Bransons Agenda

Kernpunkte

• Seit dem 29. Juli 2026 trägt die BaFin die formelle Marktüberwachung für KI-Systeme im Finanzsektor — bislang ohne verbindliche Offenlegungs- und Auditierungspflicht für algorithmische Kreditmodelle.
• Algorithmische Bonitätsbewertung fällt unter die Hochrisiko-KI-Kategorie des AI Acts; vollständige Prüfpflichten greifen erst ab August 2026 für neue Systeme, ab Dezember 2027 für bestehende Systeme.
• Branson sollte eine Verwaltungsvorschrift erlassen, die lückenlose Dokumentation und externe Auditierbarkeit aller Kredit-Algorithmen bereits ab Herbst 2026 verbindlich macht — innerhalb seiner bestehenden Befugnisse, ohne Gesetzesänderung.
• Die zentrale Schlussfolgerung: Wer Diskriminierungsfreiheit als Amtsziel proklamiert, kann die Prüfmittel dafür nicht bis 2027 vertagen.

Am 29. Juli 2026 übernahm die BaFin offiziell die Marktüberwachung über KI-Systeme im deutschen Finanzsektor — per Gesetz zur Durchführung der europäischen KI-Verordnung. Branson erklärte dazu, Menschen müssten sich darauf verlassen können, dass ihre Grundrechte beim Einsatz von KI geschützt werden, und niemand dürfe durch Algorithmen bei Finanzdienstleistungen diskriminiert werden.

Was die BaFin bislang nicht erlassen hat: eine verbindliche Vorschrift, die sicherstellt, dass sie diese Algorithmen überhaupt prüfen kann.

Der Zugzwang

Kreditinstitute setzen algorithmische Systeme zur Bonitätsbewertung im Massengeschäft ein. Welche Variablen einfließen, wie sie gewichtet werden, ob die Modelle systematisch nach Postleitzahl, Berufsfeld oder Zahlungsmusterproxys diskriminieren — das ist für die Aufsicht derzeit nur eingeschränkt nachprüfbar. Die BaFin hat angekündigt, stichprobenhaft zu prüfen. Stichproben setzen voraus, dass es etwas zu ziehen gibt: standardisierte, dokumentierte, extern zugängliche Modellbeschreibungen. Die existieren nicht flächendeckend.

Der AI Act stuft Systeme zur Kreditwürdigkeitsprüfung als Hochrisiko-KI ein. Die daraus folgenden vollständigen Prüfpflichten gelten für neue Systeme ab August 2026, für bereits bestehende Hochrisiko-Systeme erst ab Dezember 2027. Das lässt einen Graubereich von mindestens 16 Monaten, in dem laufende Kredit-Algorithmen die verschärften Anforderungen noch nicht erfüllen müssen. Genau in diesem Graubereich setzt die neue BaFin-Zuständigkeit ein — ohne dass die Aufsicht bislang eigene Mindeststandards für die Überprüfbarkeit dieser Systeme definiert hätte.

Die MaRisk, die Mindestanforderungen an das Risikomanagement, enthalten bereits Anforderungen an Modellvalidierung und Dokumentation. Sie sind auf klassische quantitative Risikomodelle zugeschnitten, nicht auf lernende Algorithmen mit Tausenden von Variablen. Die BaFin-Orientierungshilfe zu Algorithmen in Entscheidungsprozessen vom Juni 2022 benennt Prinzipien, schafft aber keine Rechtspflicht. Das Ergebnis: Es gibt Leitplanken, aber kein Geländer.

Der Vorschlag

Branson sollte auf Basis seiner bestehenden Aufsichtsbefugnisse — ohne Bundesratsinitiative, ohne Gesetzesänderung — eine Verwaltungsvorschrift erlassen, die Kreditinstitute zu drei Dingen verpflichtet: erstens zur lückenlosen technischen Dokumentation aller genutzten Kredit- und Scoring-Algorithmen nach einem einheitlichen Format; zweitens zur Bereitstellung dieser Dokumentation gegenüber der BaFin auf Abruf; drittens zur Einschaltung externer, von der BaFin zugelassener Auditoren bei Systemen, die nach Risikoklassifikation als Hochrisiko-KI einzustufen sind. Erster Schritt: eine aufsichtliche Richtlinie, die den Dokumentationsstandard und das Auditierungsverfahren verbindlich definiert, bis Herbst 2026.

Das Instrument steht Branson bereit. § 6 KWG gibt der BaFin die Befugnis, Anordnungen zu treffen, die geeignet und erforderlich sind, um Missstände im Kreditwesen zu verhindern oder zu beseitigen. Eine systematisch nicht prüfbare Risikoklasse im Massengeschäft ist ein regulatorischer Missstand — auch ohne Einzelfall-Beschwerde.

Der Doppel-Test

Für Branson ist dies der naheliegendste Zug. Er hat Diskriminierungsfreiheit und Grundrechtsschutz als Amtsziele benannt. Eine Behörde, die Diskriminierung durch Algorithmen verhindern will, aber keine Mittel hat, Algorithmen zu prüfen, verwaltet eine Absichtserklärung. Die Verwaltungsvorschrift schließt diese Lücke — innerhalb der bestehenden Zuständigkeit, ohne auf den Gesetzgeber warten zu müssen.

An den drei Achsen: Die Demokratie-Achse ist das stärkste Argument für den Zug, nicht dagegen. Algorithmische Kreditentscheidungen ohne externe Prüfbarkeit entziehen sich systematisch der Rechenschaftspflicht; Transparenzpflichten stärken den individuellen Rechtsschutz. Die Effizienzachse ist neutral bis positiv: Standardisierte Dokumentation senkt mittelfristig den Prüfaufwand auf beiden Seiten. Die Ökologie-Achse ist nicht einschlägig.

Der stärkste Einwand

Bankenverbände werden auf das Geschäftsgeheimnisgesetz verweisen. Algorithmische Modelle sind proprietär; ihre Offenlegung gegenüber externen Auditoren gefährde Wettbewerbsvorteile und schaffe Angriffsflächen für Manipulationen. Das Argument trägt einen Kern, löst das Problem aber nicht. Das Geschäftsgeheimnisgesetz schützt nicht vor Aufsichtszugang: § 6a KWG und § 28 BDSG lassen Offenlegungspflichten gegenüber Behörden ausdrücklich zu, wenn sie zur Wahrnehmung gesetzlicher Aufgaben erforderlich sind. Die Verwaltungsvorschrift muss nicht auf vollständige Quellcode-Herausgabe an die Öffentlichkeit zielen — das wäre unverhältnismäßig. Sie kann auf standardisierte Modellbeschreibungen, Eingabevariablen, Gewichtungslogiken und Validierungsprotokolle abzielen, die ausschließlich der BaFin und zugelassenen externen Auditoren zugänglich sind, mit klaren Vertraulichkeitsregelungen. Dieser Ansatz ist in der Finanzaufsicht — etwa bei internen Modellen für Eigenkapitalanforderungen — längst etabliert. Es gibt keinen Grund, ihn für Kredit-Algorithmen nicht anzuwenden.

Einzuräumen ist: Die Festlegung eines technischen Dokumentationsstandards, der für alle Modellarchitekturen funktioniert — von einfachen Scorecard-Modellen bis zu komplexen Ensemble-Verfahren —, ist methodisch anspruchsvoll. Eine Konsultationsphase mit der Industrie vor Erlass der Vorschrift ist nicht Schwäche, sondern handwerkliche Pflicht. Sie muss aber zeitlich befristet sein.

Die Antwort liegt bei der BaFin und in Frankfurt, nicht in Brüssel.

Prüfstein

• Adressat: Mark Branson, Präsident der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)
• Zug: Erlass einer verbindlichen Verwaltungsvorschrift, die Kreditinstitute zur standardisierten Dokumentation, aufsichtlichen Offenlegung und externen Auditierbarkeit ihrer algorithmischen Kredit- und Scoring-Algorithmen verpflichtet
• Frist: 30.09.2026
• Prüfstein: Eine formale BaFin-Verwaltungsvorschrift oder aufsichtliche Richtlinie mit verbindlichem Geltungsanspruch, die Dokumentations- und Auditierungsstandards für algorithmische Kreditmodelle definiert, ist bis zum 30.09.2026 veröffentlicht — ja oder nein