Ist Kredit-Scoring-KI ein Hochrisiko-KI-System nach der KI-Verordnung?

Was sagt Anhang III Nummer 5 der KI-Verordnung genau?

Anhang III Nr. 5 KI-VO steht unter der Überschrift "Zugänglichkeit und Inanspruchnahme grundlegender privater und grundlegender öffentlicher Dienste und Leistungen" und wird über Art. 6 Abs. 2 KI-VO zur Hochrisiko-Einstufung herangezogen. Buchstabe b nennt wörtlich: KI-Systeme, "die bestimmungsgemäß für die Kreditwürdigkeitsprüfung und Bonitätsbewertung natürlicher Personen verwendet werden sollen, mit Ausnahme von KI-Systemen, die zur Aufdeckung von Finanzbetrug verwendet werden". Buchstabe c erfasst daneben KI-Systeme zur Risikobewertung und Preisbildung bei Lebens- und Krankenversicherungen natürlicher Personen — ein für 34k-Vermittler nicht einschlägiger Nachbarfall.

Für 34k-Vermittler bedeutet das: Ein automatisiertes Scoring-Tool, das die Bonität eines Darlehensnehmers bewertet, um über die Kreditvergabe oder -vermittlung zu entscheiden, fällt grundsätzlich unter diese Nummer — unabhängig davon, ob es beim Kreditinstitut selbst oder beim Vermittler im Einsatz ist. Reine Betrugserkennungssysteme sind ausdrücklich ausgenommen.

Wen treffen die Pflichten: den Vermittler oder den Softwareanbieter?

Die KI-VO unterscheidet Anbieter (Art. 3 Nr. 3 KI-VO: wer ein KI-System entwickelt und unter eigenem Namen in Verkehr bringt) und Betreiber (Art. 3 Nr. 4 KI-VO: wer ein KI-System in eigener Verantwortung verwendet). Ein 34k-Darlehensvermittler, der eine von einem Drittanbieter entwickelte Scoring-Software im Beratungs- oder Vermittlungsprozess einsetzt, ist in aller Regel Betreiber, nicht Anbieter — die Entwicklerpflichten (Konformitätsbewertung, technische Dokumentation, CE-Kennzeichnung) treffen den Softwarehersteller.

Betreiber treffen eigene, geringere, aber nicht unerhebliche Pflichten: bestimmungsgemäße Verwendung entsprechend der Gebrauchsanweisung des Anbieters, Sicherstellung menschlicher Aufsicht und Überwachung des Betriebs auf Grundlage der Gebrauchsanweisung. Für Kreditwürdigkeitsprüfungs-Systeme kommt eine spezifische, in Art. 27 KI-VO ausdrücklich genannte Pflicht hinzu.

Was verlangt die Grundrechte-Folgenabschätzung nach Art. 27 KI-VO?

Art. 27 KI-VO verpflichtet bestimmte Betreiber, vor der erstmaligen Nutzung eines Hochrisiko-KI-Systems eine dokumentierte Abschätzung der Auswirkungen auf die Grundrechte der betroffenen Personen durchzuführen. Betreiber von KI-Systemen, die zur Bewertung der Kreditwürdigkeit natürlicher Personen eingesetzt werden, sind einer der in der Fachliteratur zu Art. 27 KI-VO ausdrücklich genannten Anwendungsfälle dieser Pflicht.

Nach Fachkommentierung zum Digital Omnibus (Stand Juni 2026) sieht die Reform vor, Doppelarbeit zwischen der Grundrechte-Folgenabschätzung nach Art. 27 KI-VO und einer bereits vorliegenden Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durch gegenseitige Verweise zu reduzieren — die Pflicht zur Folgenabschätzung selbst entfällt dadurch nicht, nur die inhaltliche Überschneidung wird ausdrücklich als vermeidbar behandelt.

Warum wurde die Frist auf Dezember 2027 verschoben?

Ursprünglich sollten die Kapitel-III-Pflichten (Hochrisiko-Anforderungen) für eigenständige Hochrisiko-KI-Systeme nach Anhang III ab dem 2. August 2026 gelten. Die EU-Kommission hatte am 19. November 2025 einen "Digital Omnibus on AI" mit Fristverlängerungen vorgeschlagen; nach politischer Einigung zwischen Rat und Parlament am 7. Mai 2026 wurde die Änderung als Verordnung (EU) 2026/1744 verabschiedet und ist am 27. Juli 2026 in Kraft getreten.

Die Verordnung verschiebt über eine Änderung von Art. 113 Abs. 3 Buchst. c KI-VO den Geltungsbeginn der Kapitel-III-Pflichten für Anhang-III-Systeme auf den 2. Dezember 2027. Für bereits vor diesem Datum in Verkehr gebrachte oder in Betrieb genommene Systeme gelten nach Art. 111 Abs. 2 KI-VO Übergangsregeln: Die neuen Hochrisiko-Anforderungen greifen erst bei einer wesentlichen Änderung der Konzeption; für Systeme im behördlichen Einsatz gilt zusätzlich eine spätere äußerste Frist zum 2. August 2030. Die grundsätzlichen Verbote nach Art. 5 KI-VO (etwa für bestimmte Social-Scoring-Praktiken) bleiben von der Verschiebung unberührt und gelten unabhängig davon fort.

Wie hängt das mit der bestehenden Kreditwürdigkeitsprüfung nach § 505a BGB zusammen?

Die zivilrechtliche Pflicht des Darlehensgebers zur Kreditwürdigkeitsprüfung nach § 505a BGB und die aufsichtsrechtliche KWG-Regulierung bestehen unabhängig von der KI-VO fort und sind bereits Teil der bestehenden Stoffkarte zu Prüfungsinhalten nach der DarlVermV. Die KI-Verordnung fügt dem eine zusätzliche, produktbezogene Ebene hinzu: Wird die Kreditwürdigkeitsprüfung mithilfe eines KI-Systems automatisiert unterstützt, treten die dargestellten KI-VO-Pflichten neben die bestehenden zivil- und aufsichtsrechtlichen Anforderungen, ersetzen sie aber nicht.