Artikel 26 im Fintech-Bereich: Pflichten der Betreiber

Artikel 26 legt diese Pflichten für Betreiber von Hochrisiko-KI-Systemen fest.

• Art. 26(1)
  Nach der Betriebsanleitung verwenden

  Geeignete technische und organisatorische Maßnahmen ergreifen, um das System gemäß der Betriebsanleitung zu verwenden.

• Art. 26(2)
  Menschliche Aufsicht zuweisen

  Die menschliche Aufsicht natürlichen Personen übertragen, die über die erforderliche Kompetenz, Ausbildung und Befugnis sowie die nötige Unterstützung verfügen.

• Art. 26(4)
  Eingabedaten prüfen

  Soweit der Betreiber die Kontrolle über die Eingabedaten ausübt, sicherstellen, dass sie der Zweckbestimmung entsprechen und ausreichend repräsentativ sind.

• Art. 26(5)
  Überwachen, informieren, aussetzen

  Den Betrieb anhand der Betriebsanleitung überwachen und gegebenenfalls die Anbieter informieren. Kann die Nutzung gemäß der Betriebsanleitung ein Risiko im Sinne von Artikel 79 Absatz 1 bergen, unverzüglich den Anbieter oder Händler und die zuständige Marktüberwachungsbehörde informieren und die Nutzung aussetzen. Nach einem schwerwiegenden Vorfall sofort zuerst den Anbieter, dann den Einführer oder Händler und die Marktüberwachungsbehörden informieren. Ist der Anbieter nicht erreichbar, gilt Artikel 73 entsprechend.

• Art. 26(6)
  Protokolle aufbewahren

  Die vom System automatisch erzeugten Protokolle aufbewahren, soweit sie der Kontrolle des Betreibers unterliegen, für einen der Zweckbestimmung angemessenen Zeitraum von mindestens sechs Monaten, sofern im Unionsrecht oder im nationalen Recht, insbesondere zum Schutz personenbezogener Daten, nichts anderes bestimmt ist.

• Art. 26(7)
  Beschäftigte informieren

  Arbeitgeber müssen die Arbeitnehmervertreter und die betroffenen Beschäftigten, bevor sie ein Hochrisiko-KI-System am Arbeitsplatz in Betrieb nehmen oder verwenden, darüber informieren, dass sie der Verwendung des Systems unterliegen werden. Die Information erfolgt, soweit zutreffend, nach den Regeln und Verfahren des Unionsrechts und des nationalen Rechts und der nationalen Praxis zur Information von Arbeitnehmern und ihren Vertretern.

• Art. 26(8)
  Behörden registrieren

  Betreiber, die Behörden oder Organe, Einrichtungen oder sonstige Stellen der Union sind, müssen die Registrierungspflichten nach Artikel 49 erfüllen, die Systeme nach Anhang III betreffen. Sie dürfen ein System, das nicht in der EU-Datenbank registriert ist, nicht verwenden.

• Art. 26(9)
  Datenschutz-Folgenabschätzung

  Gegebenenfalls die vom Anbieter nach Artikel 13 bereitgestellten Informationen für die Datenschutz-Folgenabschätzung nach Artikel 35 der Verordnung (EU) 2016/679 oder Artikel 27 der Richtlinie (EU) 2016/680 nutzen.

• Art. 26(11)
  Von Entscheidungen betroffene Personen informieren

  Bei Systemen nach Anhang III, die Entscheidungen über natürliche Personen treffen oder dabei unterstützen, diese Personen darüber informieren, dass sie dem System ausgesetzt sind, unbeschadet des Artikels 50.

• Art. 26(12)
  Mit Behörden zusammenarbeiten

  Mit den zuständigen Behörden bei allen Maßnahmen zusammenarbeiten, die diese in Bezug auf das Hochrisiko-KI-System ergreifen.

Artikel 26 gilt nur für Betreiber von Hochrisiko-KI-Systemen. Die folgenden Punkte zeigen, wann Fintech-KI hochriskant wird und welche Regeln für Finanzinstitute gelten.

• „Fintech“ ist keine Kategorie der Verordnung

  Die Verordnung kennt keine Kategorie „Fintech“. Diese Website verwendet das Wort für KI, die über zwei Anknüpfungspunkte in Anhang III unter die Verordnung fällt: Nummer 5 Buchstabe b (Kreditwürdigkeit und Bonität natürlicher Personen) und Nummer 5 Buchstabe c (Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen). Buchstabe b nimmt die Betrugserkennung aus. Anhang III Nummer 5 nennt weder Geldwäschekontrollen noch algorithmischen Handel, Robo-Advice, andere Versicherungen als Lebens- und Krankenversicherungen oder die Kreditprüfung juristischer Personen. Ein System kann dennoch nach einer anderen Nummer von Anhang III hochriskant sein.

• Anhang III Nummer 5 Buchstaben b und c

  Anhang III Nummer 5 Buchstabe b erfasst KI-Systeme, die bestimmungsgemäß für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden sollen, mit Ausnahme von KI-Systemen, die zur Aufdeckung von Finanzbetrug verwendet werden. Buchstabe c erfasst KI-Systeme, die bestimmungsgemäß für die Risikobewertung und Preisbildung in Bezug auf natürliche Personen im Fall von Lebens- und Krankenversicherungen verwendet werden sollen. Nach Artikel 6 Absatz 2 gelten die in Anhang III aufgeführten KI-Systeme als hochriskant. Ein Anbieter, der ein solches System nach Artikel 6 Absatz 3 nicht für hochriskant hält, muss seine Bewertung dokumentieren, bevor das System in Verkehr gebracht oder in Betrieb genommen wird, und es nach Artikel 49 Absatz 2 registrieren. Die Ausnahme gilt nie, wenn das System Profiling natürlicher Personen durchführt. Profiling ist Profiling im Sinne von Artikel 4 Nummer 4 der Verordnung (EU) 2016/679 (Artikel 3 Nummer 52); ob ein bestimmtes Scoring-System Profiling durchführt, beantwortet die Verordnung nicht.

• Anbieter und Betreiber

  Anbieter ist, wer ein KI-System entwickelt oder entwickeln lässt und es unter eigenem Namen in Verkehr bringt oder in Betrieb nimmt (Artikel 3 Nummer 3); das kann ein Softwareanbieter sein oder eine Bank, die ein System für den eigenen Gebrauch entwickelt. Eine natürliche oder juristische Person, Behörde, Einrichtung oder sonstige Stelle, die ein System in eigener Verantwortung verwendet, etwa eine Bank, ein Versicherer oder ein Kreditgeber, ist Betreiber (Artikel 3 Nummer 4). Ein Betreiber wird zum Anbieter, wenn er ein bereits in Verkehr gebrachtes Hochrisiko-KI-System mit seinem Namen oder seiner Handelsmarke versieht, eine wesentliche Veränderung vornimmt, durch die das System ein Hochrisiko-KI-System bleibt, oder die Zweckbestimmung eines nicht als hochriskant eingestuften Systems so ändert, dass es hochriskant wird (Artikel 25 Absatz 1). Natürliche Personen, die ein System im Rahmen einer rein persönlichen und nicht beruflichen Tätigkeit verwenden, sind als Betreiber nicht gebunden (Artikel 2 Absatz 10). Das Versehen mit dem eigenen Namen oder der eigenen Handelsmarke gilt unbeschadet vertraglicher Vereinbarungen, die die Pflichten anders zuweisen (Artikel 25 Absatz 1 Buchstabe a); der ursprüngliche Anbieter gilt dann nicht mehr als Anbieter dieses Systems und muss eng mit dem neuen Anbieter zusammenarbeiten (Artikel 25 Absatz 2).

• Termine

  Anhang III Nummer 5 Buchstaben b und c gelten ab dem 2. Dezember 2027 (Artikel 113 Absatz 3 Buchstabe c). Ein System, das vor diesem Termin in Verkehr gebracht oder in Betrieb genommen wurde, ist nur erfasst, wenn es danach erheblichen Veränderungen in Bezug auf seine Konzeption unterliegt; in jedem Fall treffen Anbieter und Betreiber von Hochrisiko-KI-Systemen, die bestimmungsgemäß von Behörden verwendet werden sollen, die erforderlichen Maßnahmen zur Einhaltung bis zum 2. August 2030 (Artikel 111 Absatz 2).

• Geldbußen

  Verstöße gegen die Anbieterpflichten nach Artikel 16 und die Betreiberpflichten nach Artikel 26 können mit Geldbußen von bis zu 15 Mio. EUR oder, bei Unternehmen, bis zu 3 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres geahndet werden, je nachdem, welcher Betrag höher ist (Artikel 99 Absatz 4). Für KMU, einschließlich Start-up-Unternehmen, ist jede Geldbuße auf den niedrigeren Betrag begrenzt (Artikel 99 Absatz 6). Dieselbe Obergrenze gilt für kleine Midcap-Unternehmen (Artikel 3 Nummer 14b, Artikel 99 Absatz 6a). Jeder Mitgliedstaat legt Vorschriften dafür fest, inwieweit gegen Behörden und öffentliche Stellen, die in diesem Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können (Artikel 99 Absatz 8). Die Artikel 27, 49 und 86 sind in Artikel 99 Absätze 3 bis 5 nicht aufgeführt; die Mitgliedstaaten legen die Vorschriften für Sanktionen fest, die bei Verstößen von Akteuren gegen die Verordnung gelten (Artikel 99 Absatz 1).

• Grenzen des Anwendungsbereichs der Verordnung

  Die Verordnung gilt für Anbieter, die KI-Systeme in der Union in Verkehr bringen oder in Betrieb nehmen oder KI-Modelle mit allgemeinem Verwendungszweck in der Union in Verkehr bringen, unabhängig davon, wo sie niedergelassen sind (Artikel 2 Absatz 1 Buchstabe a), sowie für Anbieter und Betreiber in einem Drittland, wenn die vom KI-System hervorgebrachte Ausgabe in der Union verwendet wird (Buchstabe c). Sie gilt nicht für Bereiche außerhalb des Unionsrechts und berührt nicht die Zuständigkeiten der Mitgliedstaaten für die nationale Sicherheit; sie gilt auch nicht für KI-Systeme, die ausschließlich für militärische Zwecke, Verteidigungszwecke oder Zwecke der nationalen Sicherheit verwendet werden (Artikel 2 Absatz 3).

• Finanzinstitute: Überwachung und Protokolle (Artikel 26 Absätze 5 und 6)

  Bei Betreibern, die Finanzinstitute sind und nach den Rechtsvorschriften der Union über Finanzdienstleistungen Anforderungen an ihre Regelungen oder Verfahren der internen Unternehmensführung unterliegen, gilt die Überwachungspflicht als erfüllt, wenn die Vorschriften über Regelungen, Verfahren und Mechanismen der internen Unternehmensführung nach dem einschlägigen Finanzdienstleistungsrecht eingehalten werden (Artikel 26 Absatz 5 Unterabsatz 2). Diese Betreiber bewahren die Protokolle als Teil der nach dem einschlägigen Unionsrecht über Finanzdienstleistungen aufzubewahrenden Dokumentation auf (Artikel 26 Absatz 6 Unterabsatz 2). Die Verordnung nennt das betreffende Recht über Finanzdienstleistungen nicht.

• Grundrechte-Folgenabschätzung (Artikel 27)

  Artikel 27 Absatz 1: Vor der Inbetriebnahme eines Hochrisiko-KI-Systems gemäß Artikel 6 Absatz 2, mit Ausnahme der in Anhang III Nummer 2 genannten Systeme, müssen Betreiber, die Einrichtungen des öffentlichen Rechts oder private Einrichtungen sind, die öffentliche Dienste erbringen, sowie Betreiber von Systemen gemäß Anhang III Nummer 5 Buchstaben b und c die Auswirkungen der Verwendung des Systems auf die Grundrechte abschätzen. Für Nummer 5 Buchstaben b und c nennt der Wortlaut die Betreiber dieser Systeme, ohne sie auf öffentliche Stellen zu beschränken. Die Pflicht gilt für die erste Verwendung; in ähnlichen Fällen kann der Betreiber auf frühere Abschätzungen zurückgreifen (Artikel 27 Absatz 2). Der Betreiber meldet der Marktüberwachungsbehörde die Ergebnisse (Artikel 27 Absatz 3) und kann auf eine Datenschutz-Folgenabschätzung verweisen (Artikel 27 Absatz 4).

• Erläuterung von Entscheidungen (Artikel 86) und Information (Artikel 26 Absatz 11)

  Nach Artikel 26 Absatz 11 müssen Betreiber von Hochrisiko-KI-Systemen nach Anhang III, die Entscheidungen in Bezug auf natürliche Personen treffen oder dabei unterstützen, diese Personen darüber informieren, dass sie der Verwendung des Systems unterliegen. Davon getrennt haben Personen, die von einer Entscheidung betroffen sind, die der Betreiber auf der Grundlage der Ausgabe eines Hochrisiko-KI-Systems nach Anhang III (außer Nummer 2) getroffen hat und die rechtliche Auswirkungen hat oder sie in ähnlicher Art erheblich auf eine Weise beeinträchtigt, die ihrer Ansicht nach ihre Gesundheit, Sicherheit oder Grundrechte beeinträchtigt, das Recht, vom Betreiber eine klare und aussagekräftige Erläuterung zur Rolle des KI-Systems im Entscheidungsprozess und zu den wichtigsten Elementen der getroffenen Entscheidung zu erhalten (Artikel 86 Absatz 1). Das gilt nur, soweit dieses Recht nicht anderweitig im Unionsrecht vorgesehen ist (Artikel 86 Absatz 3). Absatz 1 gilt nicht, wenn sich Ausnahmen oder Beschränkungen aus dem Unionsrecht oder dem nationalen Recht in Einklang mit dem Unionsrecht ergeben (Artikel 86 Absatz 2).

• Welche Behörde zuständig ist

  Bei Hochrisiko-KI-Systemen, die von Finanzinstituten, die unter das Unionsrecht über Finanzdienstleistungen fallen, in Verkehr gebracht, in Betrieb genommen oder verwendet werden, ist Marktüberwachungsbehörde die nationale Behörde, die nach diesem Recht für die Finanzaufsicht über diese Institute zuständig ist, soweit das Inverkehrbringen, die Inbetriebnahme oder die Verwendung des Systems in unmittelbarem Zusammenhang mit der Erbringung dieser Finanzdienstleistungen steht (Artikel 74 Absatz 6). In angemessenen Fällen und bei gewährleisteter Koordinierung kann ein Mitgliedstaat eine andere zuständige Behörde benennen (Artikel 74 Absatz 7).

• Keine Zahlen zu Personal oder Schulung

  Artikel 26 legt keine Personalausstattung, Schulungsstunden oder Qualifikation für die Personen fest, die ein Kredit- oder Versicherungssystem beaufsichtigen. Verlangt werden die erforderliche Kompetenz, Schulung, Befugnis und Unterstützung. Die Kommission arbeitet Leitlinien zur Anwendung der Anforderungen und Pflichten der Artikel 8 bis 15 sowie 25 und 26 aus (Artikel 96 Absatz 1 Buchstabe a).

• Protokolle und Aufbewahrung nach Finanzrecht

  Artikel 26 Absatz 6 verlangt mindestens sechs Monate für Protokolle unter der Kontrolle des Betreibers und weicht anderem Unionsrecht oder nationalem Recht, insbesondere zum Schutz personenbezogener Daten. Die Verordnung nennt keine Aufbewahrungsfrist aus dem Finanzdienstleistungsrecht.

• Gestaltungsentscheidung: Aufsichtsrollen

  Eine übliche Gestaltungsentscheidung, keine Vorgabe der Verordnung: die Aufsichtspersonen in den Kredit- oder Zeichnungsverfahren nach Rolle benennen und ihre Schulung festhalten.

• Prüfung jeder einzelnen Entscheidung durch einen Menschen

  Artikel 14 Absatz 4 und Artikel 26 Absatz 2 betreffen die menschliche Aufsicht über das System. Keine der beiden Vorschriften besagt, dass eine Person jede einzelne Entscheidung prüfen muss. Ob anderes Recht, etwa zu automatisierten Einzelentscheidungen, dies verlangt, beantwortet die Verordnung nicht.

• Artikel 26: Betreiberpflichten für Hochrisiko-KI

  Artikel 26 für alle Sektoren: wer Betreiber ist, die Pflichten, Artikel 27 und Geldbußen.

• KI-Verordnung Fintech Compliance: Leitfaden

  Der Fintech-Überblick: wie die Verordnung KI für Kreditvergabe und Versicherung erfasst.

• Artikel 17 für Fintech-KI: Qualitätsmanagementsystem

  Fintech-KI und Artikel 17: die 13 Aspekte und die Regel für Finanzinstitute.

• Artikel 27: Grundrechte-Folgenabschätzung (FRIA)

  Artikel 27 für alle Branchen: wer die Auswirkungen auf die Grundrechte abschätzen muss und was die Abschätzung umfasst.