Warum reicht Governance auf dem Papier nicht?
Richtlinien, Schulungsnachweise und ein erstes Inventar, mit denen viele Organisationen KI-Compliance starten, sind notwendig, aber nicht ausreichend. Entscheidend ist, ob die beschriebenen Prozesse funktionieren: Wird das Inventar aktualisiert? Sind Verantwortliche geschult? Können Logs, Entscheidungen und Kontrollen im Ernstfall rekonstruiert werden?
Welche Behörden sind in Österreich für KI im Finanzsektor zuständig?
Für Hochrisiko-KI grundsätzlich die FMA (Art. 74 Abs. 6 AI Act), daneben RTR KI-Servicestelle, DSB und OeNB; die formelle Benennung stand am 20. Oktober 2026 noch aus.
| Stelle | Relevanz für Finanzinstitute |
|---|---|
| FMA | Sektorspezifische Aufsicht für Banken, Versicherungen und Wertpapierdienstleister; KI-Governance kann über bestehende Aufsichts- und Risikomanagementpflichten relevant werden. Für Hochrisiko-KI in direktem Zusammenhang mit Finanzdienstleistungen sieht Art. 74 Abs. 6 AI Act grundsätzlich die Finanzaufsicht als Marktüberwachungsbehörde vor; Mitgliedstaaten können abweichen. Die FMA ist bereits als Grundrechtsbehörde nach Art. 77 AI Act gemeldet. Die EZB ist keine Marktüberwachungsbehörde nach dem AI Act, auch nicht für bedeutende Institute. |
| RTR KI-Servicestelle | Ansprechpartner und Informationshub zum AI Act auf Basis von § 20c KOG und § 194a TKG. Sie ist keine Marktüberwachungsbehörde: Österreich hatte die zuständigen Behörden nach dem AI Act am 20. Oktober 2026 noch nicht benannt; die FMA bezeichnet die nationale Begleit- und Umsetzungsgesetzgebung als derzeit ausständig. Die Zuständigkeit ist daher im Einzelfall zu prüfen. |
| DSB | Datenschutzaufsicht bei personenbezogenen Daten, DSFA, Betroffenenrechten und Datenpannen. |
| OeNB | Relevant im Meldewesen- und Stabilitätskontext, auch wenn sie keine allgemeine KI-Marktüberwachungsbehörde ist. |
Was muss für eine Prüfung nachweisbar sein?
Eine belastbare Nachweiskette, nicht ein einzelnes Dokument: Für Betreiber von Hochrisiko-KI-Systemen stehen Art. 26 EU AI Act, sektorale Aufsichtspflichten, DSGVO, DORA und arbeitsrechtliche Anforderungen nebeneinander.
- vollständiges KI-Inventar inklusive Vendor-KI, GPAI-Tools und Shadow-KI
- Risikoklassifikation und Rollenklärung je System
- Art.-26-Lückenanalyse für Hochrisiko-Systeme
- FRIA für die konkret erfassten Fälle, insbesondere Annex III 5(b) und 5(c)
- Protokollierung, Log-Aufbewahrung und menschliche Aufsicht
- Behördenkontakte, Eskalationswege und Meldepfade für AI Act, DSGVO, DORA, NISG 2026 und – bei eigenen Produkten mit digitalen Elementen – CRA über die ENISA Single Reporting Platform (in Kraft seit 1. Oktober 2026; bereits erfasste Einrichtungen registrieren sich bei der Cybersicherheitsbehörde bis 31. Dezember 2026, später erfasste innerhalb von drei Monaten ab Erfüllung der Voraussetzungen)
Was gehört intern und extern zur Audit-Readiness?
Intern aktuelle, auffindbare Dokumentation; extern das Wissen, welche Stelle für welchen Vorfall zuständig ist.
Interne Dimension
Dokumentation muss aktuell, auffindbar und operativ belastbar sein. Rollen dürfen nicht nur in PowerPoint existieren, sondern müssen in Prozessen, Tickets, Freigaben und Kontrollhandlungen sichtbar werden.
Externe Dimension
Das Institut sollte wissen, welche Stelle für welchen Vorfall oder welche Anfrage zuständig ist. Das betrifft FMA, DSB, die nationale KI-Zuständigkeit nach Umsetzung, CERT.at beziehungsweise die Cybersicherheitsbehörde und interne Erstkontakte.
Welche Punkte umfasst die Audit-Readiness-Checkliste?
Sieben Prüfpunkte, vom Inventar mit Ownern über Risikoklassifikation, Human Oversight und Logs bis zu Meldeprozessen und ArbVG-Prüfung.
- KI-Inventar vollständig und mit Ownern versehen
- Risikoklassifikation dokumentiert und freigegeben
- Human Oversight benannt, geschult und nachweisbar aktiv
- Logs und Entscheidungsgrundlagen rekonstruierbar
- FRIA- und DSFA-Pflichten getrennt, aber koordiniert geprüft
- Meldeprozesse für AI Act, DSGVO, DORA und NISG 2026 mit Fristen hinterlegt
- ArbVG-Prüfung für Mitarbeiterdaten und Kontrollsysteme dokumentiert
Ing. Mag. Patrick Eiler
Patrick Eiler berät Banken und Versicherungen in Wien zu aufsichtlichem Meldewesen, Datenarchitektur und KI-Compliance. Über zwanzig Jahre in Banken, Versicherungen und Finanzdienstleistung; Vortragender beim Hypo-Verband (Fachsitzung 23. September 2026).