KI-Verordnung: Worauf Genossenschaftsbanken achten sollten

Künstliche Intelligenz (KI) hat sich zu einem wichtigen Instrument in einer auf Effizienz getrimmten Arbeitswelt entwickelt. Auch die genossenschaftliche Finanzgruppe setzt KI mittlerweile in verschiedenen Geschäftsfeldern ein. KI bietet Unternehmen viele Chancen, etwa zur Effizienzsteigerung und Kostensenkung, gleichwohl ist sie mit Risiken und Herausforderungen verbunden. Darauf hat der europäische Gesetzgeber mit der EU-Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (KI-Verordnung beziehungsweise AI Act) reagiert. Die gute Nachricht vorweggenommen: Die KI-Verordnung ist zwar zum 1. August 2024 als Ganzes in Kraft getreten, die Umsetzung ist jedoch zeitlich in mehrere Etappen gestaffelt. Erste Anforderungen, die auch für Genossenschaftsbanken relevant sind, gelten seit 2. Februar 2025.

Die wesentliche Idee der Verordnung ist ein risikobasierter Ansatz, sodass die Anforderungen abhängig von dem Risiko definiert werden, das von dem jeweiligen KI-System ausgeht. Die KI-Verordnung sieht insgesamt vier Risikostufen vor:

KI-Systeme ohne Regulierungsbedarf: zulässig;
KI-Systeme mit begrenztem Risiko: zulässig, aber Transparenz- und Informationspflichten sind zu erfüllen;
KI-Systeme mit hohen Risiken: teilweise verboten, eine Konformitätsbewertung ist erforderlich;
KI-Systeme mit unannehmbaren Risiken: verboten.

KI-Systeme ohne Risiko oder mit minimalen Risiken

Werden KI-Systeme zur Dokumentenerfassung, Dokumentenklassifizierung und Automatisierung von Prozessen eingesetzt, so handelt es sich in der Regel um KI-Systeme mit minimalen Risiken. Betreibt eine Genossenschaftsbank ein solches KI-System, sollte sie darauf achten, dass die mit KI generierten Text-, Bild- oder Videodateien entsprechend gekennzeichnet wird, sodass für den Dritten die Erzeugung durch KI ersichtlich ist. Dies gilt erst recht für Textdateien, die für die Öffentlichkeit gedacht sind und über Angelegenheiten mit öffentlichen Interesse informieren sollen. Hier besteht gegebenenfalls eine Hinweispflicht.

Neben diesen derzeit zu beachtenden Verpflichtungen obliegt es einer Genossenschaftsbank zusätzlich, KI-Systeme zu unterbinden, die geeignet sind, verfassungsrechtlich geschützte Güter wie das Diskriminierungsverbot oder das Rechtsstaatsprinzip zu gefährden. Dies vorausgeschickt, haben Genossenschaftsbanken ihre Governance-Prozesse an KI-Anwendungen anzupassen beziehungsweise diese zu ergänzen. Es sind ferner technische Anforderungen insbesondere zur Cybersicherheit, zur Risikobewertung und -minderung, zur KI-Governance und zu Schulungsverpflichtungen zu beachten.

KI-Systeme mit hohen Risiken

KI-Systeme, mit denen beispielsweise Kreditwürdigkeitsprüfungen, Bonitätsbewertungen oder die Auswahl von Bewerberinnen und Bewerbern durchgeführt werden können, gelten als solche mit einem hohen Risiko. Diese KI-Systeme unterliegen bestimmten Verpflichtungen wie Transparenzpflichten, Dokumentationspflichten, der Pflicht zur Durchführung eines Risikomanagements und geeigneter technischer Anforderungen. Diese Pflichten werden zum 1. August 2026 beziehungsweise zum 1. August 2027 gültig, sodass hier künftig Handlungsbedarf für die Genossenschaften entstehen kann. Diese sollten daher prüfen, ob ein solches Hochrisiko-KI-System eingesetzt wird.

Kategorisierung als KI-System im Einzelfall schwierig

Im Einzelfall kann die Frage, ob die jeweilige Anwendung auf KI-Basis läuft, schwierig sein. Eine Abgrenzung zwischen KI und Nicht-KI ist nicht ohne Weiteres und eindeutig möglich. Bei den Genossenschaftsbanken laufen einige Anwendungen bereits auf KI-Basis. So stützt sich die Erkennung von Schadsoftware oder von Betrugsfällen sowie die Analyse, die Affinität für Wertpapieranlagen zu prognostizieren, bereits auf KI-Systeme.

Hohe Sanktionen bei Verstößen

Werden die Anforderungen der KI-Verordnung nicht erfüllt, drohen erhebliche Geldbußen zwischen 7,5 Millionen Euro und 35 Millionen Euro. Umso wichtiger ist es daher für die Genossenschaftsbanken, sich rechtzeitig über die Umsetzungspflichten nach der KI-Verordnung zu informieren und diese zu erfüllen. Schulungen für Verantwortliche und Mitarbeitende, die mit KI arbeiten, sind unumgänglich. Nur dadurch können ein Risikobewusstsein im Umgang mit KI geschaffen und Governance-Prozesse angepasst werden. Die Akademie Bayerischer Genossenschaften (ABG) bietet entsprechende Webinare an, zum Beispiel:

Der Genossenschaftsverband Bayern (GVB) unterstützt seine Mitglieder bei allen Fragen in Zusammenhang mit der KI-Verordnung (Kontakt siehe Kasten).

Dr. Nuriye Yildirim, LL.M. ist Rechtsanwältin und Syndikusrechtsanwältin beim Genossenschaftsverband Bayern (GVB) sowie Fachanwältin für Bank- und Kapitalmarktrecht sowie für Arbeitsrecht.