Banken, Versicherungen und Finanzdienstleister tragen bei der KI-Einführung eine zusätzliche Last, die andere Branchen nicht kennen: Jede Veränderung muss nicht nur funktionieren, sondern nachweisbar konform sein. Ein Kreditscoring-Modell oder ein KYC-Prozess darf nicht einfach „gut genug“ arbeiten – er muss dokumentiert, nachvollziehbar und im Zweifel gegenüber einem Prüfer erklärbar sein, bevor er überhaupt produktiv gehen darf. Damit kommt zur allgemeinen Transformationsschwierigkeit von KI-Projekten eine zweite Ebene hinzu: Wandel und Regulatorik müssen von Anfang an gemeinsam gedacht werden, nicht nacheinander.

„Man braucht 20 Jahre, um sich einen Ruf zu erarbeiten, und nur 5 Minuten, um ihn zu ruinieren.“
— Warren Buffett

Konkret treffen hier mehrere Regelwerke aufeinander. DORA verpflichtet Finanzunternehmen seit Januar 2025 zu einem systematischen IKT-Risikomanagement – auch für KI-Systeme, die über externe Anbieter oder Cloud-Infrastruktur bezogen werden, inklusive Resilienztests und Meldepflichten bei Vorfällen. Die MaRisk-Vorgaben der BaFin verlangen für deutsche Banken zusätzlich nachvollziehbare Entscheidungsprozesse und eine strenge Governance bei ausgelagerten Funktionen. Und der EU AI Act stuft typische Finanzanwendungen wie Kreditwürdigkeitsprüfung oder Risikobewertung in der Regel als Hochrisiko-KI ein – mit Pflichten zu Risikomanagement, technischer Dokumentation und menschlicher Aufsicht. Zwar hat der Digital Omnibus die Vollanwendung dieser Hochrisiko-Pflichten für eigenständige Systeme von Sommer 2026 auf Dezember 2027 verschoben, doch die inhaltlichen Anforderungen selbst bleiben bestehen – nur der Zeitpunkt der Durchsetzung verändert sich.

Die naheliegende Reaktion ist, auf weitere Verschiebungen zu hoffen und Projekte auf Halde zu legen. Das ist riskant: Wer die Vorbereitungszeit ungenutzt verstreichen lässt, steht bei jeder neuen Frist wieder am Anfang. Erfolgreiche regulierte Unternehmen gehen den umgekehrten Weg – sie behandeln Compliance nicht als Abnahme am Ende, sondern als festen Bestandteil der Architektur von Beginn an. Risiko-, Rechts- und Compliance-Funktionen sitzen von der ersten Projektphase an mit am Tisch, nicht erst bei der finalen Freigabe. Rollen wie KI-Beauftragte oder KI-Manager übernehmen dabei eine Brückenfunktion zwischen fachlicher Umsetzung und regulatorischer Anforderung – sie übersetzen Vorgaben in operative Prozesse, statt sie nachträglich draufzusetzen.

Fazit

Wandel in regulierten Branchen ist deshalb nicht langsamer, weil Bürokratie das so will, sondern weil Nachvollziehbarkeit und Verantwortlichkeit Teil des eigentlichen Produkts sind – neben der Technologie selbst. Unternehmen, die Governance von Anfang an in ihre Transformation einbauen, verwandeln regulatorische Strenge in einen Vertrauensvorsprung gegenüber Kunden, Aufsicht und Investoren, statt sie als Kostenblock zu behandeln. Die Frage ist am Ende nicht, ob man reguliert ist – sondern ob man das als Ausrede oder als Ausgangspunkt für sauberere Prozesse nutzt.