KI-Governance bezeichnet den Rahmen aus Richtlinien, Prozessen, Kontrollen und Verantwortungsstrukturen, der sicherstellt, dass KI-Systeme über ihren gesamten Lebenszyklus hinweg sicher, ethisch, rechtskonform und zuverlässig eingesetzt werden. Im Finanzwesen umfasst dies den KI-Einsatz in Kreditmanagement, Zahlungsabgleich, Streitfallmanagement und Cashflow-Prognose, mit dokumentierter Aufsicht, kontinuierlichem Monitoring und lückenlosen Prüfpfaden.
KI-Governance ist das System aus Richtlinien, Prozessen, Kontrollen und Verantwortlichkeiten, das dafür sorgt, dass KI sicher, ethisch, rechtskonform und zuverlässig zum Einsatz kommt. Sie begleitet den gesamten Lebenszyklus einer KI, von der Herkunft der Trainingsdaten bis zur Außerbetriebnahme eines ausgemusterten Modells. Gute Governance bremst KI nicht aus. Sie macht sie in regulierten Umfeldern überhaupt erst nutzbar, weil sie Führungskräften die Nachweise liefert, mit denen sie den Ergebnissen vertrauen können.
Im Finanzwesen zeigt sich das besonders deutlich. In der Debitorenbuchhaltung beeinflusst KI heute, wie Sie über Kreditlimits entscheiden, wie Sie Zahlungen abgleichen (Cash Application), Streitfälle verteilen, Abzüge prüfen und den Cashflow prognostizieren. Jede dieser Entscheidungen berührt Liquidität, Kundenbeziehungen, Gleichbehandlungspflichten und den Prüfpfad, den Ihre externen Prüfer genau unter die Lupe nehmen werden. Ein falsch kalibriertes Kreditmodell kann unbemerkt die Limits eines profitablen Segments verschärfen und so den Umsatz austrocknen. Eine unüberwachte Engine für den Zahlungsabgleich driftet mit der Zeit ab, ordnet Zahlungsavise falsch zu und erzeugt einen Rückstau bei der Abstimmung, der die Bilanz verzerrt. Ohne Governance hat der CFO keine belastbare Antwort, wenn der Prüfungsausschuss fragt, wie diese Entscheidungen zustande gekommen sind.
Ein praxistaugliches Rahmenwerk für den Finanzbereich umfasst acht Bausteine. Richtlinien halten schriftlich fest, wie sich KI nutzen lässt, wie Daten verarbeitet werden und wie Modelle freigegeben werden. Das Risikomanagement ordnet jeden KI-Anwendungsfall einer Risikostufe zu und legt fest, welche Gegenmaßnahmen je nach Auswirkung nötig sind. Kontrollen über den Modelllebenszyklus setzen Standards für Entwicklung, Test, Freigabe, Einführung, Überwachung und Außerbetriebnahme. Data Governance dokumentiert für jeden Datensatz, der in ein Modell einfließt, Quelle, Qualität, Herkunft (Lineage) und Datenschutzkonformität.
Tests auf Verzerrung und Fairness prüfen vor der Einführung und danach regelmäßig, ob ein Modell diskriminierende Ergebnisse liefert. Transparenz bedeutet, dass jedes Produktivmodell über eine Dokumentation (eine Model Card) verfügt und Erklärungen liefert, die ein Controller nachvollziehen kann. Menschliche Aufsicht legt fest, wer Entscheidungen übersteuern darf, wer prüfen muss und wie Eskalationen ablaufen. Der Audit-Trail protokolliert jede KI-Entscheidung mit ihren Eingabedaten, der Modellversion, dem Konfidenzwert und dem Ergebnis. So lässt sich jede Entscheidung noch Monate später rekonstruieren. Ein neunter Baustein, das Lieferantenmanagement, überträgt all dies auf zugekaufte KI-Lösungen von Drittanbietern statt auf selbst entwickelte.
Der regulatorische Rahmen ist 2026 keine Kür mehr. Der EU AI Act trat 2024 in Kraft und gilt ab 2026 vollumfänglich. Er unterscheidet vier Risikostufen: Inakzeptable Anwendungen sind verboten, Hochrisiko-Anwendungen müssen eine Konformitätsbewertung durchlaufen und laufende Pflichten erfüllen, Anwendungen mit begrenztem Risiko müssen transparent sein, und Anwendungen mit minimalem Risiko bleiben weitgehend unreguliert. Mehrere gängige Finanzanwendungen zählen zur Hochrisiko-Kategorie, darunter das Kreditscoring natürlicher Personen. Sie müssen deshalb menschliche Aufsicht, Genauigkeitsprüfung, Protokollierung und technische Dokumentation nachweisen.
In den USA ist der Ansatz sektoral geprägt. Das NIST AI Risk Management Framework ist der De-facto-Standard, den Finanzdienstleister breit anwenden. Auf Ebene der Bundesstaaten entstehen erste Regelungen: Colorado hat ein umfassendes KI-Gesetz verabschiedet, und New York City schreibt für automatisierte Einstellungsentscheidungen ein Bias-Audit vor. Das Vereinigte Königreich geht über bestehende Aufsichtsbehörden einen innovationsfreundlichen, prinzipienbasierten Weg, bei dem die FCA für die Finanzdienstleistungen federführend ist. Singapur, Kanada und Japan haben freiwillige Rahmenwerke veröffentlicht, die sich weitgehend an NIST und ISO orientieren. ISO 42001, veröffentlicht 2023, ist die erste internationale Managementsystem-Norm für KI und wird für ernsthafte Anbieter zu einem glaubwürdigen Zertifizierungsziel.
Finanzverantwortliche denken bereits in drei Verteidigungslinien (Three Lines of Defense), und dieses Modell lässt sich sauber auf KI übertragen. Die erste Linie bilden die Modellentwickler und Fachanwender, die das System aufbauen und betreiben. Sie steuern die täglichen Kontrollen und stehen für die Ergebnisse gerade. Die zweite Linie ist eine Funktion für KI- oder Modellrisikomanagement. Sie setzt Standards, prüft risikoreiche Anwendungsfälle und hinterfragt die erste Linie unabhängig. Die dritte Linie ist die interne Revision. Sie prüft regelmäßig, ob das Rahmenwerk in der Praxis auch tatsächlich eingehalten wird.
Mittelständische Finanzorganisationen verfügen nur selten über eine eigene Funktion für KI-Risiken. Eine praktikable Alternative: Erweitern Sie die bestehende Funktion für Modell- oder operationelle Risiken und geben Sie ihr ein klares Mandat für KI, mit benannten Verantwortlichen und einem vierteljährlichen Berichtsturnus an den Prüfungsausschuss.
Vier Lücken treten immer wieder auf. Am häufigsten ist die Schatten-KI: Fachabteilungen melden sich für KI-Tools an oder schalten KI-Funktionen in bestehender Software frei, ohne dass IT, Rechtsabteilung oder Risikomanagement davon wissen. Abhilfe schaffen ein schlankes Antragsformular und eine klare Regel: Jeder KI-Anwendungsfall, der Kunden- oder Finanzdaten berührt, muss registriert werden. Fehlt ein KI-Inventar, kann der CFO eine grundlegende Frage des Wirtschaftsprüfers nicht beantworten, nämlich wo überall KI zum Einsatz kommt. Legen Sie zur Not eines in einer Tabelle an und bauen Sie es später aus.
KI-Funktionen, die Anbieter standardmäßig aktivieren, sind ein stilles Risiko: ERP-Systeme und AR-Plattformen liefern inzwischen agentenbasierte Funktionen aus, die sich per Schalter aktivieren lassen. Behandeln Sie jeden dieser Schalter als neuen Anwendungsfall, der eine Governance-Prüfung durchlaufen muss. Kein Monitoring nach dem Go-live ist die letzte Lücke. Modelle driften, Datenverteilungen verschieben sich, die Leistung lässt nach. Für jede KI, die Finanzentscheidungen trifft, ist deshalb ein kontinuierliches Monitoring unverzichtbar. Überwachen Sie Genauigkeit, Ausnahmequoten und Bias-Kennzahlen und legen Sie Schwellenwerte fest, die eine Untersuchung auslösen.
Wenn Sie KI-native Software für die Debitorenbuchhaltung beschaffen, gehört der Reifegrad der Governance ebenso auf die Bewertungsliste wie die Funktionalität. Lassen Sie sich von Anbietern eine schriftliche KI-Governance-Richtlinie geben und den Nachweis, dass sie diese auch einhalten. Fordern Sie Model Cards für die Modelle an, die mit Ihren Daten arbeiten, und fragen Sie, wie oft die Anbieter diese neu trainieren und revalidieren. Verlangen Sie einen vollständigen Audit-Trail auf Entscheidungsebene, den Sie für Ihre Prüfer exportieren können, inklusive Modellversion, Eingabedaten, Konfidenz und Ergebnis.
Vergewissern Sie sich, dass für risikoreiche Entscheidungen echte Human-in-the-Loop-Funktionen vorhanden sind und nicht nur eine Override-Schaltfläche, die drei Menüebenen tief vergraben ist. Fragen Sie nach dem Monitoring-Dashboard und den Alarmschwellenwerten. Für den EU-Betrieb sollten Sie direkt nachfragen, wie sich der Anbieter auf die Hochrisiko-Pflichten des EU AI Act vorbereitet, also auf Konformitätsbewertung, technische Dokumentation und Überwachung nach dem Inverkehrbringen. Eine ISO-42001-Zertifizierung oder eine dokumentierte Roadmap dorthin ist ein starkes positives Signal. Sichern Sie sich schließlich vertragliche Zusagen zur Datennutzung, zu den Grenzen des Nachtrainings und zur Benachrichtigung bei wesentlichen Modelländerungen. Ein Anbieter, der diese Fragen nicht schriftlich beantworten kann, ist im Jahr 2026 nicht bereit, für ein Finanzteam liquiditätswirksame Entscheidungen zu treffen.
Nein. Das Modellrisikomanagement ist eine seit Langem etablierte Disziplin und konzentriert sich auf quantitative Modelle, vor allem im Bankwesen. KI-Governance greift weiter: Sie deckt den gesamten KI-Lebenszyklus ab, also Data Governance, Bias-Tests, Transparenz, menschliche Aufsicht und das Monitoring nach der Inbetriebnahme. Und sie gilt für Machine Learning, generative KI und agentenbasierte Systeme. Viele Finanzteams bauen ihre bestehende Modellrisikofunktion aus, um KI abzudecken. Damit das gelingt, müssen sie den Anwendungsbereich aber deutlich erweitern.
Das kann durchaus sein, denn der EU AI Act reicht über die EU-Grenzen hinaus. Sobald Sie Ihr KI-System auf dem EU-Markt in Verkehr bringen oder seine Ergebnisse in der EU genutzt werden, fallen Sie wahrscheinlich in den Anwendungsbereich, auch ohne Niederlassung in der EU. Trifft ein Konzern mit Hauptsitz in den USA Kreditentscheidungen für europäische Tochtergesellschaften über eine einzige KI-Engine, sollte er davon ausgehen, dass der Rechtsakt greift. Dann gelten Hochrisiko-Pflichten wie Konformitätsbewertung, menschliche Aufsicht, Protokollierung und technische Dokumentation, auf die er sich einstellen sollte.
Ganz oben stehen Kreditentscheidungen zu natürlichen Personen, denn sie berühren Fair-Lending-Aspekte und Anforderungen an die Erklärbarkeit und fallen in die Hochrisiko-Kategorie des EU AI Act. Kundengerichtete Entscheidungen zu Streitfällen und Abzügen bergen Marken- und Vertragsrisiken. Der Zahlungsabgleich ist pro Entscheidung für sich genommen risikoarm. Doch das hohe Volumen führt dazu, dass schon kleine Genauigkeitseinbußen die Bilanz spürbar belasten, weshalb es auf ein gutes Monitoring ankommt. Und die Prognose birgt ein Tail-Risiko, sobald die Führungsebene einem einzigen Modell zu sehr vertraut, ohne es zu hinterfragen.
Schatten-KI meint KI-Tools oder -Funktionen, die in einer Organisation zum Einsatz kommen, ohne dass IT, Rechtsabteilung oder Risikomanagement sie geprüft haben. Im Finanzbereich zeigt sie sich, wenn ein Controller ein Abo für einen generativen KI-Assistenten abschließt, wenn ein Analyst Kundendaten in einen öffentlichen Chatbot einfügt oder wenn eine Plattform für die Debitorenbuchhaltung eine neue agentenbasierte Funktion standardmäßig aktiviert. Die Folge: unkontrollierte Datenrisiken, nicht protokollierte Entscheidungen und ein Governance-Rahmen, der an der Realität vorbeigeht. Ein einfaches Erfassungsformular und eine klare Richtlinie schließen den größten Teil dieser Lücke.
Eine allgemeingültige Zahl gibt es nicht. Eine vertretbare Grundlage ist aber, kontinuierlich anhand eines definierten Kennzahlensatzes zu überwachen und mindestens einmal jährlich formal neu zu validieren, ergänzt um zusätzliche Prüfungen bei wesentlichen Datenverschiebungen, Leistungsabweichungen oder erneutem Modelltraining. Bei risikoreicheren Anwendungsfällen wie Kreditentscheidungen sollten Sie häufiger formal prüfen. Entscheidend ist nicht der Kalender, sondern definierte Schwellenwerte und ein dokumentierter Prozess, damit die Prüfung nicht optional bleibt.
Fragen Sie nach einer schriftlichen KI-Governance-Richtlinie, nach Model Cards für Produktivmodelle, die mit Ihren Daten arbeiten, nach einem Audit-Trail auf Entscheidungsebene mit Modellversion und Eingabedaten, nach einem Monitoring-Dashboard mit dokumentierten Schwellenwerten und nach Human-in-the-Loop-Werkzeugen für Hochrisiko-Entscheidungen. Fragen Sie bei europäischen Implementierungen, wie der Anbieter die Hochrisiko-Pflichten des EU AI Act erfüllt. Eine ISO-42001-Zertifizierung oder ein glaubwürdiger Fahrplan dorthin ist ein starkes positives Signal. Kann ein Anbieter das nicht schriftlich vorlegen, sollten Sie das als Governance-Warnsignal werten.
