zugleich KI-spezifische Pflichten und Anforderungen an digitale operationale Resilienz aus.

Ein Entscheidungsbaum macht diese Komplexität handhabbar. Er führt durch Fragen zum Einsatzzweck, zur Rolle, zur Hochrisiko-Einstufung, zu DORA-Bezügen, Drittparteienrisiken und Nachweisen. So entsteht eine gemeinsame Entscheidungslogik für Fachbereich, IT, Compliance, Datenschutz und Risikomanagement.

Unternehmen, die KI-Projekte früh strukturiert prüfen, schaffen bessere Voraussetzungen für Innovation, Governance und Auditierbarkeit.