Genossenschaftsbank: KI-Scoring DORA- und AI-Act-konform aufgestellt

Ausgangslage

Der Mandant ist eine regionale Genossenschaftsbank in Bayern mit 320 Mitarbeitern und 18 Filialen. Seit 2024 setzt das Institut ein KI-gestütztes Vorauswahl-System in der Konsumenten-Kreditvergabe ein — die KI priorisiert eingehende Anträge nach Kreditwürdigkeits-Score und leitet sie an zuständige Berater weiter. Manuelle Letztentscheidung durch den Kreditberater ist strukturell vorgesehen.

Mit Inkrafttreten des Digital Operational Resilience Act (DORA, geltend seit Januar 2025) und dem anstehenden EU AI Act August-2026-Meilenstein stand die Compliance-Abteilung vor einer doppelten Herausforderung: Beide Regelwerke haben überlappende Anforderungen an IT-Governance, Risikomanagement und Dokumentation — ohne Koordination entstehen Doppelstrukturen, die Audit-Aufwand und laufende Pflege mehr als verdoppeln würden.

Herausforderung

• Hochrisiko-Einstufung nach Anhang III Nr. 5 lit. b: KI-Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen fallen eindeutig in den Hochrisiko-Bereich. Das bedeutet volle Pflichten nach Art. 9 (Risikomanagement), Art. 13 (Transparenz), Art. 14 (menschliche Aufsicht), Art. 26 (Betreiber-Pflichten) und Art. 27 (Grundrechts-Folgenabschätzung — besonders explizit für Finanzdienstleister nach AI Act).
• DORA-Doppelregulierung: Art. 6 ff. DORA verlangen IKT-Risikomanagement mit strukturierten Meldewegen, vertraglichen Anforderungen an IKT-Drittdienstleister (der KI-Anbieter in diesem Fall) und einem Resilience Testing-Programm. Viele dieser Anforderungen überschneiden sich inhaltlich mit AI-Act-Pflichten.
• BaFin-Aufsicht: Genossenschaftsbanken stehen unter BaFin-Aufsicht. Die BaFin hat 2025 erste Hinweise zu KI-Governance in Kreditinstituten veröffentlicht, die gewisse Mindeststandards vorzeichnen — auch im Vorfeld formaler EU-AI-Act-Prüfungen.
• Grundrechts-Folgenabschätzung zwingend: Anders als viele andere Hochrisiko-KI ist die Folgenabschätzung nach Art. 27 hier explizit Pflicht (für Betreiber, die Kreditwürdigkeitsbewertung durchführen).
• Widerspruchs- und Anfechtungsrechte: Kunden, die sich durch die KI benachteiligt sehen, haben nach Art. 22 DSGVO ein Recht auf menschliche Prüfung — und nach Art. 86 EU AI Act ein Recht auf Erklärung der Entscheidung (anwendbar ab 2. August 2026).

Unser Vorgehen

Der Mandant hatte bereits eine interne Compliance-Abteilung mit starkem DORA-Know-how. DATUREX kam als externer KI-Beauftragter mit Finance-Spezialisierung hinzu. Das Mandat lief 12 Wochen in enger Abstimmung mit der internen Compliance, der IT und dem Vorstand.

Woche 1–2: Regulatory Mapping DORA + AI Act. Eine Matrix wurde erstellt, die für jede DORA-Anforderung die korrespondierenden AI-Act-Pflichten auflistet — und umgekehrt. Überlappungsrate: 47 %. Das definierte den Integrationsansatz: alle überlappenden Dokumente einheitlich, nur AI-spezifische Ergänzungen separat.

Woche 3–5: KI-Risikobewertung und -Governance. Das Scoring-System wurde formal als Hochrisiko eingestuft (siehe Ratgeber Anhang III). Die bestehende IT-Governance-Struktur wurde um eine KI-Governance-Ebene erweitert, nicht parallel aufgebaut — mit benanntem KI-Verantwortlichen als Teil des bestehenden IT-Risk-Committees.

Woche 6–8: Grundrechts-Folgenabschätzung nach Art. 27. Die Folgenabschätzung fokussierte auf vier Kern-Grundrechte: Gleichbehandlung/Nichtdiskriminierung (Art. 20/21 EU-Charta), berufliche und wirtschaftliche Entfaltung (Art. 15), Datenschutz (Art. 8), Widerspruchsrechte (Art. 47). Ergebnis: zwei identifizierte Risiken mit mittlerem bis hohem Ausmaß, beide mit konkreten Mitigationsmaßnahmen adressiert (quartalsweise Bias-Tests, Verschärfung der Opt-out-Option für Kunden).

Woche 9–10: Anhang-IV-Dokumentation und Vertragsanpassung. Die technische Dokumentation des Anbieters wurde geprüft und um Betreiber-spezifische Teile ergänzt. Die bestehende DORA-konforme Vertragskonstellation mit dem KI-Anbieter wurde um AI-Act-Klauseln (Incident Reporting, Code-of-Practice-Compliance, Release-Kommunikation) erweitert — ein Nachtrag zum Hauptvertrag.

Woche 11: Schulung und Kundenkommunikation. Alle Kreditberater (80 Personen) durchliefen eine erweiterte Schulung zum KI-Einsatz, mit Fokus auf die Erkennung auffälliger KI-Scores und die Pflicht zur eigenen Bewertung. Die Kundenkommunikation wurde angepasst: Ablehnungsbescheide enthalten jetzt explizit einen Hinweis auf den KI-Einsatz plus Anfechtungsrecht. Die Ablehnungsquote durch die KI wurde nach einer Kalibrierung leicht gesenkt (Risiko-Konservatismus reduziert).

Woche 12: Monitoring und Review-Rhythmus. Etabliert wurden Monatliches KI-Reporting an den Vorstand (zusammen mit DORA-IT-Resilience-Report), Quartalsweiser Bias-Review, Jährliche Aktualisierung der Folgenabschätzung, Jährliche Rezertifizierung gegenüber BaFin-Hinweisen.

Ergebnis

Nach 12 Wochen stand ein integriertes DORA-plus-AI-Act-Governance-Modell, das vom Vorstand formal freigegeben wurde. Konkret:

• Integrierte Dokumentation statt zweier paralleler Regelwerke — Schätzung der Einsparung bei laufender Pflege: ca. 220 Stunden/Jahr im Vergleich zu separater Bearbeitung.
• Grundrechts-Folgenabschätzung als formales Dokument, freigegeben durch Vorstand und zur Vorlage gegenüber BaFin bereitgehalten.
• Zero Defect bei der ersten externen Prüfung der IT-Governance durch die BaFin-Verbandsprüfung sechs Monate später — die KI-Governance-Integration wurde ausdrücklich positiv vermerkt.
• Ein Kundenwiderspruch gegen einen KI-basierten Ablehnungsbescheid wurde innerhalb von 3 Arbeitstagen prozessiert (menschliche Zweitbewertung plus ausführliche Begründung); die Bank entschied final gegen die KI-Empfehlung, der Kreditantrag wurde bewilligt. Der Prozess funktionierte so wie im Governance-Modell vorgesehen.
• Ablehnungsquote nach Neukalibrierung von 18,3 % auf 16,9 % gesunken — das Risiko blieb unverändert (6-Monate-Review zeigte keinen Anstieg der Ausfallraten), die bessere Präzision reduzierte unnötige Ablehnungen.

Die laufenden Jahreskosten für den externen KI-Beauftragten liegen bei ca. 11.500 Euro (individualisiert Paket L plus Finance-Spezialzuschlag) — bei einem Kreditportfolio im dreistelligen Millionenbereich und regulatorischem Risiko bei BaFin-Prüfung, das in Mandaten dieser Größe regelmäßig siebenstellig gewichtet wird.

Was daraus gelernt wurde

Das zentrale Learning für Finanzdienstleister: DORA und EU AI Act sind nicht konkurrierend, sondern komplementär — wenn man sie als integriertes System behandelt. Wer IKT-Risikomanagement nach DORA Art. 6 ff. und KI-Risikomanagement nach AI Act Art. 9 als separate Projekte aufsetzt, zahlt den Preis doppelt. Die organisatorische Lösung ist ein gemeinsames Risk-Committee mit klarer Ressort-Aufteilung.

Für Banken und Finanzdienstleister mit KI-Einsatz lohnt sich der Einstieg meist über eine strukturierte Gap-Analyse, die explizit die DORA-AI-Act-Überlappung kartiert. Danach entscheidet sich, ob die laufende KI-Beauftragten-Funktion intern (möglich, aber aufwändig) oder extern (kostengünstiger, schneller einsatzbereit) bearbeitet werden soll — der Intern-vs-Extern-Vergleich liefert dazu die Entscheidungsmatrix.

Anonymisierte Mandatsdarstellung. Branche, Größenordnung und Vorgehen orientieren sich an realen Mandatsverläufen; einzelne Kennzahlen wurden zur Wahrung der Vertraulichkeit verändert, verallgemeinert oder sind illustrativ.