Wie erklären Sie Ihren Kunden, warum der Algorithmus ihren Kreditantrag abgelehnt hat?

Wenn ein Algorithmus einen Kreditantrag ablehnt, entsteht für Banken und Versicherungen ein kritisches Spannungsfeld. Auf der einen Seite steht die Effizienz automatisierter Prozesse, auf der anderen Seite die wachsende Forderung von Kunden und Gesetzgebern nach Transparenz. Die pauschale Antwort „Der Computer hat Nein gesagt“ ist längst nicht mehr ausreichend und birgt erhebliche rechtliche Risiken. Vielmehr stehen Finanzinstitute vor der Herausforderung, eine tiefgreifende „Erklärbarkeits-Lücke“ zu schliessen: die Kluft zwischen der komplexen Logik einer KI und der Notwendigkeit einer einfachen, verständlichen und rechtlich einwandfreien Begründung für den Endkunden.

Die üblichen Ansätze konzentrieren sich oft auf die technischen Aspekte der Modell-Validierung oder die allgemeinen Prinzipien der DSGVO. Doch die eigentliche Herausforderung liegt in der operativen Umsetzung. Wie übersetzt man ein komplexes statistisches Modell in eine nachvollziehbare Absage? Wie dokumentiert man den Entscheidungsprozess so, dass er einem Audit durch die BaFin standhält? Und wie verhindert man, dass der Algorithmus unbewusst diskriminierende Muster erlernt und anwendet, beispielsweise aufgrund der Postleitzahl eines Antragstellers? Dieser Artikel geht über die blosse Feststellung der Problematik hinaus. Er liefert einen konkreten Fahrplan für Compliance-Verantwortliche, um die Anforderungen der DSGVO und des kommenden AI Acts nicht nur zu erfüllen, sondern eine Kultur der algorithmischen Fairness und Transparenz zu etablieren. Wir beleuchten, wie Sie Entscheidungen revisionssicher protokollieren, wann der Mensch eingreifen muss und wie Sie versteckte Vorurteile im Code aufdecken, bevor sie zu einem rechtlichen und reputativen Problem werden.

Dieser Leitfaden bietet Ihnen einen strukturierten Überblick über die zentralen Handlungsfelder, um algorithmische Entscheidungen verantwortungsvoll zu gestalten. Die folgenden Abschnitte führen Sie durch die wichtigsten rechtlichen, ethischen und operativen Aspekte der KI-gestützten Kreditvergabe.

Warum akzeptiert die Gesellschaft keine Entscheidungen, die niemand erklären kann?

Die Akzeptanz von Technologie hängt massgeblich von ihrer Nachvollziehbarkeit ab. Eine Entscheidung, die das Leben eines Menschen massgeblich beeinflusst – wie die Gewährung eines Kredits für ein Eigenheim – kann nicht als undurchsichtige „Blackbox“-Entscheidung hingenommen werden. Der Wunsch nach einer Begründung ist ein fundamentaler Aspekt von Fairness und Vertrauen. Wenn ein Mensch eine Entscheidung nicht nachvollziehen kann, fühlt er sich ohnmächtig und potenziell ungerecht behandelt. Dieses Bedürfnis nach Transparenz ist nicht nur eine emotionale Reaktion, sondern auch rechtlich verankert. Während laut einer Bitkom-Studie zwar 71 % der deutschen Unternehmen die DSGVO bereits grösstenteils oder vollständig umgesetzt haben, bleibt die praktische Erklärbarkeit von KI-Entscheidungen eine grosse Hürde.

Der Kern des Problems liegt in der Kontrollierbarkeit. Ein Kunde möchte nicht nur wissen, dass eine Entscheidung gefallen ist, sondern auch, welche Faktoren dazu geführt haben. Nur so hat er die Möglichkeit, seine Situation zu verstehen und gegebenenfalls zu verbessern, um bei einem zukünftigen Antrag erfolgreich zu sein. Dieser Gedanke wird von Experten unterstrichen.

Wie das Kompetenzzentrum Öffentliche IT (ÖFIT) treffend formuliert, geht es um die Handlungsfähigkeit des Individuums:

Bankkund:innen bei negativer Kreditentscheidung wollen vermutlich bloss wissen, an welchen Faktoren dies gelegen hat und was sie ändern können, um den Kredit zu erhalten.

– Kompetenzzentrum Öffentliche IT (ÖFIT), Erklärbare KI – Trendschau des ÖFIT

Eine fehlende Erklärung untergräbt nicht nur das Vertrauen in das einzelne Finanzinstitut, sondern in das gesamte System der automatisierten Entscheidungsfindung. Es nährt die Angst vor einer unkontrollierbaren, potenziell fehlerhaften oder unfairen Technologie. Daher ist die Fähigkeit, eine algorithmische Entscheidung zu erklären, keine optionale Serviceleistung, sondern eine Grundvoraussetzung für die gesellschaftliche und wirtschaftliche Legitimität von KI im Finanzsektor.

Wie protokollieren Sie algorithmische Entscheidungen rechtssicher für Audits?

Die Pflicht zur Erklärung gegenüber dem Kunden ist nur eine Seite der Medaille. Die andere, ebenso wichtige, ist die Nachweispflicht gegenüber den Aufsichtsbehörden. Eine revisionssichere Protokollierung ist der Schlüssel, um die Compliance mit Vorschriften wie der DSGVO und künftig dem AI Act zu gewährleisten. Es reicht nicht aus, nur das Endergebnis (Kredit genehmigt/abgelehnt) zu speichern. Vielmehr müssen Sie den gesamten Entscheidungspfad des Algorithmus nachvollziehbar dokumentieren. Das bedeutet, Sie müssen aufzeichnen, welche Datenpunkte in die Entscheidung eingeflossen sind, wie diese gewichtet wurden und welches Modell mit welcher Version zum Einsatz kam.

Diese detaillierte Dokumentation dient als Absicherung bei internen Revisionen, externen Audits oder rechtlichen Anfechtungen. Sie ermöglicht es Ihnen, zu beweisen, dass Ihr Prozess fair, nicht-diskriminierend und konform mit den gesetzlichen Vorgaben war. Die deutsche Finanzaufsicht BaFin hat die Brisanz dieses Themas längst erkannt und nimmt die algorithmischen Prozesse der Institute genau unter die Lupe. In einer detaillierten Untersuchung zur algorithmischen Kreditvergabe analysiert die Behörde, wo und wie Institute solche Verfahren einsetzen und welche Risiken damit verbunden sind.

Ein revisionssicheres Protokoll sollte mindestens die folgenden Elemente umfassen:

• Zeitstempel der Entscheidung: Wann genau wurde die Entscheidung getroffen?
• Eingabedaten: Eine anonymisierte Kopie der Daten, die zur Entscheidung geführt haben (z. B. Einkommen, Schulden, aber keine sensiblen Merkmale).
• Modell-Identifikation: Welches KI-Modell und welche Version wurden verwendet?
• Ergebnis und Score: Das finale Ergebnis sowie der zugrundeliegende Score-Wert.
• Erklärbarkeits-Output: Die wichtigsten Faktoren, die das Ergebnis beeinflusst haben (z. B. „hohe Verschuldungsquote“, „kurze Kredithistorie“).

Diese Form der Protokollierung ist nicht nur eine regulatorische Pflicht, sondern auch ein wertvolles Werkzeug für das interne Risikomanagement. Sie hilft dabei, Modell-Drift (die schleichende Veränderung der Modell-Performance) zu erkennen, Fehlerquellen zu identifizieren und die Gesamtqualität Ihrer automatisierten Entscheidungsprozesse kontinuierlich zu verbessern.

Letzte Instanz Mensch: Wann muss ein Sachbearbeiter das KI-Urteil überstimmen können?

Trotz aller Fortschritte in der künstlichen Intelligenz bleibt der Mensch ein unverzichtbares Korrektiv im Entscheidungsprozess. Die Vorstellung einer vollautomatischen Kreditvergabe ohne jegliche menschliche Interventionsmöglichkeit ist nicht nur gesellschaftlich problematisch, sondern auch rechtlich unzulässig. Artikel 22 der DSGVO gewährt Personen das Recht, nicht einer ausschliesslich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden. Daraus leitet sich die Notwendigkeit einer menschlichen Interventionsschwelle ab – ein definierter Punkt, an dem ein Sachbearbeiter die maschinelle Entscheidung überprüfen und gegebenenfalls überstimmen muss.

Die Herausforderung besteht darin, diese Schwelle sinnvoll zu definieren. Wann ist eine menschliche Prüfung zwingend erforderlich? Typische Auslöser sind:

• Grenzfälle: Anträge, deren Score-Wert sehr nahe an der Ablehnungsgrenze liegt.
• Auffällige Datenkonstellationen: Anträge mit ungewöhnlichen oder widersprüchlichen Angaben, die der Algorithmus möglicherweise falsch interpretiert.
• Antrag auf Überprüfung: Jeder Kunde, dessen Antrag abgelehnt wurde, muss das Recht haben, eine manuelle Überprüfung durch eine Person zu verlangen.
• Risikorelevanz: Bei Geschäften mit hohem Risiko oder grosser Tragweite ist eine menschliche Prüfung oft von vornherein obligatorisch.

Diese Notwendigkeit wird von der Aufsicht explizit gefordert. Die BaFin-Anforderungen sehen klar vor, dass bei risikorelevanten Geschäften ein zweites Votum vorgeschrieben ist. Hierbei müssen Bankmitarbeitende zwingend beteiligt werden und ihre eigene Risikoeinschätzung sorgfältig dokumentieren.

Der Mensch fungiert hierbei als „letzte Instanz“, die den Kontext bewerten kann, den ein Algorithmus möglicherweise nicht erfasst. Ein Sachbearbeiter kann beispielsweise eine vorübergehende Einkommensdelle durch Elternzeit oder eine plausible Erklärung für eine Lücke in der Kredithistorie berücksichtigen. Diese qualitative Bewertung ergänzt die quantitative Analyse der KI.

Wie diese Darstellung zeigt, ist die Rolle des Menschen nicht die eines reinen Abnickers, sondern die eines aktiven Kontrolleurs und Entscheiders. Die Implementierung eines solchen „Human-in-the-Loop“-Prozesses ist entscheidend, um die Rechte des Einzelnen zu wahren und die Akzeptanz und Fairness des gesamten Systems sicherzustellen. Es schafft ein Gleichgewicht zwischen automatisierter Effizienz und menschlicher Verantwortung.

Der Algorithmus und die PLZ: Wie verhindern Sie unfaire Vorurteile im Code?

Eine der grössten Gefahren bei der Verwendung von Algorithmen ist die unbeabsichtigte Diskriminierung. Ein Algorithmus ist nur so fair wie die Daten, mit denen er trainiert wird. Wenn historische Daten gesellschaftliche Vorurteile widerspiegeln, wird die KI diese Muster lernen und systematisch reproduzieren oder sogar verstärken. Dieses Phänomen ist bekannt als algorithmischer Bias. Ein besonders heikles Thema in diesem Zusammenhang ist die sogenannte Proxy-Diskriminierung. Hierbei verwendet der Algorithmus scheinbar neutrale Merkmale, die jedoch stark mit geschützten Merkmalen wie Herkunft oder sozialem Status korrelieren.

Die Postleitzahl (PLZ) ist hierfür ein klassisches Beispiel. Ein Algorithmus darf einen Kreditantrag nicht ablehnen, weil jemand eine bestimmte ethnische Herkunft hat. Er könnte aber lernen, dass in Stadtteilen mit einem hohen Anteil an Menschen mit Migrationshintergrund (und oft niedrigerem Durchschnittseinkommen) historisch gesehen eine höhere Kreditausfallquote bestand. Nutzt der Algorithmus die PLZ als entscheidendes Merkmal, führt dies im Ergebnis zu einer indirekten, aber systematischen Benachteiligung von Menschen aus diesen Regionen.

Diese Gefahr ist sehr real, wie Experten warnen:

Ein Algorithmus könnte statistisch lernen, dass Personen mit niedrigem Einkommen in bestimmten Stadtteilen häufiger Kredite nicht zurückzahlen – und künftig systematisch Anträge aus diesen Regionen ablehnen.

– Finanzratgeber24

Um solche unfairen Vorurteile zu verhindern, sind proaktive Massnahmen unerlässlich. Erstens müssen Sie bei der Auswahl der Trainingsdaten äusserst sorgfältig vorgehen und diese auf potenziellen Bias analysieren. Merkmale wie die Postleitzahl, die als starke Proxys für geschützte Attribute dienen könnten, sollten entweder gar nicht erst verwendet oder ihre Auswirkungen genau kontrolliert werden. Zweitens sind regelmässige Fairness-Audits des KI-Modells unerlässlich. Dabei wird systematisch getestet, ob das Modell für verschiedene demografische Gruppen (z. B. nach Geschlecht, Alter oder Region) zu statistisch signifikant unterschiedlichen Ergebnissen führt. Nur durch eine solche kontinuierliche Überwachung kann sichergestellt werden, dass der Effizienzgewinn durch Automatisierung nicht auf Kosten der Fairness geht.

Wann tritt der AI Act in Kraft und was müssen Sie heute schon ändern?

Während die DSGVO bereits einen Rahmen für automatisierte Entscheidungen vorgibt, rückt mit dem EU AI Act (in Deutschland als KI-Verordnung bekannt) eine noch spezifischere und weitreichendere Regulierung in den Fokus. Dieses Gesetz klassifiziert KI-Systeme nach ihrem Risiko, und die Kreditwürdigkeitsprüfung fällt eindeutig in die Kategorie der Hochrisiko-Anwendungen. Das bedeutet, dass auf Banken und Versicherungen strenge Pflichten in Bezug auf Qualität, Transparenz, menschliche Aufsicht und Cybersicherheit zukommen. Auch wenn der AI Act erst schrittweise in Kraft tritt, ist es entscheidend, sich schon heute vorzubereiten, da die Umsetzungsfristen ambitioniert sind.

Die Nichteinhaltung wird mit empfindlichen Strafen geahndet. Laut aktuellen Informationen können Verstösse gegen den AI Act mit Geldbussen von bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Dies unterstreicht die Dringlichkeit, die eigenen Prozesse schon jetzt auf den Prüfstand zu stellen. Sie müssen sicherstellen, dass Ihre KI-Systeme den kommenden Anforderungen an Robustheit, Genauigkeit und Sicherheit genügen. Zudem werden Sie ein umfassendes Risikomanagementsystem einrichten und eine detaillierte technische Dokumentation führen müssen, die jederzeit von den Behörden geprüft werden kann.

Der folgende Zeitplan zeigt, wann die wichtigsten Regelungen des AI Acts für Unternehmen in Deutschland wirksam werden, basierend auf einer Analyse von thatworksmedia.com:

Für Finanzinstitute ist besonders der Stichtag im August 2026 relevant. Ab diesem Zeitpunkt müssen die strengen Pflichten für Hochrisiko-KI-Systeme, wie sie in der Kreditvergabe eingesetzt werden, vollumfänglich angewendet werden. Angesichts der Komplexität der Anforderungen ist es unerlässlich, die Vorbereitungen nicht aufzuschieben. Beginnen Sie jetzt mit der Klassifizierung Ihrer KI-Systeme, der Analyse der Datenqualität und der Etablierung von Governance-Strukturen für KI.

Der Diskriminierungsfehler in HR-Software: Wenn die KI Bewerber unfair aussortiert

Die Problematik des algorithmischen Bias ist nicht auf den Finanzsektor beschränkt. Ein lehrreiches Beispiel findet sich im Bereich Human Resources (HR), wo KI-Systeme zunehmend zur Vorauswahl von Bewerbern eingesetzt werden. Hier kann ein voreingenommener Algorithmus Karrieren beenden, bevor sie überhaupt begonnen haben. Wenn eine HR-Software beispielsweise darauf trainiert wurde, Lebensläufe erfolgreicher bisheriger Mitarbeiter zu analysieren, und diese überwiegend männlich waren, könnte die KI lernen, weibliche Bewerber systematisch schlechter zu bewerten – selbst bei gleicher Qualifikation. Diese Form der indirekten Diskriminierung ist nicht nur ethisch untragbar, sondern auch ein klarer Verstoss gegen das Allgemeine Gleichbehandlungsgesetz (AGG).

Die Mechanismen sind die gleichen wie bei der Kreditvergabe: Die KI erkennt Muster in historischen Daten und wendet diese auf neue Fälle an. Das Problem ist, dass diese Muster oft gesellschaftliche Ungleichheiten widerspiegeln. Besondere Vorsicht ist geboten, wenn Modelle aus anderen Kulturkreisen, wie den USA, übernommen werden, da diese bekanntermassen Probleme mit sogenanntem „Racial Profiling“ haben können, die sich nicht direkt auf den deutschen Kontext übertragen lassen.

Um diese Risiken zu minimieren, ist es unerlässlich, die Blackbox zu öffnen und die KI-Entscheidungen aktiv zu hinterfragen und zu testen. Es reicht nicht, dem Softwareanbieter zu vertrauen; Sie müssen selbst in der Lage sein, die Fairness Ihrer Systeme zu validieren. Dies erfordert eine systematische und kontinuierliche Überprüfung.

Die Visualisierung verdeutlicht, wie versteckte Barrieren in den Datenstrukturen zu ungleichen Ergebnissen führen können. Um solche Barrieren aufzudecken, müssen Sie gezielte Tests durchführen. Erstellen Sie beispielsweise fiktive Zwillings-Lebensläufe, die sich nur in einem einzigen Merkmal (wie dem Namen, der auf eine bestimmte Herkunft hindeutet, oder dem Geschlecht) unterscheiden, und beobachten Sie, ob der Algorithmus zu unterschiedlichen Ergebnissen kommt. Die Dokumentation dieser Tests ist für potenzielle Audits von entscheidender Bedeutung.

Die Einwilligungslücke: Wann wird Ihr Pixel-Tracking zur juristischen Gefahr?

Die rechtliche Definition einer „automatisierten Entscheidung“ ist weiter gefasst, als viele Unternehmen annehmen. Ein wegweisendes Urteil des Europäischen Gerichtshofs (EuGH) zum Vorgehen der SCHUFA hat dies eindrücklich klargemacht. Es verdeutlicht, dass nicht erst die finale Entscheidung (z. B. die Kreditablehnung durch die Bank) als automatisierte Entscheidung im Sinne der DSGVO gilt, sondern bereits die Erstellung eines Score-Wertes durch eine Auskunftei wie die SCHUFA, wenn dieser Wert die Entscheidung eines Dritten – also der Bank – massgeblich beeinflusst.

Diese Auslegung hat weitreichende Konsequenzen. Sie schliesst eine gefährliche Einwilligungslücke: Ein Unternehmen kann die Verantwortung nicht einfach an einen externen Datenlieferanten abschieben. Wenn die von einem Dritten gelieferten Daten (wie ein Score-Wert oder durch Pixel-Tracking gewonnene Verhaltensdaten) eine wesentliche Rolle im eigenen Entscheidungsprozess spielen, unterliegt bereits diese Datenübermittlung und -verarbeitung den strengen Regeln von Artikel 22 der DSGVO.

Dieses Urteil ist ein klares Signal an alle Unternehmen, die externe Datenquellen für ihre automatisierten Prozesse nutzen. Ob es sich um Bonitätsscores, Adressvalidierungen oder durch Tracking-Pixel auf Webseiten gesammelte Verhaltensprofile handelt: Sobald diese Daten signifikant in eine Entscheidung einfliessen, die für eine Person „rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt“, greifen die strengen Anforderungen.

Das EuGH stuft die Übersendung des Scoring-Wertes an das Kreditinstitut als eine Entscheidung nach Art. 22 Abs.1 DSGVO ein, da dies eine wesentliche Rolle bei der Gewährung eines Kredits spielt und dabei rechtliche Wirkung entfaltet.

– Datenschutz Consulting Dresden, EuGH-Urteil zum Schufa-Scoring vom 07.12.2023

Für Banken und Versicherungen bedeutet dies, dass sie die Datenlieferketten genau prüfen müssen. Sie müssen sicherstellen, dass für die Nutzung externer Scores und Daten eine saubere Rechtsgrundlage vorliegt und dass sie in der Lage sind, dem Kunden nicht nur die eigene, sondern auch die Logik der zugelieferten Daten zumindest in Grundzügen zu erklären.

Wie personalisieren Sie Kunden-Newsletter, ohne die DSGVO zu verletzen?

Die Prinzipien der Datensparsamkeit und Transparenz, die bei der Kreditvergabe gelten, erstrecken sich auf alle Bereiche der Kundenkommunikation, einschliesslich des Marketings. Die Personalisierung von Newslettern ist ein effektives Werkzeug, um die Kundenbindung zu stärfen, birgt jedoch ebenfalls datenschutzrechtliche Risiken. Auch hier gilt: Jede Form der automatisierten Verarbeitung personenbezogener Daten zur Profilbildung muss auf einer soliden rechtlichen Grundlage stehen und für den Nutzer transparent und nachvollziehbar sein.

Die grösste Herausforderung bei der Newsletter-Personalisierung ist die Einholung einer gültigen Einwilligung. Es reicht nicht aus, dass ein Nutzer dem Erhalt von E-Mails zugestimmt hat. Wenn Sie beabsichtigen, sein Klickverhalten, seine Kaufhistorie oder andere persönliche Daten zu nutzen, um ihm massgeschneiderte Inhalte zu präsentieren, benötigen Sie dafür eine spezifische und informierte Einwilligung. Der Nutzer muss klar und verständlich darüber aufgeklärt werden, welche Daten zu welchem Zweck für die Personalisierung verwendet werden. In Deutschland ist hierfür das strenge Double-Opt-in-Verfahren nach dem Gesetz gegen den unlauteren Wettbewerb (UWG) der Standard.

Des Weiteren müssen Sie dem Nutzer jederzeit eine einfache Möglichkeit bieten, die Personalisierung zu deaktivieren, ohne sich komplett vom Newsletter abmelden zu müssen. Dies kann beispielsweise über einen Link im Footer des Newsletters oder über Einstellungen im Kundenkonto realisiert werden. Die Logik der Personalisierung sollte in der Datenschutzerklärung in einfachen Worten erklärt werden. Die Verwendung von sensiblen Daten, wie Gesundheitsinformationen oder religiösen Überzeugungen, die aus dem Nutzerverhalten abgeleitet werden könnten, ist für Marketingzwecke grundsätzlich tabu.

Letztlich geht es darum, ein Gleichgewicht zu finden: Bieten Sie Ihren Kunden einen echten Mehrwert durch relevante Inhalte, ohne ihre Privatsphäre zu verletzen. Ein transparenter und fairer Umgang mit Daten stärkt das Vertrauen und ist langfristig die nachhaltigere Marketingstrategie. Eine Missachtung der DSGVO kann nicht nur zu hohen Bussgeldern führen, sondern auch das Kundenvertrauen nachhaltig beschädigen.

Beginnen Sie noch heute mit der Implementierung eines transparenten, revisionssicheren Prozesses, um rechtliche Risiken zu minimieren und das Vertrauen Ihrer Kunden zu stärken. Eine sorgfältige Prüfung und Anpassung Ihrer algorithmischen Systeme ist der erste Schritt zur zukunftssicheren Compliance.