Fraud, AML und AI Act vereint steuern

Schwerpunkt: Identity, KYC & Fraud Prevention

Dr. Samareh Frantz, Geschäftsführerin von epay / transact Elektronische Zahlungssysteme, präsentiert innovative Ansätze zur Bekämpfung von Fraud durch integrierte KI-Modelle, die gleichzeitig Geldwäsche-Risiken bewerten und die Kreditwürdigkeit von Kunden einschätzen — Dr. Samareh Frantz, Geschäftsführerin, epay / transact Elektronische ZahlungssystemeInna Zaytseva

Wenn ein einziges KI-Modell gleichzeitig Fraud erkennt, Geldwäsche-Risiken bewertet und die Kreditwürdigkeit von Kunden einschätzt, reicht die Ausnahme für Fraud-Detection-Systeme vom EU AI Act plötzlich nicht mehr aus. Genau diese Überschneidung wird für Banken zum Problem, wenn DORA, AI Act und die kommende AMLR als getrennte Projekte in Rechtsabteilung, IT-Security und Compliance verwaltet werden. Institute müssen daher ihre KI-Systeme für Fraud Prevention, AML-Scoring und Identitätsbewertung in einem gemeinsamen Governance-Rahmen statt in drei Silos steuern. Ein Fahrplan aus gemeinsamer Inventarisierung, konsistenten Lieferantenverträgen und einheitlichem Kontrollrahmen hilft, Doppelarbeit zu vermeiden und regulatorische Nachweise für alle drei Bereiche effizient zu erbringen.

von Dr. Samareh Frantz, Geschäftsführerin, epay / transact Elektronische Zahlungssysteme

Viele Banken organisieren DORA, EU AI Act und AML noch immer als getrennte Projekte. Damit entstehen zusätzliche Risiken, doppelte Prozesse und unnötige Komplexität. Entscheidend ist nicht die Umsetzung einzelner Regelwerke, sondern eine gemeinsame Governance derselben KI-Systeme.

KI-Systeme für Fraud Detection und AML-Monitoring zählen in vielen Finanzinstituten zu geschäftskritischen Systemen. Sie bewerten beispielsweise Transaktionen in Echtzeit und entwickeln sich dabei kontinuierlich weiter. Modelle werden nachtrainiert, Schwellenwerte angepasst oder neue Anbieter integriert. Eben diese Systeme geraten jetzt in den Fokus mehrerer Regulierungen.

Mit dem EU AI Act, DORA und den AML-Vorgaben treffen unterschiedliche regulatorische Anforderungen auf dieselben KI-Systeme, Schnittstellen und Betriebsprozesse.“

Seit dem 10. Juli 2027 erhält die AML-Perspektive mit der unmittelbar geltenden AMLR und der ab 2028 direkt beaufsichtigenden AMLA in Frankfurt eine feste, EU-weit einheitliche Rechtsgrundlage. Die Herausforderung besteht darin, dieselben Systeme und denselben operativen IT-Betrieb unter mehreren regulatorischen Perspektiven konsistent zu steuern. Dafür braucht es einen gemeinsamen Governance-Prozess.

Dass der sogenannte Digital Omnibus die Hochrisiko-Pflichten des AI Act zeitlich streckt, entschärft das Problem nicht, sondern verschärft es: Während DORA seit Januar 2025 scharf gilt und die AMLR ab Juli 2027 unbeirrt greift, driften die drei Zeitachsen auseinander – ein zusätzliches Argument für eine gemeinsame statt isolierte Governance.

Das Silo-Problem

In vielen Unternehmen zeigt sich dasselbe Muster:

DORA liegt bei IT-Security und Informationsrisikomanagement, der AI Act bei der Rechtsabteilung, die AML-Anforderungen bei der Geldwäsche-Compliance. „

Autor Dr. Samareh Frantz, epay

Dr. Samareh Frantz, Geschäftsführerin von epay, präsentiert sich in einem professionellen Porträt. Sie trägt ein rotes Oberteil und hat lange, schwarze Haare. Der Hintergrund ist neutral gehalten, was den Fokus auf ihre Person lenkt. — Foto: Inna Zaytseva

Dr. Samareh Frantz ist Geschäftsführerin bei epay / transact Elektronische Zahlungssysteme (Webseite). Als von der BaFin zugelassene Geschäftsführerin verantwortet sie die Bereiche Legal, Governance, Risiko, Compliance, Revision und Datenschutz des international tätigen Zahlungsinstituts.

Jede Einheit inventarisiert, dokumentiert und bewertet dieselben Systeme aus ihrer eigenen Perspektive. Das Ergebnis sind parallele Register, unterschiedliche Dokumentationsstände und wiederkehrende Abstimmungsschleifen. An dieser Stelle entstehen unnötige Komplexität, Mehraufwand und organisatorische Risiken.

Es geht darum, bestehende Prozesse in einem gemeinsamen Governance-Framework zu bündeln. IT, Informationssicherheit, Recht und Compliance arbeiten darin auf einer gemeinsamen Grundlage für Änderungen, Audits und den laufenden Betrieb produktiver KI-Systeme zusammen.

Erster Schritt: eine Inventarisierung statt drei

Am pragmatischsten beginnt man mit einer gemeinsamen Inventarisierung aller KI-Systeme. KI-Systeme gehören als eigene Asset-Kategorie in den bestehenden IKT-Risikomanagementrahmen nach DORA – nicht in ein separates AI-Act-Register. Dort werden kritische Systeme, Abhängigkeiten und Dienstleister bereits verwaltet.

AI-Act-spezifische Angaben wie Einsatzzweck, Risikoklassifizierung, Modellversion, Trainingsstand, Anforderungen an die menschliche Aufsicht oder Nachweise zur Nachvollziehbarkeit lassen sich als zusätzliche Attribute ergänzen. So bleibt es bei einem gemeinsamen Datenbestand statt paralleler Dokumentationen.

KI-Systeme zur reinen Fraud-Erkennung im Finanzsektor sind nach Art. 6 Abs. 2 i.V.m. Anhang III AI Act von der Hochrisiko-Einstufung ausgenommen. Diese Ausnahme greift jedoch nicht automatisch: Sobald dasselbe Modell zugleich der Kreditwürdigkeitsprüfung oder dem AML-Risk-Scoring natürlicher Personen dient, ist eine Hochrisiko-Einordnung im Einzelfall zu prüfen und nachvollziehbar zu dokumentieren.

Zweiter Schritt: Vertrag vor Code

Noch bevor ein KI-System produktiv eingesetzt wird, sollten die Verantwortlichkeiten entlang der Lieferkette geklärt sein. Nutzt das Institut ein eigenes Modell, ein Foundation Model oder einen externen KI-Service? Wer übernimmt welche regulatorischen Pflichten? Welche technischen und regulatorischen Nachweise müssen revisionssicher vorgehalten werden?

DORA schreibt für IKT-Dienstleister in Art. 30 ohnehin Mindestvertragsinhalte vor – u. a. Informationsrechte, Testverfahren, Exit-Szenarien sowie Audit- und Zugriffsrechte. Werden diese Anforderungen gemeinsam mit den Rollen- und Dokumentationspflichten des AI Act betrachtet, entsteht ein konsistenter Vertragsrahmen. Das reduziert Nachverhandlungen, verhindert doppelte Anforderungen und vermeidet Lücken entlang der Lieferkette.

Dritter Schritt: ein gemeinsamer Kontrollrahmen

Ob Governance funktioniert, entscheidet sich im laufenden Betrieb. Ein nächtliches Deployment einer neuen Modellversion oder ein Update eines externen KI-Services ist zunächst ein gewöhnlicher IT-Change. Verändert sich dadurch jedoch das Modellverhalten, können gleichzeitig Dokumentationspflichten, Risikobewertungen, Freigaben oder bestehende Kontrollmechanismen betroffen sein. Modell-Drift betrifft nicht allein die Performance; sie wirkt unmittelbar auf Validierung, Nachvollziehbarkeit und regulatorische Konformität.

Deshalb sollten Änderungen an produktiven KI-Systemen Bestandteil desselben Change-Management- und Freigabeprozesses sein wie andere kritische Änderungen im IT-Betrieb.

Die beteiligten Funktionen – von IT-Betrieb und Informationssicherheit über Legal bis Compliance und Risk – behalten ihre fachlichen Verantwortlichkeiten, entscheiden jedoch auf einer gemeinsamen Informationsgrundlage. Da je nach Art eines Vorfalls neben DORA auch Pflichten aus dem AI Act relevant werden können, braucht es klar definierte Eskalationswege, ein gemeinsames Governance-Gremium und eindeutige Entscheidungsverantwortlichkeiten – etwa verankert in einem Model-Risk-Committee oder in der etablierten „Three Lines of Defense“-Logik.

Fazit

Wer für dieselben KI-Systeme mehrere Register, Freigabeprozesse und Dokumentationen pflegt, erhöht nicht die Compliance, sondern den Betriebsaufwand.“

Ein gemeinsames KI-Asset-Inventar, ein konsistenter Vertragsstandard und ein einheitlicher Kontrollrahmen reduzieren Komplexität und vermeiden Doppelarbeit. Das spart nicht nur Ressourcen. Gleichzeitig bleibt die technische Dokumentation konsistent, regulatorische Anforderungen lassen sich effizienter nachweisen und neue KI-Anwendungen schneller sowie regulatorisch belastbar in den produktiven Betrieb überführen. Dr. Samareh Frantz, epay / transact Elektronische Zahlungssysteme/dk