KI-Dienste sind IKT-Assets – auch wenn sie „nur“ ein Chatbot sind
Wer im Finanzsektor arbeitet und KI-Systeme einsetzt – ob als Kreditscoring-Modul, Anti-Fraud-Engine, internen Assistenten oder Kunden-Chatbot – muss diese Systeme als das behandeln, was sie nach DORA sind: IKT-Assets bzw. IKT-Dienstleistungen. Art. 6 Abs. 2 DORA verlangt einen Risikomanagementrahmen, der „alle Informations- und IKT-Assets, einschließlich Computer-Software“ angemessen schützt. Ein selbst trainiertes Modell, eine über API angebundene GPAI-Lösung oder ein SaaS-Tool mit KI-Funktion fällt darunter – unabhängig davon, ob es intern entwickelt oder von einem Drittanbieter bezogen wird.
Die typische Lücke: KI-Projekte laufen häufig als „Innovationsvorhaben“ außerhalb der etablierten IKT-Governance an. Fachbereiche testen ein Modell, ein Vertrag mit einem KI-Anbieter wird ohne Einbindung der IKT-Risikofunktion geschlossen. Genau das widerspricht der Grundlogik von DORA, die Risikomanagement als durchgängigen, unternehmensweiten Prozess versteht.
Governance: Das Leitungsorgan trägt die Verantwortung
Art. 5 DORA adressiert die Verantwortung explizit an das Leitungsorgan. Es trägt nach Art. 5 Abs. 2 lit. a „die letztendliche Verantwortung für das Management der IKT-Risiken“ – auch für KI-bezogene Risiken. Praktisch bedeutet das: Die Entscheidung, ein KI-System produktiv einzusetzen, kann nicht allein auf Fachbereichsebene getroffen werden. Das Leitungsorgan muss laut Art. 5 Abs. 2 lit. c klare Zuständigkeiten für IKT-bezogene Funktionen festlegen und laut lit. h die Leitlinie zu Vereinbarungen mit IKT-Drittdienstleistern genehmigen und regelmäßig überprüfen.
Wird ein KI-Modell über einen externen Anbieter bezogen (Cloud-KI, GPAI-API, Managed-Service), greift zusätzlich Art. 5 Abs. 2 lit. i: Es müssen Meldekanäle bestehen, über die das Leitungsorgan über Vereinbarungen mit IKT-Drittdienstleistern, geplante wesentliche Änderungen und deren Auswirkungen auf kritische Funktionen informiert wird. Ein KI-Anbieter, der sein Modell ohne Vorankündigung aktualisiert, ist genau der Fall, den diese Vorschrift adressieren soll.
Der Risikomanagementrahmen: Dokumentation ist keine Kür
Art. 6 Abs. 1 DORA fordert einen „soliden, umfassenden und gut dokumentierten“ IKT-Risikomanagementrahmen. Für KI-Dienste heißt das konkret:
- Schutzmaßnahmen dokumentieren (Art. 6 Abs. 2): Wie wird das Modell vor unbefugtem Zugriff, Manipulation oder Missbrauch geschützt? Welche Daten fließen ein, welche IKT-Infrastruktur wird genutzt?
- Unabhängige Kontrollfunktion (Art. 6 Abs. 4): Nicht-Kleinstunternehmen müssen die Überwachung des IKT-Risikos – auch für KI-Systeme – einer von der Entwicklung/dem Betrieb unabhängigen Funktion übertragen.
- Jährliche Überprüfung (Art. 6 Abs. 5): Der Rahmen ist mindestens einmal jährlich zu überprüfen, zusätzlich nach schwerwiegenden Vorfällen. Ein KI-System, das sich durch Nachtraining oder Modellwechsel des Anbieters laufend verändert, braucht hier realistisch eine engere Taktung als das Minimum.
- Interne Revision (Art. 6 Abs. 6): Revisoren mit ausreichendem Wissen über IKT-Risiken müssen den Rahmen prüfen können – das setzt voraus, dass überhaupt jemand im Haus die Funktionsweise und Risiken des eingesetzten KI-Systems versteht.
Die Strategie für digitale operationale Resilienz nach Art. 6 Abs. 8 muss zudem erläutern, wie Vorfälle erkannt und verhindert werden (lit. e) und wie darüber kommuniziert wird (lit. h). Ein KI-System, das fehlerhafte Entscheidungen produziert oder ausfällt, ist ein solcher Vorfall im Sinne des Rahmens.
Die Schnittstelle zur KI-VO: Art. 50 nicht vergessen
DORA regelt das „Wie“ des Risikomanagements, ersetzt aber nicht die KI-VO-Pflichten für das eingesetzte System selbst. Ab dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 KI-VO – etwa Kennzeichnungs- und Informationspflichten bei Chatbots oder KI-generierten Inhalten. Für Systeme, die bereits vorher in Verkehr waren, besteht eine Schonfrist bis zum 2. Dezember 2026. Wer also einen KI-gestützten Kundenservice oder ein Beratungstool betreibt, muss beide Ebenen zusammendenken: die DORA-Governance für das „Ob und Wie“ des IKT-Risikomanagements und die KI-VO-Transparenzpflichten für das konkrete System.
In der Praxis fehlt häufig genau diese Verknüpfung: Der DORA-Risikomanagementrahmen wird gepflegt, ohne dass die Fachverantwortlichen wissen, welche zusätzlichen KI-VO-Pflichten für das jeweilige System ab wann greifen – oder umgekehrt.
Wo Sie ansetzen sollten
Bevor Sie einzelne Formulare oder Klauseln anpassen, lohnt sich ein Überblick: Welche KI-Systeme setzen Sie ein, wer ist Anbieter, welche DORA- und KI-VO-Fristen betreffen Sie konkret? Mit der kostenlosen Einstufung unter /einstufung erhalten Sie in wenigen Minuten eine erste Orientierung, welche Pflichten für Ihre KI-Dienste relevant sind.