Artikel 12: Aufzeichnungspflichten für Fintech-KI — EU AI Act
Wie die Aufzeichnungspflichten aus Artikel 12 des EU AI Act für Fintech-KI gelten — Protokollierung von Kreditentscheidungen, aufsichtliche Prüfpfade, CRD-IV-Aufbewahrung.
Artikel 12 der EU AI Act verpflichtet Hochrisiko-KI-Systeme dazu, Ereignisse, die für die Ermittlung von Risiken und die Gewährleistung der Rückverfolgbarkeit relevant sind, automatisch aufzuzeichnen. Fintech-KI — nach Anhang III, Abschnitt 5(b) als hochriskant eingestuft, wenn sie zur Bonitätsbewertung, zum Kredit-Scoring oder zur Risikobewertung in der Lebens- und Krankenversicherung eingesetzt wird — muss Entscheidungsprotokolle auf Transaktionsebene erzeugen, die einer aufsichtsrechtlichen Prüfung durch die EZB standhalten, die Erstellung von Ablehnungsbescheiden unterstützen und mehrjährige regulatorische Aufbewahrungspflichten erfüllen.
Die Protokollierung von Finanz-KI ist einzigartig anspruchsvoll, da jede Kreditentscheidung, jede Betrugsmarkierung und jede Geldwäschewarnung für eine regulatorische Prüfung rekonstruierbar sein muss. Die EZB und nationale Aufsichtsbehörden (BaFin, ACPR, FCA) fordern bei Vor-Ort-Prüfungen regelmäßig Zugang zu KI-Entscheidungsprotokollen an. Ihre Protokollierungsinfrastruktur muss strukturierte, abfragbare Aufzeichnungen erzeugen, die die Modellversion, die Eingabemerkmalswerte und die spezifischen Faktoren enthalten, die jede Entscheidung bestimmt haben. Diese Seite erläutert, was protokolliert werden muss, welche Aufbewahrungsanforderungen gelten und welche Verstöße auf Codeebene Scanara erkennt.
Was muss bei Fintech-KI-Systemen protokolliert werden?
Ausgaben von Kreditentscheidungen
Jede Kreditentscheidung — Genehmigung, Ablehnung, Zuweisung einer Preisstufe — muss mit Zeitstempel, Modellversion, Entscheidungsausgabe und Antragstellerreferenz protokolliert werden. Bei Kreditablehnungen müssen die Protokolle die spezifischen Faktoren enthalten, die zur ablehnenden Entscheidung beigetragen haben, um die erforderlichen Ablehnungsbescheide zu unterstützen.
Werte der Eingabemerkmale
Protokollieren Sie die für jede Entscheidung verwendeten Merkmalswerte — nicht die rohen personenbezogenen Daten, sondern die transformierten Merkmale, die das Modell verarbeitet hat. Wenn eine Aufsichtsbehörde fragt, warum einem bestimmten Antragsteller ein Kredit verweigert wurde, müssen Sie den Eingabezustand zum Zeitpunkt der Inferenz darlegen können, einschließlich der Merkmale, die das Ergebnis am stärksten beeinflusst haben.
Betrugs- und Geldwäschewarnungsprotokolle
Jede Transaktion, die wegen möglichen Betrugs oder möglicher Geldwäsche markiert wird, muss einen Protokolleintrag mit dem Schweregrad der Warnung, den auslösenden Regeln oder Modellwerten und der Erledigung (eskaliert, freigegeben oder blockiert) erzeugen. Geldwäschewarnungsprotokolle unterliegen gesonderten Aufbewahrungspflichten nach den Geldwäscherichtlinien.
Modellversion und Kalibrierungszustand
Jeder Protokolleintrag muss die genaue Modellversion, die Version der Feature-Engineering-Pipeline, das Kalibrierungsdatum und etwaige Schwellenwertparameter erfassen. Aufsichtsteams, die Entscheidungen von vor Monaten prüfen, müssen feststellen können, welches Modell jede Ausgabe erzeugt hat und ob sich das Modell innerhalb seiner validierten Betriebsparameter befand.
Entscheidungen der menschlichen Überprüfung
Protokollieren Sie, ob ein Kreditanalyst die KI-Empfehlung überprüft hat und welche endgültige Entscheidung getroffen wurde. Bei Geeignetheitsprüfungen nach MiFID II protokollieren Sie die Identität des Beraters und ob dieser von der KI-Empfehlung abgewichen ist, einschließlich der angegebenen Begründung für jede Abweichung.
Systemverfügbarkeits- und Rückfallereignisse
Protokollieren Sie Zeiträume, in denen das KI-System betriebsbereit, eingeschränkt oder nicht verfügbar war. Erfassen Sie jeden Rückfall auf manuelle Bearbeitung oder regelbasierte Systeme, einschließlich der Dauer und der Anzahl der Entscheidungen, die während Ausfällen außerhalb der KI-Pipeline getroffen wurden.
Zentrale Aufzeichnungspflichten für Fintech
Die Protokollierung von KI im Finanzdienstleistungssektor unterliegt einigen der längsten Aufbewahrungsfristen aller Branchen. Die 6-Monats-Mindestfrist der AI Act wird durch branchenspezifische Anforderungen bei Weitem übertroffen, die eine Aufbewahrung von 5–10 Jahren für Kreditentscheidungsunterlagen vorschreiben. Die Protokollierungsinfrastruktur muss von Anfang an für eine langfristige, abfragbare Speicherung ausgelegt sein.
Aufbewahrung: CRD IV hat Vorrang
CRD IV Artikel 74 verpflichtet Institute, interne Governance-Unterlagen einschließlich der Dokumentation von Kreditentscheidungen mindestens 5 Jahre lang aufzubewahren. Für Geeignetheitsunterlagen nach MiFID II beträgt die Aufbewahrungsfrist ebenfalls 5 Jahre. Geldwäscheunterlagen nach AMLD5 müssen 5 Jahre nach Beendigung der Geschäftsbeziehung aufbewahrt werden. Diese Fristen übersteigen die 6-Monats-Grundfrist der AI Act bei Weitem.
Bereitschaft für aufsichtsrechtliche Prüfungen
Die EZB und nationale Aufsichtsbehörden führen Vor-Ort-Prüfungen durch, bei denen sie Zugang zu KI-Entscheidungsprotokollen anfordern. Die Protokolle müssen in einem strukturierten, abfragbaren Format vorliegen — Aufseher führen aggregierte Analysen von Entscheidungsmustern durch und lesen keine einzelnen Protokolldateien. Planen Sie Funktionen für den Massenexport und für analytische Abfragen ein.
Unterstützung von Ablehnungsbescheiden
Wenn ein KI-System einen Kredit ablehnt, muss das Institut dem Antragsteller die konkreten Gründe mitteilen. Die Protokolle müssen die wichtigsten beitragenden Faktoren für jede Ablehnung zum Zeitpunkt der Inferenz erfassen — diese Gründe nachträglich aus den Modellgewichten zu erzeugen, ist nicht ausreichend. Protokollieren Sie die Erklärung zum Zeitpunkt der Entscheidung.
DORA-Protokollierungsanforderungen
Der Digital Operational Resilience Act (DORA) verpflichtet Finanzunternehmen, eine umfassende Protokollierung von IKT-Systemereignissen vorzuhalten. KI-Entscheidungssysteme fallen in den Anwendungsbereich von DORA — die Protokolle müssen betriebliche Leistungskennzahlen, Vorfallsaufzeichnungen und Daten zur Systemverfügbarkeit neben Prüfpfaden auf Entscheidungsebene enthalten.
Regulatorische Überschneidungen
Die Aufzeichnung von Finanz-KI unterliegt der dichtesten regulatorischen Überlagerung aller Branchen. Die Einhaltung von Artikel 12 muss in die bestehenden Rahmenwerke der Aufsicht, des Verbraucherschutzes und der Geldwäscheprävention integriert werden.
EBA-Leitlinien zur AI Act
Die Europäische Bankenaufsichtsbehörde hat Leitlinien zum Einsatz von KI im Finanzdienstleistungssektor herausgegeben, die sich speziell mit Protokollierungs- und Prüfbarkeitsanforderungen befassen. Die EBA-Leitlinien empfehlen eine Protokollierung auf Entscheidungsebene mit Modellversionierung, Erfassung von Eingabemerkmalen und Nachverfolgung von Ergebnissen — in enger Anlehnung an die Anforderungen von Artikel 12.
CRD IV Artikel 74 — Interne Governance
CRD IV verpflichtet Kreditinstitute zu robusten Governance-Vorkehrungen einschließlich umfassender interner Prüfpfade. Bei KI-gestützten Kreditentscheidungen bedeutet dies, dass die Protokollierung sowohl die Rückverfolgbarkeitsanforderungen der AI Act als auch die Governance-Dokumentationsanforderungen von CRD IV erfüllen muss. Aufseher erwarten integrierte Prüfpfade, die das Modellrisikomanagement und die Entscheidungsergebnisse abdecken.
MiFID II Artikel 25 — Geeignetheitsunterlagen
MiFID II verpflichtet Wertpapierfirmen, Aufzeichnungen über Geeignetheitsprüfungen 5 Jahre lang aufzubewahren. Wenn KI-Systeme zu Geeignetheitsprüfungen beitragen, muss das KI-Entscheidungsprotokoll mit der Geeignetheitsunterlage verknüpft werden, einschließlich der KI-Empfehlung, der Entscheidung des Beraters und etwaiger Abweichungsbegründungen.
PSD2 und AMLD5 — Transaktionsüberwachung
Die Zahlungsdienste- und die Geldwäscherichtlinien verlangen Transaktionsüberwachungsprotokolle mit bestimmten Aufbewahrungsfristen. KI-Systeme, die Betrugserkennung oder Geldwäscheprüfungen durchführen, müssen jede markierte Transaktion, die Erledigung der Warnung und die Entscheidung des Ermittlers protokollieren. AMLD5 verlangt eine Aufbewahrung von 5 Jahren nach Beendigung der Geschäftsbeziehung.
Häufige Verstöße, die Scanara erkennt
print()-Protokollierung statt strukturiertem JSON
Kredit-Scoring-Code, der print-Anweisungen oder unstrukturierte Textprotokollierung verwendet. Aufsichtsrechtliche Prüfungen erfordern analytische Massenabfragen über Millionen von Entscheidungen — unstrukturierte Protokolle sind für die regulatorische Prüfung nutzlos und verstoßen gegen die Rückverfolgbarkeitsanforderungen von Artikel 12.
Fehlende Modellversion in Entscheidungsereignissen
Kreditentscheidungs-Endpunkte, die das Ergebnis protokollieren, ohne die Modellversion, das Kalibrierungsdatum oder die Schwellenwertparameter zu erfassen. Wenn ein Aufseher Entscheidungen aus einem bestimmten Zeitraum überprüft, muss er feststellen können, welches Modell jede Entscheidung erzeugt hat und ob es innerhalb der validierten Parameter betrieben wurde.
Protokolle auf lokaler Festplatte ohne Aufbewahrung geschrieben
Das Schreiben von Kreditentscheidungsprotokollen in flüchtigen Container-Speicher oder auf lokale Festplatten. CRD IV verlangt eine Aufbewahrung von 5 Jahren für Kreditentscheidungsunterlagen — Protokolle auf flüchtiger Infrastruktur überstehen nicht einmal eine einzige Infrastrukturrotation, geschweige denn einen mehrjährigen aufsichtsrechtlichen Prüfzeitraum.
Keine Ablehnungsfaktoren zum Entscheidungszeitpunkt
Protokollierung von Kreditablehnungen, ohne die wichtigsten beitragenden Faktoren zum Zeitpunkt der Inferenz zu erfassen. Ablehnungsgründe nachträglich aus gespeicherten Modellgewichten zu erzeugen, ist unzuverlässig und spiegelt möglicherweise nicht die tatsächlichen Faktoren wider, die die konkrete Entscheidung bestimmt haben. Protokollieren Sie die Erklärung zusammen mit der Entscheidung.
Artikel-12-Compliance-Checkliste für Fintech
Jede KI-gestützte Finanzentscheidung protokollieren
Erzeugen Sie strukturierte Protokollereignisse für jede Kreditentscheidung, jede Betrugswarnung, jede Geldwäschemarkierung und jede Geeignetheitsprüfung. Erfassen Sie Zeitstempel, Modellversion, Eingabemerkmale, Ausgabe und beitragende Faktoren.
Aufsichtsrechtliche analytische Abfragen ermöglichen
Strukturieren Sie die Protokolle in einem Format, das analytische Massenabfragen unterstützt. Aufsichtsteams werden aggregierte Analysen von Entscheidungsmustern, demografischen Aufschlüsselungen und Modellleistungskennzahlen über verschiedene Zeiträume anfordern.
Mindestaufbewahrung von 5 Jahren konfigurieren
Bewahren Sie KI-Entscheidungsprotokolle für den jeweils längeren Zeitraum aus der 6-Monats-Mindestfrist der AI Act und der geltenden Finanzregulierung auf (CRD IV: 5 Jahre, MiFID II: 5 Jahre, AMLD5: 5 Jahre nach Beendigung der Beziehung). Verwenden Sie gestaffelte Speicherung mit geeigneten Lebenszyklusrichtlinien.
Entscheidungen von Analysten und Beratern erfassen
Protokollieren Sie die Identität der Kreditanalysten oder Berater, die KI-Ausgaben überprüft haben. Erfassen Sie, ob sie die Empfehlung angenommen, geändert oder außer Kraft gesetzt haben, einschließlich der Begründung für jede Außerkraftsetzung.
In die betriebliche IKT-Protokollierung integrieren
Stellen Sie sicher, dass KI-Entscheidungsprotokolle in Ihr DORA-konformes Rahmenwerk für die betriebliche IKT-Protokollierung integriert sind. Erfassen Sie Systemverfügbarkeit, Leistungskennzahlen und Vorfallsaufzeichnungen neben Prüfpfaden auf Entscheidungsebene.
Häufig gestellte Fragen
Verwandte Ressourcen
Artikel 12: Aufzeichnungspflichten
Vollständige Anforderungen von Artikel 12 über alle Branchen hinweg.
Fintech-KI — Branchen-Hub
Vollständiger Leitfaden zur Einhaltung der EU AI Act für Finanz-KI-Systeme.
Artikel 9: Risikomanagement für Fintech
Anforderungen an das Risikomanagementsystem für Finanz-KI.
Artikel 12: Aufzeichnungspflichten für HR-Tech
Entscheidungsprotokollierung für KI-Systeme im Personalwesen.
So hilft Scanara
Scanara automatisiert die EU AI Act Compliance vom Code bis zum Dossier. Verbinden Sie Ihre GitHub-Repos und erhalten Sie Compliance-Berichte in Minuten.