Notizen aus der Praxis.

Was diese Woche passiert ist

Das Konsortium Qivalis hat sich auf 37 europäische Banken aus 15 Ländern vergrößert. Mit dabei: ABN Amro, Intesa Sanpaolo, Rabobank, Nordea und Raiffeisen Bank International aus Österreich. Ziel ist ein regulierter, MiCA-konformer Euro-Stablecoin, der 2026 ausgegeben werden soll.

Das ist keine Krypto-Spielerei mehr. Das ist ein Zahlungsinstrument, das von regulierten Instituten emittiert, auf einer öffentlichen Blockchain abgewickelt und über bestehende Bank-Schnittstellen ins Treasury der Kunden integriert werden soll. Wer in einem Finanzhaus für Compliance, Risk oder Payments zuständig ist, sollte diese Ankündigung nicht ignorieren.

Die spannende Frage für meine Leser ist nicht „kommt der Stablecoin?”, sondern: Welche operativen Aufgaben entstehen damit, und wo entscheidet KI über Geschwindigkeit und Kosten?

Warum das jetzt für Finanzhäuser zählt

Ein bankregulierter Euro-Stablecoin verschiebt drei Dinge gleichzeitig.

Erstens: Die Transaktion ist on-chain sichtbar. Das ist neu für eine Bank-Compliance-Abteilung, die bisher mit SWIFT-Nachrichten und SEPA-Dateien arbeitet. Jede Bewegung des Tokens ist öffentlich, mit Zeitstempel, Wallet-Adressen und Beträgen. Das ist gleichzeitig Chance und Pflicht. Chance, weil AML-Analyse damit präziser wird als alles, was im klassischen Korrespondenzbank-Setup möglich war. Pflicht, weil die BaFin und nationale Aufseher genau diese Transparenz auch erwarten werden.

Zweitens: Die Transaktionsmengen werden explodieren, sobald der Coin als Settlement-Layer für B2B-Payments oder Treasury-Operationen genutzt wird. Manuelles Monitoring funktioniert dort nicht mehr. Wir reden über Datenvolumen, das nur mit maschineller Auswertung sinnvoll zu bewältigen ist.

Drittens: Die Schnittstelle zwischen On-chain-Welt und Bank-Kernbankensystem muss konsistent gehalten werden. Jede Token-Bewegung muss in der Buchhaltung, im KYC-System und im Regulatorik-Reporting korrekt landen. Das ist kein Software-Projekt, das eine Bank in sechs Monaten nebenbei macht.

Aus meiner Sicht entstehen damit drei konkrete KI-Use-Cases, die in den nächsten 18 Monaten von Pilotphase in Produktion gehen werden.

Use-Case 1: On-chain-AML in Echtzeit

Klassisches AML in Banken läuft batch-basiert. Transaktionen werden am Tagesende ausgewertet, verdächtige Muster werden gemeldet, Cases werden manuell bearbeitet. Bei einem Stablecoin mit Sekunden-Settlement ist dieser Rhythmus nicht haltbar.

ML-Modelle, die Wallet-Cluster, Transaktionsketten und Risikoindikatoren wie Mixer-Nähe oder Sanktionslisten-Treffer in Echtzeit bewerten, sind hier kein Luxus, sondern Voraussetzung. Anbieter wie Chainalysis, Elliptic oder TRM Labs haben diese Modelle seit Jahren für Krypto-Börsen entwickelt. Für regulierte Banken werden sie zum Standard-Bestandteil der Compliance-Architektur.

Mein Rat: Wer in einer mittelgroßen Bank für AML verantwortlich ist, sollte spätestens Q1 2026 einen Proof of Concept mit einem dieser Anbieter aufgesetzt haben. Nicht weil der Stablecoin morgen kommt, sondern weil die interne Lernkurve realistisch zwölf Monate braucht.

Use-Case 2: Smart-Contract-Auditing

Qivalis wird Smart Contracts deployen, die Mint, Burn, Transfer und Freeze des Tokens steuern. Diese Contracts sind die juristisch und operativ verbindliche Logik des Zahlungsinstruments. Ein Bug im Contract ist nicht „nur” ein IT-Problem, er ist ein potenzieller Compliance-Verstoß oder ein Liquiditätsereignis.

KI-gestütztes Auditing von Solidity-Code ist hier kein Forschungsthema mehr. Tools wie OpenZeppelin Defender, Slither in Kombination mit LLM-basierten Reviewern, oder spezialisierte Anbieter wie Certora liefern brauchbare Ergebnisse. Eine Bank, die Qivalis-Token annimmt oder selbst Treasury-Operationen darauf abwickelt, sollte verstehen, welche Contracts dahinterstehen und welche Risiken offen sind.

Das ist nicht Aufgabe der Compliance-Abteilung alleine. Das ist eine neue Schnittstelle zwischen Krypto-Engineering, Treasury und Risk. Banken, die diese Funktion nicht intern aufbauen, kaufen sie teuer ein.

Use-Case 3: MiCA-Reporting-Automatisierung

MiCA verpflichtet Emittenten und Dienstleister zu detailliertem Reporting. Reserve-Composition, Whitepaper-Updates, Beschwerden, Marktmissbrauchsindikatoren. Vieles davon ist strukturierte Information, die heute in Bank-Backoffices manuell zusammengetragen wird.

LLM-basierte Agenten, die aus internen Systemen Daten ziehen, gegen die MiCA-Anforderungen prüfen und einen Reporting-Entwurf erstellen, sind technisch machbar. Wichtig: nicht ohne menschliche Freigabe. Halluzinationsrisiko bei Zahlen ist real, gerade bei Reserve-Berichten. Aber als Erst-Entwurfssystem, das einem Compliance-Officer 70 Prozent der Vorarbeit abnimmt, sind solche Agenten heute schon einsetzbar.

Konkrete Handlungsempfehlung

Für Compliance- und Risk-Verantwortliche in Banken und Asset-Management-Häusern in DACH empfehle ich drei Schritte in den nächsten sechs Monaten.

1. Interne Lagebeurteilung machen. Wer in Ihrem Haus versteht heute On-chain-Daten? Wer hat Zugriff auf Blockchain-Analytics-Tools? Wenn die Antwort „niemand” ist, ist das die erste Lücke. Eine Person, die sich operativ mit dem Thema beschäftigen darf, ist Minimum.

2. Mit einem AML-Analytics-Anbieter sprechen. Nicht kaufen, nicht ausschreiben. Reden. Verstehen, welche Datenmodelle eingesetzt werden, welche False-Positive-Raten realistisch sind, wie die Integration in ein bestehendes Transaction-Monitoring-System aussieht. Das ist Vorbereitung, nicht Investition.

3. Den eigenen Use-Case definieren. Wird Ihr Haus Qivalis-Token annehmen? Selbst halten? Für Kundenzahlungen anbieten? Jeder dieser drei Wege hat andere KI-Anforderungen. Ohne klare Position wird das interne Projekt zur Folklore.

Qivalis ist 2026 da, ob mit oder ohne fertige Compliance-Architektur in jedem teilnehmenden Haus. Der Unterschied zwischen den 37 Konsortialbanken und allen anderen wird in achtzehn Monaten genau in dieser Vorbereitungstiefe sichtbar werden.

Wer wartet, bis die Aufsicht konkrete Vorgaben macht, kommt zu spät. Wer jetzt anfängt zu lernen, hat eine echte Chance, die Compliance-Funktion vom Kostenfaktor zum Differenzierungsmerkmal zu entwickeln.

Was diese Woche passiert ist

Jamie Dimon, CEO von JPMorgan Chase, hat seine Linie zur KI-Transformation der Bank weiter verschärft. Laut Handelsblatt-Bericht vom 21. Mai sieht Dimon das klassische Banking-Berufsbild im strukturellen Umbruch: Routine-Tätigkeiten in Operations, Reporting und Teilen des Underwritings werden durch KI ersetzt, gleichzeitig entstehen neue Rollen rund um Modell-Governance, Daten-Engineering und KI-Produktentwicklung.

Das ist keine PR-Aussage zu „Augmentation statt Ersetzung”. Dimon spricht offen davon, dass Stellen wegfallen. JPMorgan hat parallel die Zahl der KI-Spezialisten im Konzern in den letzten Quartalen massiv ausgebaut und kommuniziert intern eine klare Reihenfolge: zuerst Prozess automatisieren, dann Headcount anpassen, dann neue Rollen besetzen.

Für eine US-Großbank ist das wenig überraschend. Interessant ist, was es für die zweite Reihe bedeutet: Regionalbanken, Sparkassen-Verbund, Volksbanken, Privatbanken und Asset-Manager im DACH-Raum.

Warum es jetzt für Finanzhäuser in DACH zählt

Dimons Ansage ist kein US-Phänomen. Sie ist ein Frühindikator dafür, wie Personalstruktur und IT-Budget in einer kompetitiven Bank in fünf Jahren aussehen.

Drei Punkte fallen aus meiner Sicht ins Gewicht.

Erstens: Die Kostenkurve dreht. Wenn JPMorgan Routinetätigkeiten in Loan-Operations, KYC-Vorbereitung, Mandantenkorrespondenz und internem Reporting automatisiert, sinkt die Cost-Income-Ratio dort spürbar. Eine österreichische Regionalbank, die heute noch 60 Prozent ihrer Backoffice-Kapazität in manuelle Dokumentenprüfung und Excel-Reporting steckt, konkurriert in drei Jahren mit Häusern, die dasselbe Volumen mit der Hälfte der Köpfe abwickeln. Das ist keine Vision, das ist Mathematik.

Zweitens: Die Rollenprofile ändern sich schneller, als HR-Pläne nachziehen. Typisches Muster in DACH-Banken: Die KI-Strategie liegt bei IT oder einer Stabstelle, die Personalentwicklung läuft separat in HR, das Fachgeschäft beobachtet aus der Distanz. Das funktioniert nicht mehr. Ein Kreditanalyst, dessen Vorprüfung künftig ein Modell macht, braucht entweder ein neues Skill-Set (Modell-Validierung, Edge-Case-Beurteilung, Plausibilisierung von KI-Output) oder eine andere Funktion. Diese Umqualifizierung dauert 12 bis 24 Monate. Wer 2026 startet, ist 2028 fertig. Wer 2028 startet, kauft 2030 teuer am Markt zu.

Drittens: Compliance- und Risk-Funktionen werden zur Engstelle. EU-AI-Act, DORA und die einschlägigen EBA-Guidelines verlangen dokumentierte Modell-Governance, menschliche Aufsicht bei Hochrisiko-Anwendungen und nachvollziehbare Entscheidungswege. Banken, die KI in Kreditentscheidung, Geldwäsche-Screening oder Wertpapierberatung einsetzen, brauchen Personal, das Modelle nicht nur betreibt, sondern aufsichtsfest dokumentiert. Diese Profile sind am Markt rar. JPMorgan kauft sie gerade ein.

Was konkret zu tun ist

Ich arbeite mit Finanzhäusern in AT und DE, die zwischen 80 und 5.000 Mitarbeitern haben. Drei Schritte halte ich für jedes Haus oberhalb der reinen Vertriebsbank für überfällig.

Schritt 1: Prozess-Inventur mit Automatisierungs-Score, nicht KI-Pilot.

Der typische Fehler: Ein Vorstand liest einen Artikel wie diesen, ruft den CIO an, und drei Wochen später läuft ein „GenAI-Pilot” im Marketing. Das ist Aktionismus. Sinnvoller ist eine nüchterne Inventur: Welche Prozesse binden heute wieviel FTE? Welche davon sind regelbasiert, dokumentenlastig oder kommunikationslastig? Welche Datenqualität liegt zugrunde? Mein Rat: Beginnen Sie bei den drei größten Backoffice-Prozessen nach FTE-Aufwand und bewerten Sie Automatisierungsgrad in einem einfachen Score von 1 bis 5. Das gibt Ihnen eine Prioritätenliste, die kein Beratungsdeck ersetzt.

Schritt 2: Governance vor Werkzeug.

Bevor das erste Modell in einen kritischen Prozess geht, brauchen Sie eine schriftliche Antwort auf vier Fragen: Wer entscheidet, ob ein Modell produktiv geht? Wer überwacht laufend die Performance? Was passiert, wenn das Modell driftet oder halluziniert? Wie dokumentieren Sie das aufsichtsfest? Wenn diese Antworten nicht in einem Dokument stehen, das Risk, Compliance und IT unterschrieben haben, gehen Sie kein Risiko ein, das Sie tragen können. Das ist keine Theorie. Die ersten BaFin- und FMA-Prüfungen zu KI-Einsatz laufen bereits.

Schritt 3: Reskilling-Pfade konkret pro Rolle.

Nicht „wir schulen alle in KI”. Sondern: Für die Rolle Kreditanalyst Firmenkunden definieren Sie, welche drei konkreten Aufgaben in 24 Monaten anders aussehen werden, welche neuen Fähigkeiten dafür nötig sind, und welcher Schulungsweg dahin führt. Das gleiche für Compliance-Officer, Wealth-Berater, Backoffice-Sachbearbeiter. Häufiges Muster: Banken schulen breit, aber flach. Wirksamer ist tief und rollenspezifisch.

Was Sie nicht tun sollten

Zwei Anti-Muster, die ich aktuell oft sehe.

Das eine: Auf den großen Wurf warten, bis ein Kernbanken-Anbieter „KI integriert” liefert. Das dauert. Und es liefert Ihnen ein generisches Werkzeug, keinen Wettbewerbsvorteil.

Das andere: Schatten-KI tolerieren. Wenn Ihre Mitarbeiter ChatGPT, Claude oder Gemini privat für Kundendaten nutzen, weil die Bank keine offizielle Lösung anbietet, haben Sie ein Datenschutz- und Aufsichtsproblem, das im Ernstfall den Vorstand kostet. Das Gegenmittel ist nicht Verbot, sondern eine offizielle, freigegebene Umgebung.

Mein Fazit

Dimons Aussage ist für DACH-Banken weniger eine Prognose als ein Zeitstempel. Die Frage ist nicht mehr, ob KI die Personalstruktur im Banking verändert. Die Frage ist, ob Ihr Haus den Übergang aktiv steuert oder passiv erleidet. Der Unterschied zwischen beidem liegt nicht im Technologie-Budget, sondern in der Frage, ob Vorstand, HR, Risk und IT gemeinsam einen Plan haben, der über das laufende Geschäftsjahr hinausreicht.

Wenn Sie heute keinen schriftlichen Drei-Jahres-Plan zu Prozess-Automatisierung, Modell-Governance und Reskilling haben, ist das Ihre dringendste Hausaufgabe für das nächste Quartal.

Was diese Woche passiert ist

Die EU-Kommission hat einen Leitlinienentwurf veröffentlicht, der konkretisiert, welche KI-Systeme unter den AI Act als „hochriskant” gelten. Heise berichtete am 20. Mai. Der Entwurf richtet sich an Marktüberwachungsbehörden und Unternehmen und füllt die bisher relativ abstrakten Anhänge des AI Act mit Beispielen und Abgrenzungskriterien.

Für Finanzdienstleister ist das kein Randthema. Anhang III des AI Act listet zwei finanzrelevante Kategorien explizit als hochriskant: Kreditwürdigkeitsprüfung von natürlichen Personen sowie Risikobewertung und Preisgestaltung bei Lebens- und Krankenversicherungen. Der Leitlinienentwurf schärft jetzt, was darunter fällt und was nicht. Wer also ein Credit-Scoring-Modell, ein automatisiertes Onboarding mit Bonitäts-Layer oder ein KI-gestütztes AML-System betreibt, bekommt erstmals belastbarere Hinweise auf den eigenen Compliance-Aufwand.

Klar ist auch: AML, Fraud-Detection und KYC stehen nicht direkt in Anhang III. Sie können aber über die Hintertür hochrisiko-relevant werden, etwa wenn sie de facto über Kontoeröffnung, Kontosperre oder Kreditvergabe entscheiden. Genau diese Abgrenzung versuchen die Leitlinien zu klären.

Warum es jetzt für Banken und Asset-Manager zählt

Aus meiner Sicht sind drei Punkte entscheidend.

Erstens: Der Zeitdruck ist real. Die Hochrisiko-Pflichten des AI Act greifen ab August 2026 vollständig. Wer heute ein Scoring-Modell produktiv hat, das morgen als hochriskant eingestuft wird, braucht Risiko-Management-System, Datengovernance-Dokumentation, technische Dokumentation, Logging, menschliche Aufsicht, Genauigkeits- und Robustheitsnachweise sowie eine Konformitätsbewertung. Das ist kein Sprint, das ist ein Programm.

Zweitens: Die Abgrenzungsfrage ist Geld wert. Ob ein internes Pre-Screening-Tool als Hochrisiko-KI gilt oder als reine Entscheidungsunterstützung ohne automatisierte Wirkung, macht im Compliance-Budget einen Faktor zehn aus. Die Leitlinien geben hier endlich Anhaltspunkte. Typisches Muster: Ein KI-System liefert einen Score, ein Sachbearbeiter „prüft” ihn formal, übernimmt ihn aber in 98 Prozent der Fälle. Das ist keine menschliche Aufsicht im Sinne des AI Act, das ist Rubber-Stamping. Der Entwurf macht das deutlicher als bisher.

Drittens: Die Schnittmenge mit DORA und MiCA wächst. Banken haben aktuell parallel laufende Regulierungsbaustellen. DORA verlangt operative Resilienz auch für KI-Drittanbieter. Der AI Act verlangt Dokumentation und Risiko-Management. MiCA betrifft Krypto-Dienstleister mit eigenen Pflichten. Wer diese drei Regime getrennt aufsetzt, baut sich drei Silos. Wer sie zusammendenkt, baut ein Modell-Inventar, das für alle drei taugt.

Was der Entwurf konkret klarstellt

Drei Punkte aus dem Leitlinienentwurf, die für Finanzhäuser direkt relevant sind:

1. Eigenentwicklung versus Einkauf. Wer ein Foundation-Model eines Anbieters mit eigenen Bank-Daten finetuned und für Kreditentscheidungen einsetzt, wird in der Regel selbst zum „Anbieter” im Sinne des AI Act. Die Pflichten verschieben sich also nicht vollständig zum LLM-Anbieter, sondern bleiben zu großen Teilen beim Finanzhaus.

2. Marketing-KI bleibt meist nicht hochriskant. Reine Cross-Selling-Modelle, die Produktempfehlungen erzeugen, ohne über Kreditvergabe oder Versicherbarkeit zu entscheiden, fallen typischerweise nicht in die Hochrisiko-Kategorie. Wichtig ist die saubere Abgrenzung zur Bonitätsentscheidung.

3. Wealth-Management-Robo-Advisor. Diese stehen nicht automatisch in Anhang III. Sie können aber über MiFID-II-Eignungsprüfung und potenzielle Verbraucherschutz-Aspekte indirekt erfasst werden. Hier lohnt eine frühe juristische Klärung pro Use Case.

Mein Rat: Drei Schritte für die nächsten 90 Tage

Schritt 1: KI-Modell-Inventar aufsetzen, falls nicht vorhanden. Sie können nicht regulieren, was Sie nicht kennen. Listen Sie alle produktiven und in Entwicklung befindlichen KI-Modelle. Pro Modell: Zweck, Datenbasis, Entscheidungswirkung, Anbieter, betroffene Personen. Häufiges Muster in Banken: Das Risiko-Team kennt die eigenen Modelle, weiß aber nichts von den drei GenAI-Piloten im Wealth-Management und dem Tool, das die Compliance-Abteilung selbst eingekauft hat.

Schritt 2: Hochrisiko-Triage anhand der neuen Leitlinien. Gehen Sie jedes Modell aus dem Inventar gegen den Leitlinienentwurf durch. Drei Kategorien: klar hochriskant, klar nicht hochriskant, unklar. Die unklaren Fälle sind die wichtigsten. Hier brauchen Sie eine dokumentierte Einschätzung, am besten mit juristischer Zweitmeinung. Wenn die Aufsicht 2027 fragt, warum Sie ein Modell nicht als hochriskant eingestuft haben, ist diese Dokumentation Ihre Versicherung.

Schritt 3: Governance-Lücken priorisieren. Für jedes als hochriskant eingestufte Modell: Welche der AI-Act-Pflichten erfüllen Sie heute schon teilweise, etwa durch bestehende Modell-Validierung nach MaRisk AT 4.1 oder BCBS 239? Wo sind die echten Lücken? In den meisten Banken sind technische Dokumentation und Logging deutlich besser aufgestellt als Datengovernance für Trainingsdaten und systematische menschliche Aufsicht. Genau dort sollte das Budget hinfließen.

Was ich nicht empfehle

Warten auf die finale Fassung der Leitlinien. Der Entwurf wird sich in Details ändern, in der Stoßrichtung nicht. Wer jetzt erst startet, ist im August 2026 nicht fertig. Häufiges Muster: Compliance-Projekte in Banken brauchen 12 bis 18 Monate von Kick-off bis Produktiv-Reife. Die Uhr läuft.

Auch nicht empfehlen würde ich, das Thema komplett zur Rechtsabteilung zu schieben. Der AI Act ist zu 60 Prozent ein technisches Thema: Datenqualität, Modell-Monitoring, Logging, Reproduzierbarkeit. Das gehört in die Hände der Data-Science- und IT-Teams, mit juristischer Begleitung. Banken, die das umgekehrt aufstellen, produzieren Papier ohne technische Substanz. Das fällt bei der ersten Prüfung auf.

Was diese Woche passiert ist

Der heise Fachdienst KI PRO hat ein Webinar zur Umsetzungsfrist des EU AI Act angekündigt. Der Termin ist nicht zufällig gewählt: Bis August 2026 müssen Unternehmen die Pflichten für Hochrisiko-KI-Systeme erfüllen. Für die meisten Branchen ist das ein technisches Compliance-Thema. Für Banken, Versicherer und Asset-Manager ist es etwas anderes. Es ist ein operatives Problem mit Sanktionsrisiko bis 35 Millionen Euro oder 7 Prozent des globalen Konzernumsatzes.

Die wichtigsten Eckdaten im Schnellüberblick:

• Februar 2025: Verbot bestimmter KI-Praktiken ist bereits in Kraft (Social Scoring, manipulative Systeme).
• August 2025: Pflichten für General-Purpose-AI-Modelle (GPT, Claude, Gemini, Mistral) gelten für die Anbieter.
• August 2026: Vollständige Anwendung der Hochrisiko-Vorschriften. Das betrifft die Anwender, also Sie als Bank oder Finanzdienstleister.
• August 2027: Übergangsfristen für bestimmte Bestandssysteme laufen aus.

Die Uhr tickt. Und im Finanzsektor sind die Anforderungen härter als anderswo, weil sich der AI Act mit DORA, MiCA und den bestehenden EBA-Guidelines zu Modellrisiko überlagert.

Warum es für Finanzdienstleister jetzt zählt

Der entscheidende Punkt im AI Act ist Anhang III. Dort steht, welche Systeme als Hochrisiko gelten. Für den Finanzsektor sind drei Bereiche explizit genannt:

1. Kreditwürdigkeitsprüfung natürlicher Personen. Jedes Scoring-Modell, das über Konsumentenkredite, Hypotheken oder Kreditkartenlimits entscheidet, fällt darunter. Auch wenn es nur als Decision-Support für den Sachbearbeiter dient.
2. Risikoeinschätzung und Preisgestaltung bei Lebens- und Krankenversicherungen. Aktuariate, die ML-Modelle einsetzen, sind direkt betroffen.
3. Biometrische Identifikation im KYC-Onboarding. Wer Liveness-Detection oder Gesichtsabgleich nutzt, hat eigene Auflagen.

Aus meiner Sicht unterschätzen viele Häuser einen vierten Punkt: Mitarbeiter-bezogene KI-Systeme im Recruiting und in der Leistungsbewertung sind ebenfalls Hochrisiko. Das betrifft jede Bank, die KI für CV-Screening oder Kompetenzbeurteilung einsetzt.

Was heißt Hochrisiko konkret? Sie brauchen:

• Ein dokumentiertes Risikomanagement-System über den gesamten Lebenszyklus.
• Data-Governance mit nachweisbarer Qualität, Repräsentativität und Bias-Prüfung der Trainingsdaten.
• Technische Dokumentation nach Anhang IV. Das sind bei einem nicht-trivialen Modell 40 bis 80 Seiten.
• Logging und Nachvollziehbarkeit jeder Entscheidung.
• Menschliche Aufsicht mit echten Eingriffsmöglichkeiten, nicht nur formal.
• Genauigkeit, Robustheit und Cybersecurity-Nachweise.
• Eine Konformitätserklärung und CE-Kennzeichnung des Systems.

Häufiges Muster in den Beratungsgesprächen der letzten Monate: Die Compliance-Abteilung weiß grob, was kommt. Die IT-Abteilung kennt ihre Modellbestände nicht vollständig. Und die Fachbereiche haben in den letzten zwei Jahren stillschweigend Shadow-AI-Lösungen eingeführt, die niemand inventarisiert hat. Diese drei Lücken zusammen kosten Sie ab August 2026 bares Geld.

Die BaFin hat im Herbst 2025 klargemacht, dass sie den AI Act integriert in bestehende Aufsichtsprozesse prüft. Heißt: Bei der nächsten MaRisk-Prüfung wird auch die KI-Governance angesehen. Wer dann keinen sauberen Modellkatalog vorlegen kann, hat ein Problem, das über den AI Act hinausgeht.

Konkrete Handlungsempfehlung

Wenn Sie heute noch nicht systematisch begonnen haben, schlage ich drei Schritte in dieser Reihenfolge vor.

Schritt 1: KI-Inventar bis Ende des Quartals.

Erstellen Sie eine vollständige Liste aller KI- und ML-Systeme im Haus. Nicht nur die offiziellen, sondern auch:

• Excel-Modelle mit eingebetteten ML-Komponenten.
• Copilot- und ChatGPT-Nutzung in den Fachbereichen.
• Zugekaufte Software, in der Anbieter KI-Features integriert haben (CRM, Treasury-Systeme, Fraud-Tools).
• Modelle in der Marktrisiko- und Kreditrisiko-Methodik.

Für jeden Eintrag: Was macht das System, welche Daten verarbeitet es, welche Entscheidung beeinflusst es, ist es Hochrisiko nach Anhang III. Diese Inventur ist nicht optional. Ohne sie wissen Sie nicht, wo Sie stehen.

Schritt 2: Gap-Analyse für jedes Hochrisiko-System bis Mitte 2026.

Für jedes als Hochrisiko klassifizierte System brauchen Sie eine konkrete Lückenanalyse gegen die Anforderungen aus Kapitel III, Abschnitt 2 des AI Act. Typische Befunde aus der Praxis:

• Trainingsdaten-Dokumentation fehlt oder ist unvollständig.
• Bias-Tests wurden zwar gemacht, aber nicht reproduzierbar dokumentiert.
• Logging existiert, aber speichert keine entscheidungsrelevanten Inputs.
• Das menschliche Override ist im UI nicht klar implementiert.

Planen Sie pro Hochrisiko-System realistisch drei bis sechs Monate für die Nachdokumentation und technische Anpassung. Bei eingekauften Systemen müssen Sie früh mit dem Anbieter klären, wer welchen Teil der Konformität liefert. Der Vertrag ist meistens nicht eindeutig.

Schritt 3: AI-Literacy-Programm bis Februar 2026.

Artikel 4 des AI Act verlangt seit Februar 2025, dass Mitarbeiter, die mit KI-Systemen umgehen, ausreichende Kompetenz haben. Das ist nicht delegierbar an die Compliance-Abteilung. Jeder Kreditanalyst, jeder Portfolio-Manager und jeder Trader, der KI-gestützte Tools nutzt, braucht eine dokumentierte Grundausbildung.

Mein Rat: Machen Sie kein generisches E-Learning. Bauen Sie rollenspezifische Module. Ein Wealth-Manager, der einen LLM-basierten Client-Report-Generator nutzt, braucht andere Inhalte als ein AML-Analyst, der mit Pattern-Detection-Modellen arbeitet. Die häufigsten Fehlerquellen sind rollenspezifisch.

Was passiert, wenn Sie warten

Der AI Act ist nicht die DSGVO. Die DSGVO wurde durch Abmahnungen, Bußgelder und Aufsichtsverfahren über Jahre langsam scharfgestellt. Beim AI Act ist die Aufsicht in Finanzdienstleistung bereits etabliert: BaFin, FMA, FINMA sind handlungsfähig und prüfen schon heute KI-Governance im Rahmen ihrer regulären Aufsicht.

Ab August 2026 reicht es nicht mehr, einen Plan zu haben. Sie müssen Konformität nachweisen. Wer dann erst startet, kauft Beratungskapazität zu Spitzenpreisen ein, hetzt durch die Dokumentation und nimmt operative Risiken in Kauf. Das doppelt-und-dreifach zu zahlen ist vermeidbar, wenn Sie 2025 sauber starten.

Die gute Nachricht: Für Häuser, die ihre Modellgovernance unter MaRisk und BAIT bereits ernst nehmen, ist der AI Act eher Erweiterung als Neuanfang. Die schlechte Nachricht: Niemand wird Sie 2026 noch nett daran erinnern.

Was diese Woche passiert ist

Standard Chartered hat angekündigt, bis 2030 rund 7.000 Stellen zu streichen. Das sind über 15 Prozent der Belegschaft. Die offizielle Begründung der Bank: stärkerer KI-Einsatz im Backoffice plus Fokussierung auf Premiumkunden im Wealth-Management. Das berichtet das Handelsblatt unter Verweis auf die Mitteilung der Bank.

Die Zahl ist groß, aber sie steht nicht allein. Citi hat 2024 bereits 20.000 Stellen angekündigt. Deutsche Bank baut seit Jahren ab. UBS integriert Credit Suisse und nutzt das als Anlass für massive Konsolidierung. Was bei Standard Chartered neu ist: KI wird zum ersten Mal explizit als strategischer Treiber genannt, nicht nur als Begleitmusik einer ohnehin geplanten Restrukturierung.

Das ist die eigentliche Nachricht. Eine global tätige Bank sagt offen: Wir bauen ab, weil KI bestimmte Funktionen übernimmt. Nicht „obwohl”, nicht „neben”. Sondern „weil”.

Welche Funktionen konkret betroffen sind

Aus den Statements und Branchenanalysen lässt sich die Zielarchitektur ableiten. Betroffen sind vor allem:

• KYC und Onboarding: Dokumentenprüfung, Plausibilitätschecks, Sanktionslisten-Abgleich. Multimodale Modelle lesen heute Ausweise, Handelsregisterauszüge und Wirtschaftsberichte schneller und mit weniger Fehlern als Sachbearbeiter im Mittel.
• AML und Transaktionsmonitoring: Klassische regelbasierte Systeme produzieren False-Positive-Raten von 95 Prozent und mehr. ML-Modelle plus LLM-gestützte Case-Aufbereitung reduzieren die manuelle Nachbearbeitung pro Alert deutlich.
• Loan-Underwriting im Retail- und Mid-Market: Bonitätsprüfung, Bilanzanalyse, Branchenrisiko. Hier sitzen in jeder größeren Bank dreistellige Teams. Die Hälfte davon ist im KI-Zeitalter strukturell unter Druck.
• Client-Reporting im Wealth-Management: Quartalsberichte, Allokationskommentare, Steuerübersichten. Generierung dieser Dokumente ist heute weitgehend automatisierbar. Der Relationship-Manager liest nur noch gegen.

Nicht betroffen, im Gegenteil aufgewertet: die direkte Kundenbeziehung im Premiumsegment. Genau deshalb betont Standard Chartered den Premium-Fokus. Die Bank verkauft mehr Beratungszeit pro Kopf, weil sie weniger Köpfe in der Operativen braucht.

Warum DACH-Banken jetzt schauen sollten

Die deutsche und österreichische Bankenlandschaft reagiert auf solche Signale traditionell mit zwei bis drei Jahren Verzögerung. Diese Verzögerung ist diesmal teurer als sonst.

Drei Gründe:

Erstens: Die Kostenseite. Cost-Income-Ratios von 70 bis 80 Prozent bei Sparkassen und Volksbanken sind im internationalen Vergleich nicht haltbar, wenn Wettbewerber mit KI-Stack auf 50 Prozent zusteuern. Margendruck im Zinsgeschäft kommt 2026/27 ohnehin zurück, sobald die Zinsen wieder fallen.

Zweitens: Regulatorik. DORA ist seit Januar 2025 scharfgeschaltet. Der EU AI Act gilt schrittweise, mit harten Anforderungen für Hochrisiko-Use-Cases im Banking (Kreditscoring zählt explizit dazu). Banken, die jetzt KI einführen, bauen Compliance-by-Design ein. Banken, die erst 2027 starten, müssen retrofitten. Das ist deutlich teurer.

Drittens: Der Talentmarkt. Die besten ML-Engineers und Quant-Researcher gehen zu den Häusern, die KI strategisch fahren. Wer 2027 erst anfängt, bekommt nicht mehr die Leute, die das Setup aufbauen können.

Aus meiner Sicht ist das Standard-Chartered-Signal vor allem eine Botschaft an Aufsichtsräte und Vorstände in DACH: Die Diskussion „KI ja oder nein” ist vorbei. Die Diskussion lautet „wo zuerst und mit welchem Risikoprofil”.

Was das für Wealth-Management und unabhängige Vermögensverwalter heißt

Für kleinere Vermögensverwalter und Family-Offices in Österreich und Deutschland ist die Lage paradox.

Einerseits: Die Großbanken werden im Premium-Segment aggressiver. Standard Chartered, UBS, Deutsche Bank Wealth, alle bauen Beratungskapazität auf, finanziert aus dem Abbau im Backoffice. Der Wettbewerb um den vermögenden Kunden wird härter.

Andererseits: Genau hier liegt die Chance. Ein unabhängiger Verwalter mit 500 Millionen Assets under Management kann mit einem schlanken KI-Stack heute Reporting, Researchaufbereitung und Compliance-Dokumentation auf einem Niveau liefern, das vor drei Jahren nur Großhäuser geschafft haben. Der Kostenvorteil pro Kunde ist erheblich, wenn man es richtig aufsetzt.

Typisches Muster bei meinen Mandanten in dem Segment: Drei Personen im Mittelbüro werden zu einer Person plus KI-gestütztem Workflow. Die zwei freigewordenen Köpfe gehen entweder in den Vertrieb oder werden eingespart. Beides verbessert die Marge.

Konkrete Handlungsempfehlung

Wenn Sie in einer Bank, einem Asset-Manager oder einem Vermögensverwalter in DACH sitzen, würde ich diese Woche drei Dinge anstoßen:

1. Funktions-Audit, kein Tool-Audit. Listen Sie die zehn personalintensivsten Prozesse auf. Nicht die Tools, sondern die Tätigkeiten. Für jede Tätigkeit: Welcher Anteil ist regelbasiert, dokumentengetrieben oder repetitiv-textlich? Dieser Anteil ist der ehrliche KI-Hebel. Bei Backoffice-Prozessen sind 40 bis 70 Prozent realistisch.

2. Zwei Pilotfelder auswählen, nicht zehn. Aus meiner Erfahrung scheitern KI-Programme in Banken nicht an der Technik, sondern an Parallelinitiativen. Wählen Sie ein Hochfrequenz-Feld (z.B. KYC-Erstprüfung, AML-Alert-Aufbereitung) und ein Hochwert-Feld (z.B. automatisiertes Client-Reporting für Wealth-Kunden). Zwölf Monate Laufzeit, klare KPIs in Stunden und Fehlerquote.

3. Den AI-Act-Klassifizierungs-Check jetzt machen. Für jeden geplanten Use-Case: Ist das Hochrisiko nach EU AI Act? Wenn ja, brauchen Sie Risikomanagement-Dokumentation, menschliche Aufsicht, Logging-Architektur. Das nachträglich einzubauen kostet das Drei- bis Vierfache. Diese Klassifizierung gehört vor die Pilotauswahl, nicht danach.

Was Sie nicht tun sollten: pauschal verkünden, dass KI Stellen ersetzt. Standard Chartered kann das, weil die Bank global ist und Reputation in Asien ihr Schwerpunkt ist. Eine Regionalbank in Österreich, die das gleiche kommuniziert, verliert intern Vertrauen und extern Kunden. Die Realität ist trotzdem dieselbe: In fünf Jahren machen die gleichen Aufgaben weniger Menschen. Wer das nicht plant, plant trotzdem mit. Nur ungeordnet.

Die Standard-Chartered-Ankündigung ist kein Ausreißer. Sie ist der Anfang einer Welle, die DACH spätestens 2026 erreicht. Wer jetzt sauber aufsetzt, hat Zeit für ordentliche Umsetzung. Wer wartet, restrukturiert unter Druck.

Was diese Woche auf Twitter ausgelöst wurde

Mitchell Hashimoto, Gründer von HashiCorp und kein KI-Skeptiker, hat diese Woche einen Satz abgesetzt, der auf Hacker News über 990 Punkte und 437 Kommentare gesammelt hat: „Ich glaube, es gibt aktuell ganze Firmen unter KI-Psychose.” (Original: „I believe there are entire companies right now under AI psychosis”.)

Der Begriff KI-Psychose ist bewusst zugespitzt. Hashimoto beschreibt damit Unternehmen, in denen die Führungsebene Entscheidungen trifft, die mit der tatsächlichen technischen und wirtschaftlichen Realität nicht mehr viel zu tun haben. Beispiele aus der Diskussion: Entlassungswellen mit der Begründung, KI ersetze das Team. Komplette Produkt-Roadmaps, die auf Agenten-Fähigkeiten basieren, die es so noch nicht stabil gibt. Budgets, die von klassischen Engineering-Teams in KI-Initiativen umgeschichtet werden, ohne dass jemand den ROI sauber gerechnet hat.

Dass dieser Take von Hashimoto kommt und nicht von einem KI-Kritiker, macht ihn relevant. Er baut selbst seit Jahren Entwickler-Tools mit KI-Komponenten. Wenn jemand aus diesem Lager sagt, dass gerade etwas aus dem Ruder läuft, lohnt das Hinhören.

Warum das für österreichische KMU jetzt zählt

Die großen US-Konzerne können sich teure Fehlentscheidungen leisten. Ein KMU mit 30 oder 80 Mitarbeitern nicht. Trotzdem sehe ich aktuell in meiner Beratungspraxis genau die Muster, die Hashimoto beschreibt, eine Nummer kleiner.

Typisches Beispiel: Ein Geschäftsführer kommt von einer Konferenz zurück, hat dort einen Vortrag über autonome KI-Agenten gehört, und will jetzt das CRM, die Buchhaltung und den Kundensupport „mit KI automatisieren”. Budget: ungefähr null. Zeithorizont: drei Monate. Ergebnis nach sechs Monaten: ein halbfertiger Chatbot, zwei frustrierte Mitarbeiter und eine Rechnung von einem Beratungshaus, das genau das verkauft hat, was der Chef hören wollte.

Häufiges Muster Nummer zwei: Stellenausschreibungen werden eingefroren mit der Begründung „das macht künftig die KI”. In der Praxis macht die KI dann eben nicht den Job einer erfahrenen Sachbearbeiterin, sondern erzeugt Output, den jemand prüfen muss. Nur ist diese jemand jetzt überlastet, weil die Stelle nicht besetzt wurde.

Drittes Muster: Eine Lösung sucht ein Problem. Das Unternehmen kauft eine KI-Plattform, weil der Mitbewerb angeblich auch eine hat. Was die Plattform konkret im eigenen Betrieb verbessern soll, weiß niemand zu sagen.

Das alles ist nicht neu. Es ist die Cloud-Migrationswelle von 2015. Es ist das Big-Data-Theater von 2012. Es ist das Blockchain-Pilotprojekt von 2018. Der Unterschied: Bei KI ist die Geschwindigkeit höher, die mediale Lautstärke größer, und die Beratungsbranche hat gelernt, schneller zu verkaufen.

Aus meiner Sicht: Drei Realitäten gegen die Psychose

Erstens: KI ist nützlich. Sehr nützlich sogar, in klar abgegrenzten Anwendungsfällen. Texterstellung, Recherche-Vorbereitung, Code-Review, strukturierte Datenextraktion aus PDFs, interne Wissensabfragen. Diese Dinge funktionieren heute zuverlässig genug für den produktiven Einsatz. Das ist die gute Nachricht.

Zweitens: KI ist nicht das, was die Keynotes versprechen. Autonome Agenten, die selbstständig komplexe Geschäftsprozesse abwickeln, sind in der Demo beeindruckend und im Produktivbetrieb fragil. Wer heute eine Firma darauf wettet, wettet auf eine Technologie, die in 18 Monaten vielleicht so weit ist. Vielleicht auch nicht.

Drittens: Die Differenz zwischen Punkt eins und Punkt zwei ist die ganze Beratungsbranche. Und genau hier liegt das Risiko für KMU. Wer den Unterschied nicht erkennt, kauft Punkt zwei und bekommt Punkt eins. Bestenfalls.

Konkrete Handlungsempfehlung für KMU

Schritt 1: Inventur machen, bevor Sie investieren.

Bevor Sie das nächste KI-Tool kaufen oder das nächste Pilotprojekt starten: Listen Sie auf, was bei Ihnen bereits läuft. Welche Mitarbeiter nutzen ChatGPT, Claude oder Copilot? Wofür? Was funktioniert, was nicht? In neun von zehn KMU, die mich anrufen, ist die Antwort: Niemand weiß es genau. Bevor Sie strategisch handeln, brauchen Sie diese Information. Eine halbe Stunde pro Abteilung reicht meistens.

Schritt 2: Ein konkretes Problem, ein konkreter Use Case.

Suchen Sie nicht nach „dem KI-Projekt”. Suchen Sie nach einem Prozess, der heute teuer, langsam oder fehleranfällig ist. Angebotserstellung. Eingangsrechnungen kategorisieren. Erste Sichtung von Bewerbungen. Dann prüfen Sie, ob KI hier hilft. Wenn ja, starten Sie klein. Vier Wochen, ein Tool, ein Mitarbeiter, der das testet. Messbares Ergebnis am Ende: Wie viele Stunden gespart, wie hoch die Fehlerquote, wie hoch die Akzeptanz im Team.

Schritt 3: Keine Personalentscheidungen auf Basis von Versprechungen.

Das ist der Punkt, an dem ich am häufigsten Stopp rufe. Reduzieren Sie keine Stellen, weil ein Tool verspricht, die Arbeit zu übernehmen. Reduzieren Sie Stellen, wenn ein Tool sechs Monate lang nachweislich die Arbeit übernommen hat. Die Reihenfolge ist nicht verhandelbar. Wer sie umdreht, zahlt am Ende doppelt: einmal für das Tool, einmal für die Wiedereinstellung mit Premium-Gehalt nach dem Reinfall.

Was Sie aus Hashimotos Beobachtung mitnehmen sollten

KI-Psychose ist kein technologisches Problem. Sie ist ein Führungsproblem. Sie entsteht, wenn der Druck, „bei KI dabei zu sein”, größer wird als die Bereitschaft, nüchtern zu prüfen, was tatsächlich funktioniert.

Mein Rat: Sie müssen nicht der erste sein. Sie müssen der sein, der es richtig macht. Die KMU, die in zwei Jahren produktiv mit KI arbeiten, sind nicht die, die 2025 das größte Budget verbrannt haben. Es sind die, die nüchtern angefangen, gemessen und schrittweise ausgebaut haben.

Und wenn der nächste Berater mit einer Multi-Agent-Lösung für Ihr ERP anrückt: Fragen Sie nach drei Referenzkunden Ihrer Größe, die das seit mindestens neun Monaten im Echtbetrieb haben. Diese Frage filtert achtzig Prozent der Anbieter sofort raus. Den Rest können Sie ernsthaft prüfen.