Der AI-Act in der Finanzindustrie - was sind Hochrisikoanwendungsfälle?

Seit dem 01.08.2024 ist der AI-Act in Kraft. In unserer Blogreihe werden wir auf wesentliche Details zum AI-Act eingehen. Im ersten Teil haben wir die unterschiedlichen Anforderungen je Akteur pro Risikokategorie vorgestellt.

Im zweiten Teil unserer Blogreihe beschäftigen wir uns damit, welche für die Finanzindustrie spezifischen Anwendungsfälle speziell für Finanzinstitute als Hochrisiko-KI-System gelten.

Fokus auf die Finanzindustrie, welche Anwendungsfälle werden als Hochrisiko-KI-Systeme eingestuft?

In Artikel 6 des AI-Acts sind allgemeine Kriterien festgelegt, welche die Zuordnung eines KI-Systems als Hochrisikosystem regeln. Ein KI-System wird hiernach als Hochrisiko eingestuft, wenn es erhebliche Auswirkungen auf Gesundheit, Sicherheit oder die Grundrechte von Personen haben kann. Darüber hinaus werden in Anhang III spezifische Anwendungsfälle genannt, welche im Kontext des AI-Act als Hochrisiko gelten. Für die Finanzindustrie spezifische Anwendungsfälle, gem. Anhang III, sind automatisierte Kreditentscheidungen und Scoring-Systeme für natürliche Personen. Systeme zur Betrugsprävention sind davon ausgenommen.

Die folgende Checkliste ermöglicht eine indikative Antwort:

Allerdings müssen die in Anhang III aufgelisteten Anwendungsfälle Stand jetzt als Momentaufnahme angesehen werden. Denn in Artikel 6, Absatz 5 wird angekündigt, dass die Europäische Kommission in Abstimmung mit dem Europäischen Ausschuss für Künstliche Intelligenz bis spätestens 02.02.2026 Leitlinien veröffentlichen wird, die die praktische Umsetzung des Artikel 6 erläutern sollen. Neben den Leitlinien soll zusätzliche eine umfassende Liste praktischer Beispiele für Anwendungsfälle von KI-Systemen mit hohem und ohne hohes Risiko vorgelegt werden.  Des Weiteren kann die in den nächsten Monaten erwartete, nationale Durchführungsverordnung weitere Konkretisierungen beinhalten.

Welche Ausnahmetatbestände gibt es derzeit?

Nach Artikel 6 Absatz 3 in Verbindung mit Erwägungsgrund 53 kann es auch Ausnahmen von der oben genannten Definition von KI-Hochrisikosystemen geben, nämlich dann, wenn das KI-System kein erhebliches Risiko für die Gesundheit, die Sicherheit oder die Grundrechte natürlicher Personen darstellt.

Ausnahmen sind also möglich, wenn kein erhebliches Risiko für die Grundrechte besteht, insbesondere wenn kein Profiling nach Art. 4 Abs. 4 EU 2019/679 (DSGVO) erfolgt. Ein KI-System kann von der Hochrisikoeinstufung ausgenommen werden, wenn es:

• Eine spezifische, eng umrissene verfahrenstechnische Aufgabe erfüllt,
• das Ergebnis menschlicher Tätigkeiten verbessert,
• Entscheidungsmuster oder Abweichungen erkennt, ohne menschliche Bewertungen zu ersetzen oder ohne angemessene menschliche Überprüfung zu beeinflussen,
• eine vorbereitende Aufgabe für eine Bewertung ausführt, die für die relevanten Anwendungsfälle nach Anhang III wichtig ist.

Der Ausschluss des Profilings (nach der DSGVO jede Form der automatisierten Verarbeitung personenbezogener Daten zum Zwecke der Bewertung einer natürlichen Person) von den Ausnahmetatbeständen unterstreicht den hohen Schutz natürlicher Personen und den datenethischen Grundansatz des AI-Acts.

Zusammenfassung und Ausblick

Vor dem Einsatz eines KI-Systems ist es entscheidend, eine umfassende Risikoanalyse durchzuführen. Diese Analyse sollte gut dokumentiert sein und kann in begründeten Fällen dazu führen, dass ein Anwendungsfall, obwohl grundsätzlich risikoreich, nicht als hochriskantes KI-System eingestuft wird.

Im nächsten Blogbeitrag erfahren Sie mehr darüber, wie Sie Ihre KI-Anwendungen effektiv einer Risikoanalyse unterziehen können.