Wenn KI falsch liegt: Könnten Sie Ihre Aufsicht belegen?

Expert Commentary — 4 Min. Lesezeit

KI-Aufsicht wird häufig so diskutiert, als sei die zentrale Frage, ob eine Institution eine KI-Policy, ein KI-Komitee oder ein KI-Inventory hat.

Diese Elemente sind wichtig. Aber sie sind nicht der Endpunkt.

Für einen Vorstand ist die relevante Frage, ob Oversight in der Praxis belegbar ist. Das entspricht der aktuellen Aufsichtsrichtung der EZB zu KI. Die EZB-Supervisory-Priorities 2026–28 sagen, dass Banken, die neue Technologien, insbesondere KI, nutzen, Strategien haben sollten, die Chancen und Risiken abbilden, und robuste Governance sowie Risk Controls etablieren sollten.

Der EZB-Entwurf eines Governance-and-Risk-Culture-Guides aus 2024 nutzte ebenfalls eine Good-Practice- und Red-Flag-Struktur für Governance-Bewertungen. Im Juni 2026 kündigte die EZB an, dass dieser Entwurf durch einen Good-Practices-Report ersetzt werden soll, der für das erste Quartal 2027 geplant ist. Der relevante Punkt für dieses Briefing ist daher nicht der Rechtsstatus des Entwurfs, sondern die Managementlogik: Governance muss in der Praxis sichtbar sein, nicht nur in Policies beschrieben werden.

Das ist wichtig, weil KI den Evidenzstandard verändert.

In einem klassischen Technologieprozess kann ein Vorstand fragen, ob ein System genehmigt ist, ob Kontrollen existieren und ob die relevante Funktion den Prozess besitzt. In einem KI-gestützten Prozess reichen dieselben Fragen nicht mehr aus. Der Vorstand muss zusätzlich verstehen, was das KI-System tut, welche Entscheidung oder welchen Workflow es unterstützt, wo menschliches Urteil erforderlich bleibt, wer kompetent ist, den Output zu prüfen, und ob Exceptions sichtbar sind.

Deshalb ist „Das liegt bei IT“ keine board-grade Antwort.

Technology kann die Plattform steuern. Aber der Decision Impact liegt dort, wo der Use Case Arbeit, Urteil, Kommunikation, Kontrolle oder Kundeninteraktion verändert. Wenn ein KI-Tool einen Kreditprozess, einen Fraud-Prozess, einen Investment-Service-Prozess, eine Kontrollprüfung, eine Rechtsbewertung oder Kundenkommunikation unterstützt, kann Ownership nicht auf Systemadministration reduziert werden.

ESMA hat denselben Punkt für Investment Services gesetzt. In ihrem Public Statement zu KI und Investment Services sagt ESMA, dass Firmen, die KI bei Investment Services einsetzen, weiterhin MiFID-II-Anforderungen zu Organisation, Conduct und Best Interest erfüllen müssen.

Das ist die praktische Logik hinter dem RAG-Panel.

Eine GRÜNE Antwort ist nicht stark, weil sie anspruchsvoll klingt. Sie ist stark, weil sie konkret ist.

• Sie kann die Use Cases zeigen.
• Sie kann die Owner benennen.
• Sie kann den Decision Impact erklären.
• Sie kann Human Oversight belegen.
• Sie kann rollenbasierte AI Literacy zeigen.
• Sie kann Monitoring nachweisen.
• Sie kann Logs, Dashboards und Decision Records vorlegen.

Eine GELBE Antwort kann in die richtige Richtung gehen, ist aber noch nicht verlässlich genug für Board Reliance. Die Institution hat vielleicht ein Inventory, aber eingebettete KI in Drittanbieter-Tools fehlt. Sie hat vielleicht Training, aber nicht rollenbasiert. Sie hat vielleicht eine Policy, aber kein Exception Log. Sie hat vielleicht Use-Case Approval, aber keine klare Decision Rule für Skalierung oder Stopp.

Eine ROTE Antwort ist anders. Sie ist nicht zwingend falsch. Sie reicht nur nicht aus.

• „Wir haben eine Policy“ belegt keine Oversight.
• „Der Provider ist verantwortlich“ belegt keine interne Accountability.
• „Das ist nur ein Copilot“ erklärt keine Data Exposure, keinen Decision Impact und keine Human Reliance.
• „Training wurde abgeschlossen“ zeigt nicht, ob die richtigen Personen die richtige Kompetenz für den richtigen Use Case besitzen.

Diese Unterscheidung ist besonders wichtig unter dem EU AI Act. Die Europäische Kommission erklärt, dass Article 4 seit dem 2. Februar 2025 gilt und Aufsichts- sowie Enforcement-Regeln ab dem 3. August 2026 greifen.

Die Governance-Schlussfolgerung ist klar. KI-Aufsicht ist kein Dokument.
Sie ist eine Accountability Chain.

Diese Kette beginnt mit Inventory und Classification. Sie führt über Ownership, Data Governance, Human Review, Literacy, Monitoring, Exceptions und Decision Rights. Sie endet mit Board-Level Evidence, dass die Institution erklären kann, wie KI genutzt wird und wie sie controlled bleibt.

Die richtige Vorstandsfrage lautet daher nicht, ob KI genutzt wird. Sie lautet, ob der Vorstand sich auf die Antwort verlassen kann. Und Reliance erfordert Evidenz.