Artikel 26: Betreiberpflichten für Fintech-KI — EU AI Act

Wie die Betreiberpflichten nach Artikel 26 des EU AI Act für Banken und Versicherer gelten — Erklärbarkeit gegenüber der Aufsicht, wesentliche Änderung, DORA-Zusammenspiel.

Veröffentlicht 2. April 2026

Artikel 26 des EU AI Act begründet Pflichten für Betreiber — Organisationen, die von Dritten entwickelte Hochrisiko-KI-Systeme einsetzen. Im Finanzdienstleistungssektor sind Betreiber Banken, Versicherer, Zahlungsdienstleister und Wertpapierfirmen, die KI-gestützte Werkzeuge für Kreditbewertung, Betrugserkennung, Risikoprüfung oder Geldwäschebekämpfung von externen Anbietern beziehen. Diese Institute tragen die unmittelbare Compliance-Verantwortung nach Artikel 26, obwohl sie die KI-Modelle, auf die sie sich stützen, nicht selbst entwickelt haben.

Die Unterscheidung zwischen Betreiber und Anbieter ist im Fintech-Bereich besonders folgenreich wegen der Schwelle der „wesentlichen Änderung“: Wenn eine Bank ein Kreditmodell eines Anbieters feinabstimmt oder es mit eigenen Daten nachtrainiert, wird das Institut wahrscheinlich zum „Anbieter“ mit vollen Pflichten. Diese Seite erläutert, was Artikel 26 von Finanzinstituten verlangt, die KI von Dritten einsetzen, wie er mit den EBA-Leitlinien und DORA zusammenwirkt und welche Compliance-Lücken Scanara in Betreiberkonfigurationen erkennt.

Wer ist Betreiber im Finanzdienstleistungssektor?

Banken, die Kreditmodelle von Anbietern nutzen

Banken und Kreditinstitute, die KI-Modelle zur Kreditbewertung oder für Kreditvergabeentscheidungen von Drittanbietern beziehen. Die Nutzung eines Anbietermodells zur Bonitätsprüfung macht die Bank zum Betreiber mit Pflichten nach Artikel 26, einschließlich der Fähigkeit, KI-Entscheidungen gegenüber Aufsichtsbehörden und Kreditnehmern zu erläutern.

Versicherer, die Underwriting-KI einsetzen

Versicherungsunternehmen, die KI von Dritten für Risikobewertung, Schadenbearbeitung oder automatisiertes Underwriting nutzen. Der Versicherer ist der Betreiber und dafür verantwortlich sicherzustellen, dass die KI keine unfair diskriminierenden Preis- oder Deckungsentscheidungen erzeugt.

Zahlungsdienstleister, die Betrugserkennungs-KI nutzen

Zahlungsdienstleister und Acquiring-Banken, die KI von Dritten zur Erkennung von Transaktionsbetrug oder zur Überwachung verdächtiger Aktivitäten einsetzen. Der Betreiber muss die menschliche Aufsicht über Betrugswarnungen gewährleisten und die Protokollierung der KI-Systementscheidungen aufrechterhalten.

Wertpapierfirmen, die KI-Beratungswerkzeuge nutzen

Vermögensverwalter und Anlageberater, die KI von Dritten für Portfolioempfehlungen, Risikoprofilierung oder Eignungsprüfungen nutzen. Die Firma bleibt für die den Kunden erteilte Beratung verantwortlich, unabhängig davon, ob KI zur Empfehlung beigetragen hat.

Betreiber von AML/KYC-KI

Finanzinstitute, die Anbieter-KI für das Screening zur Geldwäschebekämpfung, die Sorgfaltspflicht gegenüber Kunden oder den Abgleich mit Sanktionslisten nutzen. Betreiber müssen die menschliche Überprüfung von KI-generierten Warnungen sicherstellen und Prüfpfade für behördliche Inspektionen aufrechterhalten.

Wesentliche Betreiberpflichten für Finanzdienstleistungen

Finanzinstitute, die KI von Dritten einsetzen, müssen die Anforderungen von Artikel 26 zusätzlich zu bestehenden aufsichtsrechtlichen und Verhaltenspflichten erfüllen. Die EBA-Leitlinien zum AI Act bekräftigen, dass die Betreiberverantwortung nicht an den KI-Anbieter ausgelagert werden kann.

Erklärbarkeit gegenüber der Aufsicht

Betreiber müssen der EZB, der BaFin oder nationalen Aufsichtsbehörden erläutern können, wie jedes von ihnen eingesetzte KI-System validiert wurde, welche Daten es verarbeitet und wie seine Ausgaben Geschäftsentscheidungen beeinflussen. Dies geht über die technische Dokumentation des Anbieters hinaus — der Betreiber muss sein eigenes Verständnis und seine eigene Governance des KI-Systems nachweisen.

Bewusstsein für wesentliche Änderungen

Wenn eine Bank ein Kreditmodell mit eigenen Daten feinabstimmt oder ein Betrugserkennungsmodell mit institutsspezifischen Transaktionsmustern nachtrainiert, überschreitet sie wahrscheinlich die Schwelle der „wesentlichen Änderung“ und wird zum Anbieter. Betreiber müssen alle Änderungen an Anbieter-KI dokumentieren und beurteilen, ob jede Änderung eine Neueinstufung auslöst.

Menschliche Aufsicht bei Kreditentscheidungen

Betreiber müssen die menschliche Aufsicht Personen übertragen, die sowohl im KI-System als auch im Finanzbereich kompetent sind. Bei Kreditentscheidungen bedeutet dies geschulte Kreditsachbearbeiter, die die Bewertungsmethodik des KI-Modells verstehen und KI-Empfehlungen mit dokumentierter Begründung außer Kraft setzen können.

Vorfallmeldung an den KI-Anbieter

Wenn ein eingesetztes KI-System wesentlich fehlerhafte Kreditbewertungen erzeugt, betrügerische Transaktionen nicht erkennt oder systematische Fehler verursacht, muss der Betreiber den schwerwiegenden Vorfall dem KI-Anbieter und der zuständigen Behörde melden. Dies verläuft parallel zu bestehenden aufsichtsrechtlichen Meldepflichten für Vorfälle.

Regulatorische Überschneidungen

Finanzbetreiber agieren unter dem EU AI Act zusätzlich zu den EBA-Leitlinien, den Anforderungen der CRD IV an die interne Governance, dem DORA-IKT-Risikomanagement und PSD2. Die Pflichten aus Artikel 26 überlagern bestehende aufsichtsrechtliche Erwartungen.

EBA-Leitlinien zum AI Act

Die EBA-Leitlinien zu KI im Finanzdienstleistungssektor begründen ausdrücklich Betreiberpflichten für Institute, die KI-Modelle von Anbietern nutzen. Banken müssen selbst für KI von Dritten eine interne Modell-Governance aufrechterhalten, einschließlich unabhängiger Validierung, Leistungsüberwachung und Modellrisikomanagement — im Einklang mit den Überwachungsanforderungen von Artikel 26.

CRD IV Art. 74 — Interne Governance

Die CRD IV verlangt robuste interne Governance-Regelungen für alle wesentlichen Risikomanagementprozesse. Der Einsatz von KI für Kreditbewertung oder Risikobewertung löst interne Governance-Pflichten aus, die sich mit den Anforderungen von Artikel 26 an menschliche Aufsicht und operative Überwachung überschneiden.

DORA Art. 30 — IKT-Drittparteienrisiko

Der Digital Operational Resilience Act verlangt von Finanzinstituten, das IKT-Drittparteienrisiko, einschließlich KI-Anbietern, zu steuern. DORA-Ausstiegsstrategien, Prüfrechte und Anforderungen an die Leistungsüberwachung ergänzen die Betreiberpflichten aus Artikel 26 für die Aufsicht über Anbieter-KI und die Vorfallmeldung.

PSD2 — Starke Kundenauthentifizierung

Zahlungsdienstleister, die KI zur Betrugserkennung einsetzen, müssen sicherstellen, dass KI-Systeme die Anforderungen von PSD2 an die starke Kundenauthentifizierung unterstützen. Die Protokollierungs- und Überwachungspflichten aus Artikel 26 stehen im Einklang mit den PSD2-Anforderungen an die Transaktionsüberwachung, müssen aber eigenständig dokumentiert werden.

Häufige Verstöße, die Scanara erkennt

Keine Protokollierungskonfiguration für Entscheidungen der Anbieter-KI

Kreditbewertungs- oder Betrugserkennungs-KI, die ohne Protokollierungsinfrastruktur zur Erfassung von KI-Eingaben, -Ausgaben und Entscheidungsbegründungen eingesetzt wird. Scanara kennzeichnet Einsätze, bei denen für KI-gestützte Finanzentscheidungen kein Prüfpfad vorhanden ist — ein Verstoß sowohl gegen die Protokollierungsanforderungen von Artikel 26 als auch gegen aufsichtsrechtliche Erwartungen.

Anbieter-KI geändert ohne Anbieterbewertung

Finanzinstitute, die Anbieter-KI-Modelle feinabgestimmt oder nachtrainiert haben, ohne zu dokumentieren, ob die Änderung die Schwelle der wesentlichen Änderung überschreitet. Scanara erkennt Nachtrainings-Pipelines, die auf Basismodellen von Anbietern operieren, ohne Dokumentation einer Neueinstufungsbewertung.

Kein Vorfallmeldungs-Workflow an den KI-Anbieter

Eingesetzte KI-Systeme ohne dokumentierten Workflow zur Eskalation von Fehlfunktionen oder systematischen Fehlern an den KI-Anbieter. Scanara identifiziert Einsätze, bei denen die Vorfallmanagementprozesse keinen Weg von der internen Erkennung zur Benachrichtigung des Anbieters vorsehen.

Rolle der menschlichen Aufsicht nicht formell zugewiesen

KI-Kreditbewertung im Produktiveinsatz ohne formell benannte Kreditsachbearbeiter, die als menschliche Aufsichtspersonen mit dokumentierter Befugnis zur Außerkraftsetzung von KI-Ausgaben fungieren. Scanara kennzeichnet Einsätze, bei denen die Dokumentation der Rollenzuweisung fehlt, die geschultes Personal mit KI-Aufsichtsverantwortungen verknüpft.

Artikel-26-Compliance-Checkliste für Finanzdienstleistungen

Art. 26(1)

Nutzung innerhalb der Betriebsanleitung

Überprüfen Sie, dass alle Anbieter-KI-Modelle innerhalb des angegebenen Anwendungsbereichs genutzt werden — korrekte Kundensegmente, Produktarten und Risikokategorien. Dokumentieren Sie alle Abweichungen und beurteilen Sie das Neueinstufungsrisiko.

Art. 26(2)

Zuweisung der menschlichen Aufsicht

Weisen Sie geschulte Kreditsachbearbeiter oder Risikoanalysten als menschliche Aufsichtspersonen mit dokumentierter Befugnis zur Außerkraftsetzung von KI-Ausgaben zu. Stellen Sie sicher, dass das Aufsichtspersonal die Methodik des KI-Modells versteht.

Art. 26(5)

Meldung schwerwiegender Vorfälle

Richten Sie einen dokumentierten Workflow zur Meldung von KI-Fehlfunktionen an den Anbieter und die zuständige Behörde ein. Integrieren Sie ihn in bestehende aufsichtsrechtliche Vorfallmeldeprozesse.

Art. 26(8)

Betriebsprotokollierung & Prüfpfad

Konfigurieren Sie eine umfassende Protokollierung für alle KI-gestützten Finanzentscheidungen. Bewahren Sie Protokolle für aufsichtsrechtliche Inspektionen, die Untersuchung von Kundenbeschwerden und die Antidiskriminierungs-Compliance auf.

Art. 26(4)

Nachverfolgung wesentlicher Änderungen

Dokumentieren Sie alle Änderungen an Anbieter-KI-Modellen und beurteilen Sie, ob jede Änderung die Schwelle der wesentlichen Änderung überschreitet, die eine Neueinstufung als Anbieter erfordert.

Häufig gestellte Fragen

So hilft Scanara

Scanara automatisiert die EU AI Act Compliance vom Code bis zum Dossier. Verbinden Sie Ihre GitHub-Repos und erhalten Sie Compliance-Berichte in Minuten.