KI in Kreditvergabe und Tarifierung: wo ab 2. Dez. 2027 Hochrisiko-Pflichten gelten.

Die Finanzbranche nutzte maschinelles Lernen, lange bevor generative KI einen Namen hatte. Betrugsmodelle, Kreditscores und Tarifrechner laufen seit Jahren in Banken und Versicherungen. Neu ist 2026 zweierlei: die Breite der Nutzung und das Recht. Für die zwei Entscheidungen, die Privatkunden am stärksten treffen, nämlich Kredit ja oder nein und der Preis einer Lebens- oder Krankenversicherung, gibt es in der EU jetzt einen festen Stichtag: den 2. Dezember 2027.

Die Nutzung ist fast flächendeckend

Die Aufsicht liefert klare Zahlen. Laut Europäischer Bankenaufsicht setzen 92 % der EU-Banken KI ein. In Großbritannien nutzen 75 % der Finanzunternehmen bereits KI, weitere 10 % planen es binnen drei Jahren (Bank of England und FCA, November 2024). In Japan stieg der Anteil der Finanzinstitute mit generativer KI in zwei Jahren von 31 % auf 79 %; der Bericht der Bank of Japan vom August 2026 sieht inklusive Erprobung über 90 %.

92 % der EU-Banken setzen KI ein (Europäische Bankenaufsicht, Sep. 2025)

Versicherer ziehen nach. Fast zwei Drittel der europäischen Versicherer nutzen bereits generative KI, so eine EIOPA-Umfrage unter 347 Unternehmen vom Februar 2026. In Deutschland setzte 2025 die Hälfte der Betriebe in Finanz- und Versicherungsdienstleistungen generative KI ein, doppelt so viele wie im Durchschnitt der Wirtschaft (IAB, 2026). Das Bankwesen ist zudem laut IDC-Ausgabenprognose für Europa der größte KI-Investor des Kontinents.

Wohin die Nutzung geht, zeigt die britische Erhebung: Prozessoptimierung (41 %), Cybersicherheit (37 %) und Betrugserkennung (33 %) führen heute; das stärkste Wachstum erwarten die Firmen im Kundenservice und in der Compliance. Damit rückt KI näher an die Kundschaft und näher an die Regeln.

Betrug ist das erste Schlachtfeld

Die Rechnung ist einfach. Betrug und Bankbetrug kosteten 2023 weltweit geschätzt 486 Milliarden US-Dollar (Nasdaq Global Financial Crime Report). Die Kundschaft spürt das: Ein Viertel der deutschen Internetnutzer hat schon eine KI zu Geldfragen befragt, bei den 16- bis 29-Jährigen ein Drittel, und 62 % sagen, KI verstärke ihre Angst vor Betrug (Bitkom, 2026).

Der Markt spiegelt das. Von den 28 Angeboten, die das Good AI Prisma im Themenfeld Finanzdienstleistung & Versicherung kartiert, bekämpfen acht Betrug, Finanzkriminalität und Geldwäsche: BioCatch, Featurespace (Visa), Feedzai, Hawk AI, Lucinity, Napier AI, SymphonyAI und Unit21. Fünf unterstützen Kreditentscheidungen (Ocrolus, Provenir, Taktile, Upstart, Zest AI), fünf bearbeiten Schäden und Schadenbetrug (FRISS, omni:us aus Berlin, Shift Technology, Sprout.ai, Tractable), vier kalkulieren und zeichnen Risiken (Akur8, Cytora, Earnix, hyperexponential), drei dienen Research und Marktanalyse, drei treiben Bankassistenten und Personalisierung. Die Branchenanalyse Finanzdienstleistung & Versicherung ordnet jeder Gruppe ihre Regel zu.

Die Regeln folgen der Anwendung

Die KI-Verordnung bewertet Anwendungen, nicht Produkte. Derselbe Anbieter kann daher in zwei Regimen stehen. Nach dem geänderten Zeitplan der Omnibus-Verordnung (EU) 2026/1744 gilt:

• Seit dem 17. Januar 2025 erfasst DORA mit IKT-Risiko-, Vorfall- und Drittparteiregeln auch KI-Systeme und Cloud-Modelle.
• Ab dem 20. November 2026 gibt die zweite Verbraucherkreditrichtlinie Verbrauchern bei automatisierter Kreditwürdigkeitsprüfung das Recht auf menschliches Eingreifen, Erklärung und Anfechtung.
• Ab dem 2. Dezember 2027 fallen Kreditwürdigkeitsprüfung und Kreditscoring natürlicher Personen (Anhang III 5b) sowie Risikobewertung und Preisbildung in der Lebens- und Krankenversicherung (5c) unter die Hochrisiko-Pflichten. Betrugserkennung ist von 5b ausdrücklich ausgenommen.

2. Dez. 2027 für Kreditscoring natürlicher Personen und Tarifierung in Lebens- und Krankenversicherung gelten EU-Hochrisiko-Pflichten (VO (EU) 2026/1744)

Deutschland bringt eigene Bausteine mit. Im SCHUFA-Urteil C-634/21 vom Dezember 2023 entschied der EuGH: Ein Score, der für die Kreditvergabe maßgeblich ist, ist eine automatisierte Entscheidung nach Art. 22 DSGVO. Die BaFin hat Prinzipien für Algorithmen in Entscheidungsprozessen veröffentlicht und im Dezember 2025 eine Orientierungshilfe zu IKT-Risiken beim KI-Einsatz unter DORA.

Außerhalb der EU führt die Aufsicht über Leitlinien: In den USA gilt seit dem 17. April 2026 die überarbeitete Modellrisiko-Leitlinie der Bankaufseher, das NAIC-Musterbulletin zu KI in der Versicherung ist in 29 US-Jurisdiktionen übernommen, und Kanadas OSFI-Leitlinie E-23 erfasst KI-Modelle ab dem 1. Mai 2027.

Die Arbeit ändert sich vor den Stellen

Die Beschäftigungsfrage ist leiser als die Schlagzeilen. Die EZB findet keinen signifikanten Unterschied bei Einstellungen oder Kündigungen zwischen Firmen mit und ohne KI. Deutsche Versicherer beschäftigen 215.600 Menschen, die Sparkassen fast 200.000, und viele stehen vor einer Ruhestandswelle. Der Engpass sind Kompetenz und Aufsicht: Jemand muss jedes Modell validieren, jede Entscheidung erklären und das Ergebnis verantworten.

Sieben Fragen vor dem Pilot

Bevor KI eine Kundenentscheidung berührt, gehören sieben Fragen schriftlich geklärt. Gelten für die Anwendung Hochrisiko-Pflichten, weil sie natürliche Personen für Kredite bewertet oder Lebens- und Krankenversicherung bepreist? Können wir jede Entscheidung erklären und eine menschliche Überprüfung anbieten, wie Verbraucherkreditrecht und Art. 22 DSGVO verlangen? Wer validiert das Modell unabhängig im Rahmen des Modellrisiko-Managements, wie es die BaFin-Prinzipien erwarten? Wie testen wir auf unfaire Diskriminierung? Steht der Anbieter im DORA-Register der IKT-Drittdienstleister, mit Exit- und Vorfallplan? Wissen Kundinnen und Kunden, wann sie mit einem Chatbot oder KI-generierten Inhalten zu tun haben (Art. 50)? Und welche Kennzahlen entscheiden über den Ausbau: erkannter Betrug, Fehlalarme, Bearbeitungszeit, Beschwerden, Verluste? Ein Anbieter, der das nicht schriftlich beantworten kann, ist für regulierte Entscheidungen nicht bereit. Der Artikel zur operativen Umsetzung macht daraus einen Arbeitsplan.

Was die Registry beiträgt

Für die 28 Angebote hält die Registry des Good AI Prisma Entscheidungsprofile bereit: Preisbasis, Datenhaltung, Training mit Kundendaten, Integrationen und die Fragen, die bei fehlenden Angaben an den Anbieter gehen. Dazu gehören Taktile für Kreditentscheidungen und Feedzai gegen Zahlungsbetrug. So entsteht eine Shortlist auf dokumentierten Fakten.

In der Praxis

Anwendungsfall: das SCHUFA-Urteil. In der Rechtssache C-634/21 vom Dezember 2023 entschied der Gerichtshof der EU, dass ein Kreditscore, der eine Kreditentscheidung maßgeblich bestimmt, eine automatisierte Entscheidung nach Artikel 22 DSGVO ist. Wer ein Scoring-Werkzeug kauft, kauft damit auch die Pflicht, zu erklären und menschliche Prüfung anzubieten, gleich was im Anbietervertrag steht.

Szenario: ein Anbieter, zwei Regelwerke. Ein Versicherer kauft eine Plattform, die in einem Modul Schadenbetrug erkennt und in einem anderen Krankenversicherungstarife kalkuliert. Betrugserkennung ist kein gelisteter Hochrisiko-Einsatz; das Tarifmodul fällt ab dem 2. Dezember 2027 unter Anhang III 5c. Vergabeakte, Modellvalidierung und Kundenhinweis entstehen deshalb je Modul, nicht je Anbieter.

Was Sie am Montag tun

1. Regime trennen. Jedes Modell markieren: Betrug, Kredit für natürliche Personen, Tarifierung Leben und Kranken, Sonstiges. Nur für zwei dieser Gruppen gelten Hochrisiko-Pflichten nach Anhang III.
2. Anbieter in DORA abbilden. Jeder KI-Anbieter gehört ins Informationsregister der IKT-Drittdienstleister, mit Exit- und Vorfallplan; ein AI Estate Audit liefert die Liste.
3. Die Erklärung proben. Für jede automatisierte Kreditentscheidung bis zum 20. November 2026 testen, ob sie dem Kunden erklärt und von einem Menschen überprüft werden kann.
4. Unabhängig validieren. KI-Modelle ins bestehende Modellrisiko-Management holen, mit Validierung außerhalb der Modellverantwortung.
5. Messen, was über den Ausbau entscheidet: erkannter Betrug, Fehlalarme, Bearbeitungszeit, Beschwerden und Verluste, festgelegt vor dem Pilot.

Dieser Artikel beschreibt Markt und Regulierung. Er ist keine Rechts- oder Finanzberatung.