Artikel 10: Daten-Governance für Fintech-KI — EU AI Act

Wie die Daten-Governance nach Artikel 10 des EU AI Act für Finanz-KI gilt — Repräsentativität beim Kredit-Scoring, Stellvertreterdiskriminierung, dünne Kreditakten.

Veröffentlicht 2. April 2026

Artikel 10 des EU AI Act legt Anforderungen an die Daten-Governance fest, die unmittelbar auf eines der hartnäckigsten Compliance-Risiken der Fintech-Branche abzielen: verzerrte Trainingsdaten in der Kreditbewertung, der Versicherungskalkulation und der Betrugserkennung. Nach Anhang III, Abschnitt 5(b) werden KI-Systeme, die die Kreditwürdigkeit bewerten oder Kreditscores erstellen, als hochriskant eingestuft. Ihre Trainingsdaten müssen für die EU-Kreditmärkte repräsentativ, frei von Stellvertreterdiskriminierung und dokumentierten Governance-Praktiken unterworfen sein — Anforderungen, die die Datenpraktiken der meisten Anbieter von Finanz-KI auf die Probe stellen.

Diese Seite erläutert, wie die Daten-Governance nach Artikel 10 speziell auf Fintech-KI angewendet wird — von der Kreditbewertung bis zur Bekämpfung der Geldwäsche — einschließlich der Risiken beim Einsatz von Modellen, die mit Nicht-EU-Daten trainiert wurden, der Stellvertreterdiskriminierung durch geografische und verhaltensbezogene Merkmale sowie der Verstöße auf Code-Ebene, die Scanara in Finanzdaten-Pipelines erkennt.

Für welche Fintech-KI-Systeme gilt Artikel 10?

KI für Kreditbewertung und Kreditwürdigkeit

KI-Systeme, die die Kreditwürdigkeit natürlicher Personen bewerten oder Kreditscores erzeugen. Die Trainingsdaten müssen das Verhalten der EU-Kreditmärkte widerspiegeln — Modelle, die mit Daten US-amerikanischer Auskunfteien trainiert wurden, enthalten grundlegend andere Finanzverhaltensweisen (z. B. Normen der Kreditausnutzung, Erwartungen an die Länge der Kredithistorie), die sich nicht auf EU-Kontexte übertragen lassen.

KI zur Bewertung von Versicherungsrisiken

KI zur Preisgestaltung von Versicherungspolicen oder zur Bewertung von Schadensfällen. Die Trainingsdaten dürfen keine historische Preisdiskriminierung enthalten. Datensätze, die jahrzehntelange Risikobewertung widerspiegeln, können verzerrte Preisgestaltungspraktiken kodieren, die zum Zeitpunkt der Datenerhebung rechtmäßig waren, aber gegen aktuelle Antidiskriminierungsstandards verstoßen.

Betrugserkennung und AML-Systeme

KI zur Erkennung betrügerischer Transaktionen oder verdächtiger Aktivitäten. Die Governance der Trainingsdaten muss Label-Verzerrungen berücksichtigen: Historische Betrugskennzeichnungen können bestimmte Transaktionsmuster überrepräsentieren, die mit bestimmten demografischen Gruppen verbunden sind, was zu unverhältnismäßigen Falsch-Positiv-Raten führt.

Automatisierte Kreditvergabeentscheidungen

KI-Systeme, die Entscheidungen zur Kreditgenehmigung treffen oder empfehlen. Sie müssen das Problem der “dünnen Kreditakte” berücksichtigen: Neuzuwanderer, junge Kreditnehmer und Beschäftigte der informellen Wirtschaft mit begrenzter Kredithistorie müssen in den Trainingsdaten vertreten sein, oder das Modell muss unzureichende Daten kennzeichnen, anstatt einen niedrigen Score zu erzeugen.

Zentrale Daten-Governance-Pflichten für Fintech

Artikel 10 verlangt, dass Trainingsdaten für den beabsichtigten Zweck relevant, repräsentativ und vollständig sind. Für Fintech bedeutet dies, dass Trainingsdatensätze das Finanzverhalten und die Kreditmarktbedingungen der EU-Bevölkerungsgruppen widerspiegeln müssen, in denen das System eingesetzt wird — und nicht pauschal aus anderen Finanzsystemen übernommen werden dürfen.

Repräsentativität des EU-Marktes

Artikel 10(4) verlangt, dass die Daten die spezifischen geografischen, kontextuellen und verhaltensbezogenen Rahmenbedingungen des Einsatzes berücksichtigen. Eine mit US-Daten trainierte und in der EU eingesetzte KI zur Kreditbewertung steht vor grundlegenden Repräsentativitätsproblemen: unterschiedliche Kreditauskunftssysteme (in den meisten EU-Staaten kein FICO-Äquivalent), unterschiedliche Finanzprodukte und unterschiedliche regulatorische Rahmenbedingungen für das Finanzverhalten.

Stellvertreterdiskriminierung durch geografische Daten

Artikel 10(2)(f) verlangt die Prüfung der Daten auf Verzerrungen, die die Grundrechte beeinträchtigen. Im Fintech-Bereich dienen Postleitzahlen und Nachbarschaftsdaten häufig als Stellvertreter für ethnische Zugehörigkeit oder sozioökonomischen Status. Eine postleitzahlbasierte Risikobewertung, die mit der demografischen Zusammensetzung von Wohngebieten korreliert, stellt sowohl nach dem AI Act als auch nach dem EU-Antidiskriminierungsrecht eine mittelbare Diskriminierung dar.

Abdeckung von Bevölkerungsgruppen mit dünner Kreditakte

Die Trainingsdaten müssen Kreditnehmer mit dünner Kreditakte angemessen abbilden: Neuzuwanderer ohne EU-Kredithistorie, junge Menschen, die in den Kreditmarkt eintreten, und Beschäftigte der informellen Wirtschaft ohne traditionelle Bankbeziehungen. Artikel 10(3) verlangt, dass die Daten für den beabsichtigten Zweck vollständig sind — der Ausschluss dieser Bevölkerungsgruppen schafft systematische Abdeckungslücken.

Governance alternativer Datenquellen

Fintech-KI nutzt zunehmend alternative Daten (Social-Media-Aktivität, Zahlungen von Versorgungsrechnungen, Mobiltelefonnutzung). Artikel 10(2) verlangt eine dokumentierte Governance für alle Datenquellen, einschließlich ihrer Relevanz für die Kreditwürdigkeit, ihres Verzerrungspotenzials und ihrer Einwilligungsgrundlage. Alternative Daten können neuartige Diskriminierungsvektoren einführen, die in herkömmlichen Kreditdaten nicht vorhanden sind.

Regulatorische Überschneidungen

Die Daten-Governance von Fintech-KI liegt an der Schnittstelle von KI-Regulierung, Finanzdienstleistungsregulierung und Verbraucherschutzrecht. Die Einhaltung von Artikel 10 muss mit den bestehenden aufsichtsrechtlichen Erwartungen der Finanzaufsichtsbehörden abgestimmt werden.

EBA-Leitlinien zu KI im Finanzdienstleistungssektor (Nov 2025)

Die Europäische Bankenaufsichtsbehörde hat Leitlinien herausgegeben, die sich speziell mit der KI-Daten-Governance bei Kreditentscheidungen befassen. Diese Leitlinien verpflichten Institute, die Repräsentativität der Trainingsdaten zu bewerten, die Datenherkunft zu dokumentieren und die Modellleistung über Kundensegmente hinweg zu validieren. Die EBA-Erwartungen stehen im Einklang mit Artikel 10, ergänzen ihn aber um sektorspezifische Details zur Modell-Governance und zum aufsichtsrechtlichen Reporting.

CRR/CRD — Datenstandards der Eigenkapitalanforderungen

Die Eigenkapitalverordnung (CRR) und die Eigenkapitalrichtlinie (CRD) stellen Anforderungen an die Datenqualität für interne Modelle zur Berechnung des Kreditrisikos. KI-Modelle, die in IRB-Ansätzen verwendet werden, müssen die Datenanforderungen nach CRR Artikel 174 neben den Governance-Pflichten aus Artikel 10 erfüllen — wodurch sich überschneidende, aber nicht identische Compliance-Anforderungen ergeben.

PSD2/PSD3 — Governance von Zahlungsdaten

Die Zahlungsdiensterichtlinie regelt den Zugang zu und die Nutzung von Zahlungskontodaten. KI-Systeme, die Open-Banking-Daten für Kreditentscheidungen nutzen, müssen die Einwilligungs- und Zweckbindungsanforderungen der PSD2 neben der Daten-Governance nach Artikel 10 einhalten. Die (vorgeschlagene) PSD3 verschärft die Zugangskontrollen für Daten und könnte zusätzliche KI-spezifische Bestimmungen einführen.

Verbraucherkreditrichtlinie 2023/2225

Die überarbeitete Verbraucherkreditrichtlinie (wirksam ab Nov 2026) befasst sich ausdrücklich mit KI bei der Bewertung der Kreditwürdigkeit. Artikel 18 verlangt, dass automatisierte Systeme nicht aufgrund geschützter Merkmale diskriminieren und dass Verbraucher aussagekräftige Erläuterungen erhalten. Dadurch entsteht eine direkte Verbindung zwischen den Anforderungen an Trainingsdatenverzerrungen nach Artikel 10 und den Verbraucherschutzpflichten.

Häufige Verstöße, die Scanara erkennt

Geografische Stellvertretermerkmale in Kreditmodellen

Feature-Engineering-Code, der Postleitzahlen, Nachbarschaftskennungen oder Standortdaten von Immobilien in Kreditbewertungsmerkmale einbezieht, ohne die Korrelation mit geschützten Merkmalen zu bewerten. Scanara erkennt geografische Merkmale, die in Kreditentscheidungen ohne entsprechende Fairnessanalyse verwendet werden, und kennzeichnet eine mögliche Stellvertreterdiskriminierung nach Artikel 10(2)(f).

Nicht-EU-Trainingsdaten ohne Anpassung

Daten-Pipelines, die Auskunfteidaten aus Nicht-EU-Rechtsräumen einlesen, ohne die geografische Übertragbarkeit dokumentiert zu bewerten. Modelle, die mit US-amerikanischen FICO-artigen Daten trainiert und für EU-Kreditentscheidungen eingesetzt werden, verstoßen gegen die Anforderungen des Artikels 10(4), die spezifischen geografischen und verhaltensbezogenen Rahmenbedingungen des Einsatzes zu berücksichtigen.

Fehlende Behandlung von Bevölkerungsgruppen mit dünner Kreditakte

Bewertungs-Pipelines, die für alle Antragsteller Kreditscores erzeugen, ohne die Datenhinlänglichkeit zu prüfen. Wenn die Trainingsdaten Kreditnehmer mit dünner Kreditakte nicht abbilden, sollte das Modell unzureichende Daten kennzeichnen, anstatt von unähnlichen Bevölkerungsgruppen zu extrapolieren. Scanara erkennt Bewertungsfunktionen ohne Prüfungen der Datenvollständigkeit.

Artikel-10-Compliance-Checkliste für Fintech

Art. 10(2)

Daten-Governance-Praktiken dokumentieren

Erfassen Sie alle Datenquellen (Auskunfteien, alternative Daten, Transaktionshistorien), Erhebungsmethoden, Datenbereinigungsverfahren und Entscheidungen des Feature-Engineerings. Berücksichtigen Sie eine Bewertung der Datenrelevanz für die Bedingungen des EU-Kreditmarktes.

Art. 10(3)

Repräsentativität des EU-Marktes validieren

Überprüfen Sie, ob die Trainingsdaten das demografische und finanzielle Profil der EU-Kreditnehmer in den Zielmärkten widerspiegeln. Dokumentieren Sie die Abdeckung von Bevölkerungsgruppen mit dünner Kreditakte, die geografische Vielfalt über die Mitgliedstaaten hinweg sowie die Repräsentation unterschiedlicher Einkommensklassen und Beschäftigungsarten.

Art. 10(2)(f)

Risiko der Stellvertreterdiskriminierung bewerten

Führen Sie eine Korrelationsanalyse zwischen Merkmalen und geschützten Attributen durch. Bewerten Sie insbesondere geografische Merkmale, Beschäftigungsart und Indikatoren des digitalen Verhaltens auf Stellvertretereffekte. Dokumentieren Sie die Ergebnisse und Minderungsmaßnahmen.

Art. 10(4)

Einsatzkontext berücksichtigen

Dokumentieren Sie, wie die Trainingsdaten die spezifischen finanzregulatorischen Rahmenbedingungen, die Infrastruktur der Kreditauskunft und das finanzielle Verbraucherverhalten jedes EU-Mitgliedstaats berücksichtigen, in dem das System eingesetzt wird. Ein grenzüberschreitender Einsatz erfordert eine marktübergreifende Daten-Governance.

Art. 10(6)

Unabhängige Testdaten verwenden

Validieren Sie die Fairness des Modells anhand von Testdaten, die von den Trainingsdaten unabhängig sind. Verwenden Sie unterschiedliche Zeiträume, unterschiedliche geografische Märkte oder unterschiedliche Kundensegmente. Nehmen Sie nach geschützten Attributen aufgeschlüsselte Fairnesskennzahlen in die Testergebnisse auf.

Häufig gestellte Fragen

So hilft Scanara

Scanara automatisiert die EU AI Act Compliance vom Code bis zum Dossier. Verbinden Sie Ihre GitHub-Repos und erhalten Sie Compliance-Berichte in Minuten.