BaFin’s Erwartungen an das ICT-Risikomanagement und den Einsatz von KI
Einführung
Die deutsche Finanzaufsichtsbehörde hat nicht bindende Leitlinien herausgegeben, die klären, wie Finanzinstitute die Informations- und Kommunikationstechnologierisiken (ICT-Risiken) verwalten sollten, die sich aus auf künstlicher Intelligenz (KI) basierenden Systemen ergeben. Diese Leitlinien stehen im Einklang mit der Verordnung (EU) 2022/2554.
Ergebnisse
KI-Systeme, insbesondere generative KI und große Sprachmodelle, müssen vollständig in bestehende ICT-Governance-, Test- und Drittanbieterrisikorahmen integriert werden, wobei eine verstärkte Aufsicht erforderlich ist.
Blick in die Zukunft
Finanzinstitute, die KI nutzen oder planen, diese einzuführen, sollten ihre Governance-, Test-, Cloud-Outsourcing- und Vorfallberichterstattungspraktiken neu bewerten, um den sich entwickelnden aufsichtsrechtlichen Erwartungen gerecht zu werden.
Leitlinieninhalt
Die Leitlinien sollen den unter der Aufsicht der BaFin stehenden Finanzinstituten zusätzliche Richtlinien zur Behandlung von KI-Systemen unter DORA und zu den damit verbundenen Risiken im Zusammenhang mit Drittanbietern und Outsourcing bieten. Wichtige Punkte umfassen:
- Managementgenehmigte KI-Strategie: Finanzinstitute müssen eine KI-Strategie entwickeln, die klare Verantwortlichkeiten definiert und interdisziplinäre Zusammenarbeit fördert.
- Integration in bestehende Rahmenwerke: KI-Systeme müssen in das DORA-konforme ICT-Risikomanagement integriert werden, einschließlich Identifizierung, Schutz, Erkennung und Krisenkommunikation.
- Entwicklungsstandards: Robuste Standards für Entwicklung, Änderungsmanagement und Dokumentation sind erforderlich, insbesondere bei der Verwendung von Open-Source-Komponenten.
- Testpflichten: Die Testpflichten sind auf KI-Systeme auszuweiten, wobei die Komplexität von generativer KI und großen Sprachmodellen besondere Herausforderungen mit sich bringt.
- Risikomanagement von Drittanbietern: Eine gründliche Risikoanalyse ist erforderlich, insbesondere bei der Nutzung von Cloud-Diensten für KI-Systeme.
- Cybersicherheits- und Datenschutzkontrollen: Diese sollten über den gesamten Lebenszyklus der KI angewendet werden, um die Integrität und Qualität der Daten sicherzustellen.
Schlussfolgerung
Die Leitlinien bestätigen, dass KI-basierte Systeme nicht einem separaten Regime unterliegen. Sie müssen in die bestehende DORA-konforme ICT-Governance integriert werden. Obwohl die Leitlinien nicht bindend sind, wird erwartet, dass Aufsichtsbehörden sie als de-facto Benchmark heranziehen. Finanzinstitute sollten weiterhin den Fokus auf robustes Risikomanagement von Drittanbietern, Cybersicherheit und die Erkennung von Vorfällen legen.
