Warum braucht KI kein Parallelsystem?
Bias, Halluzinationen, Modell-Drift, Datenschutzrisiken, Vendor-KI und Shadow-KI sind keine Sonderwelt. Sie müssen in das bestehende IKS und Risikomanagement übersetzt werden: mit Kontrollzielen, Ownern, Nachweisen und Eskalationswegen.
ISO/IEC 42001 bietet dafür einen Managementsystem-Rahmen. Der EU AI Act bringt zusätzlich konkrete Rollen-, Betreiber-, Hochrisiko-, Log- und Vorfallpflichten. Gute Governance verbindet beides mit den vorhandenen Prozessen der AG. Dass Governance auch außerhalb der Hochrisiko-Kategorien erwartet wird, zeigen die EIOPA-Opinion zur KI-Governance (6. August 2025) und die gemeinsame Erklärung von EBA, EIOPA und ESMA zu IKT-Risiken durch Frontier-KI (31. Juli 2026) – aufsichtsbezogene Orientierung, keine neuen Rechtsakte.
Welche Kontrollziele gehören zu welchen KI-Risiken?
Fünf KI-Risiken mit je einem Kontrollziel: unvollständiges Inventar, Bias, Modell-Drift, Vendor-KI und Vorfälle.
| KI-Risiko | Kontrollziel |
|---|---|
| Unvollständiges Inventar | Alle KI-Systeme sind erfasst, klassifiziert, einem Owner zugeordnet und regelmäßig aktualisiert. |
| Bias oder Diskriminierung | Risikoanalyse, Testkonzept, Human Oversight und Beschwerde-/Eskalationswege sind dokumentiert. |
| Modell-Drift | Leistungskennzahlen, Review-Zyklen und Schwellenwerte für Nachprüfung oder Abschaltung sind definiert. |
| Vendor-KI | Lieferanteninformationen, Rollenklärung nach Art. 25, Vertragsunterlagen und Update-Prozesse sind nachvollziehbar. |
| Vorfälle | AI Act, DSGVO, DORA/NISG und interne Eskalationen werden getrennt geprüft und koordiniert gesteuert. |
Wie verteilt das Drei-Linien-Modell die KI-Verantwortung?
In der ersten Linie liegen Fachbereich und Systemowner: Nutzung, Kontrollen und laufende Überwachung. Die zweite Linie koordiniert Compliance, Risiko, Datenschutz und Informationssicherheit. Die dritte Linie prüft unabhängig, ob das Modell funktioniert und Nachweise belastbar sind.
Der Regelkreis sollte regelmäßig an Vorstand und bei Bedarf an den Aufsichtsrat berichten: Inventarstatus, Hochrisiko-Systeme, offene Maßnahmen, Vorfälle, Audit-Feststellungen und wesentliche Änderungen.
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).