BAIT & MaRisk — KI-Compliance für FinTechs
Was die Bankaufsichtlichen Anforderungen an die IT (BAIT) + Mindestanforderungen an das Risikomanagement (MaRisk) für KI-Einsatz in Banken & FinTechs bedeuten — konkret und mit Paragraph-Referenzen.
Wer ist betroffen?
Alle nach KWG, ZAG, KAGB oder VAG regulierten Institute. Plus FinTechs ohne eigene Banklizenz, die als Auslagerungs-Dienstleister für regulierte Häuser arbeiten — deren Kunden müssen die BAIT-Anforderungen vertraglich an Dich weiterreichen.
BAIT AT 4.5 — Auslagerung an KI-Dienste
Wenn Du KI-Modelle (OpenAI, Anthropic, Google, etc.) für Geschäftsentscheidungen nutzt, gilt das als sonstiger Fremdbezug von IT-Dienstleistungen. Pflichten:
- Risikoanalyse vor Beauftragung — was kann schief gehen wenn der Anbieter ausfällt / Bias hat / Daten leakt?
- Vertragliche Mindestinhalte — Audit-Rechte, Sub-Auftragsverarbeitungs-Klauseln, SLA, Exit-Strategie.
- Laufende Überwachung — quartalsweise Vendor-Review, Incident-Tracking, Konzentrationsrisiko-Analyse.
- Nachweis gegenüber BaFin — bei Sonderprüfung muss Du innerhalb 14 Tagen die Doku vorlegen.
MaRisk AT 7.2 — IT-Risiken aus KI-Modellen
MaRisk Modul AT 7.2 verlangt, dass IT-Risiken erkannt, bewertet und gesteuert werden. Bei KI-Einsatz heißt das konkret:
- Modell-Risikomanagement — wie wird das Modell validiert? Wer überwacht Drift?
- Daten-Lineage — welche Trainingsdaten haben das Modell geprägt? Bias-Mitigation?
- Logging-Pflicht — jeder Modell-Aufruf revisionssicher dokumentiert (Prompt, Output, Modell-Version, Zeit, User).
- Notfallplan — was passiert wenn Modell-API ausfällt? Wer entscheidet manuell?
DORA — was kommt 2026
Die Digital Operational Resilience Act (Verordnung (EU) 2022/2554) ist seit 17. Januar 2025 anwendbar. KI-Drittanbieter fallen unter den DORA-ICT-Risk- Management-Rahmen. Ab 2027 gibt es das DORA-Register kritischer ICT-Drittanbieter — wer dort drin ist, unterliegt direkt EU-weiter Aufsicht.
Für FinTechs: Du musst bis Ende 2026 ein Register aller ICT- Auslagerungen führen, inkl. Kritikalitätsbewertung. Plus quartalsweise Stress-Tests der ICT-Dienste.
Wie helfen wir bei BAIT/MaRisk-Compliance?
RealSyncDynamics.AI ist als Compliance-Layer für AT 4.5 + AT 7.2 gebaut:
- ✓Audit-Log pro AI-Call — Provider, Modell-Version, Token-Anzahl, Kosten, Datenresidenz, User-ID, Tenant. Revisionssicher (immutable). Direkt für BaFin-Sonderprüfungen exportierbar.
- ✓AVV-Generator — passt vertragliche Mindestinhalte gemäß BAIT AT 4.5 automatisch an Deine Provider-Auswahl an.
- ✓Provider-Health-Monitoring — Vendor-Reviews mit Alert wenn ein Provider eine Datenpanne meldet (Schufa-DDoS-Pattern).
- ✓Multi-Provider-Routing — Anthropic-Ausfall → automatischer Fallback auf Google oder Self-Hosted-Ollama. Kein Single-Point-of-Failure.
BaFin-ready bis Ende 2026 — wir machen das in 14 Tagen.
Setup + erstes Audit-Log live in 14 Tagen. Pilot 14 Tage kostenlos, danach Growth 249 €/Monat (passt für KMU-FinTechs bis ~50 Mitarbeitende).