Skip to main content

Artikel 17 für Fintech-KI: Qualitätsmanagementsystem

Wie Artikel 17 (Qualitätsmanagementsystem) für Fintech-KI gilt: die 13 Aspekte, die Regel für Finanzinstitute in Artikel 17 Absatz 4, Dokumentation, Termine und Geldbußen.

Anbieter von Hochrisiko-KI-Systemen müssen ein Qualitätsmanagementsystem betreiben, das mindestens 13 Aspekte abdeckt (Artikel 17 Absatz 1).

„Fintech“ ist keine Kategorie der Verordnung; die Anknüpfungspunkte sind Anhang III Nummer 5 Buchstaben b und c, ab dem 2. Dezember 2027. Bei Anbietern, die Finanzinstitute sind und den Governance-Vorschriften des Unionsrechts über Finanzdienstleistungen unterliegen, gilt die Pflicht als erfüllt, wenn sie diese einhalten (Artikel 17 Absatz 4). Ausgenommen bleiben Risikomanagement, Beobachtung nach dem Inverkehrbringen und Meldung von Vorfällen. Geldbußen betragen bis zu 15 Mio. EUR oder, bei Unternehmen, bis zu 3 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Nächster Schritt: Prüfen Sie, ob Artikel 17 Absatz 4 für Sie gilt.

Artikel 17 nennt 13 Aspekte, die das System enthalten muss

Das System ist systematisch und ordnungsgemäß in Form schriftlicher Regeln, Verfahren und Anweisungen zu dokumentieren. Vier Aspekte hängen mit anderen Pflichten der Verordnung zusammen; neun weitere folgen.

  • Art. 17(1)(a)
    Konzept zur Einhaltung der Regulierungsvorschriften

    Ein Konzept zur Einhaltung der Regulierungsvorschriften, was die Einhaltung der Konformitätsbewertungsverfahren und der Verfahren für das Management von Änderungen an dem System miteinschließt.

  • Art. 17(1)(g)
    Risikomanagementsystem

    Das in Artikel 9 genannte Risikomanagementsystem.

  • Art. 17(1)(h)
    Beobachtung nach dem Inverkehrbringen

    Einrichtung, Anwendung und Aufrechterhaltung eines Systems zur Beobachtung nach dem Inverkehrbringen gemäß Artikel 72.

  • Art. 17(1)(i)
    Meldung schwerwiegender Vorfälle

    Verfahren zur Meldung eines schwerwiegenden Vorfalls gemäß Artikel 73.

  • Art. 17(1)(b)–(f), (j)–(m)
    Die übrigen neun Aspekte

    Entwurf und Entwurfskontrolle; Entwicklung, Qualitätskontrolle und Qualitätssicherung; Untersuchungs-, Test- und Validierungsverfahren; technische Spezifikationen und Normen; Datenmanagement; Kommunikation mit Behörden, notifizierten Stellen und anderen; Aufzeichnung; Ressourcenmanagement; ein Rahmen für die Rechenschaftspflicht.

  • Art. 17(2)
    Verhältnismäßig zur Größe, nicht zum Schutz

    Die Umsetzung muss in einem angemessenen Verhältnis zur Größe der Organisation des Anbieters stehen, insbesondere bei KMU, einschließlich Start-up-Unternehmen, oder kleinen Midcap-Unternehmen. Die Anbieter müssen dennoch den Grad an Strenge und das Schutzniveau wahren, die für die Einhaltung der Verordnung durch ihre Hochrisiko-KI-Systeme erforderlich sind.

Wie Artikel 17 für Fintech-KI gilt

Artikel 17 gilt nur für Anbieter von Hochrisiko-KI-Systemen. Die folgenden Punkte zeigen, wann Fintech-KI hochriskant wird und welche Regeln für Finanzinstitute gelten.

  • „Fintech“ ist keine Kategorie der Verordnung

    Die Verordnung kennt keine Kategorie „Fintech“. Diese Website verwendet das Wort für KI, die über zwei Anknüpfungspunkte in Anhang III unter die Verordnung fällt: Nummer 5 Buchstabe b (Kreditwürdigkeit und Bonität natürlicher Personen) und Nummer 5 Buchstabe c (Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen). Buchstabe b nimmt die Betrugserkennung aus. Anhang III Nummer 5 nennt weder Geldwäschekontrollen noch algorithmischen Handel, Robo-Advice, andere Versicherungen als Lebens- und Krankenversicherungen oder die Kreditprüfung juristischer Personen. Ein System kann dennoch nach einer anderen Nummer von Anhang III hochriskant sein.

  • Anhang III Nummer 5 Buchstaben b und c

    Anhang III Nummer 5 Buchstabe b erfasst KI-Systeme, die bestimmungsgemäß für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden sollen, mit Ausnahme von KI-Systemen, die zur Aufdeckung von Finanzbetrug verwendet werden. Buchstabe c erfasst KI-Systeme, die bestimmungsgemäß für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen im Fall von Lebens- und Krankenversicherungen verwendet werden sollen. Nach Artikel 6 Absatz 2 gelten die in Anhang III aufgeführten KI-Systeme als hochriskant. Ein Anbieter, der ein solches System nach Artikel 6 Absatz 3 nicht für hochriskant hält, muss seine Bewertung dokumentieren, bevor das System in Verkehr gebracht oder in Betrieb genommen wird, und es nach Artikel 49 Absatz 2 registrieren. Die Ausnahme gilt nie, wenn das System Profiling natürlicher Personen durchführt. Profiling ist Profiling im Sinne von Artikel 4 Nummer 4 der Verordnung (EU) 2016/679 (Artikel 3 Nummer 52); ob ein bestimmtes Scoring-System Profiling durchführt, beantwortet die Verordnung nicht.

  • Anbieter und Betreiber

    Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Artikel 3 Nummer 3); das kann ein Softwareanbieter sein oder eine Bank, die ein System für den eigenen Gebrauch entwickelt. Eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein System in eigener Verantwortung verwendet, etwa eine Bank, ein Versicherer oder ein Kreditgeber, ist Betreiber (Artikel 3 Nummer 4). Ein Betreiber wird zum Anbieter, wenn er ein bereits in Verkehr gebrachtes Hochrisiko-KI-System mit seinem Namen oder seiner Handelsmarke versieht, eine wesentliche Veränderung vornimmt, durch die das System ein Hochrisiko-KI-System bleibt, oder die Zweckbestimmung eines nicht als hochriskant eingestuften Systems so ändert, dass es hochriskant wird (Artikel 25 Absatz 1).

  • Termine

    Anhang III Nummer 5 Buchstaben b und c gelten ab dem 2. Dezember 2027 (Artikel 113 Absatz 3 Buchstabe c). Ein System, das vor diesem Termin in Verkehr gebracht oder in Betrieb genommen wurde, ist nur erfasst, wenn es danach erheblichen Veränderungen in Bezug auf seine Konzeption unterliegt; in jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030 (Artikel 111 Absatz 2).

  • Geldbußen

    Verstöße gegen die Anbieterpflichten nach Artikel 16 und die Betreiberpflichten nach Artikel 26 können mit Geldbußen von bis zu 15 Mio. EUR oder, bei Unternehmen, bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Für KMU, einschließlich Start-up-Unternehmen, ist jede Geldbuße auf den niedrigeren Betrag begrenzt (Artikel 99 Absatz 6). Dieselbe Obergrenze gilt für kleine Midcap-Unternehmen (Artikel 3 Nummer 14b, Artikel 99 Absatz 6a). Jeder Mitgliedstaat legt Vorschriften dafür fest, inwieweit gegen Behörden und öffentliche Stellen, die in diesem Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können (Artikel 99 Absatz 8).

  • Grenzen des Anwendungsbereichs der Verordnung

    Die Verordnung gilt für Anbieter, die KI-Systeme in der Union in Verkehr bringen oder in Betrieb nehmen oder KI-Modelle mit allgemeinem Verwendungszweck in der Union in Verkehr bringen, unabhängig davon, wo sie niedergelassen sind (Artikel 2 Absatz 1 Buchstabe a), sowie für Anbieter und Betreiber in einem Drittland, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird (Buchstabe c). Sie gilt nicht für Bereiche außerhalb des Unionsrechts und berührt nicht die Zuständigkeiten der Mitgliedstaaten für die nationale Sicherheit; sie gilt auch nicht für KI-Systeme, die ausschließlich für militärische Zwecke, Verteidigungszwecke oder Zwecke der nationalen Sicherheit verwendet werden (Artikel 2 Absatz 3).

  • Finanzinstitute: die Regel zur internen Unternehmensführung (Artikel 17 Absatz 4)

    Bei Anbietern, die Finanzinstitute sind und nach den Rechtsvorschriften der Union über Finanzdienstleistungen Anforderungen an ihre Regelungen oder Verfahren der internen Unternehmensführung unterliegen, gilt die Pflicht zur Einrichtung eines Qualitätsmanagementsystems als erfüllt, wenn die Vorschriften über Regelungen oder Verfahren der internen Unternehmensführung nach diesem Recht eingehalten werden (Artikel 17 Absatz 4). Ausgenommen sind Artikel 17 Absatz 1 Buchstaben g, h und i: das Risikomanagementsystem (Artikel 9), das System zur Beobachtung nach dem Inverkehrbringen (Artikel 72) und die Verfahren zur Meldung eines schwerwiegenden Vorfalls (Artikel 73). Die in Artikel 40 genannten harmonisierten Normen werden berücksichtigt. Die Verordnung definiert „Finanzinstitut“ nicht und nennt das betreffende Recht über Finanzdienstleistungen nicht.

  • Sektorale Qualitätsmanagementsysteme

    Anbieter, die nach sektoralem Unionsrecht Pflichten in Bezug auf Qualitätsmanagementsysteme oder eine gleichwertige Funktion haben, können die Aspekte aus Artikel 17 Absatz 1 in das Qualitätsmanagementsystem nach diesem Recht aufnehmen (Artikel 17 Absatz 3).

  • Dokumentation, Protokolle und Beobachtung im Finanzrecht

    Anbieter, die Finanzinstitute sind und solchen Anforderungen an die interne Unternehmensführung unterliegen, führen die technische Dokumentation als Teil der nach dem einschlägigen Unionsrecht über Finanzdienstleistungen geführten Dokumentation (Artikel 18 Absatz 3) und bewahren die automatisch erzeugten Protokolle ebenso auf (Artikel 19 Absatz 2). Artikel 72 Absatz 4 Unterabsatz 2 dehnt die Möglichkeit, Elemente der Beobachtung nach dem Inverkehrbringen in bestehende Systeme und Pläne zu integrieren, auf Systeme nach Anhang III Nummer 5 solcher Finanzinstitute aus; welche bestehenden Systeme des Finanzrechts in Frage kommen, sagt die Verordnung nicht.

  • Welche Behörde zuständig ist

    Bei Hochrisiko-KI-Systemen, die von Finanzinstituten, die unter das Unionsrecht über Finanzdienstleistungen fallen, in Verkehr gebracht, in Betrieb genommen oder verwendet werden, ist Marktüberwachungsbehörde die nationale Behörde, die nach diesem Recht für die Finanzaufsicht über diese Institute zuständig ist, soweit das Inverkehrbringen, die Inbetriebnahme oder die Verwendung des Systems in unmittelbarem Zusammenhang mit der Erbringung dieser Finanzdienstleistungen steht (Artikel 74 Absatz 6). In angemessenen Fällen und bei gewährleisteter Koordinierung kann ein Mitgliedstaat eine andere zuständige Behörde benennen (Artikel 74 Absatz 7).

Was die Verordnung für Fintech offenlässt

  • Keine benannte Norm, keine Zuordnung zum Finanzrecht

    Die Verordnung nennt keine Norm und keine Zertifizierung für das Qualitätsmanagementsystem und ordnet die Regeln des Finanzrechts zur Unternehmensführung nicht den 13 Aspekten zu. Artikel 17 Absatz 4 sagt nur, dass die in Artikel 40 genannten harmonisierten Normen berücksichtigt werden.

  • Die Aufbewahrung über zehn Jahre steht in Artikel 18

    Die Pflicht, die Dokumentation zum Qualitätsmanagementsystem zehn Jahre nach dem Inverkehrbringen oder der Inbetriebnahme des Systems aufzubewahren, steht in Artikel 18 Absatz 1, nicht in Artikel 17.

  • Beispiel: eine Lückentabelle

    Beispiel, keine Vorgabe der Verordnung: Eine Bank, die Anbieter ist, könnte die 13 Aspekte in einer Tabelle auflisten, das Dokument zur internen Unternehmensführung vermerken, das jeden Aspekt abdeckt, und die Aspekte g, h und i als gesonderte Arbeit behandeln, weil Artikel 17 Absatz 4 sie nicht erfasst.

Fragen zu Artikel 17 im Fintech-Bereich

Braucht eine Bank, die ein eigenes Bonitätsbewertungsmodell entwickelt, ein eigenes Qualitätsmanagementsystem?

Nicht unbedingt. Ist die Bank ein Finanzinstitut, das nach Unionsrecht über Finanzdienstleistungen Anforderungen an seine interne Unternehmensführung unterliegt, gilt die Pflicht als erfüllt, wenn diese Vorschriften eingehalten werden, mit Ausnahme von Artikel 17 Absatz 1 Buchstaben g, h und i (Artikel 17 Absatz 4). Ein Anbieter mit einem Qualitätsmanagementsystem nach anderem sektoralem Unionsrecht kann die Aspekte dort einbeziehen (Artikel 17 Absatz 3).

Verlangt Artikel 17, Unterlagen zehn Jahre aufzubewahren?

Nein. Artikel 18 Absatz 1 verlangt, dass der Anbieter die technische Dokumentation, die Dokumentation zum Qualitätsmanagementsystem und weitere genannte Unterlagen zehn Jahre nach dem Inverkehrbringen oder der Inbetriebnahme des Systems für die zuständigen nationalen Behörden bereithält.

Gilt Artikel 17 Absatz 4 für ein Fintech-Start-up, das keine Bank ist?

Artikel 17 Absatz 4 gilt für Anbieter, die Finanzinstitute sind und nach Unionsrecht über Finanzdienstleistungen Anforderungen an ihre interne Unternehmensführung unterliegen. Die Verordnung definiert „Finanzinstitut“ dafür nicht. Ob ein bestimmtes Fintech-Unternehmen erfasst ist, hängt vom auf es anwendbaren Finanzdienstleistungsrecht ab; lassen Sie dies rechtlich klären.

Weiterführende Seiten

Scanara bereitet Nachweise aus Ihren Repositorien vor

Scanara liest Ihre verbundenen GitHub-Repositorien und führt regelbasierte Scans auf gängige KI- und Machine-Learning-Muster durch. Unübliche Codemuster kann es übersehen. Getrennt davon erzeugt es aus Vorlagen und Ihren Antworten in der Bewertung Dokumentationsentwürfe als Nachweise für Ihre Compliance-Arbeit. Die Einstufung entscheiden Sie.